E-mail / Debian12 : 1/3

Mémento 11.1 - Postfix et Dovecot

Le serveur de courrier sera installé sur srvdmz.

Il sera fait appel aux logiciels Postfix, Dovecot, Mail et PostfixAdmin ainsi qu'aux outils de sécurité tels SSL/TLS, SASL, HTTPS, SPF, DKIM et DMARC.

Postfix utilisera un service de relais SMTP pour optimiser la délivrabilité des e-mails et éviter que ceux-ci soient marqués comme SPAM par les destinataires.

1 - Préambule

Documentation de Postfix en français sur cette page.

Noms d'hôte et de domaine actifs sur la VM srvdmz :
srvdmz et loupvirtuel.fr

Vérifiez à l'aide des Cdes suivantes :

[srvdmz@srvdmz:~$] hostname
[srvdmz@srvdmz:~$] hostname -d

1.1 - Rôle du serveur de courrier

Il consiste tout simplement à transmettre des messages électroniques ou e-mails.

1.2 - Principe de fonctionnement

Le traitement du courrier respecte les étapes suivantes :

1) Départ depuis le client e-mail MUA de l'expéditeur
-> Un serveur d'envoi MTA (SMTP)

2) Acheminement au travers d'un ou plusieurs MTA
-> Un serveur de réception MDA (POP/IMAP)

3) Demande de relève depuis le MUA du destinataire
-> Le serveur de réception MDA

4) Acheminement final depuis le MDA
-> Le MUA du destinataire

Le MUA (Mail User Agent) ou client e-mail s'occupe d'émettre et relever le courrier.

Le MTA (Mail Transfer Agent) gère le transfert du courrier émis jusqu'à sa destination.

Le MDA (Mail Delivery Agent) stocke le courrier reçu en attendant une relève par le destinataire.

Le protocole SMTP est utilisé par les MUA et MTA pour envoyer le courrier à destination.

Les protocoles POP/IMAP le sont par les MDA et MUA pour relever le courrier.

Liste des logiciels auxquels vous ferez appel :
- Le trio apache + php + mysql déjà présent sur srvdmz.
- postfix comme MTA ou serveur SMTP.
- postfixadmin comme interface Web d'administration.
- dovecot comme MDA ou serveur POP/IMAP.
- mail comme MUA en mode console.
- thunderbird comme MUA en mode graphique.

Vous l'aurez compris, la mise en place d'un serveur de courrier est relativement compliquée.

Schéma récapitulant l'envoi d'un courrier :

2 - Installation de Postfix, Dovecot et Mail

2.1 - Postfix (MTA ou serveur SMTP)

Au préalable, mettez à jour la distribution Debian :

[srvdmz@srvdmz:~$] sudo apt update             # MAJ paquets
[srvdmz@srvdmz:~$] sudo apt upgrade     # MAJ distribution
[srvdmz@srvdmz:~$] sudo reboot
[srvdmz@srvdmz:~$] sudo apt autoremove --purge

et installez le paquet postfix :

[srvdmz@srvdmz:~$] sudo apt install postfix

Une fenêtre Postfix Configuration s'ouvre :
-> OK -> Sélectionnez Site Internet -> OK
-> OK -> Nom du courrier -> Entrez loupvirtuel.fr -> OK

Editez ensuite son fichier de configuration main.cf :

[srvdmz@srvdmz:~$] sudo nano /etc/postfix/main.cf

Vérifiez les valeurs des paramètres ci-dessous :

myhostname = srvdmz.loupvirtuel.fr

mydestination = $myhostname, loupvirtuel.fr, srvdmz.loupvirtuel.fr, localhost.loupvirtuel.fr, localhost

- myhostname = Nom FQDN du serveur Postfix.
- mydestination = Liste des domaines livrés localement.
- $myhostname = Valeur de myhostname.

et décommentez la ligne suivante :

myorigin = /etc/mailname       # Domaine sortant valide

- myorigin = Contenu de mailname soit loupvirtuel.fr.

Testez par sécurité la bonne configuration de Postfix :

[srvdmz@srvdmz:~$] sudo postfix check

Si OK, aucun retour.

Redémarrez Postix :

[srvdmz@srvdmz:~$] sudo systemctl restart postfix

et testez une connexion sur celui-ci avec la Cde telnet :

[srvdmz@srvdmz:~$]  telnet localhost 25        # 25 = port SMTP

Retour observé :

Trying ::1...
Connected to localhost.
Escape character is '^]'.
220 srvdmz.loupvirtuel.fr ESMTP Postfix (Debian/GNU)

Puis touches Ctrl droite + AltGr + ] -> prompt -> quit

Nota : L'installation a généré un utilisateur postfix et un groupe de même nom sur srvdmz.

2.2 - Dovecot (MDA ou serveur POP/IMAP)

Installez les paquets dovecot suivants :

[srvdmz@srvdmz:~$] sudo apt install dovecot-mysql dovecot-imapd dovecot-pop3d

Etendez ensuite les possibilités de filtrage du courrier entrant en installant le plugin sieve :

[srvdmz@srvdmz:~$] sudo apt install dovecot-managesieved

Les filtres fournis par le plugin permettront de traiter un courrier entrant en fonction d’un certain nombre de règles (scripts) définies par le destinataire.

Les règles seront enregistrées et traitées sur le serveur.

Le plugin permettra entre autres de gérer de la réponse automatique en cas d'absence, de réexpédier des courriers dès leur réception sur le serveur, etc...

Les règles sont généralement définies via des interfaces de gestion respectant le protocole de filtrage telles que celles fournies par les plugins Sieve de Thunderbird, RoundCube et Rainloop.

Activez maintenant la prise en compte du plugin :

[srvdmz@srvdmz:~$] sudo systemctl restart dovecot

et testez une connexion POP sur Dovecot :

[srvdmz@srvdmz:~$] telnet localhost 110    # 110 = port POP3

Retour observé :

Trying ::1...
Connected to localhost.
Escape character is '^]'.
+OK Dovecot (Debian) ready.

Puis touches Ctrl droite + AltGr + ] -> prompt -> quit

Testez également le résultat d'une connexion IMAP :

[srvdmz@srvdmz:~$] telnet localhost 143   # 143 = port IMAP4

Nota : L'installation a généré un utilisateur dovecot et un groupe de même nom sur srvdmz.

2.3 - Mail (MUA ou client en mode console)

Installez le paquet mailutils :

[srvdmz@srvdmz:~$]  sudo apt install mailutils

3 - Service DNS et courriers adressés à root

3.1 - Ajout d'enregistrements type MX/CNAME

Vous allez ajouter un enregistrement de type MX (Mail eXchanger) qui associera le domaine loupvirtuel.fr au serveur de courrier installé sur srvdmz.

Cet enregistrement permettra de déterminer vers quel serveur un courrier doit être acheminé lorsque le protocole SMTP est utilisé, ceci en associant la partie à droite de l'@ des adresses e-mail au serveur de courrier.

Vous en ajouterez aussi de type CNAME (alias) pour les serveurs SMTP (Postfix) et POP/IMAP (Dovecot).

Editez pour cela le fichier DNS db.loupvirtuel.fr.directe :

[srvdmz@srvdmz:~$] cd /var/lib/bind
[srvdmz@srvdmz:~$] sudo nano db.loupvirtuel.fr.directe

et ajoutez ceci juste avant www IN CNAME srvdmz :

@     IN   MX 10   srvdmz.loupvirtuel.fr.
smtp  IN   CNAME   srvdmz
pop   IN   CNAME   srvdmz
imap  IN   CNAME   srvdmz

Faites de même avec db.loupvirtuel.fr.directe.externe.

Redémarrez les services DNS et Postfix :

[srvdmz@srvdmz:~$] sudo systemctl restart bind9
[srvdmz@srvdmz:~$] sudo systemctl restart postfix

ainsi que le service DNS sur srvlan.

Puis testez le bon fonctionnement du DNS comme suit :

[srvdmz@srvdmz:~$] ping smtp.loupvirtuel.fr
[srvdmz@srvdmz:~$] ping pop.loupvirtuel.fr
[srvdmz@srvdmz:~$] ping imap.loupvirtuel.fr
[srvdmz@srvdmz:~$] dig mx loupvirtuel.fr

Les 4 Cdes ci-dessus doivent fonctionner depuis srvlan.

3.2 - Redirection des courriers adressés à root

La redirection des courriers se gère depuis le fichier Bdd /etc/aliases.db qui peut être mis à jour depuis le ficher texte /etc/aliases.

Editez ce dernier :

[srvdmz@srvdmz:~$] sudo nano /etc/aliases

et redirigez le courrier adressé à root en ajoutant ceci :

root: srvdmz

srvdmz étant l'utilisateur principal du serveur de courrier de nom d'hôte srvdmz.loupvirtuel.fr.

Terminez en mettant à jour le fichier Bdd aliases.db :

[srvdmz@srvdmz:~$] sudo newaliases

4 - Test d'envoi/réception de courriers

Dans l'immédiat, l'envoi d'un courrier vers un utilisateur quelconque tel clientmail-vm1 nécessite la création de celui-ci comme utilisateur local sur l'hôte srvdmz.

Créez donc un utilisateur local UNIX clientmail-vm1:

[srvdmz@srvdmz:~$] sudo adduser clientmail-vm1

Puis envoyez un courrier de root vers clientmail-vm1:

[srvdmz@srvdmz:~$] su root

[root@srvdmz:~$]  mail clientmail-vm1@loupvirtuel.fr
Cc:                                                                       ->Touche Entrée
Subject: Test d'envoi depuis root                   ->Touche Entrée
Texte de mon premier courrier. Fin.               ->Touche Entrée
CTRL+D                                                         = Envoyer et quitter
[root@srvdmz:~$] exit

et vérifiez la création dans /var/mail d'un fichier clientmail-vm1 stockant le contenu du courrier :

[srvdmz@srvdmz:~$] cd /var/mail
[srvdmz@srvdmz:~$] sudo cat clientmail-vm1

Connectez-vous maintenant en tant que clientmail-vm1 et lancez le MUA mail :

[srvdmz@srvdmz:~$] su clientmail-vm1

[clientmail-vm1@srvdmz:~$] mail

Relevez ensuite le courrier avec la Cde t 1 suivie de quit :

Reconnectez-vous en tant que srvdmz avec la Cde exit et vérifiez la création dans /home/clientmail-vm1 d'un fichier mbox stockant le contenu du courrier relevé.

Vérifiez le vidage consécutif du contenu de ce courrier dans le fichier /var/mail/clientmail-vm1.

Finissez en envoyant un e-mail depuis clientmail-vm1 vers root et vérifiez la bonne redirection du courrier en relevant celui-ci depuis l'utilisateur srvdmz.

5 - Ajout des couches de sécurité SSL et SASL

5.1 - Couche SSL authentification/chiffrement

- SSL/TLS
Couche Secure Sockets Layer/Transport Layer Security.

Cette couche fournit des authentifications basées sur des certificats ainsi que le chiffrement des sessions de transport. Une session chiffrée protège le contenu des messages SMTP ainsi que celui des authentifications SASL.

Vous utiliserez pour Postfix les certificats loupvirtuel.crt et loupvirtuel.key créés au § 5 du mémento LAMP ...

Ces 2 fichiers peuvent servir à toutes applications de srvdmz faisant appel au chiffrage SSL.

5.2 - Configuration SSL de Postfix

Indiquez le chemin des certificats en éditant main.cf :

[srvdmz@srvdmz:~$] sudo nano /etc/postfix/main.cf

et en modifiant les lignes ci-dessous comme suit :

smtpd_tls_cert_file=/etc/ssl/loupvirtuel.crt
smtpd_tls_key_file=/etc/ssl/loupvirtuel.key

Activez la modification :

[srvdmz@srvdmz:~$] sudo systemctl restart postfix

5.3 - Couche SASL authentification utilisateurs

- SASL
Couche Simple Authentication and Security Layer.

Cette couche, utilisable avec des protocoles fonctionnant en mode connecté comme le SMTP, permet d'authentifier les utilisateurs cherchant à envoyer des messages par le biais du serveur de courrier et ainsi éviter que celui-ci ne soit notamment exploité pour diffuser du SPAM.

Installez les paquets suivants :

[srvdmz@srvdmz:~$] sudo apt install sasl2-bin db-util

Les dépendances libsasl2-2 et libsasl2-modules sont déjà présentes sur srvdmz.

Pour activer automatiquement le service SASL au boot du système, éditez le fichier saslauthd :

[srvdmz@srvdmz:~$] sudo nano /etc/default/saslauthd

et modifiez ou ajoutez le paramètre START :

# Démarrage automatique du service saslauthd
START=yes

Démarrez le service :

[srvdmz@srvdmz:~$] sudo systemctl start saslauthd

5.4 - Configuration SASL de Postfix et Dovecot

Vous allez maintenant configurer le système afin que Postix utilise l'authentification SMTP en faisant appel au support SASL fourni de base avec Dovecot.

a) Configuration côté Dovecot

Editez, le fichier 10-master.conf :

[srvdmz@srvdmz:~$] cd /etc/dovecot/conf.d
[srvdmz@srvdmz:~$] sudo nano 10-master.conf

et modifiez la section Postfix smtp-auth comme suit :

# Postfix smtp-auth
unix_listener /var/spool/postfix/private/auth {
mode = 0666
user = postfix
group = postfix
}

Editez ensuite le fichier 10-auth.conf :

[srvdmz@srvdmz:~$] sudo nano 10-auth.conf

et modifiez la valeur de auth_mechanisms comme suit :

auth_mechanisms = plain login

Redémarrez Dovecot :

[srvdmz@srvdmz:~$] sudo systemctl restart dovecot

b) Configuration côté Postfix

Editez le fichier de configuration main.cf :

[srvdmz@srvdmz:~$] sudo nano /etc/postfix/main.cf

et ajoutez les lignes suivantes en fin de fichier :

# Gestion protocole SASL partie serveur SMTP de Postfix
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes
smtpd_recipient_restrictions = permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination

Redémarrez Postfix :

[srvdmz@srvdmz:~$] sudo systemctl restart postfix

5.5 - Test de la configuration SSL et SASL

Vérifiez la prise en compte des 2 protocoles de sécurisation à l'aide de la Cde suivante :

[srvdmz@srvdmz:~$] telnet localhost 25    # 25 = n° port SMTP

Retour :

Trying ::1...
Connected to localhost.
Escape character is '^]'.
220 srvdmz.loupvirtuel.fr ESMTP Postfix (Debian/GNU)

Entrez sous la ligne 220 srvdmz... l'instruction suivante :

ehlo srvdmz.loupvirtuel.fr

et observez le retour :

250-srvdmz.loupvirtuel.fr
250-PIPELINING
250-SIZE 10240000
250-VRFY
250-ETRN
250-STARTTLS
250-AUTH PLAIN LOGIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250-DSN
250-SMTPUTF8
250 CHUNKING

Doivent être présents STARTTLS et AUTH PLAIN LOGIN.

Fermez la connexion à l'aide de la Cde quit.

5.6 - Chiffrage TLS des connexions SMTP

SASL avec son MDP diffusé en clair sur le réseau, impose par sécurité, de chiffrer la phase d'authentification et également d'utiliser le port de soumission 587 à la place du port 25.

Vous allez donc forcer les clients MUA du réseau comme l'application thunderbird à établir des sessions SMTP entièrement chiffrées TLS (pas uniquement l'authentification SASL).

Editez pour cela le fichier de configuration master.cf :

[srvdmz@srvdmz:~$] sudo nano /etc/postfix/master.cf

et activez le port 587 en décommentant cette ligne :

submission inet n - y - - smtpd

Editez ensuite le fichier principal main.cf :

[srvdmz@srvdmz:~$] sudo nano /etc/postfix/main.cf

et modifiez le smtpd_tls_security_level comme suit :

smtpd_tls_security_level = encrypt 

Les échanges entre MUA et Postfix seront ainsi chiffrés.

Relancez Postfix pour traiter la nouvelle configuration :

[srvdmz@srvdmz:~$] sudo systemctl restart postfix

6 - Envoi de courriers vers Internet (relais SMTP)

Le domaine loupvirtuel.fr n'existant pas, vous pouvez vous procurer un nom de domaine gratuit et envoyer du courrier au travers d'Internet en demandant à Postfix d'utiliser un service de relais SMTP gratuit sur lequel vous aurez enregistré le nom de domaine gratuit.

A) Pour un nom de domaine gratuit, vous avez le choix :
dynu.com, cloudns.net, etc... (Partie offres DynDNS)

Enregistrez par exemple sur dynu.com un domaine gratuit zzz.freeddns.org et créez un 1^er enregistrement DNS de type MX contenant le même nom de domaine.

B) Pour un relais SMTP gratuit, vous avez le choix :
relai-smtp.com, mailjet.com, brevo.com, etc...

Enregistrez par exemple sur relai-smtp.com un compte SMTP x.y@zzz.freeddns.org.

C) Les ouvertures de session SMTP depuis Postfix vers Internet au travers du relais SMTP seront sécurisées par authentification SASL chiffrée TLS sur le port 587.

En général, les services de relais SMTP disposent dans leur documentation d'une note dédiée à Postfix pour ce type de configuration.

Pour cela, commencez par créer le fichier suivant :

[srvdmz@srvdmz:~$] cd /etc/postfix/sasl
[srvdmz@srvdmz:~$] sudo nano sasl_passwd

et entrez le contenu ci-dessous sur une seule ligne :

[smtp.relai-smtp.net]:587 x.y@zzz.freeddns.org:MDP_compte_relai-smtp

Chiffrez ensuite le contenu :

[srvdmz@srvdmz:~$] sudo postmap hash:sasl_passwd

Un fichier Bdd sasl_passwd.db est alors créé.

Protégez le fichier texte en modifiant ses permissions :

[srvdmz@srvdmz:~$] sudo chmod 600 sasl_passwd

Editez maintenant le fichier main.cf :

[srvdmz@srvdmz:~$] cd /etc/postfix
[srvdmz@srvdmz:~$] sudo nano main.cf

Modifiez son paramètre relayhost comme suit :

relayhost = [smtp.relai-smtp.net]:587

et ajoutez ces lignes à la fin du fichier :

# Gestion protocole SASL partie client SMTP de Postfix
smtp_sasl_password_maps = hash:/etc/postfix/sasl/sasl_passwd
smtp_sasl_auth_enable = yes
smtp_sasl_security_options = noanonymous
smtpd_client_restrictions = permit_sasl_authenticated,reject_unknown_client_hostname

Redémarrez Postfix :

[srvdmz@srvdmz:~$] sudo systemctl restart postfix

L'envoi d'un courrier vers Internet nécessite que l'adresse d'émission contienne un nom de compte connu du relais SMTP soit x.y@zzz.freeddns.org.

Exemple d'un envoi vers une adresse Gmail :

[srvdmz@srvdmz:~$] mail -s "Test du relais SMTP" -a "From: x.y@zzz.freeddns.org" x.y@gmail.com
Cc: <Entrée>
Test relayhost depuis le serveur du courrier hébergé. <Entrée>
CTRL+D
[srvdmz@srvdmz:~$]

Le courrier doit arriver à l'adresse Gmail de destination, éventuellement traité comme SPAM.

La configuration pour ne pas finir traité comme SPAM est présentée au § 9.

7 - Interface Web d'administration PostfixAdmin

L'interface Web impose de modifier la configuration des serveurs Apache-PHP, MySQL, Postfix et Dovecot.

Elle permettra de gérer le domaine loupvirtuel.fr et les utilisateurs du serveur de courrier sans être obligé de créer sur srvdmz un compte Unix par utilisateur.

Le domaine et les utilisateurs seront virtuels et contenus dans une Bdd.

La gestion multi-domaines sera également possible.

Par sécurité, la liaison entre l'interface Web et le serveur Apache sera chiffrée SSL/TLS.

7.1 - Installation

Rappel : Le module ssl pour Apache a déjà été activé au § 5.4 du mémento LAMP HTTPS ...

Installez postfixadmin comme suit :

[srvdmz@srvdmz:~$] sudo apt install postfixadmin

Une fenêtre Configuration de postfixadmin s'ouvre :
-> Faut-il configurer ... avec dbconfig-common ? -> Oui
-> Mot de passe ... postfixadmin : -> Entrez un MDP -> Ok
-> Confirmation du mot de passe : -> MDP -> Ok

L'installation de base se termine.

Ajustez les permissions sur le dossier template_C :

[srvdmz@srvdmz:~$] sudo chown -R www-data:www-data /usr/share/postfixadmin/templates_c

Effectuez ensuite une MAJ de la Bdd postfixadmin :

[srvdmz@srvdmz:~$] sudo -u www-data php /usr/share/postfixadmin/public/upgrade.php

et vérifiez avec adminer la présence de 13 tables.

Après cela, connectez-vous sur le serveur MySQL :

[srvdmz@srvdmz:~$] sudo mariadb -u root -p

et créez l'utilisateur postfixadmin suivant :

> USE postfixadmin;

> CREATE USER 'postfixadmin'@'192.168.4.2' IDENTIFIED BY 'votre-mdp-user-postfixadmin';

> GRANT ALL PRIVILEGES ON `postfixadmin` . * TO 'postfixadmin'@'192.168.4.2';

> FLUSH PRIVILEGES;

> QUIT;

L'utilisateur postfixadmin = lecture/écriture sur la Bdd.

Enfin, créez un fichier de configuration config.local.php :

[srvdmz@srvdmz:~$] cd /etc/postfixadmin
[srvdmz@srvdmz:~$] sudo nano config.local.php

et entrez le contenu PHP suivant pour PostfixAdmin :

<?php
$CONF['configured'] = true;
$CONF['default_language'] = 'fr';
$CONF['database_type'] = 'mysqli';
$CONF['database_host'] = '192.168.4.2';
$CONF['database_user'] = 'postfixadmin';
$CONF['database_password'] = 'mdp-user-postfixadmin';
$CONF['database_name'] = 'postfixadmin';
$CONF['dovecotpw'] = "/usr/bin/doveadm pw -r 5";
$CONF['admin_email'] = 'postmaster@loupvirtuel.fr';
?>

7.2 - Hôte virtuel et redirection HTTPS

La redirection HTTP du domaine loupvirtuel.fr vers HTTPS est assurée depuis cette section située au début du fichier /etc/apache2/sites-available/loupvirtuel.conf :

<VirtualHost *:80>
ServerName loupvirtuel.fr
ServerAlias www.loupvirtuel.fr srvdmz.loupvirtuel.fr
Redirect permanent / https://loupvirtuel.fr/
</VirtualHost>

Si vous avez exécuté le mémento 8.1, les 3 URL HTTP ci-dessous seront redirigées automatiquement vers HTTPS sans faire l'objet d'une alerte de sécurité.

- http://loupvirtuel.fr/postfixadmin
- http://www.loupvirtuel.fr/postfixadmin
- http://srvdmz.loupvirtuel.fr/postfixadmin

Editez maintenant l'hôte virtuel Apache loupvirtuel.conf :

[srvdmz@srvdmz:~$] cd /etc/apache2/sites-available
[srvdmz@srvdmz:~$] sudo nano loupvirtuel.conf

et ajoutez cet alias dans la section <VirtualHost *:443> :

<VirtualHost *:443>

SSLCertificateKeyFile /etc/ssl/loupvirtuel.key # existant

Alias /postfixadmin /usr/share/postfixadmin/public

ErrorLog ${APACHE_LOG_DIR}/postfixadmin_error.log
CustomLog ${APACHE_LOG_DIR}/postfixadmin_access.log combined


<Directory /usr/share/postfixadmin/public>
Options FollowSymLinks MultiViews
AllowOverride None
Require all granted
</Directory>

</VirtualHost> # existant

Redémarrez le serveur Web Apache :

[srvdmz@srvdmz:~$]  sudo systemctl restart apache2

Ensuite, depuis srvlan, lancez l'URL suivante :
https://loupvirtuel.fr/postfixadmin/setup.php

Une fois la page setup.php ouverte, actualisez-la pour obtenir le contenu ci-dessous, celui-ci précisant si toutes les dépendances sont installées et configurées :

Fournissez, comme demandé, un Setup password :
-> Entrez le MDP mdp_setup28 -> Confirmez le MDP
-> Cliquez sur le bouton Generate setup_password hash

-> La page Web s'actualise et montre le hash du MDP
-> Gardez la page ouverte et notez la valeur du hash

Editez à présent, sur srvdmz, le fichier config.local.php :

[srvdmz@srvdmz:~$] cd /var/www/html/postfixadmin
[srvdmz@srvdmz:~$] sudo nano config.local.php

et ajoutez le paramètre ci-dessous comme suit :

$CONF['setup_password'] = 'Entrez le hash du MDP';

Revenez sur srvlan, actualisez la page et créez le compte super-administrateur :
-> Setup password -> mdp_setup28
-> Administrateur -> postmaster@loupvirtuel.fr
-> Mot de passe -> mdp_postmaster -> Confirmez
-> Cliquez sur le bouton Ajouter un administrateur

Le texte de validation suivant apparaît si tout est OK :

 L'administrateur postmaster@loupvirtuel.fr a été ajouté

Fermez la page Web et entrez maintenant l'URL :
https://loupvirtuel.fr/postfixadmin/

La page de connexion de PostfixAdmin doit s'ouvrir :
- Adresse -> postmaster@loupvirtuel.fr
- Mot de passe -> mdp_postmaster -> Bouton Entrer

Créez maintenant le domaine virtuel loupvirtuel.fr :
Menu Liste des domaines
-> Sélectionnez Nouveau domaine
-> Domaine -> loupvirtuel.fr
-> Décochez Ajouter les alias par défaut
-> Bouton Ajouter un domaine

Vous pouvez aussi ajouter le domaine zzz.freeddns.org.

Créez ensuite ces 7 comptes courriels virtuels :
Menu Liste des virtuels
-> Sélectionnez Ajouter un compte courriel
-> Nom d'utilisateur -> clientmail-vm1
-> Mot de passe -> Votre MDP
-> Mot de passe (confirmation) -> Votre MDP
-> Nom -> debian12-vm1
-> Bouton Ajouter un compte courriel

Vous pouvez aussi ajouter celui pour zzz.freeddns.org.

Pour finir, créez un alias de root vers postmaster :
Menu Liste des virtuels
-> Sélectionnez Ajouter un alias
-> Alias = root
-> A = postmaster@loupvirtuel.fr
-> Bouton Ajouter un alias

7.3 - Accès de Postfix sur Bdd PostfixAdmin

Revenez sur srvdmz.

Vous allez créer un utilisateur local vmail qui n'aura pas de MDP associé et se verra donc interdit de connexion.

Un dossier /var/mail/vmail affecté à cet utilisateur et à un groupe de même nom servira de racine aux comptes e-mail virtuels.

Commencez par créer le groupe/utilisateur vmail :

[srvdmz@srvdmz:~$] sudo groupadd -g 5000 vmail

[srvdmz@srvdmz:~$] sudo useradd -g vmail -u 5000 vmail -d /home/vmail -s /bin/false

GID/UID 5000 = identifiants groupe/utilisateur.

et le répertoire ou seront stockés les e-mails :

[srvdmz@srvdmz:~$] sudo mkdir -p /var/mail/vmail
[srvdmz@srvdmz:~$] cd /var/mail
[srvdmz@srvdmz:~$] sudo chown -R 5000:5000 vmail
[srvdmz@srvdmz:~$] sudo chmod -R 770 vmail

L'utilisateur MySQL postfixadmin déclaré ci-dessus au § 7.1 sera utilisé par Postfix pour accéder à la base de données postfixadmin.

Créez le fichier qui assurera la recherche des domaines virtuels créés sous PostfixAdmin :

[srvdmz@srvdmz:~$] cd /etc/postfix

[srvdmz@srvdmz:~$] sudo nano mysql_virtual_mailbox_domains_maps.cf

et entrez le contenu ci-dessous :

user = postfixadmin
password = votre-mdp-user-postfixadmin
hosts = 192.168.4.2
dbname = postfixadmin  
query = SELECT domain FROM domain WHERE domain='%s' AND active = '1'

Déclarez ensuite ce fichier dans /etc/postfix/main.cf :

sudo postconf -e virtual_mailbox_domains=mysql:/etc/postfix/mysql_virtual_mailbox_domains_maps.cf  

et vérifiez que loupvirtuel.fr existe dans PostfixAdmin :

sudo postmap -q loupvirtuel.fr mysql:/etc/postfix/mysql_virtual_mailbox_domains_maps.cf

Si OK, la Cde retourne loupvirtuel.fr, sinon rien.

Créez le fichier qui assurera la recherche des comptes mail virtuels créés sous PostfixAdmin :

[srvdmz@srvdmz:~$] sudo nano mysql_virtual_mailbox_maps.cf

et entrez les lignes ci-dessous :

user = postfixadmin
password = votre-mdp-user-postfixadmin
hosts = 192.168.4.2
dbname = postfixadmin
query = SELECT maildir FROM mailbox WHERE username='%s' AND active = '1'

Déclarez ensuite ce fichier dans /etc/postfix/main.cf :

sudo postconf -e virtual_mailbox_maps=mysql:/etc/postfix/mysql_virtual_mailbox_maps.cf

et testez l'existence de srvlan dans PostfixAdmin :

sudo postmap -q srvlan@loupvirtuel.fr mysql:/etc/postfix/mysql_virtual_mailbox_maps.cf

Si OK, la Cde retourne loupvirtuel.fr/srvlan/, sinon rien.

Créez le fichier qui assurera la recherche des alias virtuels créés sous PostfixAdmin :

[srvdmz@srvdmz:~$] sudo nano mysql_virtual_mailbox_aliases_maps.cf

et entrez les lignes ci-dessous :

user = postfixadmin
password = votre-mdp-user-postfixadmin
hosts = 192.168.4.2
dbname = postfixadmin
query = SELECT goto FROM alias WHERE address='%s' AND active = '1'

Déclarez ensuite ce fichier dans /etc/postfix/main.cf :

sudo postconf -e virtual_alias_maps=mysql:/etc/postfix/mysql_virtual_mailbox_aliases_maps.cf

et testez l'existence d'un alias pour root :

sudo postmap -q root@loupvirtuel.fr mysql:/etc/postfix/mysql_virtual_mailbox_aliases_maps.cf

Si OK, la Cde retourne postmaster@loupvirtuel.fr.

Sécurisez les droits d'accès sur les 3 fichiers de recherche dont les MDP sont écrits en clair :

[srvdmz@srvdmz:~$] cd /etc/postfix
[srvdmz@srvdmz:~$] sudo chgrp postfix mysql_*.cf
[srvdmz@srvdmz:~$] sudo chmod u=rw,g=r,o= mysql_*.cf

Editez maintenant le fichier main.cf :

[srvdmz@srvdmz:~$] sudo nano /etc/postfix/main.cf

et ajoutez ceci en fin de fichier juste au dessus des lignes déclarant les 3 fichiers de recherche :

# Paramètres utilisation domaines/utilisateurs virtuels
local_transport = virtual
virtual_gid_maps = static:5000
virtual_uid_maps = static:5000
virtual_mailbox_base = /var/mail/vmail

# Lignes existantes déclarant les 3 fichiers de recherche
virtual_mailbox_domains = mysql:/etc/postfix/mysql_virtual_mailbox_domains_maps.cf

virtual_mailbox_maps = mysql:/etc/postfix/mysql_virtual_mailbox_maps.cf

virtual_alias_maps = mysql:/etc/postfix/mysql_virtual_mailbox_aliases_maps.cf 

Le domaine virtuel loupvirtuel.fr créé dans PostfixAdmin impose de supprimer sa référence dans main.cf car un domaine virtuel ne doit jamais se trouver dans la liste du paramètre mydestination.

Editez pour cela de nouveau main.cf :

[srvdmz@srvdmz:~$] sudo nano /etc/postfix/main.cf

et modifiez le paramètre mydestination comme suit :

mydestination = srvdmz, localhost

Terminez en redémarrant Postfix :

[srvdmz@srvdmz:~$] sudo systemctl restart postfix

7.4 - Accès de Dovecot sur Bdd PostfixAdmin

Par défaut, Dovecot utilise les utilisateurs réels du système et non les utilisateurs virtuels.

Pour corriger cela, éditez le fichier 10-auth.conf :

[srvdmz@srvdmz:~$] cd /etc/dovecot
[srvdmz@srvdmz:~$] sudo nano conf.d/10-auth.conf

et modifiez le groupe !include comme suit :

#!include auth-deny.conf.ext
#!include auth-master.conf.ext

#!include auth-system.conf.ext  # Ligne à commenter
!include auth-sql.conf.ext      # Ligne à décommenter
#!include auth-ldap.conf.ext
#!include auth-passwdfile.conf.ext
#!include auth-checkpassword.conf.ext
#!include auth-static.conf.ext

Pour l'accès aux e-mails, éditez auth-sql.conf.ext :

[srvdmz@srvdmz:~$] sudo nano conf.d/auth-sql.conf.ext

Commentez la 2ème section userdb puis modifiez la 3ème section comme suit :

userdb {  
   driver = static  
   args = uid=vmail gid=vmail home=/var/mail/vmail/%d/%n  
     }

Pour l'accès à la Bdd, éditez dovecot-sql.conf.ext :

[srvdmz@srvdmz:~$] sudo nano dovecot-sql.conf.ext

et ajoutez ces lignes à la fin du fichier :

driver = mysql

connect = host=localhost dbname=postfixadmin user=postfixadmin password=votre-mdp-user-postfixadmin

password_query = SELECT username,domain,password FROM mailbox WHERE username='%u';

Pour compléter l'accès aux e-mails, éditez 10-mail.conf :

[srvdmz@srvdmz:~$] sudo nano conf.d/10-mail.conf

et modifiez le paramètre mail_location comme suit :

mail_location = maildir:/var/mail/vmail/%d/%n/Maildir

Les e-mails sont ainsi déclarés stockés sous la forme :
/var/mail/vmail/[domaine]/[utilisateur]/Maildir

Pour traiter l'authentification TLS, éditez 10-ssl.conf :

[srvdmz@srvdmz:~$] sudo nano conf.d/10-ssl.conf

et modifiez les 3 paramètres ci-dessous comme suit :

ssl = required
ssl_cert = </etc/ssl/loupvirtuel.crt
ssl_key = </etc/ssl/loupvirtuel.key

Les certificats SSL sont ceux déclarés au § 5.2.

Pour compléter la partie TLS, éditez 10-auth.conf :

[srvdmz@srvdmz:~$] sudo nano conf.d/10-auth.conf

et n'autorisez le login que si la couche TLS est chargée en décommentant la ligne :

disable_plaintext_auth = yes

Pour traiter le Local Delivery Agent, éditez 15-lda.conf :

[srvdmz@srvdmz:~$] sudo nano conf.d/15-lda.conf

Décommentez le paramètre postmaster_address puis modifiez-le comme suit :

postmaster_address = postmaster@loupvirtuel.fr

Modifiez aussi le bloc protocol lda comme ci-dessous :

protocol lda {  
     # Space separated ... to load (default is glob...).  
     mail_plugins = $mail_plugins sieve 
     }

Ceci activera le plugin de filtrage des e-mails soit sieve.

Dovecot qui inclut un module de statistiques signalera une erreur si jamais celui-ci n’est pas défini dans sa configuration.

Pour éviter cela, éditez le fichier 10-master.conf :

[srvdmz@srvdmz:~$] sudo nano conf.d/10-master.conf

et ajoutez ce bloc d'instructions en fin de celui-ci :

service stats {
 unix_listener stats-reader {
 user = vmail
 group = vmail
 mode = 0660
 }
 unix_listener stats-writer {
 user = vmail
 group = vmail
 mode = 0660
 }
 }

Terminez en redémarrant Dovecot :

[srvdmz@srvdmz:~$] sudo systemctl restart dovecot

7.5 - Utilisation par Postfix du LDA de Dovecot

Vous allez demander à Postfix de ne pas utiliser son propre LDA (Local Delivery Agent) pour trier les e-mails dans leurs dossiers de destination respectifs mais plutôt celui de Dovecot plus performant et permettant de profiter des avantages du plugin Sieve.

Pour cela, éditez le fichier master.cf :

[srvdmz@srvdmz:~$] sudo nano /etc/postfix/master.cf

et ajoutez à la fin de celui-ci les lignes suivantes :

# Configuration pour une utilisation du LDA de Dovecot
dovecot     unix     -      n     n     -     -     pipe  
  flags=DRhu user=vmail:vmail argv=/usr/lib/dovecot/dovecot-lda -f ${sender} -d ${recipient}

Attention :
2ème ligne = tabulation entre chaque champ
3ème ligne = début indenté de 2 espaces

Editez ensuite le fichier main.cf :

[srvdmz@srvdmz:~$] sudo nano /etc/postfix/main.cf

et ajoutez les lignes suivantes afin que Postifx exploite ce que vous venez de configurer :

# Déclaration d'utilisation du LDA de Dovecot
virtual_transport=dovecot
dovecot_destination_recipient_limit=1

Redémarrez à présent srvdmz :

[srvdmz@srvdmz:~$] sudo reboot

8 - Envoi/Relève d'e-mails depuis le LAN

8.1 - Envoi depuis le client MUA Mail

Envoyez un mail de clientmail-vm1 vers postmaster :

[srvdmz@srvdmz:~$] echo "Testé et approuvé" | mail \
-s "Envoyé par clientmail-vm1" postmaster@loupvirtuel.fr \
-a From:clientmail-vm1@loupvirtuel.fr  

Le caractère \ indique d'écrire le tout sur une seule ligne.

et observez le résultat dans le journal des logs :

[srvdmz@srvdmz:~$] sudo journalctl -n 50 | grep postfix

Retour pour Postfix :

postfix/pickup..9CD2.. uid=.. from=<clientmail-vm1..>
postfix/cleanup..9CD2.. message-id=<..9CD2..@srvdmz.l..>
postfix/qmgr..9CD2.. from=<clientmail-vm1..>.. active)
postfix/pipe..9CD2.. to=<postmaster..>.. status=sent
postfix/qmgr..9CD2.. removed

Pas d'erreur signalée, courrier émis (status sent).

[srvdmz@srvdmz:~$] sudo cat /var/log/syslog | grep dovecot

Retour pour Dovecot :

dovecot: lda(postmaster..).. msgid=<..9CD2..>: saved

Pas d'erreur signalée, courrier reçu et stocké (saved).

8.2 - Relève depuis le client MUA Thunderbird

Installez sur srvlan le client de messagerie thunderbird :

[srvlan@srvlan:~$] sudo apt install thunderbird
[srvlan@srvlan:~$] sudo apt install thunderbird-l10n-fr

Puis copiez le certificat CA /etc/ssl/loupvirtuel-ca.pem situé sur la VM srvdmz dans le dossier partagé par le PC hôte de VirtualBox.

Lancez enfin le client Thunderbird depuis le menu Xfce.

- Menu de Thunderbird (Les 3 barres en haut à droite)
-> Paramètres -> Vie privée et sécurité
-> Certificats -> Bouton Gérer les certificats...

Une fenêtre Gestionnaire de certificats s'ouvre :
-> Onglet Autorités -> Bouton Importer...
-> Accédez au dossier partagé par le PC hôte
-> Sélectionnez le certificat SSL loupvirtuel-ca.pem
-> Bouton Ouvrir

Une fenêtre Téléchargement du certificat s'ouvre :
-> Cochez Confirmer ... AC pour identifier ... web.
-> Cochez Confirmer ... AC pour identifier ... courrier.
-> Bouton OK -> Bouton OK

Ceci évitera d'avoir à traiter une exception de sécurité due à l'usage d'un certificat auto-signé. En fait on simule un certificat vérifié par une autorité (CA) publique.

- Onglet Configuration du compte
-> Votre nom complet
-> Entrez Le Postmaster du domaine loupvirtuel.fr
-> Adresse e-mail
-> Entrez postmaster@loupvirtuel.fr
-> Mot de passe
-> Entrez le mdp_postmaster (Ref: § 7.2)

-> Cliquez sur Ligne Configuration manuelle

Appliquez la configuration de la capture ci-dessous :
- Nom d'hôte : Enlevez le . situé devant loupvirtuel.fr.
-> Bouton Retester pour vérifier si tout est OK.
-> Bouton Terminé pour valider et créer le compte.

Vous pouvez lire le mail de clientmail-vm1 (Ref: § 8.1) :

Pour aller plus loin, créez sur les VM debian12-vm* et srvdmz les comptes appropriés en ayant préalablement installé thunderbird et importer le certificat CA.

Créez sur srvlan, en complément du compte postmaster, un compte srvlan@loupvirtuel.fr.

Réalisez ensuite des tests d'envois/réceptions entre les VM pour vérifier le bon fonctionnement.

Un envoi vers root doit parvenir à postmaster.

9 - Envoi/Relève depuis Internet (SPF, DKIM ...)

Pour ce test, vous allez de nouveau exploiter le nom de domaine zzz.freeddns.org et le service de relais SMTP traités ci-dessus (Ref: § 6).

Afin d'éviter que les envois depuis Postfix finissent dans un dossier SPAM, le service de relais SMTP fournit généralement les valeurs des enregistrements DNS pour les protocoles SPF, DKIM et DMARC.

Il suffit alors d'enregistrer ceux-ci chez le fournisseur de noms de domaine.

A) Exemple d'ajout des enregistrements sur dynu.com.

Créez un 2^ème enregistrement DNS de type TXT pour SPF comme suit :

Sous-domaine : Laissez vide
Type : TXT
Texte : v=spf1 a mx include:spf-relai.relai-smtp.net

Le SPF (Sender Policy Framework) permet à un serveur qui reçoit un e-mail de s’assurer que ce dernier a bien été envoyé par un serveur qui en a le droit.

A défaut, l'e-mail pourrait être considéré comme du SPAM ou rejeté avant d'arriver à destination.

Créez un 3^ème enregistrement DNS de type TXT pour DKIM comme suit :

Sous-domaine : relai-smtp-com._domainkey
Type : TXT
Texte : v=DKIM1;h=sha256;k=rsa;s=email;p=......clé dkim publique....

Le DKIM (Domain Keys Identified Mail) permet au destinataire de vérifier qu’un e-mail a bien été envoyé par le propriétaire du domaine de l'adresse e-mail.

Créez un 4^ème enregistrement DNS de type TXT pour DMARC comme suit :

Sous-domaine : _dmarc
Type : TXT
Texte : v=DMARC1;p=reject; adkim=s; aspf=s

Le DMARC (Domain-based Message Authentication, Reporting and Conformance) indique la conduite à tenir si le mail ne répond pas aux normes SPF ou DKIM.

B) Créez sur Postfixadmin le domaine virtuel zzz.freeddns.org ainsi qu'un compte virtuel x.y@zzz.freeddns.org de MDP y42.

C) Modifiez la configuration de votre Box Internet afin d'ouvrir les ports 25, 587 et 993 vers l'IP de la carte enp0s3 de srvsec qui est le point d'entrée du réseau local virtuel.

D) Ouvrez sur le pare-feu d'IPFire le port 25 vers srvdmz.

E) Procédez de même pour les ports 587 et 993.

F) Créez ensuite sur le Thunderbird de srvlan un compte x.y@zzz.freeddns.org avec les mêmes paramètres IMAP/SMTP que le compte postmaster, attention :
Nom d'hôte : loupvirtuel.fr
Nom d'utilisateur : x.y@zzz.freeddns.org

G) Pour finir, envoyez un e-mail depuis le MUA de votre mobile vers l'adresse x.y@zzz.freeddns.org et relevez celui-ci depuis le Thunderbird de srvlan et inversement.

Les envois depuis Postfix arriveront majoritairement à destination mais certains, en fonction de leur contenu et de la politique anti-spam du FAI destinataire, pourront encore être traités comme SPAM.

Le test permet toutefois de vérifier le fonctionnement en émission/réception du serveur de courrier sur Internet.

Vous pouvez tester la validité des sécurités SSL/TLS, SPF, DKIM et DMARC depuis ces 2 sites :
https://mail-tester.com et https://appmaildev.com

Ouf, pas facile. Postfix et Dovecot sont
opérationnels. La partie 2 vous attend
pour en réception traiter la présence
éventuelle de SPAM ou de VIRUS.