Installer et configurer un serveur de messagerie Courier MTA sous Debian

Introduction

Ce guide explique comment installer et configurer un serveur de messagerie Courier MTA sous Debian. Il couvre les services SMTP et IMAP, les utilisateurs de messagerie virtuels, les alias, le relais de messages, l’authentification et le dépannage. Nous sécuriserons également les communications par courrier électronique à l’aide du chiffrement TLS et de certificats SSL/TLS.

Environnement de test

Ce guide a été initialement testé avec les versions logicielles suivantes :

• Système d’exploitation : Debian 7.8 « Wheezy »
• Courier MTA : 0.68
• Courier IMAP : 4.10

Installer Courier MTA et IMAP

Installez Courier MTA, les services SMTP et IMAP sécurisés ainsi que l’utilitaire de surveillance de fichiers Gamin :

root@host:~# apt-get update
root@host:~# apt-get install gamin courier-mta courier-mta-ssl courier-imap courier-imap-ssl

Si vous prévoyez de proposer un accès POP3, installez les paquets Courier correspondants :

root@host:~# apt-get update
root@host:~# apt-get install courier-pop courier-pop-ssl

Configurer l’authentification Courier

Configurez Courier afin qu’il utilise son moteur d’authentification UserDB. Modifiez le fichier /etc/courier/authdaemonrc et définissez la valeur suivante :

authmodulelist="authuserdb"

Courier UserDB stocke les informations des comptes utilisateurs virtuels dans une base de données reposant sur le format Berkeley DB.

Créer l’utilisateur de messagerie virtuel

Pour éviter de créer un compte système distinct pour chaque boîte aux lettres, créez un utilisateur système dédié nommé vmail. Ce compte sera propriétaire des répertoires de messagerie de tous les utilisateurs virtuels.

root@host:~# useradd --system --uid 7200 --home-dir /data/vmail \
  --create-home --shell /usr/sbin/nologin vmail

Créez le répertoire qui contiendra les fichiers sources de Courier UserDB, puis limitez son accès à l’utilisateur root :

root@host:~# mkdir -p /etc/courier/userdb
root@host:~# chmod 700 /etc/courier/userdb

Créer un utilisateur de messagerie virtuel

Ajoutez la boîte aux lettres virtuelle user1@domain1 au fichier UserDB de domain1. Les valeurs uid et gid doivent correspondre aux identifiants attribués au compte vmail :

root@host:~# userdb -f /etc/courier/userdb/domain1 \
  user1@domain1 set \
  home=/data/vmail/domain1/user1 \
  mail=/data/vmail/domain1/user1/Maildir \
  uid=7200 \
  gid=7200

Définir le mot de passe de l’utilisateur virtuel

Générez et stockez les empreintes de mot de passe utilisées pour authentifier la boîte aux lettres virtuelle :

root@host:~# userdbpw -md5 | \
  userdb -f /etc/courier/userdb/domain1 \
  user1@domain1 set systempw

root@host:~# userdbpw -hmac-sha1 | \
  userdb -f /etc/courier/userdb/domain1 \
  user1@domain1 set hmac-sha1pw

Créer le Maildir de l’utilisateur

Créez l’arborescence qui stockera les boîtes aux lettres virtuelles. Dans cet exemple, toutes les données de messagerie sont stockées sous /data/vmail.

root@host:~# mkdir -p /data/vmail/domain1
root@host:~# chown -R vmail:vmail /data/vmail
root@host:~# chmod 750 /data/vmail
root@host:~# chmod 750 /data/vmail/domain1

Les permissions obtenues pour les répertoires doivent être similaires aux suivantes :

• /data : appartient à root:root, avec les permissions 755
• /data/vmail : appartient à vmail:vmail, avec les permissions 750
• /data/vmail/domain1 : appartient à vmail:vmail, avec les permissions 750

Créez le répertoire de la boîte aux lettres user1@domain1 et initialisez sa structure Maildir en tant qu’utilisateur vmail :

root@host:~# install -d -o vmail -g vmail -m 750 /data/vmail/domain1/user1
root@host:~# runuser -u vmail -- maildirmake /data/vmail/domain1/user1/Maildir

La commande maildirmake crée les sous-répertoires standards cur, new et tmp requis par le format Maildir.

Construire la base de données des utilisateurs

Assurez-vous que le répertoire Courier UserDB et ses fichiers sources sont accessibles uniquement par l’utilisateur root :

root@host:~# chmod 700 /etc/courier/userdb
root@host:~# chmod 600 /etc/courier/userdb/*

Compilez les fichiers sources UserDB dans la base de données utilisée par Courier :

root@host:~# makeuserdb

Redémarrez le service d’authentification Courier pour appliquer les modifications :

root@host:~# /etc/init.d/courier-authdaemon restart

Testez l’authentification de la boîte aux lettres virtuelle :

root@host:~# authtest user1@domain1

Configurer les alias de messagerie

Les alias Courier redirigent une adresse électronique vers une autre. Modifiez le fichier d’alias associé au domaine hébergé, par exemple /etc/courier/aliases/domain1 :

alias@domain1: user1@domain1

Vérifiez la configuration des alias sans reconstruire la base de données :

root@host:~# makealiases -chk

Si aucune erreur n’est signalée, compilez la base de données des alias :

root@host:~# makealiases

Affichez les alias actuellement stockés dans la base de données compilée :

root@host:~# makealiases -dump

Configurer les domaines locaux et hébergés

Définissez les noms d’hôte que Courier doit considérer comme locaux. Le fichier /etc/courier/locals doit contenir les noms d’hôte locaux du serveur de messagerie :

root@host:~# echo "localhost" > /etc/courier/locals
root@host:~# echo "mail.domain1" >> /etc/courier/locals

Configurez ensuite les domaines de messagerie hébergés par le serveur. Créez un fichier pour chaque domaine hébergé dans le répertoire /etc/courier/hosteddomains :

root@host:~# mkdir -p /etc/courier/hosteddomains
root@host:~# echo "domain1" > /etc/courier/hosteddomains/domain1
root@host:~# makehosteddomains

Configurez Courier SMTP afin qu’il accepte les messages entrants adressés à domain1 :

root@host:~# mkdir -p /etc/courier/esmtpacceptmailfor.dir
root@host:~# echo "domain1" > /etc/courier/esmtpacceptmailfor.dir/domain1
root@host:~# makeacceptmailfor

Configurer un relais SMTP sortant

Si le serveur ne peut pas distribuer directement les messages aux serveurs de messagerie destinataires, Courier peut transférer tous les messages sortants par l’intermédiaire d’un relais SMTP externe, également appelé smarthost. Cette configuration peut être imposée par votre fournisseur d’accès à Internet ou votre hébergeur.

Modifiez le fichier /etc/courier/esmtproutes et définissez le serveur relais :

: smtp.domain1

Les deux-points au début de la ligne appliquent la route à tous les domaines de destination. Pour utiliser un port TCP particulier, ajoutez-le au nom d’hôte du relais :

: smtp.domain1,587

Si le relais SMTP exige une authentification, ajoutez les identifiants correspondants dans /etc/courier/esmtpauthclient :

smtp.domain1,587 username password

Limitez l’accès au fichier d’authentification, car il contient le mot de passe du relais en clair :

root@host:~# chown root:root /etc/courier/esmtpauthclient
root@host:~# chmod 600 /etc/courier/esmtpauthclient

Activer TLS et l’authentification SMTP

Modifiez /etc/courier/esmtpd pour configurer le service SMTP, activer STARTTLS et définir les mécanismes d’authentification pris en charge.

Vérifiez ou modifiez les paramètres suivants :

COURIERTLS=/usr/bin/couriertls
TLS_CERTFILE=/etc/courier/esmtpd.pem
TLS_TRUSTCERTS=/etc/ssl/certs
TLS_VERIFYPEER=NONE

ESMTPAUTH="PLAIN LOGIN"
ESMTPAUTH_TLS="PLAIN LOGIN"

ESMTPDSTART=YES

Le fichier TLS_CERTFILE doit contenir le certificat du serveur SMTP et sa clé privée non chiffrée. Il ne doit pas être lisible par les utilisateurs non privilégiés.

root@host:~# chown root:root /etc/courier/esmtpd.pem
root@host:~# chmod 600 /etc/courier/esmtpd.pem

Exiger TLS 1.2 ou une version ultérieure

Configurez Courier afin qu’il accepte uniquement TLS 1.2 ou une version ultérieure. Modifiez /etc/courier/esmtpd et définissez :

TLS_PROTOCOL="TLSv1.2+"

Activer IMAP IDLE

L’extension IMAP IDLE permet aux clients de messagerie compatibles de recevoir les mises à jour de la boîte aux lettres sans interroger continuellement le serveur. Les clients peuvent, par exemple, être avertis lorsqu’un message est ajouté, supprimé ou marqué comme lu.

Modifiez /etc/courier/imapd et vérifiez que les paramètres suivants sont activés :

IMAP_CAPABILITY="IMAP4rev1 UIDPLUS CHILDREN NAMESPACE THREAD=ORDEREDSUBJECT THREAD=REFERENCES SORT QUOTA IDLE"
IMAP_USELOCKS=1
IMAP_ENHANCEDIDLE=1

Redémarrez le service Courier IMAP pour appliquer les modifications :

root@host:~# /etc/init.d/courier-imap restart

Consultez la documentation de Courier IMAP pour plus d’informations.

Définir la taille maximale des messages

Courier lit la taille maximale acceptée des messages, exprimée en octets, dans /etc/courier/sizelimit. L’exemple suivant fixe une limite de 50 Mio :

root@host:~# echo "52428800" > /etc/courier/sizelimit

Configurer une adresse collectrice

Une adresse collectrice (« catch-all ») reçoit les messages envoyés à des adresses qui n’existent pas dans un domaine hébergé. Dans cet exemple, tous les messages sans destinataire correspondant pour domain1 sont distribués dans la boîte aux lettres associée à l’utilisateur virtuel alias@domain1.

Assurez-vous que la boîte aux lettres collectrice existe, puis créez son instruction de distribution Courier par défaut :

root@host:~# install -d -o vmail -g vmail -m 750 /data/vmail/domain1/alias
root@host:~# runuser -u vmail -- maildirmake /data/vmail/domain1/alias/Maildir
root@host:~# printf '%s\n' "./Maildir" > /data/vmail/domain1/alias/.courier-default
root@host:~# chown vmail:vmail /data/vmail/domain1/alias/.courier-default
root@host:~# chmod 600 /data/vmail/domain1/alias/.courier-default

Autoriser le relais SMTP pour les clients de confiance

Par défaut, Courier ne doit accepter que les messages adressés aux domaines hébergés par le serveur. Pour permettre à un appareil ou à une application de confiance de relayer des messages vers des domaines externes sans authentification SMTP, ajoutez son adresse IP aux règles d’accès SMTP de Courier.

Créez ou modifiez un fichier dans /etc/courier/smtpaccess, par exemple /etc/courier/smtpaccess/trusted-clients :

root@host:~# nano /etc/courier/smtpaccess/trusted-clients

Ajoutez l’adresse IP du client de confiance, suivie d’une tabulation et de la règle allow,RELAYCLIENT :

192.168.1.50<TAB>allow,RELAYCLIENT

Reconstruisez la base de données des accès SMTP de Courier :

root@host:~# makesmtpaccess

Redémarrez les services SMTP de Courier pour appliquer la nouvelle règle :

root@host:~# /etc/init.d/courier-mta restart
root@host:~# /etc/init.d/courier-mta-ssl restart

Archiver les messages Maildir par date

L’exemple suivant déplace les messages dont l’en-tête Date contient l’année 2012 vers le dossier Maildir .Sent.2012.

Créez d’abord le dossier Maildir de destination s’il n’existe pas encore :

root@host:~# runuser -u vmail -- maildirmake /data/vmail/domain1/user1/Maildir/.Sent.2012

Placez-vous dans le répertoire cur contenant les messages à archiver :

root@host:~# cd /data/vmail/domain1/user1/Maildir/.Sent/cur

Avant de déplacer des messages, affichez les fichiers dont l’en-tête Date contient 2012 :

root@host:~# find . -maxdepth 1 -type f -print0 | \
  while IFS= read -r -d '' message; do
    if grep -qm1 '^Date:.*2012' "$message"; then
      printf '%s\n' "$message"
    fi
  done

Après avoir vérifié les résultats, déplacez les messages correspondants vers le dossier de destination :

root@host:~# find . -maxdepth 1 -type f -print0 | \
  while IFS= read -r -d '' message; do
    if grep -qm1 '^Date:.*2012' "$message"; then
      mv -- "$message" ../../.Sent.2012/cur/
      printf 'Moved: %s\n' "$message"
    fi
  done

Commandes Courier MTA utiles

• Afficher la file d’attente actuelle des messages :

root@host:~# mailq

• Afficher les fichiers stockés dans le spool de messagerie Courier :

root@host:~# ls -Rhl /var/lib/courier/msgs/

• Supprimer un message précis de la file d’attente :

root@host:~# cancelmsg message-id

• Supprimer tous les messages de la file d’attente :

root@host:~# mailq | awk '/^[[:space:]]*[0-9A-F]+\./ { print $2 }' | \
  while IFS= read -r message_id; do
    cancelmsg "$message_id"
  done

Références

• Documentation officielle de Courier Mail Server
• Documentation sur la file d’attente et la distribution de Courier
• Documentation de Courier IMAP
• ArchWiki: Courier MTA