[postfix-users] Erweiterte Konfiguration

[Mathias Reineke]

>> 2. Einsammeln der Mails aus verschiedenen Externen Postfächern pro Benutzer (z.b. Von user1 myfirstidentity at web.de, mysecondidentity at googlemail.com; umgesetzt mittels Dovecot PostLoginScript und getmail)
>
> getmail kein problem wozu PostLoginScript ?
>
> http://sys4.de/de/blog/2013/04/12/abholdienst-fur-mail/

Ihr Blog-Eintrag zum Thema Mail-Abholdienst hatte mich bereits 
inspiriert und auf getmail aufmerksam gemacht.

Das PostLoginScript erfüllt für mich zwei Aufgaben:
1. Ereignisgesteurtes Einsammeln der Mails. Die Mails werden immer dann 
abgerufen, wenn sich ein Benutzer für sie interessiert, was sich 
serverseitig als Login des Benutzers bemerkbar macht. Ich ziehe 
eregnisgesteuerte Aktionen zeitgesteuerten vor, da diese 
ressourcenschonender sind. Es wird immer nur dann etwas getan, wenn 
etwas getan werden soll/muss.

2. Um niemandem Zugriff auf die Zugangsdaten der externen Postfächer des 
Benutzers gewähren möchte, sollen diese verschlüsselt werden. Da die 
Verschlüsselten Daten auch wieder entschlüsselt werden müssen (getmail 
muss sich ja am externen Postfach authentifizieren) muss das Passwort 
(kurzzeitig) bekannt sein. Es ist nun aber sinnfrei, die Daten mit einen 
auf dem Server gespeicherten Passwort zu verschlüsseln, da ja dann ein 
Einbrecher die Daten wieder entschlüsseln kann. Deshalb verwende ich für 
die Verschlüsselung das Passwort des Benutzers. Somit ist nur dieser in 
der Lagen die Zugangsdaten zu entschlüsseln.

Ich benutze nun das PostLoginScript, um das Passwort des Benutzers, mit 
dem er sich gerade am Dovecot authentifiziert hat, um die 
verschlüsselten Daten zu entschlüsseln.


Dieser Ansatz erscheint mir durchaus sinnvoll. Allerdings besteht das 
Problem, dass ich nicht weiss, wie ein ähnliches Verfahren mit Postfix 
umzusetzen ist. Darum dieser Beitrag.


>> (4.) Versand von @example.de Mails an externe Accounts soll nicht umgesetzt werden (z.b. Von user1 at example.de an user at de.postfix.org), dazu fehlt mir mindestens eine statische IP
>
> also ein root server kostet nun heut zu Tage nicht wirklich viel

Auf lange Sicht wird es wohl auf einen Root Server hinauslaufen, aber im 
Moment ist es eine recht günstige Variante, den Server in meinen eigenen 
vier Wänden zu betreiben (2 Kern HT ATom Prozessor, 4 Gig Ram: kostet 
mich etwa 30€ im Jahr). Und, ich habe damit die absolute Datenhoheit.

>> 5. Erzwungene Verschlüsselung der Verbindungen eines Benutzers zum den Komponenten des Mailsystems (dank verbreiteter Unterstützung von TLS in allen Komponenten ein Leichtes)
>
> Verbindungs Sicherheit sollte einfach sein, allerdings muss dein
> Gegenüber es auch unterstuetzen, sonst gehts nicht , das gilt fuer alle
> Protokolle, zb wenn du per getmail was abholen willst under andere
> Server halt nun mal kein tls anbietet ,gehts halt nicht
>
> http://sys4.de/de/blog/2013/03/27/uebermittlungssicherheit-mit-mailservern-postfix-tls/

Dem muss ich leider voll zustimmen. Meinen Benutzen "zwinge ich 
Transportverschlüsselung auf" (Postfix: smtpd_tls_security_level = 
encrypt, Dovecut: ssl = required). Wenn der Client das nicht kann, tuts 
mir leid; aber das ist zum Glück kein Problem mehr.
Wie es sich mit den externen Postfächern verhält, ist dann im einzelnen 
zu klären, aber im Moment fällt mir kein größerer Anbieter ein, der 
keine Transportverschlüsselung anbietet.

> im weitesten Sinne willst du ein mailrelay im Mischbetrieb auch als
> Imapserver  auf einer dynip  betreiben ,moeglichst sicher, und von
> mehreren adminstrierbar, alles "gewuenschte" wirst du dabei wohl nicht
> voellig umsetzen koennen

Damit haben Sie den Nagel auf den Kopf getroffen

> du kannst zum administrieren webmin nutzen mit eigenen scripten, oder
> als editor für tabellen

Diese Variante habe ich auch schon bedacht, jedoch erscheint es mir im 
Moment noch am angenehmsten, ein Terminal zu bemühen. Es mag archaisch 
klingen, aber ich bin ein Freund des Terminals und der Textdatei 
basierten Konfiguration

>
> Empfehlen wuerde ich aber einfach einen root server zu mieten, und die
> Sache moeglichst nicht zu verkomplizieren.

Auch dem Stimme ich zu: KISS.

Allerdings ist meine "Paranoia", was Daten anderer Menschen in meinem 
Einflussbereich angeht, relativ ausgeprägt was i.A. zu leider 
komplexeren Systemen führt.

Mit freundlichen Grüszen,
Mathias Reineke