このサイトは、もともと作者の自分用メモとして書き始めたものです。書いてあることが全て正しいとは限りません。他の文献、オフィシャルなサイトも確認して、自己責任にて利用してください。

qmail

セットアップ方針

• sendmail には構造的欠陥が多数あり、setuid して root 権限で動く部分も多く、セキュアでないので捨て、qmail に完全移行する。
• メールスプールを1ユーザあたりひとつのファイルで管理する mbox 形式でなく、1メール1ファイルの Maildir 方式を使用する (spool が壊れにくい。同時受信ができ速い)。
• pop3 サーバも qmail のものを使用する (qmail-pop3d は Maildir 方式が必須)。
• 第三者の悪用によるリレーを防ぐため、smtp 認証を使用する。
• メールにシステムの passwd ファイルを使わない。checklocalpwd を導入して専用ファイルを利用。
• mailquotacheck により、ユーザーのメールボックス容量に制限をかける。
• qmail の起動は、RedHat 標準に倣い rcスクリプトから行う。tcpserver (ucspi-tcp のコンポーネント) を併用する。
• smtp には RBL を組み込み spam 対策。
• qregex を使い、エンベロープ From 及び to に基づく spam フィルタリングを強化。
• 管理ユーザ (例では "hoshu" ユーザ) 以外の一般メールユーザには、システムアカウントを使わない。
• RedHad 標準のMUA、binmail は、Maildir 方式をサポートしていないので、Mutt に換える。
• メールサーバ上でウィルス感染メール対策を行うため Qmail-Scanner + ClamAV を連携させて使用する。
• インストールのバリエーションとして qmail-vida を使った SMTP-AUTH, APOP 化を紹介する。

インストールに必要なもの

qmail には、無垢のオリジナルソースと、それ及び主立ったパッチと幾つかのインストール補助スクリプトをセットにした netqmail-1.05 (Charles Cazabon, Dave Sill, Henning Brauer, Peter Samuel, Russell Nelson らによる) が存在する。後者をベースにしたほうが、パッチをすべて自力でかき集めるよりインストールは少し楽だ。

本体ソース

機能拡張/修正パッチ

追加ユーティリティ　[おすすめ]

その他のメジャーなパッチやユーティリティ

追加ユーティリティ [強く推奨]

ucspi-tcpに当てるパッチ

※パッチはnetqmail-1.05/other-patches に付属するが、パッチ適用は手動で行う必要がある。

オリジナルスクリプト

qmail のインストール

パッチ適用

netqmail-1.05 では、 ./collate.sh を走らせるだけで、qmail-1.03.tar.gz の解凍と付属パッチの適用が済んでしまう。それ以外のパッチだけ当てればよい。

※ netqmail-1.06 からは、qmail を改造して配布することが自由となったことを受け、あらかじめパッチの当たったソースが収録されいるため collate.sh はなくなった。

対象のパッチはqmailソースdirのひとつ上にあるとすると：

root# cd qmail_source_dir
root# patch -p1 < ../xxxx.patch

patchコマンドの -p オプションについて

path名の除去深度を指定。(ソース patch は早い話が "diff -u(rN) old new " の出力)
例) 今 qmail-1.03 ディレクトリに居て、パッチファイル中での対象ソースファイルの指定が：

• `+++ qmail-1.03/bar.c'　と書いてあるなら -p1
• `+++ foo/qmail-1.03/bar.c'　と書いてあるなら -p2
• `+++ ./qmail-1.03/bar.c'　の場合も -p2
• `+++ bar.c'　なら -p0 つまり -p オプション不要。

それでもうまくパッチが当たらない場合には、ファジー値を "-F 3" と高くしてみる手もある。 patch プログラム自体のファジー値のデフォルトはたいてい 2 。高くし過ぎると元ソースとの矛盾が起こる恐れがあるので、 3 を限度に。

qmailインストール前の準備 (ここからはrootに"su -"してから)

sendmailを殺す

RedHat 系 Linux では、システムがエラーメッセージを root に通知するために内部で sendmail を使っているため、OSインストール時に問答無用で sendmail がインストールされる。もう要らないので捨てる。RHEL6以降の場合は既定のMTAがPostfixなので、ここまで徹底的にやる必要はない。

qmailシステム用ユーザの作成

まず qmail のホームディレクトリを作成：

root# mkdir /var/qmail

qmailの各プロセスが使用する user と group を作成 (ここでは gid と uid は600番台とするが自由) ：

root# groupadd -g 600 nofiles
root# groupadd -g 601 qmail
root# useradd -u 600 -g nofiles -d /var/qmail/alias \
  -m -k /dev/null -s /sbin/nologin alias
root# useradd -u 601 -g nofiles -d /var/qmail \
  -m -k /dev/null -s /sbin/nologin qmaild
root# useradd -u 602 -g nofiles -d /var/qmail \
  -m -k /dev/null -s /sbin/nologin qmaill
root# useradd -u 603 -g nofiles -d /var/qmail \
  -m -k /dev/null -s /sbin/nologin qmailp
root# useradd -u 604 -g qmail -d /var/qmail \
  -m -k /dev/null -s /sbin/nologin qmailq
root# useradd -u 605 -g qmail -d /var/qmail \
  -m -k /dev/null -s /sbin/nologin qmailr
root# useradd -u 606 -g qmail -d /var/qmail \
  -m -k /dev/null -s /sbin/nologin qmails

※ RH7.x 時代は偽シェルは /bin/false だった。Ferora では nologin がいいようだ。

user と group の作成は、シェルスクリプトにしておくと便利。 qmail_ids

qmailコンパイルとインストール

ソースdir に cd して

root# make setup check

でインストールは完了。初めてのインストールの場合は、最低限の設定ファイルを生成するため、ソースディレクトリにて以下を実行する、。引数はメールサーバのドメイン名。詳しくは 「qmail の設定 (基本編)」 で述べる：

root# ./config-fast my_domain

ucspi-tcpのインストール

tcpserver (ucspi-tcp) の解説は専用ページに移したので、詳しくはそちらを参照。

必要なパッチを当てたあと、 ucspi-tcp ソース dir にて：

root# make
root# make setup check

qmail-smtpdのための設定

ucspi-tcp をインストールするのは、第一に、そのなかの tcpserver というプログラムを使いたいからだ。 tcpserver は、TCP ラッパーのようなもので、起動するプロセスの 実行UID, GID を指定したり、ルールファイルを指定することによってクライアントの IP アドレスによるアクセス制限を掛けたり、その際に環境変数をプロセスへ渡したりできる。 qmail に対してこれを使う主な目的は、SMTP サーバで、外 => このサーバ => 他の smtp サーバ　のリレーを禁止し、オープンリレーになるのを防止することだ。この設定では、外からの SMTP セッションでは、リレーを許さない。一方、サーバ上から直接送信する場合には、他ドメインへの送信も可能。サーバ内部から自ホスト宛のメールも規制は受けない。

ルールテキストの作成

手順としては、テキストファイルにルールを記述してから、tcprules コマンドで cdb 形式のバイナリファイルに変換する。ルール cdb と元テキストは、 /etc/service/ に置くことにする。このファイルは、あとで、起動スクリプトの中で -x オプションを使って読み込む。ファイル名はなんでもいいのだが、わかりやすく tcp.smtp とでもしておこう。

設定例：

127.0.0.1:allow,RELAYCLIENT=""
:allow

「ローカル発の接続は、許可するとともに環境変数 RELAYCLIENT を設定する。その他は、接続は許すが RELAYCLIENT は設定しない」 の意。RELAYCLIENT は qmail-smtpd が利用する変数で、これが設定されていると、 rcpthosts に設定されていないドメインへのメールでも smtp 受付を行う。外部のネットワーク (多くはインターネット) を経由してこの smtp サーバを利用する場合、このサーバにメールアカウントを持つ正規のユーザも 「その他」 (:allow のほう) に該当するわけだが、 smtp-auth パッチでの拡張により、認証が通れば RELAYCLIENT が設定される仕組みになっているので、そうしたユーザも外部へのメール送信が可能となる。書式の概論は tcpserverのページ参照のこと。

cdbへの変換

tcprulesコマンドの概念については tcpserverのページ参照。

実際の作業例：

root# cd /etc/service
root# tcprules tcp.smtp.cdb tcp.smtp.tmp < tcp.smtp

tcpserverの起動書式

tcpserverのページ参照。

checklocalpwdのインストール

qmail-vida を導入する場合はこの行程は不要。

qmail の作者 djb は、checkpassword というパスワード認証プログラムを別途配布しているが、checkpassword はシステム本来のパスワードファイル (/etc/passwd) を使用するので、セキュリティ面で不安があるし、応用が利かない。それに対して checklocalpwd は、専用のパスワードファイルで認証を管理できる点で優れている。
インストールは、ただ単に、ソースdir に cd して "make install" で完了。 /usr/local/bin/ に、認証システムの御本尊であるバイナリ checklocalpwd と、パスワードファイル管理のための Perl スクリプト poppasswd_basic と poppasswd_change がインストールされる。

メール専用のパスワードファイルを作成

root# poppasswd_basic > /etc/poppasswd

で、システムの /etc/passwd を元に /etc/poppasswd を作成する (poppasswd_basic は checklocalpwd で提供される Perl スクリプト)。
メールに関係のないユーザの行をすべて削除する。 root の行も要らない。qmaild など qmail 関係で作成したユーザも poppasswd ファイルには不要。必要なのは SMTP または POP3 でメールをやりとりしたいユーザだけ。

各メールユーザのメール専用パスワードを登録

poppasswdファイルの書式：

メール用LoginID:cryptされたパスワード:システムユーザID:その人のメールホームPATH

後述の 「システムアカウントを増やさずにメールユーザを作る」 の場合はメール用とシステム上の LoginID は異なるが、システムアカウントを持つユーザの場合は、第1フィールドと第3フィールドは同じになる。
まだパスワードの部分は "!none!" となっているはず。

root# poppasswd_change メール用LoginID パスワードフレーズ

で各ユーザにパスワードを与える。「パスワードフレーズ」は生のパスワードでよく、 poppasswd_change スクリプトにより crypt() で暗号化されて poppasswd ファイルの第2フィールドに書き込まれる。

例えば "hoshu" というユーザを "somepassword" というパスワードで登録する例：

root# poppasswd_change hoshu somepassword