qmail使用系统用户作为邮件账户的安装与配置之一

　　摘要：本文讨论如何实现qmail邮件系统，其中邮件账号是使用系统账户。
　　
　　硬件环境：HP Netserver E60 128M内存 单网卡
　　
　　软件环境：redhat6.2 qmail1.3 　
　　
　　一、简介
　　
　　qmail是Unix环境下的邮件服务器，是除了Sendmail以外的另一种可供选择的遵从GPL版权声明的的邮件服务器软件。qmail也使用SMTP协议与其他MTA通信。与sendmail相比较，qmail具有以下几个特点：
　　
　　安全：qmail具有具有高度的安全可靠性，qmail的开发者甚至曾经悬赏1000美元来寻求qmail漏洞，可是一年以后，奖金仍然没有被领取，最后被转赠给了自由软件基金会。
　　高效：qmail可以在一个中型系统中每天处理数百万的邮件，甚至在一台486上，qmail每天都可以处理10万封信件。由此可见qmail的效率之高。
　　可靠性：qmail只有将接收到的信件真正写入磁盘以后才会认为传递成功，所以这种方式即使在处理中掉电也不会导致丢失邮件。
　　
　　二、下载编译
　　
　　首先，需要一个Unix环境，这里当然是指Linux环境，本部分内容都在Redhat6.2环境下进行完整的测试；其次，需要一个DNS系统，配置qmail的主机必须具有一个DNS可解析的正式域名；第三，系统必须安装编译器gclearcase/" target="_blank" >cc。
　　
　　要完成安装一个高效的qmail，需要下载以下这些软件包：
　　
　　
　　qmail
　　 ftp://koobera.math.uic.edu/www/qmail.html
　　
　　DNS patch for qmail
　　 http://www.ckdhr.com/ckd/qmail-103.patch
　　
　　ucspi-tcp
　　 http://cr.yp.to/ucspi-tcp.html
　　
　　daemontools
　　 http://cr.yp.to/daemontools.html
　　
　　rblsmtpd
　　 http://cr.yp.to/rblsmtpd.html
　　
　　fastforward
　　 http://pobox.com/~djb/fastforward.html
　　
　　dot-forward
　　 http://pobox.com/~djb/dot-forward.html
　　
　　
　　解压qmail包：
　　
　　[root@email /usr/local/src]# gzip -d qmail-1.03.tar.gz
　　
　　[root@email /usr/local/src]# tar xf qmail-1.03.tar
　　
　　[root@email /usr/local/src]# cd qmail-1.03
　　
　　解开qmail包以后，在正式安装以前应该首先阅读qmail目录下所有的INSTALL的文件和qmail的FAQ (www.qmail.org/qmail-manual-html/misc/FAQ.html)。
　　
　　对qmail打补丁
　　
　　这个补丁主要是处理有些DNS响应不完全遵从RFC标准，返回大于512字节的DNS应答包时可能出现的问题。补丁实施如下：
　　
　　[root@email /usr/local/src/qmail-1.03]# patch -p1 < qmail-103.patch
　　
　　创建qmail主目录及添加必须的系统用户
　　
　　由于qmail不是以root身份运行，而且qmail是同时由多个程序处理不同的工作，如接收邮件，发送邮件，本地投递等等，所以需要多个用户身份：
　　
　　# mkdir /var/qmail
　　
　　[root@email /]# /usr/sbin/groupadd nofiles
　　
　　[root@email /]# /usr/sbin/useradd -g nofiles -d /var/qmail/alias -s /bin/false alias
　　
　　[root@email /]# /usr/sbin/useradd -g nofiles -d /var/qmail -s /bin/false qmaild
　　
　　[root@email /]# /usr/sbin/useradd -g nofiles -d /var/qmail -s /bin/false qmaill
　　
　　[root@email /]# /usr/sbin/useradd -g nofiles -d /var/qmail -s /bin/false qmailp
　　
　　[root@email /]# /usr/sbin/groupadd qmail
　　
　　[root@email /]# /usr/sbin/useradd -g qmail -d /var/qmail -s /bin/false qmailq
　　
　　[root@email /]# /usr/sbin/useradd -g qmail -d /var/qmail -s /bin/false qmailr
　　
　　[root@email /]# /usr/sbin/useradd -g qmail -d /var/qmail -s /bin/false qmails
　　
　　编译
　　
　　[root@email /usr/local/src/qmail-1.03]# make setup check
　　
　　这个命令将会完成所有的编译工作，生成所有的二进制程序，并将其拷贝到相应的目录，缺省qmail是安装在/var/qmail目录下。
　　
　　其他几个软件包的编译也非常简单，这里以daemontools为例说明：
　　
　　[root@mail src]# tar xvfz daemontools-0.70.tar.gz
　　
　　[root@mail src]# cd daemontools-0.7
　　
　　[root@maildaemontools-0.70]# make setup check
　　
　　即可实现daemontools的安装。
　　
　　三、 qmail配置
　　
　　qmail编译成功以后就应该开始对其进行配置，最简单的实现配置的方法是使用命令config：
　　
　　[root@mail qmail-1.03]# ./config
　　
　　config程序将试图对本地地址进行反向解析，以确定本机域名；若反向解析失败，则配置也就失败。可以参考INSTALL.ctl文件内容。也可以在运行config程序时指定本机域名信息：
　　
　　[root@mail qmail-1.03]# ./config-fast your.full.host.name
　　
　　若你的主机有若干个域名，并且多个域的MX记录也指向该主机，则你就需要编辑/var/qmail/control/目录下的文件locals和rcpthosts，在其中加入多个域名，例如本机器具有域名email.secfocus.com和email.secfocus.net,并且这两个域的MX记录分别指向email.secfocus.com和email.secfocus.net。则locals中应该具有如下内容：
　　
　　localhost
　　email.secfocus.com
　　secfocus.com
　　email.secfocus.net
　　secffocus.net
　　
　　而文件rcpthosts具有以下内容：
　　
　　localhost
　　email.secfocus.com
　　secfocus.com
　　email.secfocus.net
　　secfocus.net
　　
　　下一步 需要对某些不能接收邮件的系统帐户添加别名：
　　
　　[root@mail /usr/local/src/qmail-1.03]# cd /var/qmail/alias
　　[root@mail /var/qmail/alias]# echo adam > .qmail-root
　　[root@mail /var/qmail/alias]# echo bob > .qmail-postmaster
　　[root@mail /var/qmail/alias]# echo bob > .qmail-mailer-daemon
　　
　　这里的bob或adam是系统管理员的普通用户帐号。qmail在接收到一个发给用户user1的信件，qmail-local则首先寻找名为user1的用户，若没有找到，qmail-local将去查询是否有名字为user1的别名用户，若有则发信给user1对应的真正用户。其中别名是通过在/var/qmail/alias中定义的，例如希望为用户tom创建一个名为info的匿名，则需要在/var/qmail/alias：
　　
　　[root@mail /usr/local/src/qmail-1.03]# echo tom > /var/qmail/alias/.qmail-info
　　
　　但是一个别名用户不能和一个真实用户重名。若重名，则别名就不会发生作用。
　　
　　四、设置daemontools
　　
　　下面设置当系统启动时自动启动qmail。这里要使用daemontool里面的svcan工具，这些第三方的工具的使用和含义参见附录A。按照前面的步骤，现在daemontools应该已经安装在/usr/local/bin目录下。
　　
　　首先，需要创建daemontools服务工作目录，该工具的作者推荐/service，这里我们就使用缺省目录：
　　
　　[root@email /]# mkdir /service
　　
　　[root@email /]# mkdir /var/qmail/supervise
　　
　　[root@email /]# mkdir /var/qmail/supervise/qmail-send
　　
　　[root@email /]# chmod +t /var/qmail/supervise/qmail-send
　　
　　[root@email /]# mkdir /var/qmail/supervise/qmail-send/log
　　
　　[root@email /]# mkdir /var/qmail/supervise/qmail-smtpd
　　
　　[root@email /]# chmod +t /var/qmail/supervise/qmail-smtpd
　　
　　[root@email /]# mkdir /var/qmail/supervise/qmail-smtpd/log
　　
　　[root@email /]# mkdir /var/log/qmail
　　
　　[root@email /]# mkdir /var/log/qmail/qmail-send
　　
　　[root@email /]# mkdir /var/log/qmail/qmail-smtpd
　　
　　[root@email /]# chown qmaill /var/log/qmail
　　
　　[root@email /]# chown qmaill /var/log/qmail/*
　　
　　由于svscan的工作方式，我们这里不在/service内创建真正的目录，而是创建符号连接/var/qmail/supervise下的真正目录。
　　
　　下面创建系统启动时自动启动svscan的script文件，保存为/etc/rc.d/init.d/qmailstartup。可以从这里下载该script
　　
　　然后为该script添加可执行属性：
　　
　　[root@email /]# chmod +x /etc/rc.d/init.d/qmailstartup
　　
　　在redhat下，为了在启动时自动运行该script，需要分别在/etc/rc.d/rc3.d和/etc/rc.d/rc5.d下创建符号链接如下：
　　
　　[root@mail rc3.d]# ln –s /etc/rc.d/init.d/qmailstartup /etc/rc.d/rc3.d/S98qmailstartup
　　[root@mail rc5.d]# ln –s /etc/rc.d/init.d/qmailstartup /etc/rc.d/rc5.d/S98qmailstartup
　　
　　这时候，当系统启动时，qmail就会被自动运行。
　　
　　下来，需要创建/var/qmail/supervise目录下的内容：
　　
　　[root@mail rc5.d]# cd /var/qmail/supervise/qmail-send
　　
　　在该目录下创建名为run的script内容如下：
　　
　　#!/bin/bash
　　exec /var/qmail/rc
　　
　　在目录/var/qmail/supervise/qmail-send/log下创建run文件，内容如下：
　　
　　#!/bin/bash
　　exec /usr/local/bin/setuidgid qmaill /usr/local/bin/multilog t s2500000 /var/log/qmail/qmail-send
　　
　　在目录/var/qmail/supervise/qmail-mtpd下创建run文件，内容如下：
　　
　　#!/bin/sh
　　
　　QMAILDUID=`id -u qmaild`
　　
　　NOFILESGID=`id -g qmaild`
　　
　　exec /usr/local/bin/softlimit -m 2000000
　　
　　/usr/local/bin/tcpserver -v -p -x /etc/tcp.smtp.cdb
　　
　　-u $QMAILDUID -g $NOFILESGID 0 smtp /var/qmail/bin/qmail-smtpd 2>&1
　　
　　在目录/var/qmail/supervise/qmail-smtpd/log/下创建run文件，内容如下：
　　
　　#!/bin/bash
　　/usr/local/bin/setuidgid qmaill /usr/local/bin/multilog t s2500000 /var/log/qmtpd
　　
　　将这几个script的属性均修改为可执行：
　　
　　[root@mail /]# chmod +x run
　　
　　五、 防止Mail Relay
　　
　　*什么是mail relay?
　　
　　设置好一个qmail服务器以后，该服务器将具有一个或若干个域名(这些域名应该出现在local或viritualdomains文件内)，这时qmail-smtpd将监听25号端口，等待远程的发送邮件的请求。网络上其他的mail服务器或者请求发送邮件的MUA(Mail User Agent,如outlook express、foxmail等等)会连接qmail服务器的25号端口，请求发送邮件，SMTP会话过程一般是从远程标识自己的身份开始，过程如下：
　　HELO remote.system.domainname
　　250 qmailserver.domain
　　MAIL FROM：user@somewherer.net
　　250 OK
　　RCPT TO: user1@elsewhere.net
　　邮件的接收者user1@elsewhere.net中的域名并不一定是本地域名，这时候本地系统可能有两种回答，接受它：
　　250 OK
　　或者拒绝接受它:
　　553 sorry,.that domain isnot in my domain list of allowed recphosts
　　第一种情况下，本地qmail服务器是允许relay的，它接收并同意传递一个目的地址不属于本地域名的邮件；而第二种情况则不接收非本地邮件。
　　qmail有一个名为rcpthosts(该文件名源于RCPT TO命令)的配置文件，其决定了是否接受一个邮件。只有当一个RCPT TO命令中的接收者地址的域名存在于rcpthosts文件中时，才接受该邮件,否则就拒绝该邮件。若该文件不存在，则所有的邮件将被接受。当一个邮件服务器不管邮件接收者和邮件接收者是谁，而是对所有邮件进行转发(relay)，则该邮件服务器就被称为开放转发(open relay)的。当qmail服务器没有rcpthosts时，其是开放转发的。
　　
　　*为什么不能配置邮件服务器为open relay的，怎么设置才能实现只允许允许自己用户进行relay？
　　
　　 如果系统管理员将自己的邮件服务器设置为open relay，将会导致一些垃圾邮件发送者将你的邮件服务器作为转发自圾邮件的中继站，这将使垃圾邮件的接收者将矛头对准你，可能会导致报复性的邮件炸弹；垃圾邮件还能消耗你大量的资源，占用你的带宽。更为糟糕的事情可能是你的名字可能会上了黑名单，成为其他邮件接收者共同抵制的目标，你的邮件将被这些接收者所拒绝。
　　设置自己服务器为非open relay的最简单的办法就是将你的邮件服务器的所有域名(若DNS的MX记录指向该机器，也应该包括该域名。例如你的机器有三个域名mail.linxuaid.com.cn、mail1.linuxaid.com.cn，而且linuxaid.com.cn的MX指向mail.linuxaid.com.cn，则qmail的rcphosts的应该包括mail.linuxaid.com.cn、mail1.linuxaid.com.cn和linuxaid.com.cn)。
　　但是这将导致你的本地客户也被拒绝使用你的服务器转发邮件，而要支持客户使用MUA来发送邮件，必须允许客户使用服务器转发邮件。qmail-smtpd支持一种有选择性的忽略rcpthosts文件的方法：若qmail-smtpd的环境变量RELAYCLIENT被设置，则rcpthost文件将被忽略，relay将被允许。但是如何识别一个邮件发送者是否是自己的客户呢？qmail并没有采用密码认证的方法，而是判断发送邮件者的源IP地址，若该IP地址属于本地网络，则认为该发送者为自己的客户。
　　
　　 这里就要使用ucspi-tcp软件包。在这里我们要使用该软件包的tcpserver程序。这里就要使用ucspi-tcp软件包。在这里我们要使用该软件包的tcpserver程序。该程序的功能类似于inetd—监听进入的连接请求，为要启动的服务设置各种环境变量，然后启动指定的服务。
　　tcpserver的配置文件是/etc/tcp.smtp，该文件定义了是否对某个网络设置RELAYCLIENT环境变量。例如，本地网络是地址为192.168.10.0/24的C类地址，则tcp.smtp的内容应该设置如下：
　　127.0.0.1:allow,RELAYCLIENT=""
　　192.168.10.:allow,RELAYCLIENT=""
　　:allow
　　这几个规则的含义是指若连接来自127.0.0.1和192.168.10则允许，并且为其设置环境变量RELAYCLIENT，否则允许其他连接，但是不设置RELAYCLIENT环境变量。这样当从其他地方到本地的25号连接将会被允许，但是由于没有被设置环境变量，所以其连接将会被qmail-smptd所拒绝。
　　但是tcopserver并不直接使用/etc/tcp.smtp文件，而是需要先将该文件转化为cbd文件：
　　[lix@mail /etc]$ # tcprules tcp.smtp.cdb tcp.smtp.temp < tcp.smtp
　　然后再回头看在/service/qmail-smtpd目录下的run文件中有
　　/usr/local/bin/tcpserver -v -p -x /etc/tcp.smtp.cdb
　　可以看到，tcpserver利用了/etc/smtp.cbd文件。若本地有多个网络，则需要这些网络都出现在/etc/tcp.smtp文件中。
　　这样就实现了允许本地客户relay邮件，而防止relay被滥用。
　　

原文转自：http://www.ltesting.net