Cuando instalamos postfix o migramos servidores de windows para linux notamos que la mejoria es enorme pero muchas veces no nos damos cuenta que siempre quedan algunos huecos de seguridad abiertos. Uno de ellos son los puertos smtp sin autenticar, o sea, que haciendole telnet a los servidores de correo se pueden enviar correos anonimos.

A continuacion se explica como aunteticar el smtp, aclarando las condiciones siguientes:

En el momento del tutorial se requería instalado debian etch 4.0, postfix, dovecot, squirrelmail y usuarios Unix con autenticacion PAM. Hay que adaptarlo para LDAP u otras integraciones.

aptitude install postfix-tls sasl2-bin libsasl2 libsasl2-modules

ahora editamos el fichero

/etc/postfix/main.cf

y añadimos las sgtes líneas preferentemente antes de las clases donde se define la salida nacional e internacional para los usuarios

PARA SEGURIDAD SASL

smtp_sasl_auth_enable = no
smtpd_helo_required = yes
smtpd_sasl_auth_enable = yes
smtpd_sasl_authenticated_header = yes
smtpd_sasl_security_options = noanonymous
broken_sasl_auth_clients = yes
disable_vrfy_command = yes

y su usa politicas de salida nacional e internacional, estas deben quedar asi

smtpd_sender_restrictions =
	...
 permit_sasl_authenticated,
 reject

smtpd_recipient_restrictions =
	...
 permit_sasl_authenticated,
 reject
<code>

cuando pongo los tres puntos suspensivos en estas clases es porque suponemos que tenemos ya cosas creadas ahi, ellas e respetan y solo se les incluye el parametro que relaciono.

Crear el fichero <code>/etc/postfix/sasl/smtpd.conf

luego

 touch /etc/postfix/sasl/smtpd.conf<code>

luego editamos ese fichero
<code>
mc -e /etc/postfix/sasl/smtpd.conf

y le pones dentro estas dos lineas

pwcheck_method: saslauthd
mech_list: plain login

editamos

/etc/default/saslauthd

borramos todo loque tiene dentro y ponemos estas lineas

START=yes
MECHANISMS="pam"
MECH_OPTIONS="-c -m /var/spool/postfix/var/run/saslauthd"
THREADS=5
OPTIONS="-c"

Hacemos los sgte:

rm -r /var/run/saslauthd/
mkdir -p /var/spool/postfix/var/run/saslauthd
ln -s /var/spool/postfix/var/run/saslauthd /var/run
adduser postfix sasl

asegurese que en el main.cf del postfix no haya ninguna ip de la red local y que solo exista las ip de los servidores que te hacen smtp permitido

Ahora reiniciemos los servicios postfix y saslauth

/etc/init.d/postfix restart

/etc/init.d/saslauthd start  

En el squirrelmail en el config.php busque y configure estos parametros de este modo

$pop_before_smtp = true;
$smtp_auth_mech = 'login';
$imap_auth_mech = 'login';

para chequear si el sasl esta trabajando y partiendo que el usuario es pepe y la contraseña es 123 ejecute esto en la consola de ese server

testsaslauthd -u pepe -p 123

si esta bien devolvera

0: OK "Success."

si esta mal devolvera esto otro

0: NO "authentication failed"

Para probar que haciendo telnet no se puede enviar correo pruebelo así

telnet localhost 25

luego ejecute esto

ehlo nombre del servidor

seguido de esto

mail from: usuario@dominio

luego

rcpt to: miusuario@midominio

si le da un mensaje como este

554 5.7.1 <usuario@dominio>: Relay access denied

entonces ya no tiene problema, si le deja enviar el correo, aún estas en un verdadero problema

otra cosa, borre el contenido del fichero dovecot.conf y póngale esto dentro

protocols = imap pop3
disable_plaintext_auth = no
log_timestamp = "%Y-%m-%d %H:%M:%S "
mail_location = maildir:%h/Maildir
mail_extra_groups = mail
protocol imap {

}
  
protocol pop3 {
  pop3_uidl_format = %08Xu%08Xv
}

auth default {
  mechanisms = plain login
  passdb pam {
  }
  userdb passwd {
  }
  socket listen {
    client {
    # Assuming the default Postfix $queue_directory setting
    path = /var/spool/postfix/private/auth
    mode = 0660
    # Assuming the default Postfix user and group
    user = postfix
    group = postfix
    }
  }
  user = root
}

dict {
}
plugin {
}