====== Postfix, Dovecot Squirrelmail y sasl para correo seguro ======

Cuando instalamos postfix o migramos servidores de windows para linux notamos que la mejoria es enorme pero muchas veces no nos damos cuenta que siempre quedan algunos huecos de seguridad abiertos. Uno de ellos son los puertos smtp sin autenticar, o sea, que haciendole telnet a los servidores de correo se pueden enviar correos anonimos.

A continuacion se explica como aunteticar el smtp, aclarando las condiciones siguientes:

En el momento del tutorial se requería instalado debian etch 4.0, postfix, dovecot, squirrelmail y usuarios Unix con autenticacion PAM. Hay que adaptarlo para LDAP u otras integraciones.


<code>aptitude install postfix-tls sasl2-bin libsasl2 libsasl2-modules</code>

ahora editamos el fichero <code>/etc/postfix/main.cf</code> y añadimos las sgtes líneas
preferentemente antes de las clases donde se define la salida nacional  e internacional para los usuarios

PARA SEGURIDAD SASL
<code>
smtp_sasl_auth_enable = no
smtpd_helo_required = yes
smtpd_sasl_auth_enable = yes
smtpd_sasl_authenticated_header = yes
smtpd_sasl_security_options = noanonymous
broken_sasl_auth_clients = yes
disable_vrfy_command = yes
</code>

y su usa politicas de salida nacional e internacional, estas deben quedar asi
<code>
smtpd_sender_restrictions =
	...
 permit_sasl_authenticated,
 reject

smtpd_recipient_restrictions =
	...
 permit_sasl_authenticated,
 reject
<code>

cuando pongo los tres puntos suspensivos en estas clases es porque suponemos que tenemos ya cosas creadas ahi, ellas e respetan y solo se les incluye el parametro que relaciono.

Crear el fichero <code>/etc/postfix/sasl/smtpd.conf</code>
luego 
<code> touch /etc/postfix/sasl/smtpd.conf<code>

luego editamos ese fichero
<code>
mc -e /etc/postfix/sasl/smtpd.conf
</code>
y le pones dentro estas dos lineas
<code>
pwcheck_method: saslauthd
mech_list: plain login
</code>

editamos <code>/etc/default/saslauthd</code>
borramos todo loque tiene dentro y ponemos estas lineas
<code>
START=yes
MECHANISMS="pam"
MECH_OPTIONS="-c -m /var/spool/postfix/var/run/saslauthd"
THREADS=5
OPTIONS="-c"
</code>
Hacemos los sgte:
<code>
rm -r /var/run/saslauthd/
mkdir -p /var/spool/postfix/var/run/saslauthd
ln -s /var/spool/postfix/var/run/saslauthd /var/run
adduser postfix sasl
</code>
asegurese que en el main.cf del postfix no haya ninguna ip de la red local y que solo exista las ip de los servidores que te hacen smtp permitido

Ahora reiniciemos los servicios postfix y saslauth


<code>/etc/init.d/postfix restart</code>
<code>/etc/init.d/saslauthd start  </code>


En el squirrelmail en el //config.php// busque y configure estos parametros de este modo
<code>
$pop_before_smtp = true;
$smtp_auth_mech = 'login';
$imap_auth_mech = 'login';
</code>
para chequear si el sasl esta trabajando y partiendo que el usuario es pepe y la contraseña es 123 ejecute esto en la consola de ese server

<code>
testsaslauthd -u pepe -p 123
</code>

si esta bien devolvera

<code>0: OK "Success."</code>
si esta mal devolvera esto otro
<code>0: NO "authentication failed"</code>

Para probar que haciendo telnet no se puede enviar correo pruebelo así

<code>telnet localhost 25</code>

luego ejecute esto
<code>
ehlo nombre del servidor
</code>

seguido de esto
<code>mail from: usuario@dominio</code>

luego
<code>
rcpt to: miusuario@midominio
</code>

si le da un mensaje como este
<code>554 5.7.1 <usuario@dominio>: Relay access denied</code>
entonces ya no tiene problema, si le deja enviar el correo, aún estas en un verdadero problema

otra cosa, borre el contenido del fichero //dovecot.conf// y póngale esto dentro
<code>
protocols = imap pop3
disable_plaintext_auth = no
log_timestamp = "%Y-%m-%d %H:%M:%S "
mail_location = maildir:%h/Maildir
mail_extra_groups = mail
protocol imap {

}
  
protocol pop3 {
  pop3_uidl_format = %08Xu%08Xv
}

auth default {
  mechanisms = plain login
  passdb pam {
  }
  userdb passwd {
  }
  socket listen {
    client {
    # Assuming the default Postfix $queue_directory setting
    path = /var/spool/postfix/private/auth
    mode = 0660
    # Assuming the default Postfix user and group
    user = postfix
    group = postfix
    }
  }
  user = root
}

dict {
}
plugin {
}
</code>