Grundfunktionalität¶

Zuerst muss das Grundpaket installiert werden ^[1]:

• dovecot-core

mit apturl

sudo apt-get install dovecot-core  

sudo aptitude install dovecot-core  

Die zu installierenden Protokoll-Pakete sind abhängig von den E-Mail-Protokollen, die man anbieten möchte. Wer Dovecot z.B. als reinen IMAP-Server nutzen möchte, braucht dovecot-pop3d nicht zu installieren; umgekehrt gilt natürlich dasselbe. Mindestens eines muss aber installiert sein.

• dovecot-imapd

• dovecot-pop3d

mit apturl

sudo apt-get install dovecot-imapd dovecot-pop3d 

sudo aptitude install dovecot-imapd dovecot-pop3d 

Benutzerauthentifizierung¶

Dovecot kann sich gegen sehr viele Benutzerdatenbanken authentifizieren. Neben lokal gespeicherten Passwortdatenbanken oder der Authentifizierung anhand der Systembenutzer kann LDAP oder eine klassische Datenbank benutzt werden. Dovecot unterstützt MySQL, PostgreSQL und SQLite.

• dovecot-ldap (optional)

• dovecot-mysql (optional)

• dovecot-pgsql (optional)

• dovecot-sqlite (optional)

mit apturl

sudo apt-get install dovecot-ldap dovecot-mysql dovecot-pgsql dovecot-sqlite 

sudo aptitude install dovecot-ldap dovecot-mysql dovecot-pgsql dovecot-sqlite 

Hilfspakete¶

Zudem bietet Dovecot noch einige Hilfspakete. Insbesondere die beiden Sieve-Pakete, die eine serverseitige E-Mail-Filterung ermöglichen und das Antispam-Plugin sind sehr nützlich.

• dovecot-lmtpd (optional)

• dovecot-sieve (optional)

• dovecot-managesieve (optional)

• dovecot-antispam (optional)

mit apturl

sudo apt-get install dovecot-lmtpd dovecot-sieve dovecot-managesieve dovecot-antispam 

sudo aptitude install dovecot-lmtpd dovecot-sieve dovecot-managesieve dovecot-antispam 

Konfiguration der POP3 und IMAP-Backends¶

Grundsätzlich sollten die Standardeinstellungen bei beiden ausreichen, allerdings schadet es nicht, sich die beiden Konfigurationsdateien einmal anzusehen. Diese sind /etc/dovecot/conf.d/20-pop3.conf und /etc/dovecot/conf.d/20-imap.conf. In beiden findet man eine Variable, mit der man auf Eigenheiten bestimmter E-Mail Clients eingehen kann. Diese lauten pop3_client_workarounds beziehungsweise imap_client_workarounds und sind standardmäßig auskommentiert. Die möglichen Belegungen werden in den Kommentaren dazu erläutert.

Ebenso findet man in beiden Dateien die Variable mail_max_userip_connections, welche angibt, wie viele gleichzeitige Verbindungen von einem Benutzer pro verbundener Internet-IP erlaubt sind. Diese ist bei beiden Standardmäßig auf 10 eingestellt, was im Normalfall ausreichen sollte. Gerade bei IMAP in Verbindung mit IMAP IDLE für Push-Benachrichtigungen kann es aber vorkommen, das mehr Verbindungen benötigt werden. Wenn man dann noch mit mehreren Clients (Laptop, Smartphone, Tablet) hinter einem NAT-Router sitzt, bekommt man Verbindungsprobleme. Dann kann es helfen, diese Variable auf 20 oder höher zu setzen.

Verschlüsselte Kommunikation¶

Grundsätzlich sollte man nur verschlüsselte Kommunikation mit dem E-Mail-Server zulassen. Dazu fragt Dovecot bei Installation, ob ein selbstsigniertes Zertifikat erstellt werden soll. Hat man dies verneint, kann man dies mit ssl-cert nachholen. Besser ist es allerdings, ein korrekt signiertes Zertifikat zu benutzen. Dabei muss man genau wie in Apache/SSL beschrieben vorgehen. Alternativ kann man auch CAcert nutzen oder eine eigene Certificat Authority betreiben.

Hat man ein SSL-Zertifikat, muss man dieses in der Konfigurationsdatei /etc/dovecot/conf.d/10-ssl.conf eintragen.

ssl = required
ssl_cert = </etc/ssl/certs/dein-serverzertifikat.crt
ssl_key = </etc/ssl/private/dein-serverschlüssel.key

Der Wert "required" erfordert zwingend eine verschlüsselte Verbindung. Dies sollte man nicht verändern. Die Werte für das Zertifikat und den privaten Schlüssel müssen an die eigenen Begebenheiten angepasst werden; die beiden "<" sind keine Tippfehler. Wer weitergehende Einstellungen für SSL vornehmen will, sei auf die SSL-Konfiguration im Dovecot-Wiki verwiesen.

Speicherort und Mailbox-Format¶

E-Mails können von Dovecot auf drei verschiedene Arten gespeichert werden: In einer großen mbox-Datei und als maildir, wobei jede E-Mail als eine Datei in den entsprechenden Unterordner des Postfachs gespeichert wird. Diese beiden Formate werden auch von anderen Mailservern verstanden und sind somit sehr portabel. Das dritte Format ist das Dovecot-Spezifische dbox, welches in diesem Artikel aber nicht weiter behandelt wird.

Standardmäßig speichert Dovecot unter Ubuntu die Mails in einer mbox unterhalb des mail-Verzeichnisses im Homeverzeichnis. Der eigentliche Posteingang bleibt aber unterhalb von /var/mail/. Dies kann in der Datei /etc/dovecot/conf.d/10-mail.conf geändert werden.

mail_location = mbox:~/mail:INBOX=/var/mail/%u

Wie man sieht, ist klar definiert, das es sich um eine mbox handelt. Der Platzhalter %u wird automatisch zum vollen Benutzernamen erweitert. Lautet dieser benutzer@domäne, wird dies so übernommen. Möchte man nur den Benutzer-Teil, nimmt man %n, möchte man den Domänen-Teil, $d.

Möchte man jetzt maildir benutzen und zudem alle Dateien in einem bestimmten Verzeichnis haben, ändert man dies beispielsweise auf:

mail_location = maildir:/var/maildirs/%d/%n

In diesem Fall gibt es keinen speziellen Eintrag für den Posteingang mehr (INBOX), zudem werden die Mailboxen erst nach der Domäne des Benutzers und danach nach dem Benutzernamen einsortiert und liegen zudem alle unterhalb des Ordner /var/maildirs/. Dieser Ordner muss dem Benutzer mail gehören, da Dovecot sonst keine neuen Mailboxen anlegen kann, wenn sich ein Benutzer anmeldet.

Konfiguration der Benutzer-Anmeldung¶

Dovecot hat zwei verschiedene Datenbanken mit Nutzerinformationen. Die Passwortdatenbank wird benutzt, um herauszufinden, ob sich ein Benutzer am Server anmelden darf. In der Benutzerdatenbank stehen weitere Informationen über den Benutzer. So können hier Standardeinstellungen wie die für den Login und den Zugriff auf den Mail-Speicherort zu benutzenden User- und Gruppen-IDs, das Mailbox-Format und der Ort und das Homeverzeichnis für den Benutzer überschrieben werden.

Bei Benutzern muss man zwischen 2 Arten unterscheiden. Einmal reale Benutzer, die auch eine Account auf dem Rechner haben, auf dem der Server läuft und die sich dort demzufolge einloggen können. Zum anderen virtuelle Nutzer, also solche, die das nicht können, aber trotzdem ein E-Mail-Konto haben. Da es sich hierbei nicht um richtige Benutzer mit Zugriff auf das System handelt, müssen für diese noch ein paar Vorkehrungen getroffen werden.

Für virtuelle Benutzer benötigt man zwei Dinge: erstens einen Benutzer auf dem System, der der Gruppe "mail" angehört, mit dem die Mailboxen im Dateisystem erstellt werden können und der danach für die Dateizugriffsrechte benutzt wird. Hier reicht ein Benutzer ohne Anmeldemöglichkeit (also ohne Passwort, Shell und Homeverzeichnis) aus. Wie man einen solchen erstellt, ist im Artikel adduser beschrieben.

Zweitens haben virtuelle Benutzer keine Homeverzeichnis. Dovecot benötigt zwar aktuell für den Regelbetrieb nicht zwingend ein Homeverzeichnis für jeden Benutzer, manche Plugins setzen dies aber schon voraus, so etwa das Sieve-Plugin. Die Entwickler behalten sich zudem vor, in Zukunft ein Homeverzeichnis zu fordern und empfehlen deshalb schon jetzt, für jeden Benutzer eines einzurichten. Für virtuelle Benutzer sollte also entweder per Standardeinstellung oder einem entsprechenden Eintrag in der Benutzerdatenbank ein Homeverzeichnis zugewiesen werden. Dieses Verzeichnis (z.B. /home/virtual) muss für die Gruppe "mail" schreibbar sein, damit die Homeverzeichnisse, genau wie die Mailboxen, erstellt werden können.

Die Konfiguration der Passwort und Benutzerdatenbanken werden in der Datei /etc/dovecot/conf.d/10-auth.conf festgelegt. Hier muss die Raute # vor dem entsprechenden Eintrag/gewünschten Backend entfernt werden. Für lokale Benutzer ist keine Änderung nötig, diese können sich direkt auf dem Mailserver mit ihrem normalen Login/Passwort einloggen. Möchte man dies deaktivieren, kommentiert man die folgende Zeile ein:

# !include auth-system.conf.ext

Für einfache Konfigurationen reicht es oftmals auch aus, nur in der Passwortdatenbank zu prüfen, ob ein Benutzer berechtigt ist, auf den Server zuzugreifen und alle weiteren Felder durch eine statische Benutzerdatenbank generieren zu lassen. Diese wird dann anstatt der dynamischen Benutzerdatenbank in den jeweiligen Konfigurationsdateien eingefügt. Eine Konfiguration könnte dann wie folgt aussehen:

userdb {
  driver = static
  args = uid=vmail gid=vmail home=/home/virtual/%u
}

!include auth-passwdfile.conf.ext

user:password:uid:gid:(gecos):home:(shell):extra_fields

# user:passwort:UserID:GroupID::homeDir
test:$6$o6mAiIneKi.qISGA$GubLbhEXCp/UTSf993zmhkehI067ZJ.zTOhm261visOxVBM614jEG8Q7BGni/MdPMOl88knIqg/CpTnNMdn7l/:2000:2000::/home/virtual/test

!include auth-ldap.conf.ext

hosts = ldap-server-1 ldap-server-2
base = ou=users,dc=domain,dc=com
scope = subtree
auth_bind = yes

!include auth-sql.conf.ext

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

CREATE TABLE users (
  `id` INT(11) NOT NULL,
  `username` VARCHAR(128) NOT NULL,
  `domain` VARCHAR(128) NOT NULL,
  `password` VARCHAR(255) NOT NULL,
  `home` VARCHAR(255) DEFAULT NULL,
  `uid` INT(11) DEFAULT NULL,
  `gid` INT(11) DEFAULT NULL,
  PRIMARY KEY (`id`)
  active CHAR(1) DEFAULT 'Y' NOT NULL
);

# Treiber für die Datenbank, auf >pgsql< ändern für Postgres
driver = mysql 

# The mysqld.sock socket may be in different locations in different systems.
# Use "host= ... pass=foo#bar" with double-quotes if your password has '#' character.
connect = host=datenbankserver dbname=datenbankname user=datenbankbenutzer password=datenbankpasswort
# Alternatively you can connect to localhost as well:
#connect = host=localhost dbname=mails user=admin password=pass

password_query = SELECT username, domain, password \
  FROM users WHERE username = '%n'

# deactivated if we are using statuc userdb
user_query = SELECT home, uid, gid FROM users WHERE username = '%n' AND domain = '%d'

default_pass_scheme = SHA512-CRYPT

1

SELECT user AS username, domain, pw_hash AS password FROM usertable WHERE user = '%n'

1

SELECT homedir AS home, user_id AS uid, group_id AS gid FROM usertable WHERE user = '%n' AND domain = '%d'

Plugins¶

Dovecot bringt mehrere Plugins mit, die man optional aktivieren kann, um zusätzliche Funktionalitäten bereitzustellen.

Plugins können in der Datei 10-mail.conf global aktiviert werden. Alternativ bietet es sich an, die Plugins in den Konfigurationsdateien der Unterkomponenten zu aktivieren. So nützt einem das Antispam-Plugin bei Benutzung von POP3 wenig, da die Funktionalität hier brachliegt. Es liegt also nahe, dieses nur in der IMAP-Konfiguration zu aktivieren. In der 10-mail.conf trägt man die zu verwendenden Plugins einfach als Leerzeichen-getrennte Liste in die mail_plugins ein, wobei man die Option erst durch Entfernen des Kommentarzeichens # am Zeilenanfang aktivieren muss. In den Konfigurationsdateien der Unterkomponenten trägt man die Plugins einfach am Ende der bestehenden Auflistung ein, wobei das voranstehende mail_plugins = $mail_plugins nicht verändert werden darf, da sonst vorherige Plugins deaktiviert werden.

require ["fileinto","imapflags"];
# rule:[SPAM]
if header :contains "subject" ["***SPAM***"] {
        setflag "\\seen";
        fileinto "Spam";
        stop;
} else {
        # The rest goes into INBOX
        # default is "implicit keep", we do it explicitly here
        keep;
}

1
2
3
4
5

#!/bin/bash
echo /usr/bin/sa-learn $* /tmp/sendmail-msg-$$.txt echo "$$-start ($*)" >> /tmp/sa-learn-pipe.log
/usr/bin/sa-learn $* /tmp/sendmail-msg-$$.txt && rm -f /tmp/sendmail-msg-$$.txt &
echo "$$-end" >> /tmp/sa-learn-pipe.log
exit 0

plugin {
#  antispam_mail_sendmail_args= --username=%u        # Wenn man benutzerspezifische Spamfilter benutzen möchte
  antispam_mail_spam  = --spam
  antispam_mail_notspam  = --ham
  antispam_mail_sendmail = /usr/local/bin/sa-learn-pipe.sh # Das oben erstellte Skript
  antispam_spam = Spam;SPAM                          # Ordner die Spam enthalten
  antispam_trash = Trash;trash                       # Papierkörbe; wenn eine Mail hierhin verschoben wird, gilt sie nicht als "Ham"
}