Настройка Exim для отправки почты на несколько провайдеров

Содержание

Что это и зачем
Настройка вручную
Завершение настройки и проверка
Настройка с помощью Ansible

Что это и зачем

Сегодня мы наконец настроим почтовый сервер Exim (версии 4) для одного распространенного сценария использования, который, к сожалению, последовательно, хотя и не без причины, игнорируется разработчиками дистрибутивов.

Exim выбран почтовым сервером по умолчанию в Debian и в производных от него дистрибутивах. Если вам уже приходилось устанавливать Exim, то, вероятно, вы имели дело с одним из таких дистрибутивов и системой конфигурации, в которой предусмотрен вариант «отправка почты через smarthost». Для домашнего пользователя таким smarthost («умным» хостом) обычно будет крупный сервис электронной почты вроде Gmail. В корпоративной сети, возможно, будет свой «умный» хост.

Проблема: smarthost в стандартной конфигурации может быть только один. Некуда вписать пароли от всех ваших учетных записей на Gmail, Mail.ru, Яндекс и так далее и заставить Exim самостоятельно отправлять ваши письма на нужный сервис в зависимости, например, от обратного адреса.

Разумеется, Exim сам по себе способен сделать с почтой все, что угодно, вопрос только в конфигурации. К сожалению, простого и, что самое главное, общепринятого решения этой проблемы не придумано. Можно найти некоторые предложения ¹ ^,² ^,³ ^,⁴, но все они страдают определенными ограничениями.

Решение. Ниже показан вариант, требующий минимальных изменений в стандартной конфигурации. При этом все ее возможности сохраняются. Способ настройки рассчитан на систему конфигурации Exim4 в Debian с раздельными файлами. Полученную конфигурацию можно использовать и на домашнем компьютере, и на облачном сервере для отправки уведомлений от различных сервисов и так далее. В следующий раз я покажу, как настраивать Exim в других дистрибутивах, одним файлом.

Если вы знакомы с Ansible, можете сразу скачать скрипт и дополнительные файлы с моего гитхаба и перейти к разделу Настройка с помощью Ansible.

Настройка вручную

Для начала запустите dpkg-reconfigure exim4-config, выберите «отправка почты через smarthost; приём по SMTP или через fetchmail». Настройте этот smarthost, как описано в стандартном руководстве – он будет использоваться по умолчанию, если для конкретного пользователя не указан другой smarthost.

Так как теперь у нас несколько «умных» хостов, нужно решить, как мы будем определять, на какой из отправлять отдельно взятое письмо. Можно смотреть на обратный адрес в заголовке From: – если письмо от example@mail.ru, то отправляем его на Mail.ru – но это не очень хорошая идея. Почтовые программы (и Exim тоже) по умолчанию не доверяют тому, что пишет пользователь в заголовке From:.

Нам нужна аутентификация.

Мы заведем непосредственно на локальном сервере Exim по пользователю⁵ для каждой учетной записи на сервере провайдера. Этим пользователям удобно давать имена, совпадающие с адресами почты у провайдера (example@mail.ru), но можно давать и любые другие. Важно, чтобы пользователь в итоге прошел аутентификацию и Exim знал его идентификатор ⁶.

Аутентификация на локальном сервере Exim

Раскомментируйте в файле /etc/exim4/conf.d/auth/30_exim4-config_examples нужные способы аутентификации. Обычно это plain_server: и login_server:.

Exim поддерживает много способов аутентификации, и их настройка описана в документации. В конфигурации в Debian пользователи и хэши паролей записываются в файле /etc/exim4/passwd следующего формата:

AzureDiamond@mail.ru:$2b$12$8XQqds.oqY2aG0.a/UNOzeC04SFmIi1ugrmLSK.RCi73QFocO610C

а добавить их туда можно скриптом /usr/share/doc/exim4-base/examples/exim-adduser.

Шифрование TLS

Почти всегда лучше включить шифрование с помощью TLS. В конфигурации в
Debian оно настраивается в файле /etc/exim4/conf.d/main/03_exim4-config_tlsoptions. Обычно настройки по умолчанию работают, и нужно только положить в каталог /etc/exim4 файлы ключа и сертификата. Самоподписанный сертификат можно
сгенерировать скриптом /usr/share/doc/exim4-base/examples/exim-gencert. Однако учтите, что требовательные почтовые клиенты (например, Thunderbird) не будут работать с самоподписанным сертификатом. Лучше получить «настоящий» сертификат, например, от Let’s Encrypt. Эту процедуру мы здесь описывать не будем, она многократно описывалась в других руководствах.

Аутентификация на внешних почтовых серверах

Крупные провайдеры электронной почты не будут принимать почту от никому не известных серверов. Точнее, принимать они будут, но вероятность попадания такой почты в спам будет велика, даже если вы кругом обвешаете свой сервер SPF, DKIM и DMARC. Нам нужна обычная учетная запись электронной почты с логином и паролем. Не забудьте, что провайдеры сейчас требуют заводить для почтовых программ отдельные пароли. В Gmail это называется «Менее защищенные приложения» и «Пароли приложений«. В Mail.ru – «Пароли для внешних приложений«. Эти пароли и логины мы укажем в файле /etc/exim4/passwd.smarthosts следующего формата:

# -*- mode: conf-unix; coding: utf-8 -*- ### логин_на_локальном_сервере:логин_на_сервере_провайдера:пароль_на_сервере_провайдера # Пользователь авторизуется на локальном сервере под именем # AzureDiamond, а на сервере Mail.ru логином должен быть адрес почты # целиком AzureDiamond:AzureDiamond@mail.ru:hunter2 # Для Gmail логином тоже служит адрес целиком AzureDiamond@gmail.com:AzureDiamond@gmail.com:hunter2 # Для Яндекс Почты логином служит часть адреса до @ AzureDiamond@ya.ru:AzureDiamond:hunter2

Не забудьте установить права доступа на файл с паролями:

chown root:Debian-exim /etc/exim4/passwd.smarthosts && \     chmod 640 /etc/exim4/passwd.smarthosts

Настройки подключения к серверам

Для каждого сервера мы создадим отдельный транспорт⁷, работающий по протоколу SMTP. Описания этих транспортов будут храниться в файле /etc/exim4/conf.d/transport/40_smarthosts. Его нужно создать и заполнить (скрипт для Ansible сделает это). В примере ниже даны примеры настроек для Mail.ru и Gmail. Обратите внимание, что для Mail.ru нужно указать port = 465 и protocol = smtps, а Gmail работает с port = 587. Про порты и протоколы можно почитать, например, здесь.

# -*- mode: conf-unix; coding: utf-8 -*- mailru:     # См. https://help.mail.ru/mail/mailer/popsmtp     debug_print = "T:  mailru for $local_part@$domain"     driver = smtp      hosts = smtp.mail.ru      hosts_override = true     helo_data = localhost     port = 465     protocol = smtps     hosts_require_auth = *     hosts_require_tls = *     tls_verify_hosts = *  gmail:     # См. https://support.google.com/mail/answer/7126229     debug_print = "T:  gmail for $local_part@$domain"     driver = smtp      hosts = smtp.gmail.com      hosts_override = true     helo_data = localhost     port = 587     hosts_require_auth = *     hosts_require_tls = *     tls_verify_hosts = *

Правила отправки почты

Создайте файл /etc/exim4/smarthosts. В этом файле в каждой строке будет описано правило отправки почты на серверы в зависимости от идентификатора пользователя.

Первое поле — шаблон для идентификатора пользователя, под которым он зарегистрирован на локальном сервере Exim. Обычно он указан в файле /etc/exim4/passwd, однако Exim поддерживает множество способов аутентификации, и у вас может быть настроен любой. Тут можно использовать шаблон, а можно указать отдельный идентификатор.

Второе поле — название транспорта в конфигурации Exim. Мы настроили их выше в /etc/exim4/conf.d/transport/40_smarthosts.

# -*- mode: conf-unix; coding: utf-8 -*- # шаблон имени отправителя ($authenticated_id):название транспорта *@gmail.com:gmail *@mail.ru:mailru *@list.ru:mailru *@bk.ru:mailru *@inbox.ru:mailru

Логика маршрутизации и аутентификации

Создайте файл /etc/exim4/conf.d/router/175_exim4-config_multismart следующего содержания:

# -*- mode: conf-unix; coding: utf-8 -*- .ifdef DCconfig_smarthost DCconfig_satellite  SMARTHOST_TRANSPORT = ${extract{1}{:}{${lookup{$authenticated_id}nwildlsearch{CONFDIR/smarthosts}{$value}}}}  smarthost_multi:     debug_print = "R: smarthost_multi for $local_part@$domain"     driver = manualroute     condition =  ${if eq {SMARTHOST_TRANSPORT}{}{no}{yes}}     domains = !+local_domains     route_list = "* $domain"     transport = SMARTHOST_TRANSPORT     ignore_target_hosts = <; 0.0.0.0 ; 127.0.0.0/8 ; ::1     host_find_failed = ignore     same_domain_copy_routing = yes  .endif

В этом файле описан маршрутизатор, выбирающий транспорт в зависимости от идентификатора пользователя по правилам, описанным в /etc/exim4/smarthosts. Опция route_list не будет использоваться транспортом, так как в нем будет установлено hosts_override = true. SMARTHOST_TRANSPORT извлекает первое поле из строки в файле/etc/exim4/smarthosts, ключом при этом является $authenticated_id, то есть имя, под которым пользователь авторизовался, отправляя письмо на наш локальный сервер.

Теперь самая запутанная часть настройки. В Exim аутентификацию выполняют так называемые «аутентификаторы», и они делятся по типам. Например, традиционную аутентификацию с паролем и логином выполняет аутентификатор plaintext, и он должен сам где-то брать эти пароли для всех серверов, с которыми он будет связываться. В Debian
эти пароли лежат в /etc/exim4/passwd.client, и, увы, конфигурация допускает только один пароль/логин на сервер. Поэтому не получится настроить отправку для нескольких учетных записей на одном сервере (user1@mail.ru, user2@mail.ru…)

У нас пароли лежат, напоминаю, в /etc/exim4/passwd.smarthosts, а аутентификаторы описаны в /etc/exim4/conf.d/auth/30_exim4-config_examples. Чтобы научить аутентификатор искать пароли в /etc/exim4/passwd.smarthosts, примените к /etc/exim4/conf.d/auth/30_exim4-config_examples следующий патч:

--- /etc/exim4/conf.d/auth/30_exim4-config_examples +++ 30_exim4-config_examples @@ -210,13 +210,14 @@    client_name = ${extract{1}{:}{${lookup{$host}nwildlsearch{CONFDIR/passwd.client}{$value}fail}}}    client_secret = ${extract{2}{:}{${lookup{$host}nwildlsearch{CONFDIR/passwd.client}{$value}fail}}}  +PLINE=${lookup{$authenticated_id}nwildlsearch{CONFDIR/passwd.smarthosts}{$value}{}}  # this returns the matching line from passwd.client and doubles all ^ -PASSWDLINE=${sg{\ -                ${lookup{$host}nwildlsearch{CONFDIR/passwd.client}{$value}fail}\ -        }\ -        {\\N[\\^]\\N}\ -        {^^}\ -    } +PASSWDLINE=${if eq{PLINE}{}{${sg{\ +               ${lookup{$host}nwildlsearch{CONFDIR/passwd.client}{$value}fail}\ +               }\ +               {\\N[\\^]\\N}\ +               {^^}\ +           }}{${sg{PLINE}{\\N[\\^]\\N}{^^}}}}   plain:    driver = plaintext

Это можно сделать командой:

patch /etc/exim4/conf.d/auth/30_exim4-config_examples ./30_exim_config_examples.diff

Скрипт для Ansible сделает это сам.

Завершение настройки и проверка

Перегенерируйте конфигурацию Exim и перезапустите сервис.

/sbin/update-exim4.conf && systemctl restart exim4

Отправлять тестовые письма удобно с помощью Swaks. Пример:

swaks -tls -a \       --to user@example.com \       --from <ваш адрес> \       --server localhost \       --auth-user <ваш логин на *локальном* сервере> \       --auth-password  <ваш пароль на *локальном* сервере>

Настройка с помощью Ansible

Впишите в файл inventory адрес настраиваемой машины и имя пользователя, от которого будет работать Ansible. Разумеется, этот пользователь должен иметь возможность становиться root.

Впишите в раздел vars файла exim-conf-debian.yaml данные для доступа к smarthost-серверу, который будет использоваться по умолчанию, если среди правил отправки не найдется подходящего. Образец:

vars:   смартхост: smtp.mail.ru   логин: AzureDiamond@mail.ru   пароль: hunter2

Откройте файл 40_smarthosts.j2 и посмотрите, нет ли там готовых конфигураций для нужных вам провайдеров. Если нет, впишите свою конфигурацию.

Откройте файл smarthosts.j2 и посмотрите, нет ли там готовых правил для отправки почты. Если нет, впишите свои правила. Пример:

user1:mailru *@inbox.ru:mailru

При желании добавьте локальных пользователей в файл passwd.j2. По умолчанию там будет только один пользователь с тем же логином и паролем, что используется для доступа к smarthost-серверу по умолчанию (см. выше). Пользователей можно будет добавить позже с помощью скрипта /usr/share/doc/exim4-base/examples/exim-adduser или вручную. См. man exim4-config_files, раздел /etc/exim4/passwd.

Впишите логины и пароли для отправки почты на SMTP-серверы нужных вам провайдеров в passwd.smarthosts.j2. Пример:

# Для Яндекс Почты логином служит часть адреса до @ AzureDiamond@ya.ru:AzureDiamond:hunter2

Запустите скрипт.

ansible-playbook exim-conf-debian.yaml -i inventory

Проверьте, как описано в разделе Завершение настройки и проверка.

~~Изучите сообщения об ошибках и доработайте напильником~~.

Примечания

¹ exim: select smarthost according to sender address

² [Pkg-exim4-users] selecting smarthost based on sender address

³ Exim4 and multiple gmail accounts

⁴ Как настроить Exim на несколько ящиков?

⁵ Не путайте пользователей локального сервера Exim с
пользователями системы. У одного пользователя системы может быть
несколько учетных записей электронной почты на внешних серверах, и
каждой из них будет соответствовать один пользователь локального
сервера Exim.

⁶ Этот идентификатор при работе будет
храниться в стандартной переменной $authenticated_id.

⁷ Транспортом в Exim называется механизм передачи сообщения в
место назначения — удаленный сервер, локальный файл и так далее.

ссылка на оригинал статьи https://habr.com/ru/articles/739820/