From a4b25018e623fce7f9412609b1361758f9f40b54 Mon Sep 17 00:00:00 2001
From: Daniel Allaire <allaire.dan@chezlepro.ca>
Date: Thu, 2 Jul 2026 15:28:37 -0400
Subject: [PATCH] =?UTF-8?q?serveur=5Fdovecot=20:=20LMTP=20r=C3=A9seau=20po?=
 =?UTF-8?q?ur=20un=20MTA=20distant=20(edge-mta)?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Ajoute un inet_listener LMTP (port 24, variable) pour qu'un Postfix
distant (nœud edge-mta) livre par LMTP réseau. À restreindre au nœud MTA
par pare-feu en prod. Prérequis de la topologie MTA-dédié.
Validé : :24 écouté, doveconf OK.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
---
 roles/serveur_dovecot/defaults/main.yml           |  5 +++++
 roles/serveur_dovecot/templates/99-setops.conf.j2 | 10 ++++++++++
 2 files changed, 15 insertions(+)

diff --git a/roles/serveur_dovecot/defaults/main.yml b/roles/serveur_dovecot/defaults/main.yml
index 636aeb8..bd8db77 100644
--- a/roles/serveur_dovecot/defaults/main.yml
+++ b/roles/serveur_dovecot/defaults/main.yml
@@ -35,3 +35,8 @@ serveur_dovecot_tls_dir: "/etc/dovecot/tls"
 
 # --- Intégration Postfix (sockets sous le chroot Postfix) ---
 serveur_dovecot_postfix_socket_dir: "/var/spool/postfix/private"
+
+# --- LMTP réseau : pour un MTA DISTANT (Postfix sur le nœud edge-mta) qui livre
+# par LMTP réseau. À restreindre au nœud MTA par pare-feu (nftables) en prod.
+serveur_dovecot_lmtp_reseau: true
+serveur_dovecot_lmtp_port: 24
diff --git a/roles/serveur_dovecot/templates/99-setops.conf.j2 b/roles/serveur_dovecot/templates/99-setops.conf.j2
index aaf74ec..95518fe 100644
--- a/roles/serveur_dovecot/templates/99-setops.conf.j2
+++ b/roles/serveur_dovecot/templates/99-setops.conf.j2
@@ -37,6 +37,16 @@ userdb static {
   }
 }
 
+{% if serveur_dovecot_lmtp_reseau %}
+# --- LMTP réseau (livraison depuis un MTA distant : edge-mta) ---
+# À restreindre au nœud MTA par pare-feu.
+service lmtp {
+  inet_listener lmtp {
+    port = {{ serveur_dovecot_lmtp_port }}
+  }
+}
+{% endif %}
+
 # --- Sockets pour Postfix (remise LMTP + auth SASL) ---
 # Seulement si Postfix est co-localisé (l'utilisateur postfix existe). Sinon Dovecot
 # tourne en autonome (IMAP) ; les sockets seront ajoutés au déploiement de serveur_postfix.