Daniel Allaire
203f7c5436
La forge exige STARTTLS et verifie le certificat du relais. Le relais du site exige le TLS en entree, verifie le serveur joint en sortie (autorites publiques, lues avant le chroot), et journalise chaque session TLS. Mesure sur un envoi reel : TLS 1.3 sur les deux troncons, remis. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
91 lines
5.2 KiB
YAML
91 lines
5.2 KiB
YAML
---
|
|
# Postfix 3.x (Debian 13) — MTA du nœud edge-mta : réception :25, cartes LDAP (domaines,
|
|
# boîtes, alias), remise LMTP réseau vers le nœud mail-store (Dovecot). TLS via step_ca.
|
|
# NE STOCKE AUCUNE BOÎTE. Cf. docs/courriel-conception.md + docs/identite-sso.md.
|
|
|
|
# DEUX MODES, PARCE QU'UN SITE N'A PAS DE BOITES (2026-09-02).
|
|
#
|
|
# `complet` — le serveur de courriel d'un ecosysteme : il RECOIT, resout les
|
|
# destinataires dans l'annuaire LDAP et remet a Dovecot par LMTP. C'est le mode
|
|
# historique, et il reste le defaut.
|
|
#
|
|
# `relais` — le site. Il n'heberge aucune boite et n'a ni annuaire ni magasin : il
|
|
# EXPEDIE, et rien d'autre. C'est ce dont la supervision a besoin pour alerter.
|
|
#
|
|
# POURQUOI CE MODE PLUTOT QU'UN SECOND ROLE : les deux partagent tout ce qui compte —
|
|
# le certificat et sa resynchronisation, la resolution dans le chroot, la validation de
|
|
# la configuration. Un role jumeau aurait duplique ces quatre pieces, et c'est
|
|
# exactement le genre de duplication qui finit par diverger sans qu'on le voie.
|
|
#
|
|
# POURQUOI PAS UN RELAIS SORTANT EXTERNE : le site expedie DIRECTEMENT, par sa
|
|
# frontiere. Emprunter le MTA d'un locataire ferait dependre l'hebergeur d'un
|
|
# ecosysteme qu'il peut outvivre — une emancipation emporterait son alerte avec elle.
|
|
serveur_postfix_mode: "complet"
|
|
|
|
serveur_postfix_paquets:
|
|
- postfix
|
|
- postfix-ldap
|
|
|
|
serveur_postfix_service: "postfix"
|
|
serveur_postfix_domaine: "{{ domaine_interne }}"
|
|
serveur_postfix_nom_hote: "{{ ansible_fqdn | default(ansible_hostname) }}"
|
|
# Réseaux internes de confiance (relais autorisé). À adapter au réseau de l'instance.
|
|
serveur_postfix_reseaux_confiance: "127.0.0.0/8 [::1]/128"
|
|
|
|
# --- Nœud mail-store (Dovecot) : remise LMTP réseau ---
|
|
# OBLIGATOIRE : le FQDN/nom du nœud qui héberge les boîtes (Dovecot LMTP).
|
|
serveur_postfix_mailstore_hote: ""
|
|
serveur_postfix_lmtp_port: 24
|
|
|
|
# --- Soumission :587 (clients authentifiés) ---
|
|
# SASL délégué à Dovecot (passdb LDAP prouvé) sur le nœud mail-store, via son auth réseau.
|
|
# 587 (STARTTLS requis) et 465 (TLS direct) ; seuls les authentifiés relaient. Publics depuis le
|
|
# 2026-09-29 : les clients de courriel y arrivent par l'adresse publique du locataire.
|
|
serveur_postfix_submission_actif: false
|
|
serveur_postfix_sasl_hote: "{{ serveur_postfix_mailstore_hote }}"
|
|
serveur_postfix_sasl_port: 12345
|
|
|
|
# --- Annuaire LDAP (validation domaines/boîtes/alias) ---
|
|
# Connexion à l'annuaire (serveur, base, bind_dn, bind_password) : fournie par le rôle partagé
|
|
# resoudre_annuaire (voir tasks/main.yml « Adopter la connexion annuaire »).
|
|
|
|
# --- Milter rspamd (antispam + DKIM) — si rspamd est co-localisé (nœud edge-mta) ---
|
|
serveur_postfix_rspamd_milter: false
|
|
serveur_postfix_rspamd_milter_port: 11332
|
|
|
|
# --- TLS via le certificat d'hôte step_ca (client_pki) ---
|
|
serveur_postfix_tls_actif: true
|
|
serveur_postfix_tls_source_cert: "/etc/step/certs/{{ ansible_fqdn | default(ansible_hostname) }}.crt"
|
|
serveur_postfix_tls_source_cle: "/etc/step/certs/{{ ansible_fqdn | default(ansible_hostname) }}.key"
|
|
serveur_postfix_tls_dir: "/etc/postfix/tls"
|
|
|
|
# TOUT CE QUI TRANSITE EST CHIFFRE, A L'INTERNE COMME A L'EXTERNE (directive du 2026-10-12).
|
|
#
|
|
# Un RELAIS ne parle qu'a des emetteurs de son ecosysteme (la forge) et a des MX distants :
|
|
# il peut EXIGER le TLS des deux cotes. `may` laissait une forge sans STARTTLS remettre en
|
|
# clair, sans que rien ne le dise. Le serveur de courriel COMPLET d'un locataire reste en
|
|
# `may` pour l'instant : un MX public qui exige le TLS refuse le courrier des serveurs qui ne
|
|
# l'offrent pas (RFC 3207) — c'est une decision de l'Etape B, pas un reglage par defaut.
|
|
serveur_postfix_tls_entrant: "{{ 'encrypt' if serveur_postfix_mode == 'relais' else 'may' }}"
|
|
# EN SORTIE, LE RELAIS VERIFIE AUSSI QUI IL JOINT (2026-10-12) : `encrypt` chiffrait vers un
|
|
# serveur dont il ne verifiait pas l'identite (« Untrusted » au journal). Il n'ecrit qu'a
|
|
# quelques destinataires connus ; un MX au certificat invalide fait refuser le message au lieu
|
|
# de le livrer, et c'est voulu. Mesure avant : mx.chezlepro.ca et Gmail « Verified ».
|
|
serveur_postfix_tls_sortant: "{{ 'verify' if serveur_postfix_mode == 'relais' else 'may' }}"
|
|
# Les autorites PUBLIQUES du systeme : celles des MX de l'Internet, pas celle de l'ecosysteme.
|
|
# UN FICHIER, PAS UN DOSSIER : `smtp` tourne en chroot ; `CAfile` est lu AVANT d'y entrer,
|
|
# `CApath` dedans — sur une copie que Debian refait au redemarrage, et qui vieillit entre deux.
|
|
serveur_postfix_tls_ca_publiques: "/etc/ssl/certs/ca-certificates.crt"
|
|
# Une ligne par session TLS au journal : ce qui se dit chiffre doit pouvoir se MESURER.
|
|
serveur_postfix_tls_journal: 1
|
|
|
|
# Zero-confiance : verifier le TLS de la livraison LMTP vers Dovecot (cert step-ca).
|
|
serveur_postfix_lmtp_tls_verify: false
|
|
serveur_postfix_lmtp_tls_cafile: "/etc/step/certs/root_ca.crt"
|
|
|
|
# --- Sonde de supervision -----------------------------------------------------------
|
|
# UN COURRIEL EN ATTENTE N'EST PAS UNE PANNE — un relais distant momentanement muet suffit
|
|
# a en garder quelques-uns. C'est l'ACCUMULATION qui parle. Les seuils sont bas parce que
|
|
# cet ecosysteme n'emet presque rien : dix messages en attente y sont deja anormaux.
|
|
serveur_postfix_sonde_avert: 10
|
|
serveur_postfix_sonde_crit: 50
|