Daniel Allaire
aab1bcc83a
README reduit au role du projet et au demarrage rapide. docs/architecture.md (schemas Mermaid), docs/setup.md, docs/usage.md (154 cibles en 13 familles), docs/README.md (index). Documents ranges en conception/, exploitation/, hebergement/, projet/ ; 598 chemins suivis. QUICKSTART.md, SOLUTION.md, architecture-set-ops.md et la carte fondus puis retires. Preuves : P48 lit l'index et conception/mecanismes.md ; les gardes parcourent docs/ sous- dossiers compris (_documents) ; usage.md suit le Makefile dans les deux sens. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com> |
||
|---|---|---|
| .. | ||
| defaults | ||
| handlers | ||
| meta | ||
| tasks | ||
| templates | ||
| README.md | ||
serveur_postfix
MTA : Postfix 3.x (Debian 13) sur le nœud edge-mta — réception SMTP :25, cartes LDAP
(domaines, boîtes, alias), remise LMTP réseau vers le mailstore (serveur_dovecot).
Ne stocke aucune boîte. Cf. docs/conception/courriel-conception.md.
Rôle
- Préconfigure Postfix par debconf (installation non interactive), installe
postfix+postfix-ldap. - Chroot : recopie
/etc/hostsdans/var/spool/postfix/etc/— le MTA hérite du plancher de résolution (hosts_statiques), sinon il ne résout aucun nom interne. - TLS : pont de certificat step_ca (
client_pki) — scriptsetops-postfix-cert-sync- unités
.service/.path, recharge Postfix à chaque renouvellement.
- unités
- Annuaire : connexion fournie par
resoudre_annuaire; carteldap-mailboxes.cf(validation des destinataires contre LDAP). - Soumission
:587optionnelle, avec SASL délégué à Dovecot (passdb LDAP). - Valide la configuration (
postfix check) avant d'activer le service.
Liaisons (meta/liens.yml)
Le rôle accepte deux liens déclarés côté application dans plan/applications.yml :
| Lien | Effet |
|---|---|
mailstore |
Injecte serveur_postfix_mailstore_hote = FQDN de la cible (Dovecot LMTP) |
milter |
Passe serveur_postfix_rspamd_milter à true (rspamd co-localisé) |
C'est le sens « app→app », résolu par scripts/instancier.py. Cf.
docs/conception/bindings-conception.md.
Variables principales
| Variable | Défaut | Rôle |
|---|---|---|
serveur_postfix_mailstore_hote |
(vide — obligatoire) | Nœud Dovecot, normalement injecté par le lien mailstore |
serveur_postfix_lmtp_port |
24 |
LMTP vers le mailstore |
serveur_postfix_reseaux_confiance |
127.0.0.0/8 [::1]/128 |
mynetworks (relais autorisé) |
serveur_postfix_submission_actif |
false |
Soumission :587 (SASL Dovecot) |
serveur_postfix_rspamd_milter |
false |
Milter antispam/DKIM co-localisé |
serveur_postfix_lmtp_tls_verify |
false |
Zéro-confiance : vérifier le certificat du mailstore |
Flux (meta/flux.yml)
25/tcp entrant (externe + client_smtp) · 587/tcp soumission (flotte) ·
24/tcp → Dovecot (TLS vérifié) · 12345/tcp → Dovecot (SASL) ·
11332/tcp → rspamd local · 636/tcp → OpenLDAP · 25/tcp sortant (MX distants).
Notes / limites
- Le rôle exige
serveur_postfix_mailstore_hote(assertion) : pas de remise locale, la remise finale appartient au mailstore. C'est la scission edge-mta / mail-store. serveur_postfix_reseaux_confianceest à adapter au réseau de l'instance — laissé au strict minimum par défaut.serveur_postfix_lmtp_tls_verify: truedemande que la racine step_ca soit lisible (/etc/step/certs/root_ca.crt, posée en0644parclient_pki).- La frontière publique (MX, SPF/DKIM/DMARC publics, filtrage entrant) relève de l'OPNsense — Étape B, hors flotte Ansible.
Prérequis
serveur_postfix requiert serveur_dovecot actif(docs/dependances-groupes.yml).client_pkiappliqué sur le nœud.