Daniel Allaire
457b89927b
Postfix (edge-mta) sert :587 (master.cf : STARTTLS + SMTP AUTH, seuls les authentifiés relaient) ; SASL délégué à Dovecot (infra-mail, passdb LDAP) via un auth-listener réseau (inet_listener sasl :12345). Interne seulement. Prouvé (swaks) : testmail s'authentifie (235), Postfix accepte (250 queued), courriel livré dans la boîte. Le courriel souverain fait recevoir ET envoyer. Pièges : Dovecot 2.4 exige un nom de section inet_listener ; nouveau service master.cf → restart (pas reload). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
40 lines
1.9 KiB
YAML
40 lines
1.9 KiB
YAML
---
|
|
# Postfix 3.x (Debian 13) — MTA du nœud edge-mta : réception :25, cartes LDAP (domaines,
|
|
# boîtes, alias), remise LMTP réseau vers le nœud mail-store (Dovecot). TLS via step_ca.
|
|
# NE STOCKE AUCUNE BOÎTE. Cf. docs/courriel-conception.md + docs/identite-sso.md.
|
|
|
|
serveur_postfix_paquets:
|
|
- postfix
|
|
- postfix-ldap
|
|
|
|
serveur_postfix_service: "postfix"
|
|
serveur_postfix_domaine: "{{ domaine_interne }}"
|
|
serveur_postfix_nom_hote: "{{ ansible_fqdn | default(ansible_hostname) }}"
|
|
# Réseaux internes de confiance (relais autorisé). À adapter au réseau de l'instance.
|
|
serveur_postfix_reseaux_confiance: "127.0.0.0/8 [::1]/128"
|
|
|
|
# --- Nœud mail-store (Dovecot) : remise LMTP réseau ---
|
|
# OBLIGATOIRE : le FQDN/nom du nœud qui héberge les boîtes (Dovecot LMTP).
|
|
serveur_postfix_mailstore_hote: ""
|
|
serveur_postfix_lmtp_port: 24
|
|
|
|
# --- Soumission :587 (clients authentifiés) ---
|
|
# SASL délégué à Dovecot (passdb LDAP prouvé) sur le nœud mail-store, via son auth réseau.
|
|
# Interne uniquement : STARTTLS requis, seuls les authentifiés relaient. Pas de sortie internet.
|
|
serveur_postfix_submission_actif: false
|
|
serveur_postfix_sasl_hote: "{{ serveur_postfix_mailstore_hote }}"
|
|
serveur_postfix_sasl_port: 12345
|
|
|
|
# --- Annuaire LDAP (validation domaines/boîtes/alias) ---
|
|
# Connexion à l'annuaire (serveur, base, bind_dn, bind_password) : fournie par le rôle partagé
|
|
# resoudre_annuaire (voir tasks/main.yml « Adopter la connexion annuaire »).
|
|
|
|
# --- Milter rspamd (antispam + DKIM) — si rspamd est co-localisé (nœud edge-mta) ---
|
|
serveur_postfix_rspamd_milter: false
|
|
serveur_postfix_rspamd_milter_port: 11332
|
|
|
|
# --- TLS via le certificat d'hôte step_ca (client_pki) ---
|
|
serveur_postfix_tls_actif: true
|
|
serveur_postfix_tls_source_cert: "/etc/step/certs/{{ ansible_fqdn | default(ansible_hostname) }}.crt"
|
|
serveur_postfix_tls_source_cle: "/etc/step/certs/{{ ansible_fqdn | default(ansible_hostname) }}.key"
|
|
serveur_postfix_tls_dir: "/etc/postfix/tls"
|