Daniel Allaire
63f5fda091
Postfix (edge-mta) faisait verifier chaque mot de passe de soumission par le Dovecot du mailstore, sur :12345. Le client SASL Dovecot de Postfix ne chiffre pas : chaque mot de passe traversait le reseau en clair, et le registre disait ce flux tls. Le flux est supprime, pas chiffre. serveur_postfix pose a cote de lui un Dovecot d'authentification seule (serveur_dovecot/tasks/auth_locale.yml) : coeur + LDAP, aucun protocole, aucun port, joint par private/auth, qui verifie sur l'annuaire en LDAPS. Le 12345 disparait des deux roles et du pare-feu ; serveur_dovecot_sasl_reseau est retire, et une garde arrete l'instance qui le pose encore. Deploye chez les deux locataires ; prouve par un envoi reel chez chacun (sasl_username au journal, remise LMTP, relu par IMAP). test_sasl_local.py garde le changement ; 95 preuves. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
21 lines
711 B
YAML
21 lines
711 B
YAML
---
|
|
# Flux réseau de Dovecot (IMAP + LMTP, mailstore). Voir docs/flux-conception.md.
|
|
flux:
|
|
- sens: ingress
|
|
port: 24
|
|
protocole: tcp
|
|
pair: serveur_postfix
|
|
chiffrement: tls-requis
|
|
raison: "Remise LMTP depuis Postfix (edge-mta -> mailstore), en TLS vérifié (lmtp_tls_security_level=verify)."
|
|
- sens: ingress
|
|
port: 993
|
|
protocole: tcp
|
|
pair: externe
|
|
chiffrement: tls-requis
|
|
raison: "Accès courriel des utilisateurs (IMAPS). Frontière publique gérée à l'OPNsense."
|
|
- sens: egress
|
|
port: 636
|
|
protocole: tcp
|
|
pair: serveur_openldap
|
|
chiffrement: tls-requis
|
|
raison: "userdb/passdb : Dovecot résout et authentifie les comptes sur l'annuaire (LDAPS)."
|