Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests 1 Projects Releases Packages Wiki Activity
Set-OPS-Public/roles/serveur_postfix
History
Daniel Allaire 0b848fddc9 postfix : l ordre des handlers decidait de la panne 
Ansible declenche les handlers dans l ordre ou ils sont DEFINIS, jamais dans
celui ou les taches les notifient. Recharger etait ecrit en premier.

Sur un premier deploiement, main.cf passe inet_protocols de all a ipv4 et
notifie un redemarrage ; les cartes LDAP notifient un rechargement. Le
rechargement partait d abord, sur un maitre portant encore l ancienne valeur :
to change inet_protocols, stop and start Postfix — puis fatal sur :::submission.

Le role documentait le piege depuis le 2026-08-30 et notifiait correctement.
Seul l ordre des handlers le rendait inoperant.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Crgis8CxCWkAGFA1ecBz3q
2026-09-14 00:31:19 -04:00
..
defaults sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
handlers postfix : l ordre des handlers decidait de la panne 2026-09-14 00:31:19 -04:00
meta sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
tasks annuaire : un compte de service par consommateur, et la porte se ferme 2026-09-13 13:36:38 -04:00
templates sondes : quatorze, une par role, derivees en objets Icinga 2026-09-10 03:00:21 -04:00
README.md docs : un README par rôle (12 manquants) + carte remise à l'état du code 2026-07-29 11:32:06 -04:00

README.md

serveur_postfix

MTA : Postfix 3.x (Debian 13) sur le nœud edge-mta — réception SMTP :25, cartes LDAP (domaines, boîtes, alias), remise LMTP réseau vers le mailstore (serveur_dovecot). Ne stocke aucune boîte. Cf. docs/courriel-conception.md.

Rôle

  • Préconfigure Postfix par debconf (installation non interactive), installe postfix + postfix-ldap.
  • Chroot : recopie /etc/hosts dans /var/spool/postfix/etc/ — le MTA hérite du plancher de résolution (hosts_statiques), sinon il ne résout aucun nom interne.
  • TLS : pont de certificat step_ca (client_pki) — script setops-postfix-cert-sync
    • unités .service/.path, recharge Postfix à chaque renouvellement.
  • Annuaire : connexion fournie par resoudre_annuaire ; carte ldap-mailboxes.cf (validation des destinataires contre LDAP).
  • Soumission :587 optionnelle, avec SASL délégué à Dovecot (passdb LDAP).
  • Valide la configuration (postfix check) avant d'activer le service.

Liaisons (meta/liens.yml)

Le rôle accepte deux liens déclarés côté application dans plan/applications.yml :

Lien Effet
mailstore Injecte serveur_postfix_mailstore_hote = FQDN de la cible (Dovecot LMTP)
milter Passe serveur_postfix_rspamd_milter à true (rspamd co-localisé)

C'est le sens « app→app », résolu par scripts/instancier.py. Cf. docs/bindings-conception.md.

Variables principales

Variable Défaut Rôle
serveur_postfix_mailstore_hote (vide — obligatoire) Nœud Dovecot, normalement injecté par le lien mailstore
serveur_postfix_lmtp_port 24 LMTP vers le mailstore
serveur_postfix_reseaux_confiance 127.0.0.0/8 [::1]/128 mynetworks (relais autorisé)
serveur_postfix_submission_actif false Soumission :587 (SASL Dovecot)
serveur_postfix_rspamd_milter false Milter antispam/DKIM co-localisé
serveur_postfix_lmtp_tls_verify false Zéro-confiance : vérifier le certificat du mailstore

Flux (meta/flux.yml)

25/tcp entrant (externe + client_smtp) · 587/tcp soumission (flotte) · 24/tcp → Dovecot (TLS vérifié) · 12345/tcp → Dovecot (SASL) · 11332/tcp → rspamd local · 636/tcp → OpenLDAP · 25/tcp sortant (MX distants).

Notes / limites

  • Le rôle exige serveur_postfix_mailstore_hote (assertion) : pas de remise locale, la remise finale appartient au mailstore. C'est la scission edge-mta / mail-store.
  • serveur_postfix_reseaux_confiance est à adapter au réseau de l'instance — laissé au strict minimum par défaut.
  • serveur_postfix_lmtp_tls_verify: true demande que la racine step_ca soit lisible (/etc/step/certs/root_ca.crt, posée en 0644 par client_pki).
  • La frontière publique (MX, SPF/DKIM/DMARC publics, filtrage entrant) relève de l'OPNsense — Étape B, hors flotte Ansible.

Prérequis

  • serveur_postfix requiert serveur_dovecot actif (docs/dependances-groupes.yml).
  • client_pki appliqué sur le nœud.