Daniel Allaire 78c3505577 courriel : la sonde boites cherche un vrai compte, et l'IMAP n'ecoute plus en clair

La sonde demandait `doveadm user`, que le userdb static (static_allow_all_users,
requis par la remise LMTP) satisfait pour n'importe quel nom : elle disait
« daniel » resolu chez deux locataires ou ce compte n'existe pas. Elle interroge
desormais le passdb (`doveadm auth lookup`), sans mot de passe, et cherche le
compte d'amorcage (amorcage_acces_courriel) plutot qu'un nom ecrit.

Le 143 (IMAP en clair) ecoutait par defaut a cote du 993 : eteint par
`inet_listener imap { port = 0 }`, eprouve sur banc Debian 13.

Deploye chez les deux locataires : 24 et 993 seulement ; sonde verte sur
sysadmin, rouge sur un compte inexistant. test_dovecot_sonde_et_imap.py garde
les deux ; 95 preuves.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

2026-10-12 11:36:41 -04:00

3.8 KiB

Raw Blame History

serveur_dovecot

Mailstore : Dovecot 2.4 (Debian 13) — IMAP pour les utilisateurs, LMTP pour la remise depuis Postfix, authentification et résolution des comptes sur l'annuaire OpenLDAP. Stockage Maildir de boîtes virtuelles. Cf. docs/courriel-conception.md.

Rôle

Installe dovecot-core, -imapd, -lmtpd, -ldap.
Crée l'utilisateur/groupe système vmail (uid/gid 5000) et /var/vmail.
TLS : pont de certificat step_ca (client_pki) — script setops-dovecot-cert-sync
- unités .service/.path qui recopient le certificat d'hôte dans /etc/dovecot/tls et rechargent Dovecot à chaque renouvellement.
Annuaire : connexion fournie par le rôle partagé resoudre_annuaire (uri, base, bind_dn, bind_password) — rien de codé en dur.
Déploie toute la configuration en un drop-in conf.d/99-setops.conf (syntaxe 2.4), valide avec doveconf avant d'activer le service.
Désactive l'auth système par défaut : LDAP est l'unique autorité.

Réglages Dovecot 2.4 qui comptent

La 2.4 a changé la donne par rapport à la 2.3 ; ces trois points conditionnent la remise :

static_allow_all_users pour le userdb static ;
mail_inbox_path laissé vide ;
mail_path par utilisateur — {{ vmail_base }}/%{user | username}.

Le local-part seul (| username) donne le même chemin pour la remise LMTP (destinataire local-part) et l'accès IMAP (adresse complète) — c'est ce qui fait fonctionner le flux bout-en-bout en mono-domaine.

Variables principales

Variable	Défaut	Rôle
`serveur_dovecot_vmail_base`	`/var/vmail`	Racine des boîtes
`serveur_dovecot_mail_path`	`<base>/%{user \| username}`	Chemin Maildir par compte
`serveur_dovecot_ldap_filter`	`(&(objectClass=inetOrgPerson)(mail=%{user}))`	Login = adresse courriel
`serveur_dovecot_tls_actif`	`true`	Pont de certificat step_ca
`serveur_dovecot_lmtp_reseau`	`true`	LMTP :24 pour un MTA distant (edge-mta)

Flux (`meta/flux.yml`)

993/tcp IMAPS (utilisateurs) · 24/tcp LMTP ← Postfix (TLS vérifié) · 636/tcp → OpenLDAP (userdb/passdb).

Notes / limites

Mono-domaine : le chemin ne conserve pas le domaine. Le multi-domaine demandera de le préserver des deux côtés (raffinement Étape B).
LMTP réseau doit être restreint au nœud MTA par pare-feu — c'est ce que fait nftables_baseline à partir de meta/flux.yml (pair: serveur_postfix).
Si Postfix est co-localisé, le rôle bascule sur les sockets sous le chroot (/var/spool/postfix/private) plutôt que sur le réseau (détection automatique).
Le certificat est exigé : sans client_pki sur le nœud, le rôle échoue explicitement.

Prérequis

serveur_dovecot requiert serveur_openldap actif (docs/dependances-groupes.yml).
client_pki appliqué sur le nœud (couche pki_client, avant la couche services).
Authentification de la soumission : locale à Postfix (2026-10-12). Le port SASL réseau 12345 est retiré : le client SASL Dovecot de Postfix ne chiffre pas, et les mots de passe y passaient en clair. serveur_postfix appelle tasks/auth_locale.yml, qui pose sur sa machine un Dovecot d'authentification seule (cœur + LDAP, aucun port), joint par un socket local et vérifiant sur l'annuaire en LDAPS.
IMAP en TLS direct seulement (2026-10-12) : l'écoute en clair 143, ouverte par défaut, est éteinte (inet_listener imap { port = 0 }) ; seul le 993 répond.
Sonde « boites » : doveadm auth lookup du compte d'amorçage (amorcage_acces_courriel), c'est-à-dire une recherche dans le passdb LDAP, sans mot de passe. doveadm user ne prouvait rien : le userdb static (static_allow_all_users) répond pour n'importe quel nom.

3.8 KiB Raw Blame History