Daniel Allaire
78c3505577
La sonde demandait `doveadm user`, que le userdb static (static_allow_all_users,
requis par la remise LMTP) satisfait pour n'importe quel nom : elle disait
« daniel » resolu chez deux locataires ou ce compte n'existe pas. Elle interroge
desormais le passdb (`doveadm auth lookup`), sans mot de passe, et cherche le
compte d'amorcage (amorcage_acces_courriel) plutot qu'un nom ecrit.
Le 143 (IMAP en clair) ecoutait par defaut a cote du 993 : eteint par
`inet_listener imap { port = 0 }`, eprouve sur banc Debian 13.
Deploye chez les deux locataires : 24 et 993 seulement ; sonde verte sur
sysadmin, rouge sur un compte inexistant. test_dovecot_sonde_et_imap.py garde
les deux ; 95 preuves.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
33 lines
1.7 KiB
Django/Jinja
33 lines
1.7 KiB
Django/Jinja
#!/bin/bash
|
|
# GENERE par Set-OPS (role serveur_dovecot). Ne pas editer a la main.
|
|
#
|
|
# SONDE « boites » — Dovecot repond et trouve un compte dans l'annuaire
|
|
#
|
|
# Contrat : docs/supervision-conception.md (API des greffons Nagios) — une ligne, 0/1/2.
|
|
# Mise en defaut PAR PARAMETRE : `serveur_dovecot_sonde_utilisateur` (compte inexistant).
|
|
set -uo pipefail
|
|
|
|
UTILISATEUR={{ serveur_dovecot_sonde_utilisateur | quote }}
|
|
|
|
[[ -n "${UTILISATEUR}" ]] || { echo "Aucun compte a chercher (serveur_dovecot_sonde_utilisateur vide)."; exit 3; }
|
|
systemctl is-active --quiet dovecot || { echo "Dovecot n'est pas actif."; exit 2; }
|
|
|
|
# LE PASSDB, PAS LE USERDB (2026-10-12). La sonde demandait `doveadm user`, et le userdb est
|
|
# `static` avec `static_allow_all_users` (requis par la remise LMTP) : il repond pour
|
|
# N'IMPORTE QUEL nom. Elle disait « daniel » resolu chez deux locataires ou ce compte
|
|
# n'existe pas — verte quoi qu'il arrive.
|
|
#
|
|
# `doveadm auth lookup` interroge le passdb : Dovecot cherche le compte dans l'annuaire,
|
|
# sous SON compte de liaison, en LDAPS, avec le filtre de connexion. Aucune tentative de
|
|
# mot de passe — rien ne compte pour le verrouillage du compte. Mesure : 0 s'il existe,
|
|
# 67 s'il n'existe pas, une erreur si l'annuaire ne repond plus.
|
|
sortie=$(doveadm auth lookup "${UTILISATEUR}" 2>&1)
|
|
rc=$?
|
|
if [[ ${rc} -eq 67 ]]; then
|
|
echo "Dovecot ne trouve pas « ${UTILISATEUR} » dans l'annuaire : plus personne de ce nom ne peut se connecter."
|
|
exit 2
|
|
elif [[ ${rc} -ne 0 ]] || ! printf '%s' "${sortie}" | grep -q '^passdb: '; then
|
|
echo "Dovecot n'interroge plus l'annuaire (rc=${rc}) : ${sortie:0:70}"
|
|
exit 2
|
|
fi
|
|
echo "Dovecot : « ${UTILISATEUR} » trouve dans l'annuaire (passdb LDAP), service actif."
|