Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- tachtler:postfix_centos_7_-_openpgpkey_anbinden_openpgpkey-milter [2018/08/31 14:05] – klaus
+++ tachtler:postfix_centos_7_-_openpgpkey_anbinden_openpgpkey-milter [2018/08/31 15:56] (aktuell) – [openpgpkey-milter] klaus
@@ Zeile 202: / Zeile 202: @@
   * **''python-pymilter''** - ist im ''epel''-Repository des Drittanbieters [[https://fedoraproject.org/wiki/EPEL|EPEL]] enthalten
   * **''sendmail-milter''** - ist im ''base''-Repository von [[https://www.centos.org/|CentOS]] enthalten
+  * **''python-setproctitle''** - ist im ''base''-Repository von [[https://www.centos.org/|CentOS]] enthalten
+:!: **HINWEIS** - **Die Installation muss __aktuell__ auf dem gleichen Server auf dem auch der [[http://www.postfix.org/|Postfix]]-Dienst/Daemon läuft erfolgen !!!**
 Die Installation von **''openpgpkey-milter''**, kann durch ausführen des nachfolgenden Befehls durchgeführt werden:
 <code>
 # yum install openpgpkey-milter
+Loaded plugins: changelog, priorities
+packages excluded due to repository priority protections
+Resolving Dependencies
+--> Running transaction check
+---> Package openpgpkey-milter.noarch 0:0.5-1.el7 will be installed
+--> Processing Dependency: python-pymilter for package: openpgpkey-milter-0.5-1.el7.noarch
+--> Running transaction check
+---> Package python-pymilter.x86_64 0:1.0-1.el7 will be installed
+--> Processing Dependency: python-pydns for package: python-pymilter-1.0-1.el7.x86_64
+--> Processing Dependency: libmilter.so.1.0()(64bit) for package: python-pymilter-1.0-1.el7.x86_64
+--> Running transaction check
+---> Package python-pydns.noarch 0:2.3.6-2.el7 will be installed
+---> Package sendmail-milter.x86_64 0:8.14.7-5.el7 will be installed
+--> Finished Dependency Resolution
+Changes in packages about to be updated:
+Dependencies Resolved
+================================================================================
+ Package                  Arch          Version               Repository   Size
+================================================================================
+Installing:
+ openpgpkey-milter        noarch        0.5-1.el7             epel         23 k
+Installing for dependencies:
+ python-pydns             noarch        2.3.6-2.el7           epel         40 k
+ python-pymilter          x86_64        1.0-1.el7             epel         98 k
+ sendmail-milter          x86_64        8.14.7-5.el7          base         71 k
+Transaction Summary
+================================================================================
+Install  1 Package (+3 Dependent packages)
+Total download size: 231 k
+Installed size: 518 k
+Is this ok [y/d/N]: y
+Downloading packages:
+(1/4): openpgpkey-milter-0.5-1.el7.noarch.rpm              |  23 kB   00:00
+(2/4): python-pydns-2.3.6-2.el7.noarch.rpm                 |  40 kB   00:00
+(3/4): python-pymilter-1.0-1.el7.x86_64.rpm                |  98 kB   00:00
+(4/4): sendmail-milter-8.14.7-5.el7.x86_64.rpm             |  71 kB   00:00
+--------------------------------------------------------------------------------
+Total                                              598 kB/s | 231 kB  00:00
+Running transaction check
+Running transaction test
+Transaction test succeeded
+Running transaction
+  Installing : sendmail-milter-8.14.7-5.el7.x86_64                          1/4
+  Installing : python-pydns-2.3.6-2.el7.noarch                              2/4
+  Installing : python-pymilter-1.0-1.el7.x86_64                             3/4
+  Installing : openpgpkey-milter-0.5-1.el7.noarch                           4/4
+  Verifying  : python-pydns-2.3.6-2.el7.noarch                              1/4
+  Verifying  : sendmail-milter-8.14.7-5.el7.x86_64                          2/4
+  Verifying  : python-pymilter-1.0-1.el7.x86_64                             3/4
+  Verifying  : openpgpkey-milter-0.5-1.el7.noarch                           4/4
+Installed:
+  openpgpkey-milter.noarch 0:0.5-1.el7
+Dependency Installed:
+  python-pydns.noarch 0:2.3.6-2.el7        python-pymilter.x86_64 0:1.0-1.el7
+  sendmail-milter.x86_64 0:8.14.7-5.el7
+Complete!
 </code>
@@ Zeile 212: / Zeile 279: @@
 <code>
 # rpm -qil openpgpkey-milter
+Name        : openpgpkey-milter
+Version     : 0.5
+Release     : 1.el7
+Architecture: noarch
+Install Date: Fri 31 Aug 2018 02:20:39 PM CEST
+Group       : System Environment/Daemons
+Size        : 50233
+License     : GPLv3+
+Signature   : RSA/SHA256, Mon 04 Jan 2016 04:56:06 PM CET, Key ID 6a2faea2352c64e5
+Source RPM  : openpgpkey-milter-0.5-1.el7.src.rpm
+Build Date  : Mon 04 Jan 2016 01:08:27 AM CET
+Build Host  : bvirthost02-nfs.phx2.fedoraproject.org
+Relocations : (not relocatable)
+Packager    : Fedora Project
+Vendor      : Fedora Project
+URL         : ftp://ftp.nohats.ca/openpgpkey-milter
+Summary     : OPENPGPKEY basd automatic encryption of emails using the milter API
+Description :
+The openpgpkey-milter package provides a milter plugin for sendmail or postfix
+that will automatically encrypt plaintext emails if the target recipient is
+publishing an OPENPGPKEY record protected with DNSSEC. This is currently an
+IETF draft (draft-wouters-dane-openpgp)
+/etc/tmpfiles.d/openpgpkey-milter.conf
+/usr/lib/systemd/system/openpgpkey-milter.service
+/usr/sbin/openpgpkey-milter
+/usr/share/doc/openpgpkey-milter-0.5
+/usr/share/doc/openpgpkey-milter-0.5/LICENSE
+/usr/share/doc/openpgpkey-milter-0.5/README
+/var/run/openpgpkey-milter
+/var/run/openpgpkey-milter/openpgpkey-milter.sock
+/var/spool/openpgpkey-milter
+</code>
+Die Installation von **''python-setproctitle''**, kann durch ausführen des nachfolgenden Befehls durchgeführt werden:
+<code>
+# yum install python-setproctitle
+Loaded plugins: changelog, priorities
+packages excluded due to repository priority protections
+Resolving Dependencies
+--> Running transaction check
+---> Package python-setproctitle.x86_64 0:1.1.6-5.el7 will be installed
+--> Finished Dependency Resolution
+Changes in packages about to be updated:
+Dependencies Resolved
+================================================================================
+ Package                    Arch          Version             Repository   Size
+================================================================================
+Installing:
+ python-setproctitle        x86_64        1.1.6-5.el7         base         15 k
+Transaction Summary
+================================================================================
+Install  1 Package
+Total download size: 15 k
+Installed size: 29 k
+Is this ok [y/d/N]: y
+Downloading packages:
+python-setproctitle-1.1.6-5.el7.x86_64.rpm                 |  15 kB   00:00
+Running transaction check
+Running transaction test
+Transaction test succeeded
+Running transaction
+  Installing : python-setproctitle-1.1.6-5.el7.x86_64                       1/1
+  Verifying  : python-setproctitle-1.1.6-5.el7.x86_64                       1/1
+Installed:
+  python-setproctitle.x86_64 0:1.1.6-5.el7
+Complete!
+</code>
+Die Installation von **''python-setproctitle''**, kann durch ausführen des nachfolgenden Befehls durchgeführt werden:
+<code>
+# rpm -qil python-setproctitle
+Name        : python-setproctitle
+Version     : 1.1.6
+Release     : 5.el7
+Architecture: x86_64
+Install Date: Fri 31 Aug 2018 03:42:12 PM CEST
+Group       : Unspecified
+Size        : 30189
+License     : BSD
+Signature   : RSA/SHA256, Fri 04 Jul 2014 06:41:49 AM CEST, Key ID 24c6a8a7f4a80eb5
+Source RPM  : python-setproctitle-1.1.6-5.el7.src.rpm
+Build Date  : Tue 10 Jun 2014 10:01:15 AM CEST
+Build Host  : worker1.bsys.centos.org
+Relocations : (not relocatable)
+Packager    : CentOS BuildSystem <http://bugs.centos.org>
+Vendor      : CentOS
+URL         : http://pypi.python.org/pypi/setproctitle
+Summary     : Python module to customize a process title
+Description :
+Python module allowing a process to change its title as displayed by
+system tool such as ps and top.
+It's useful in multiprocess systems, allowing to identify tasks each forked
+process is busy with. This technique has been used by PostgreSQL and OpenSSH.
+It's based on PostgreSQL implementation which has proven to be portable.
+/usr/lib64/python2.7/site-packages/setproctitle-1.1.6-py2.7.egg-info
+/usr/lib64/python2.7/site-packages/setproctitle.so
+/usr/share/doc/python-setproctitle-1.1.6
+/usr/share/doc/python-setproctitle-1.1.6/COPYRIGHT
+/usr/share/doc/python-setproctitle-1.1.6/README.rst
+</code>
+===== Dienst/Deamon-Start einrichten =====
+Um einen [[https://github.com/letoams/openpgpkey-milter|OpenPGPKey-milter]], welcher als Dienst/Deamon als Hintergrundprozess läuft, auch nach einem Neustart des Servers zur Verfügung zu haben, soll der Dienst/Daemon mit dem Server mit gestartet werden, was mit nachfolgendem Befehl realisiert werden kann:
+<code>
+# systemctl enable openpgpkey-milter.service
+Created symlink from /etc/systemd/system/multi-user.target.wants/openpgpkey-milter.service to /usr/lib/systemd/system/openpgpkey-milter.service.
+</code>
+Eine Überprüfung, ob beim Neustart des Server der ''openpgpkey-milter''-Dienst/Deamon wirklich mit gestartet wird, kann mit nachfolgendem Befehl erfolgen und sollte eine Anzeige, wie ebenfalls nachfolgend dargestellt ausgeben:
+<code>
+# systemctl list-unit-files --type=service | grep -e openpgpkey-milter.service
+openpgpkey-milter.service                     enabled
+</code>
+bzw.
+<code>
+# systemctl is-enabled openpgpkey-milter.service
+enabled
+</code>
+===== iptables Regel ======
+[[https://github.com/letoams/openpgpkey-milter|OpenPGPKey-milter]]auch über den [[http://www.postfix.org|Postfix]] - **''openpgpgkey-milter''** erreichbar ist und nicht das Empfangen der IP-Paket vom Paketfilter ''iptables'' blockiert wird, muss nachfolgende Regel zum ''iptables''-Regelwerk hinzugefügt werden.
+Um die aktuellen ''iptables''-Regeln erweitern zu können, sollten diese erst einmal aufgelistet werden, was mit nachfolgendem Befehl durchgeführt werden kann:
+<code>
+# iptables -L -nv --line-numbers
+Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
+num   pkts bytes target     prot opt in     out     source               destination
+        0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
+        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0
+        0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
+        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
+        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
+Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
+num   pkts bytes target     prot opt in     out     source               destination
+        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
+Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
+num   pkts bytes target     prot opt in     out     source               destination
+</code>
+Nachfolgender Befehl, fügt folgende ''iptables''-Regel dem ''iptables''-Regelwerk nach der **Position 4** hinzu, ohne das der Paketfilter angehalten werden muss:
+  * <code>-A INPUT -p tcp --dport 8890 -j ACCEPT</code>
+und hier der Befehl:
+<code>
+# iptables -I INPUT 5 -p tcp --dport 8890 -j ACCEPT
+</code>
+Ein erneute Abfrage des ''iptables''-Regelwerts, sollte dann nachfolgend dargestellte Ausgabe ergeben, was mit folgendem Befehl durchgeführt werden kann:
+<code>
+# iptables -L -nv --line-numbers
+Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
+num   pkts bytes target     prot opt in     out     source               destination
+        0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
+        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0
+        0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
+        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
+        0     0 ACCEPT     tcp  --  eth0   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:8890 state NEW
+        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
+Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
+num   pkts bytes target     prot opt in     out     source               destination
+        0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
+Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
+num   pkts bytes target     prot opt in     out     source               destination
+</code>
+Die neue Zeile ist an **Position 5 (INPUT)** zu sehen, hier nachfolgend zur Verdeutlichung noch einmal dargestellt (**nur relevanter Ausschnitt**):
+<code>
+...
+        0     0 ACCEPT     tcp  --  eth0   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:8890 state NEW
+...
+</code>
+Um diese ''iptables''-Regel dauerhaft, auch nach einem Neustart des Server, weiterhin im ''iptables''-Regelwerk zu speichern, muss nachfolgend dargestellter Befehl abschließend noch ausgeführt werden:
+<code>
+# /usr/sbin/iptables-save > /etc/sysconfig/iptables
 </code>
 ===== Konfiguration =====
-==== Konfiguration: DNS-Einträge ====
+==== DNS-Einträge ====
 Nachfolgender Befehl erstellt unter nachfolgenden Voraussetzungen **zwei** **DNS-Records**, welche so dann auf dem entsprechenden **DNS-Server** in der entsprechenden **DNS-Zone** eingetragen werden müssen.
@@ Zeile 333: / Zeile 590: @@
 pub  4096R/C67F36D0 2013-09-22 Klaus Tachtler (klaus) <klaus@tachtler.net>
 sub  4096R/5E4A2AAD 2013-09-22
+</code>
+===== Erster Start OpenPGPKey-milter =====
+Um den [[https://github.com/letoams/openpgpkey-milter|OpenPGPKey-milter]] zu starten kann nachfolgender Befehl angewandt werden:
+<code>
+# systemctl start openpgpkey-milter
+</code>
+Eine Überprüfung ob der Start des [[http://www.opendkim.org/|OpenDKIM]] erfolgreich war kann mit nachfolgendem Befehl durchgeführt werden, welcher eine Ausgabe in etwa wie nachfolgende erzeugen sollte:
+<code>
+# systemctl status openpgpkey-milter
+● openpgpkey-milter.service - OPENPGPKEY auto encryption milter
+   Loaded: loaded (/usr/lib/systemd/system/openpgpkey-milter.service; enabled; vendor preset: disabled)
+   Active: active (running) since Fri 2018-08-31 15:15:15 CEST; 4s ago
+ Main PID: 31380 (openpgpkey-milt)
+   CGroup: /system.slice/openpgpkey-milter.service
+           ├─31380 /usr/bin/python /usr/sbin/openpgpkey-milter
+           └─31381 /usr/bin/python /usr/sbin/openpgpkey-milter
+Aug 31 15:15:15 vml70060.idmz.tachtler.net systemd[1]: Started OPENPGPKEY aut...
+Aug 31 15:15:15 vml70060.idmz.tachtler.net systemd[1]: Starting OPENPGPKEY au...
+Aug 31 15:15:15 vml70060.idmz.tachtler.net openpgpkey-milter[31380]: openpgpk...
+Aug 31 15:15:15 vml70060.idmz.tachtler.net openpgpkey-milter[31380]: starting...
+Hint: Some lines were ellipsized, use -l to show in full.
+</code>
+bzw. mit nachfolgendem Befehl, ob der Dienst/Daemon in der Prozessliste erscheint:
+<code>
+# ps aux | grep openpgpkey-milter
+root     31380  0.7  0.6 235728 13052 ?        Ssl  15:15   0:00 /usr/bin/python /usr/sbin/openpgpkey-milter
+root     31381  0.0  0.4 227532  9532 ?        S    15:15   0:00 /usr/bin/python /usr/sbin/openpgpkey-milter
+root     31450  0.0  0.0 112704   940 pts/0    S+   15:15   0:00 grep --color=auto openpgpkey-milter
+</code>
+===== Konfiguration: Postfix =====
+Nachfolgende Änderungen werden an den Konfigurationsdateien
+  * **''/etc/postfix/main.cf''**
+  * **''/etc/postfix/master.cf''**
+durchgeführt, um eine Anbindung des [[http://www.postfix.org|Postfix]] an den [[https://tools.ietf.org/html/draft-ietf-dane-openpgpkey-03|OpenPGPKey]] zu realisieren.
+Dabei soll die Anbindung von [[http://www.postfix.org|Postfix]] an den [[https://tools.ietf.org/html/draft-ietf-dane-openpgpkey-03|OpenPGPKey]] mit dem Verfahren
+  * **''openpgpkey-milter''** erfolgen.
+==== /etc/postfix/main.cf ====
+Hier die Änderungen an der Konfigurationsdatei **''/etc/postfix/main.cf''**
+(**Nur relevanter Ausschnitt**):
+<code ini>
+...
+# OPENPGPKEY (openphpkey-milter)
+openpgpkey_milter = inet:127.0.0.1:8890
+...
+</code>
+==== /etc/postfix/master.cf ====
+Hier die Änderungen an der Konfigurationsdatei **''/etc/postfix/master.cf''**
+(**Nur relevanter Ausschnitt**):
+<code ini>
+# Tachtler - new -
+# Outgoing traffic, BACK from amavisd-new from smtpd_proxy_filter.
+.168.0.60:10025     inet  n       -       n       -       -       smtpd
+  -o content_filter=
+  -o smtpd_proxy_filter=
+#  -o smtpd_milters=
+#  -o smtpd_milters=${opendkim_milter}
+  -o smtpd_milters=${openpgpkey_milter},${opendkim_milter}
+  -o smtpd_authorized_xforward_hosts=127.0.0.0/8,192.168.0.0/24,88.217.171.167/32
+  -o smtpd_client_restrictions=
+  -o smtpd_helo_restrictions=
+  -o smtpd_sender_restrictions=
+  -o smtpd_relay_restrictions=
+  -o smtpd_recipient_restrictions=permit_mynetworks,reject
+  -o smtpd_data_restrictions=
+  -o mynetworks=0.0.0.0/32,127.0.0.0/8,192.168.0.0/24,88.217.171.167/32
+  -o receive_override_options=no_unknown_recipient_checks
+# Tachtler - new -
+# Outgoing traffic, BACK from amavisd-new from content_filter.
+.168.0.60:10027     inet  n       -       n       -       -       smtpd
+  -o content_filter=
+  -o smtpd_proxy_filter=
+#  -o smtpd_milters=
+#  -o smtpd_milters=${opendkim_milter}
+  -o smtpd_milters=${openpgpkey_milter},${opendkim_milter}
+  -o smtpd_authorized_xforward_hosts=127.0.0.0/8,192.168.0.0/24,88.217.171.167/32
+  -o smtpd_delay_reject=no
+  -o smtpd_client_restrictions=
+  -o smtpd_helo_restrictions=
+  -o smtpd_sender_restrictions=
+  -o smtpd_relay_restrictions=
+  -o smtpd_recipient_restrictions=permit_mynetworks,reject
+  -o smtpd_data_restrictions=reject_unauth_pipelining
+  -o smtpd_end_of_data_restrictions=
+  -o smtpd_restriction_classes=
+  -o mynetworks=0.0.0.0/32,127.0.0.0/8,192.168.0.0/24,88.217.171.167/32
+  -o smtpd_error_sleep_time=0
+  -o smtpd_soft_error_limit=1001
+  -o smtpd_hard_error_limit=1000
+  -o smtpd_client_connection_count_limit=0
+  -o smtpd_client_connection_rate_limit=0
+#  -o receive_override_options=no_header_body_checks,no_unknown_recipient_checks,no_milters
+  -o receive_override_options=no_header_body_checks,no_unknown_recipient_checks
+  -o local_header_rewrite_clients=
+...
+</code>
+**__Nachfolgend Erklärungen zu den WICHTIGSTEN Konfigurationen:__**
+  * <code ini> -o smtpd_milters=${openpgpkey_milter},${opendkim_milter}</code>
+Die Option sorgt dafür, dass dem Parameter ''smtpd_milter'' der Inhalt des Parameters ''openpgpkey_milter'' übergeben wird. **Falls mehrere MILTER zum Einsatz kommen, wird hier die __Reihenfolge__ festgelegt, in der diese aufgerufen werden!**
+:!: **ACHTUNG** - **Falls ein ''opendkim_milter'' ebenfalls zum Einsatz kommt, __MUSS__ der ''openpgpkey_milter'' __VOR__ dem ''opendkim_milter'' zum Einsatz kommen, da sonst die DKIM-Signatur __zerstört__ wird !!!**
+===== Neustart MTA Postfix =====
+Falls vorstehende Änderungen (natürlich an die jeweiligen Bedürfnisse angepasst) durchgeführt wurden, muss ein **Neustart** von [[http://www.postfix.org|Postfix]] durchgeführt werden.
+Danach kann der **postfix**-Server mit nachfolgendem Befehle **__neu__** gestartet werden:
+<code>
+# systemctl restart postfix
+</code>
+Mit nachfolgendem Befehl kann der Status des  abgefragt werden:
+<code>
+# systemctl status postfix
+postfix.service - Postfix Mail Transport Agent
+   Loaded: loaded (/usr/lib/systemd/system/postfix.service; enabled)
+   Active: active (running) since Thu 2015-10-15 11:11:26 CEST; 7s ago
+  Process: 1128 ExecStop=/usr/sbin/postfix stop (code=exited, status=0/SUCCESS)
+  Process: 1144 ExecStart=/usr/sbin/postfix start (code=exited, status=0/SUCCESS)
+  Process: 1141 ExecStartPre=/usr/libexec/postfix/chroot-update (code=exited, status=0/SUCCESS)
+  Process: 1138 ExecStartPre=/usr/libexec/postfix/aliasesdb (code=exited, status=0/SUCCESS)
+ Main PID: 1216 (master)
+   CGroup: /system.slice/postfix.service
+           ├─1216 /usr/libexec/postfix/master -w
+           ├─1217 pickup -l -t unix -u -o content_filter=lmtp:[192.168.0.70]...
+           └─1218 qmgr -l -t unix -u
+Oct 15 11:11:26 server60.idmz.tachtler.net systemd[1]: Starting Postfix Mail...
+Oct 15 11:11:26 server60.idmz.tachtler.net postfix/postfix-script[1214]: sta...
+Oct 15 11:11:26 server60.idmz.tachtler.net postfix/master[1216]: daemon star...
+Oct 15 11:11:26 server60.idmz.tachtler.net systemd[1]: Started Postfix Mail ...
+Hint: Some lines were ellipsized, use -l to show in full.
 </code>