index.html 34 KB

123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116117118119120121122123124125126127128129130131132133134135136137138139140141142143144145146147148149150151152153154155156157158159160161162163164165166167168169170171172173174175176177178179180181182183184185186187188189190191192193194195196197198199200201202203204205206207208209210211212213214215216217218219220221222223224225226227228229230231232233234235236237238239240241242243244245246247248249250251252253254255256257258259260261262263264265266267268269270271272273274275276277278279280281282283284285286287288289290291292293294295296297298299300301302303304305306307308309310311312313314315316317318319320321322323324325326327328329330331332333334335336337338339340341342343344345346347348349350351352353354355356357358359360361362363364365366367368369370371372373374375376377378379380381382383384385386387388389390391392393394395396397398399400401402403404405406407408409410411412413414415416417418419420421422423424425426427428429430431432433434435436437438439440441442443444445446447448449450451452453454455456457458459460461462463464465466467468469470471472473474475476477478479480481482483484485486487488489490491492493494495496497498499500501502503504505506507508509510511512513514515516517518519520521522523524525526527528529530531532533534535536537538539540541542543544545546547548549550551552553554555556557558559560561562563564565566567568569570571572573574575576577578579580581582583584585586587588589590591592593594595596597598599600601602603604605606607608609610611612613614615616617618619620621622623624625626627628629630631632633634635636637638639640641642643644645646647648649650651652653654655656657658659660661662663664665666667668669670671672673674675676677678679680681682683684685686687688689690691692693694695696697698
  1. <!DOCTYPE html>
  2. <!--[if IE 8]><html class="no-js lt-ie9" lang="en" > <![endif]-->
  3. <!--[if gt IE 8]><!--> <html class="no-js" lang="en" > <!--<![endif]-->
  4. <head>
  5. <meta charset="utf-8">
  6. <meta http-equiv="X-UA-Compatible" content="IE=edge">
  7. <meta name="viewport" content="width=device-width, initial-scale=1.0">
  8. <link rel="shortcut icon" href="../img/favicon.ico">
  9. <title>Ajout des enregistrements **spf**, **DKIM**, **DMARC** au fichier de zone DNS - Les Tutoriels du Yojik</title>
  10. <link rel="stylesheet" href="../css/theme.css" />
  11. <link rel="stylesheet" href="../css/theme_extra.css" />
  12. <link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/styles/github.min.css" />
  13. <script>
  14. // Current page data
  15. var mkdocs_page_name = "Ajout des enregistrements **spf**, **DKIM**, **DMARC** au fichier de zone DNS";
  16. var mkdocs_page_input_path = "Courrier-SPF-DKIM-OPENDMARC.md";
  17. var mkdocs_page_url = null;
  18. </script>
  19. <script src="../js/jquery-2.1.1.min.js" defer></script>
  20. <script src="../js/modernizr-2.8.3.min.js" defer></script>
  21. <script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/highlight.min.js"></script>
  22. <script>hljs.initHighlightingOnLoad();</script>
  23. </head>
  24. <body class="wy-body-for-nav" role="document">
  25. <div class="wy-grid-for-nav">
  26. <nav data-toggle="wy-nav-shift" class="wy-nav-side stickynav">
  27. <div class="wy-side-scroll">
  28. <div class="wy-side-nav-search">
  29. <a href=".." class="icon icon-home"> Les Tutoriels du Yojik</a>
  30. <div role="search">
  31. <form id ="rtd-search-form" class="wy-form" action="../search.html" method="get">
  32. <input type="text" name="q" placeholder="Search docs" title="Type search term here" />
  33. </form>
  34. </div>
  35. </div>
  36. <div class="wy-menu wy-menu-vertical" data-spy="affix" role="navigation" aria-label="main navigation">
  37. <p class="caption"><span class="caption-text">Installation d'un serveur sécurisé, version Debian/Stretch (obsolète)</span></p>
  38. <ul>
  39. <li class="toctree-l1"><a class="reference internal" href="..">Présentation</a>
  40. </li>
  41. </ul>
  42. <p class="caption"><span class="caption-text">Installation</span></p>
  43. <ul class="current">
  44. <li class="toctree-l1"><a class="reference internal" href="../Installation-de-base/">Installation du système de base</a>
  45. </li>
  46. <li class="toctree-l1"><a class="reference internal" href="../ovh/">Démarrage sur serveur OVH</a>
  47. </li>
  48. <li class="toctree-l1"><a class="reference internal" href="../Premi%C3%A8re-Etape-S%C3%A9curisation/">Première étapes de sécurisation du serveur</a>
  49. </li>
  50. <li class="toctree-l1"><a class="reference internal" href="../Configuration-R%C3%A9seau/">Configuration du réseau</a>
  51. </li>
  52. <li class="toctree-l1"><a class="reference internal" href="../Installation-Serveur-Temps/">Installation d'un serveur de temps</a>
  53. </li>
  54. <li class="toctree-l1"><a class="reference internal" href="../Installation-Parre-Feu/">Installation d'un pare-feu</a>
  55. </li>
  56. <li class="toctree-l1"><a class="reference internal" href="../Installation-Fail2ban/">Contrer les attaques de brute-force avec fail2ban</a>
  57. </li>
  58. <li class="toctree-l1"><a class="reference internal" href="../Installation-Serveur-Courrier-Basique/">Installation d'un serveur de courrier basique</a>
  59. </li>
  60. <li class="toctree-l1"><a class="reference internal" href="../Installation-Serveur-DNS/">Installation du serveur DNS</a>
  61. </li>
  62. <li class="toctree-l1"><a class="reference internal" href="../Installation-Serveur-Web/">Installation d'un serveur web</a>
  63. </li>
  64. <li class="toctree-l1"><a class="reference internal" href="../Installation-Dovecot-Authentification/">Installation de dovecot et de l'authentification</a>
  65. </li>
  66. <li class="toctree-l1"><a class="reference internal" href="../Installation-Certificats-Letsencrypt/">Installation des certificats letsencrypt</a>
  67. </li>
  68. <li class="toctree-l1 current"><a class="reference internal current" href="./">Ajout des enregistrements **spf**, **DKIM**, **DMARC** au fichier de zone DNS</a>
  69. <ul class="current">
  70. <li class="toctree-l2"><a class="reference internal" href="#spf">SPF</a>
  71. <ul>
  72. <li class="toctree-l3"><a class="reference internal" href="#ajout-des-enregistrements-spf-au-fichier-de-zone-dns">Ajout des enregistrements spf au fichier de zone DNS</a>
  73. </li>
  74. <li class="toctree-l3"><a class="reference internal" href="#installation-des-logiciels-necessaires">Installation des logiciels nécessaires</a>
  75. </li>
  76. <li class="toctree-l3"><a class="reference internal" href="#configuration-de-postfix-mastercf">Configuration de postfix: master.cf</a>
  77. </li>
  78. <li class="toctree-l3"><a class="reference internal" href="#configuration-de-postfix-maincf">Configuration de postfix: main.cf</a>
  79. </li>
  80. <li class="toctree-l3"><a class="reference internal" href="#test">Test</a>
  81. </li>
  82. </ul>
  83. </li>
  84. <li class="toctree-l2"><a class="reference internal" href="#dkim">DKIM</a>
  85. <ul>
  86. <li class="toctree-l3"><a class="reference internal" href="#configuration-de-dkim">Configuration de DKIM</a>
  87. </li>
  88. <li class="toctree-l3"><a class="reference internal" href="#ajout-de-dkim-a-postix">Ajout de DKIM à Postix</a>
  89. </li>
  90. <li class="toctree-l3"><a class="reference internal" href="#ajout-dun-enregistrement-dns">Ajout d'un enregistrement DNS</a>
  91. </li>
  92. <li class="toctree-l3"><a class="reference internal" href="#test-de-opendkim">Test de Opendkim</a>
  93. </li>
  94. <li class="toctree-l3"><a class="reference internal" href="#notes">Notes</a>
  95. </li>
  96. <li class="toctree-l3"><a class="reference internal" href="#nouveau-test">Nouveau Test</a>
  97. </li>
  98. </ul>
  99. </li>
  100. <li class="toctree-l2"><a class="reference internal" href="#adsp">ADSP</a>
  101. </li>
  102. <li class="toctree-l2"><a class="reference internal" href="#dmarc">DMARC</a>
  103. <ul>
  104. <li class="toctree-l3"><a class="reference internal" href="#installation-de-opendmarc">Installation de Opendmarc</a>
  105. </li>
  106. <li class="toctree-l3"><a class="reference internal" href="#configuration-de-opendmarc">Configuration de Opendmarc</a>
  107. </li>
  108. </ul>
  109. </li>
  110. </ul>
  111. </li>
  112. <li class="toctree-l1"><a class="reference internal" href="../Courrier-Comptes-Virtuels/">Ajout des comptes émail virtuels</a>
  113. </li>
  114. <li class="toctree-l1"><a class="reference internal" href="../Surveillance-Serveur/">Installation de programmes de surveillance du serveur</a>
  115. </li>
  116. <li class="toctree-l1"><a class="reference internal" href="../Installation-Webmail/">Installation d'un webmail (rainloop)</a>
  117. </li>
  118. <li class="toctree-l1"><a class="reference internal" href="../S%C3%A9curisation-Serveur-Web/">Sécurisation d'un serveur WEB</a>
  119. </li>
  120. </ul>
  121. </div>
  122. </div>
  123. </nav>
  124. <section data-toggle="wy-nav-shift" class="wy-nav-content-wrap">
  125. <nav class="wy-nav-top" role="navigation" aria-label="top navigation">
  126. <i data-toggle="wy-nav-top" class="fa fa-bars"></i>
  127. <a href="..">Les Tutoriels du Yojik</a>
  128. </nav>
  129. <div class="wy-nav-content">
  130. <div class="rst-content">
  131. <div role="navigation" aria-label="breadcrumbs navigation">
  132. <ul class="wy-breadcrumbs">
  133. <li><a href="..">Docs</a> &raquo;</li>
  134. <li>Installation &raquo;</li>
  135. <li>Ajout des enregistrements **spf**, **DKIM**, **DMARC** au fichier de zone DNS</li>
  136. <li class="wy-breadcrumbs-aside">
  137. </li>
  138. </ul>
  139. <hr/>
  140. </div>
  141. <div role="main">
  142. <div class="section">
  143. <h1 id="spf-dkim-opendmarc">SPF, DKIM, OPENDMARC</h1>
  144. <h2 id="spf">SPF</h2>
  145. <h3 id="ajout-des-enregistrements-spf-au-fichier-de-zone-dns">Ajout des enregistrements <strong>spf</strong> au fichier de zone DNS</h3>
  146. <p>Nous allons maintenant ajouter un enregistrement <strong>spf</strong> à notre configuration. SPF est un enregistrement qui déclare quelle machine est responsable et autorisée à envoyer des mails pour notre domaine. Cela permet d'éviter que nos mails soient considérés comme du <strong>spam</strong>.</p>
  147. <p>La syntaxe de la ligne à ajouter est assez simple. Il existe des générateurs de ligne SPF, comme:</p>
  148. <ul>
  149. <li><a href="https://www.spfwizard.net/">spfwizard</a></li>
  150. </ul>
  151. <p>ou</p>
  152. <ul>
  153. <li><a href="https://mxtoolbox.com/SPFRecordGenerator.aspx">mxtoolbox</a>.</li>
  154. </ul>
  155. <p>Le site <a href="http://www.openspf.org/">openspf</a> contient tout ce qu'il faut savoir à propos de SPF, syntaxe, paramètres etc ...</p>
  156. <p>Pour mon serveur, j'ai choisi une politique stricte de rejet des mails qui ne viennent pas d'une source autorisée.</p>
  157. <p>Voici la ligne à rajouter au fichier de zone. C'est le paramètre "-all" qui détermine la politique (de rejet ici). Nous aurions pu mettre <strong>~all</strong> pour une politique moins stricte. (notez le <strong>~</strong> à la place du <strong>-</strong>)</p>
  158. <pre><code>; spf
  159. yojik.net. IN TXT "v=spf1 a mx mx:adara.yojik.net a:adara.yojik.net -all"
  160. yojik.net. IN SPF "v=spf1 a mx mx:adara.yojik.net a:adara.yojik.net -all"
  161. </code></pre>
  162. <p>On recharge bind pour la prise en compte des modifications:</p>
  163. <pre><code>service bind9 restart
  164. </code></pre>
  165. <p>Il nous reste à configurer postfix pour prendre en compte cet enregistrement et effectuer les validations.</p>
  166. <h3 id="installation-des-logiciels-necessaires">Installation des logiciels nécessaires</h3>
  167. <pre><code>root@atom:/etc/bind# apt-get install postfix-policyd-spf-python
  168. Lecture des listes de paquets... Fait
  169. Construction de l'arbre des dépendances
  170. Lecture des informations d'état... Fait
  171. The following additional packages will be installed:
  172. python3-authres python3-dns python3-spf
  173. Paquets suggérés :
  174. python3-yaml
  175. Les NOUVEAUX paquets suivants seront installés :
  176. postfix-policyd-spf-python python3-authres python3-dns python3-spf
  177. 0 mis à jour, 4 nouvellement installés, 0 à enlever et 12 non mis à jour.
  178. Il est nécessaire de prendre 153 ko dans les archives.
  179. Après cette opération, 494 ko d'espace disque supplémentaires seront utilisés.
  180. Souhaitez-vous continuer ? [O/n] o
  181. Réception de:1 http://deb.debian.org/debian stretch/main amd64 python3-dns all 3.1.1-1 [27,5 kB]
  182. Réception de:2 http://deb.debian.org/debian stretch/main amd64 python3-authres all 0.900-1 [17,5 kB]
  183. Réception de:3 http://deb.debian.org/debian stretch/main amd64 python3-spf all 2.0.12t-3 [64,1 kB]
  184. Réception de:4 http://deb.debian.org/debian stretch/main amd64 postfix-policyd-spf-python all 2.0.1-1 [43,8 kB]
  185. 153 ko réceptionnés en 0s (1 533 ko/s)
  186. Sélection du paquet python3-dns précédemment désélectionné.
  187. (Lecture de la base de données... 40435 fichiers et répertoires déjà installés.)
  188. Préparation du dépaquetage de .../python3-dns_3.1.1-1_all.deb ...
  189. Dépaquetage de python3-dns (3.1.1-1) ...
  190. Sélection du paquet python3-authres précédemment désélectionné.
  191. Préparation du dépaquetage de .../python3-authres_0.900-1_all.deb ...
  192. Dépaquetage de python3-authres (0.900-1) ...
  193. Sélection du paquet python3-spf précédemment désélectionné.
  194. Préparation du dépaquetage de .../python3-spf_2.0.12t-3_all.deb ...
  195. Dépaquetage de python3-spf (2.0.12t-3) ...
  196. Sélection du paquet postfix-policyd-spf-python précédemment désélectionné.
  197. Préparation du dépaquetage de .../postfix-policyd-spf-python_2.0.1-1_all.deb ...
  198. Dépaquetage de postfix-policyd-spf-python (2.0.1-1) ...
  199. Paramétrage de python3-authres (0.900-1) ...
  200. Paramétrage de python3-dns (3.1.1-1) ...
  201. Traitement des actions différées (« triggers ») pour man-db (2.7.6.1-2) ...
  202. Paramétrage de python3-spf (2.0.12t-3) ...
  203. Paramétrage de postfix-policyd-spf-python (2.0.1-1) ...
  204. root@atom:/etc/bind#
  205. </code></pre>
  206. <h3 id="configuration-de-postfix-mastercf">Configuration de postfix: master.cf</h3>
  207. <p>Dans le fichier /etc/postfix/master.cf, il faut rajouter le service suivant:</p>
  208. <pre><code>policyd-spf unix - n n - 0 spawn
  209. user=policyd-spf argv=/usr/bin/policyd-spf
  210. </code></pre>
  211. <h3 id="configuration-de-postfix-maincf">Configuration de postfix: main.cf</h3>
  212. <p>Il nous faut ajouter la règle correspondante dans la lsite des restrictions de main.cf. Bien afire attention de positionner <strong>check_policy_service</strong> APRÈS <strong>reject_unauth_destination</strong>, sinon, votre serveur mail devient <strong>openrelay</strong>!</p>
  213. <pre><code>smtpd_recipient_restrictions =
  214. ...
  215. reject_unauth_destination
  216. check_policy_service unix:private/policyd-spf
  217. ...
  218. policyd-spf_time_limit = 3600
  219. </code></pre>
  220. <p>Relancez <strong>postfix</strong>:</p>
  221. <pre><code>service postfix restart
  222. </code></pre>
  223. <h3 id="test">Test</h3>
  224. <p>Je teste ma configuration sur les sites:</p>
  225. <ul>
  226. <li><a href="https://mxtoolbox.com/">Mxtoolbox</a></li>
  227. <li><a href="https://kitterman.com/spf/validate.html">Kitterman</a></li>
  228. <li><a href="https://www.mail-tester.com/spf-dkim-check">Mail-tester</a></li>
  229. </ul>
  230. <p>Les tests ne fonctionnent pas ... en fait, cela vient de la config IPV6 du serveur. La configuration automatique avec privext 2 donne plusieurs adresses IPV6 à la machine (avec le même préfixe, bien sûr). Mais l'adresse de la machine ne correspond plus à l'adresse de la machine déclarée dans bind. Et SPF ne peut plus fonctionner.</p>
  231. <p>La solution a été de configurer manuellement l'adresse IPV6 dans /etc/network/interfaces de la façon suivante:</p>
  232. <pre><code>iface enp2s0 inet6 static
  233. address 2a01:e0a:54:c220:3aea:a7ff:fea6:cf93
  234. netmask 64
  235. gateway 2a01:e0a:54:c220:OOOO:0000:000:0001
  236. </code></pre>
  237. <p>On va aussi modifier la configuration de Postfix pour permettre l'envoi de messages de l'extérieur de la machine (uniquement les utilisateurs enregistrés, bien sûr).</p>
  238. <p>J'ai modifié /etc/postfix/main.cf de la façon suivante: j'ai ajouté ceci au fichier:</p>
  239. <pre><code>smtpd_recipient_restrictions =
  240. permit_sasl_authenticated,
  241. permit_mynetworks,
  242. reject_unauth_destination,
  243. check_policy_service unix:private/policyd-spf
  244. </code></pre>
  245. <p>et commenté les lignes correspondantes dans la section submission et smtps du fichier /etc/postfix/master.cf:</p>
  246. <pre><code># -o smtpd_sender_restrictions=$mua_sender_restrictions
  247. </code></pre>
  248. <p>J'ai simplement transféré les restrictions <strong>smtpd_sender_restrictions</strong> qui étaient dans main.cf dans master.cf.</p>
  249. <p>Après modifications, tout marche comme il faut, vérification SPF comprise.</p>
  250. <pre><code>root@atom:/home/ericadmin# tail -f /var/log/mail.log
  251. May 28 11:58:06 atom dovecot: imap-login: Login: user=&lt;ericadmin&gt;, method=PLAIN, rip=192.168.111.150, lip=192.168.111.240, mpid=1901, TLS, session=&lt;I0V6J0FtWODAqG+W&gt;
  252. May 28 11:58:26 atom postfix/smtpd[1902]: connect from adara.yojik.eu[91.121.72.10]
  253. May 28 11:58:26 atom policyd-spf[1907]: prepend Received-SPF: Pass (mailfrom) identity=mailfrom; client-ip=91.121.72.10; helo=adara.yojik.eu; envelope-from=eric@yojik.eu; receiver=&lt;UNKNOWN&gt;
  254. May 28 11:58:26 atom postfix/smtpd[1902]: C701DD004F2: client=adara.yojik.eu[91.121.72.10]
  255. May 28 11:58:26 atom postfix/cleanup[1908]: C701DD004F2: message-id=&lt;4c621385-3822-cb78-9c1d-7e9f43c3fc52@yojik.eu&gt;
  256. May 28 11:58:26 atom postfix/qmgr[867]: C701DD004F2: from=&lt;eric@yojik.eu&gt;, size=1414, nrcpt=1 (queue active)
  257. May 28 11:58:26 atom postfix/smtpd[1902]: disconnect from adara.yojik.eu[91.121.72.10] ehlo=2 starttls=1 mail=1 rcpt=1 data=1 quit=1 commands=7
  258. May 28 11:58:26 atom postfix/local[1909]: C701DD004F2: to=&lt;ericadmin@yojik.net&gt;, relay=local, delay=0.23, delays=0.21/0.01/0/0, dsn=2.0.0, status=sent (delivered to maildir)
  259. May 28 11:58:26 atom postfix/qmgr[867]: C701DD004F2: removed
  260. May 28 11:59:00 atom dovecot: imap-login: Login: user=&lt;ericadmin&gt;, method=PLAIN, rip=192.168.111.150, lip=192.168.111.240, mpid=1915, TLS, session=&lt;FoqwKkFtduDAqG+W&gt;
  261. </code></pre>
  262. <p>La ligne <strong>May 28 11:43:12 atom policyd-spf[1830]: prepend Received-SPF:Pass (mailfrom) identity=mailfrom;</strong> montre que notre contrôle SPF fonctionne comme il faut.</p>
  263. <h2 id="dkim">DKIM</h2>
  264. <p>DKIM (DomainKeys Identified Mail) est un système qui vous permet d'ajouter aux entêtes de vos émails une signature qui vous identifie et qui permet aux autres serveurs mails de la vérifier. L'entête peut être configuré pour garantir que le mail n'a pas été modifié après signature (on peut générer une clef qui signe tout ou partie du message, selon configuration)</p>
  265. <p>L'installation et la configuration de DKIM nécessite 3 étapes:</p>
  266. <h3 id="configuration-de-dkim">Configuration de DKIM</h3>
  267. <p>Nous commençons par l'installation de opendkim.</p>
  268. <pre><code>root@atom:/home/ericadmin# apt install opendkim
  269. Lecture des listes de paquets... Fait
  270. Construction de l'arbre des dépendances
  271. Lecture des informations d'état... Fait
  272. The following additional packages will be installed:
  273. dns-root-data liblua5.1-0 libmemcached11 libmemcachedutil2 libmilter1.0.1 libopendbx1 libopendbx1-sqlite3 libopendkim11 librbl1 libunbound2 libvbr2
  274. Paquets suggérés :
  275. ... etc ...
  276. </code></pre>
  277. <p>Une fois installé, nous allons configurer opendkim: cela se fait dans le fichier /etc/opendkim.conf</p>
  278. <p>Création des répertoires:</p>
  279. <pre><code>mkdir -p /etc/opendkim/keys/yojik.net/
  280. </code></pre>
  281. <p>Permissions:</p>
  282. <pre><code>chmod u=rw,go=r /etc/opendkim.conf
  283. chown -R opendkim:opendkim /etc/opendkim
  284. chmod go-rw /etc/opendkim/keys
  285. </code></pre>
  286. <p>Un fichier opendkim.conf entièrement commenté est disponible dans:</p>
  287. <pre><code>/usr/share/doc/opendkim/examples
  288. </code></pre>
  289. <p>Voici notre fichier de configuration; adaptez-le en fonction de votre domaine, bien sûr:</p>
  290. <pre><code># This is a basic configuration that can easily be adapted to suit a standard
  291. # installation. For more advanced options, see opendkim.conf(5) and/or
  292. # /usr/share/doc/opendkim/examples/opendkim.conf.sample.
  293. # Log to syslog
  294. Syslog yes
  295. # Required to use local socket with MTAs that access the socket as a non-
  296. # privileged user (e.g. Postfix)
  297. ## UMask 002
  298. # Sign for example.com with key in /etc/mail/dkim.key using
  299. # selector '2007' (e.g. 2007._domainkey.example.com)
  300. Domain yojik.net
  301. KeyFile /etc/opendkim/keys/yojik.net/yojik.private
  302. Selector yojik
  303. # Commonly-used options; the commented-out versions show the defaults.
  304. #Canonicalization simple
  305. #Mode sv
  306. #SubDomains no
  307. #ADSPAction continue
  308. # Always oversign From (sign using actual From and a null From to prevent
  309. # malicious signatures header fields (From and/or others) between the signer
  310. # and the verifier. From is oversigned by default in the Debian pacakge
  311. # because it is often the identity key used by reputation systems and thus
  312. # somewhat security sensitive.
  313. OversignHeaders From
  314. # List domains to use for RFC 6541 DKIM Authorized Third-Party Signatures
  315. # (ATPS) (experimental)
  316. #ATPSDomains example.com
  317. AutoRestart Yes
  318. AutoRestartRate 10/1h
  319. UMask 002
  320. Syslog yes
  321. SyslogSuccess Yes
  322. LogWhy Yes
  323. Canonicalization relaxed/simple
  324. ExternalIgnoreList refile:/etc/opendkim/TrustedHosts
  325. InternalHosts refile:/etc/opendkim/TrustedHosts
  326. KeyTable refile:/etc/opendkim/KeyTable
  327. SigningTable refile:/etc/opendkim/SigningTable
  328. Mode sv
  329. PidFile /var/run/opendkim/opendkim.pid
  330. SignatureAlgorithm rsa-sha256
  331. UserID opendkim:opendkim
  332. Socket inet:12301@localhost
  333. </code></pre>
  334. <p>Postix accédera à opendkim à travers le port 12301.</p>
  335. <p>Il nous reste 3 fichiers à configurer/créer, ainsi que générer les clefs privées et publiques.</p>
  336. <ul>
  337. <li>/etc/opendkim/SigningTable</li>
  338. </ul>
  339. <p>Ce fichier ne contient qu'une seule ligne:</p>
  340. <pre><code> `*@yojik.net yojik._domainkey.yojik.net`
  341. </code></pre>
  342. <ul>
  343. <li>/etc/opendkim/KeyTable</li>
  344. </ul>
  345. <p>Ce fichier ne contient qu'une seule ligne:</p>
  346. <pre><code> yojik._domainkey.yojik.net yojik.net:yojik:/etc/opendkim/keys/yojik.net/yojik.private
  347. </code></pre>
  348. <ul>
  349. <li>
  350. <p>/etc/opendkim/TrustedHosts</p>
  351. <pre><code>127.0.0.1
  352. ::1
  353. localhost
  354. yojik.net
  355. </code></pre>
  356. <p>Ne pas modifier les 3 premières lignes qui sont nécessaires à opendkim ...</p>
  357. </li>
  358. <li>
  359. <p>Création des clefs publiques et privées</p>
  360. <pre><code>cd /etc/opendkim/keys/yojik.net/
  361. opendkim-genkey -b 2048 -h rsa-sha256 -r -s yojik -d yojik.net -v
  362. </code></pre>
  363. <p>Une erreur apparaît: il nous faut installer opendkim-tools:</p>
  364. <pre><code>apt install opendkim-tools
  365. </code></pre>
  366. <p>2 fichiers sont crées: la clef publique et la clef privée. Nous allons renommer ces 2 clefs.</p>
  367. <pre><code>mv mv 201805.private yojik.private
  368. mv 201805.txt yojik.txt
  369. </code></pre>
  370. <p>Note du 9 décembre 2018: les fichiers sont crées avec les noms corrects; pas besoin de les renommer.</p>
  371. <p>On réapplique la modification des permissions:</p>
  372. <pre><code>root@atom:/etc/opendkim/keys# cd /etc
  373. root@atom:/etc# chown -R opendkim:opendkim /etc/opendkim
  374. root@atom:/etc# chmod -R go-rw /etc/opendkim/keys
  375. root@atom:/etc#
  376. </code></pre>
  377. <p>On relance opendkim pour voir s'il y a des erreurs:</p>
  378. <pre><code>systemctl restart opendkim
  379. </code></pre>
  380. <p>On lance:</p>
  381. <pre><code>netstat -tlnp
  382. </code></pre>
  383. <p>et on voit la ligne:</p>
  384. <pre><code>tcp 0 0 127.0.0.1:12301 0.0.0.0:* LISTEN 2395/opendkim
  385. </code></pre>
  386. <p>C'est bon .. le service est en place.</p>
  387. </li>
  388. </ul>
  389. <h3 id="ajout-de-dkim-a-postix">Ajout de DKIM à Postix</h3>
  390. <p>On va rajouter la gestion de DKIM à Postfix dans le fichier /etc/postfix/main.cf</p>
  391. <p>On ajoute les lignes suivantes:</p>
  392. <pre><code>milter_default_action = accept
  393. milter_protocol = 2
  394. smtpd_milters = inet:localhost:12301
  395. non_smtpd_milters = inet:localhost:12301
  396. </code></pre>
  397. <p>On relance Postfix par:</p>
  398. <pre><code>service postfix restart
  399. </code></pre>
  400. <h3 id="ajout-dun-enregistrement-dns">Ajout d'un enregistrement DNS</h3>
  401. <p>On ajoute la partie entre double-quotes du fichier /etc/opendkim/keys/yojik.net/yojik.txt à la ligne suivante:</p>
  402. <p>Attention à la syntaxe: ne pas oublier le "." derrière yojik.net!</p>
  403. <pre><code>yojik._domainkey.yojik.net.&lt;&gt;IN&lt;-&gt;TXT&lt;&gt;( "v=DKIM1; h=rsa-sha256; k=rsa; s=email; p=;")
  404. </code></pre>
  405. <p>Ajouter la clef derrière p= (supprimer les doubles quotes du début, milieu et fin de clef: ex:</p>
  406. <pre><code>"ljjoj" "dfjj")
  407. </code></pre>
  408. <h3 id="test-de-opendkim">Test de Opendkim</h3>
  409. <pre><code>opendkim-testkey -d yojik.net -s yojik
  410. </code></pre>
  411. <p>Si votre clef est de longueur 2048, il va falloir la découper ... et utiliser le format "multi-lignes" comme ce qui suit:</p>
  412. <h3 id="notes">Notes</h3>
  413. <ul>
  414. <li>Une chose à vérifier: le point "." à la fin du nom de domaine (première partie de la ligne). Les messages d'erreur style "erreur de syntaxe" n'aident pas beaucoup ...</li>
  415. </ul>
  416. <p>Cette fois-ci, tout est bon.</p>
  417. <ul>
  418. <li>J'ai adopté une technique pour coller ma clef dans l'enregistrement dns: je fais un:<pre><code>cat fichier_de_zone fichier_de_clef &gt; fichier_de_zone.new
  419. </code></pre>
  420. </li>
  421. </ul>
  422. <p>J'édite le fichier (les retours-chariot etc ...) et je remplace le fichier original (que je sauve d'abord) en incrémentant le numero de série dans le fichier.</p>
  423. <h3 id="nouveau-test">Nouveau Test</h3>
  424. <p>On envoie un message pour voir s'il est bien signé.</p>
  425. <p>Je redémarre le serveur et j'envoie un message.</p>
  426. <p>Voilà les résultats:</p>
  427. <pre><code>&gt; ARC-Authentication-Results: i=1; mx.google.com;
  428. &gt; dkim=pass header.i=@yojik.net header.s=yojik header.b=CE0b13ii;
  429. &gt; spf=pass (google.com: domain of ericadmin@yojik.net designates 82.64.48.5 as permitted sender) &gt; smtp.mailfrom=ericadmin@yojik.net
  430. &gt; Received-SPF: pass (google.com: domain of ericadmin@yojik.net designates 82.64.48.5 as permitted sender) &gt; client-ip=82.64.48.5;
  431. &gt; Authentication-Results: mx.google.com;
  432. &gt; dkim=pass header.i=@yojik.net header.s=yojik header.b=CE0b13ii;
  433. &gt; spf=pass (google.com: domain of ericadmin@yojik.net designates 82.64.48.5 as permitted sender) &gt; smtp.mailfrom=ericadmin@yojik.net
  434. &gt; Received: from [192.168.111.150] (unknown [192.168.111.150])
  435. &gt; by atom.yojik.net (Postfix) with ESMTPSA id AFB9ED004F3
  436. &gt; for &lt;ericounet26200@gmail.com&gt;; Thu, 31 May 2018 12:09:41 +0200 (CEST)
  437. &gt; DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=yojik.net; s=yojik;
  438. &gt; t=1527761381; bh=ay9Odp/rKTenfDlpDmHqBM+YFfCITM3u/keXU6iwx20=;
  439. &gt; h=To:From:Subject:Date:From;
  440. &gt; b=CE0b13iiZgEQgrd7EngBovulGeU6QnSU/cKzia42u9s9B+S/dxUsm1u7JRjBrTLLg
  441. &gt; /c/uW05pdE5QS+9y3dvZtji0hogr0H87nRpZE7QBZaFLpVWGpUTukRsJ47JskO+Cwi
  442. &gt; 4cRYjeyUOLTY8Gc8uQaiS79CDko8E107fsfoUGV8=
  443. </code></pre>
  444. <p>Tout est bon ....</p>
  445. <p><strong>IL est recommandé de changer les clefs DKIM tous les mois!</strong> ... Je pense qu'il va falloir créer des scripts pour toute la maintenance des clefs et de leur renouvellement.</p>
  446. <h2 id="adsp">ADSP</h2>
  447. <p>Author Domain Signing Practices (ADSP)Permalink (technique obsolète ...)</p>
  448. <p>Nous allons rajouter un enregistrement DNS qui va indiquer que tous les émails issus par yojik.net doivent être signés par DKIM. C'est une sécurité supplémentaire.</p>
  449. <p>La syntaxe est assez simple:</p>
  450. <pre><code> _adsp._domainkey.yojik.net. IN TXT "dkim=all"
  451. </code></pre>
  452. <ul>
  453. <li>Le paramètre dkim accepte d'autres valeurs moins strictes, mais j'ai choisi la plus stricte.</li>
  454. <li>Ne pas oublier d'incrémenter le numéro de série du fichier de zone après modification.</li>
  455. <li>
  456. <p>Rechargez bind.</p>
  457. <pre><code>service bind9 restart (ou reload)
  458. </code></pre>
  459. <p>Tout est OK.</p>
  460. </li>
  461. </ul>
  462. <p>Note: ADSP et Dmarc remplissent le même rôle. Après consultation d'experts, ADSP est "obsolète". Nous allons donc enlever ce service (commenter la ligne DNS) et configurer DMARC.</p>
  463. <h2 id="dmarc">DMARC</h2>
  464. <p>Dmarc (Domain Message Authentication, Reporting &amp; Conformance) précise les politiques d'envoi des messages issus du domaine concerné (grâce à DKIM et SPF), indique quelle politique utiliser si les conditions ne sont pas respectées (validations SPF ou DKIM , et peut éventuellement demander un rapport en cas d'échec de livraison du message.</p>
  465. <p>La mise en place de DMARC nécessite de configurer/installer opendmarc, de mettre en place l'enregistrement TXT dans le fichier de zone DNS et de configurer le <strong>hook</strong> dans Postfix.</p>
  466. <h3 id="installation-de-opendmarc">Installation de Opendmarc</h3>
  467. <pre><code>root@atom:/home/ericadmin# apt install opendmarc
  468. Lecture des listes de paquets... Fait
  469. Construction de l'arbre des dépendances
  470. Lecture des informations d'état... Fait
  471. The following additional packages will be installed:
  472. libdbd-mysql-perl libdbi-perl libencode-locale-perl libhttp-date-perl libhttp-message-perl libio-html-perl liblwp-mediatypes-perl libopendbx1-mysql libopendmarc2
  473. libspf2-2 libtimedate-perl liburi-perl publicsuffix
  474. etc ...
  475. Paramétrage de libdbd-mysql-perl (4.041-2) ...
  476. Paramétrage de opendmarc (1.3.2-2+deb9u1) ...
  477. Traitement des actions différées (« triggers ») pour libc-bin (2.24-11+deb9u3) ...
  478. Traitement des actions différées (« triggers ») pour systemd (232-25+deb9u3) ...
  479. </code></pre>
  480. <p>Voilà, opendmarc est installé. Passons à sa configuration.</p>
  481. <h3 id="configuration-de-opendmarc">Configuration de Opendmarc</h3>
  482. <p>2 fichiers sont à configurer.</p>
  483. <p>La configuration se fait dans /etc/opendmarc.conf et dans /etc/default/opendmarc:</p>
  484. <p>Comme d'habitude, faite une copie de sauvegarde du fichier d'origine avant modification.</p>
  485. <p><strong>Fichier /etc/opendmarc.conf</strong>:</p>
  486. <pre><code># This is a basic configuration that can easily be adapted to suit a standard
  487. # installation. For more advanced options, see opendkim.conf(5) and/or
  488. # /usr/share/doc/opendmarc/examples/opendmarc.conf.sample.
  489. ## AuthservID (string)
  490. ## &lt;--&gt;defaults to MTA name
  491. #
  492. # AuthservID name
  493. ## FailureReports { true | false }
  494. ## &lt;--&gt;default "false"
  495. ##
  496. # FailureReports false
  497. PidFile /var/run/opendmarc/opendmarc.pid
  498. ## RejectFailures { true | false }
  499. ## &lt;--&gt;default "false"
  500. ##
  501. RejectFailures false
  502. ## Socket socketspec
  503. ## &lt;--&gt;default (none)
  504. ##
  505. ## Specifies the socket that should be established by the filter to receive
  506. ## connections from sendmail(8) in order to provide service. socketspec is
  507. ## in one of two forms: local:path, which creates a UNIX domain socket at
  508. ## the specified path, or inet:port[@host] or inet6:port[@host] which creates
  509. ## a TCP socket on the specified port for the appropriate protocol family.
  510. ## If the host is not given as either a hostname or an IP address, the
  511. ## socket will be listening on all interfaces. This option is mandatory
  512. ## either in the configuration file or on the command line. If an IP
  513. ## address is used, it must be enclosed in square brackets.
  514. #
  515. # Socket local:/var/run/opendmarc/opendmarc.sock
  516. Socket inet:54444@localhost
  517. ## Syslog { true | false }
  518. ## &lt;--&gt;default "false"
  519. ##
  520. ## Log via calls to syslog(3) any interesting activity.
  521. #
  522. Syslog true
  523. ## SyslogFacility facility-name
  524. ## &lt;--&gt;default "mail"
  525. ##
  526. ## Log via calls to syslog(3) using the named facility. The facility names
  527. ## are the same as the ones allowed in syslog.conf(5).
  528. #
  529. # SyslogFacility mail
  530. ## TrustedAuthservIDs string
  531. ## &lt;--&gt;default HOSTNAME
  532. ##
  533. ## Specifies one or more "authserv-id" values to trust as relaying true
  534. ## upstream DKIM and SPF results. The default is to use the name of
  535. ## the MTA processing the message. To specify a list, separate each entry
  536. ## with a comma. The key word "HOSTNAME" will be replaced by the name of
  537. ## the host running the filter as reported by the gethostname(3) function.
  538. #
  539. # TrustedAuthservIDs HOSTNAME
  540. ## UMask mask
  541. ## &lt;--&gt;default (none)
  542. ##
  543. ## Requests a specific permissions mask to be used for file creation. This
  544. ## only really applies to creation of the socket when Socket specifies a
  545. ## UNIX domain socket, and to the HistoryFile and PidFile (if any); temporary
  546. ## files are normally created by the mkstemp(3) function that enforces a
  547. ## specific file mode on creation regardless of the process umask. See
  548. ## umask(2) for more information.
  549. #
  550. UMask 0002
  551. ## UserID user[:group]
  552. ## &lt;--&gt;default (none)
  553. ##
  554. ## Attempts to become the specified userid before starting operations.
  555. ## The process will be assigned all of the groups and primary group ID of
  556. ## the named userid unless an alternate group is specified.
  557. #
  558. UserID opendmarc
  559. ## Path to system copy of PSL (needed to determine organizational domain)
  560. #
  561. PublicSuffixList /usr/share/publicsuffix/
  562. IgnoreHosts /etc/opendmarc/ignore.hosts
  563. HistoryFile /var/run/opendmarc/opendmarc.dat
  564. #for testing:
  565. SoftwareHeader true
  566. </code></pre>
  567. <p>On crée le répertoire suivant: /etc/opendmarc et on crée un fichier qui va contenir la liste des machines auxquelles vous avez confiance.</p>
  568. <pre><code>root@atom:/etc# mkdir /etc/opendmarc
  569. </code></pre>
  570. <p>On crée le fichier <strong>/etc/opendmarc/ignore.hosts</strong> avec le contenu suivant (le fichier ignore.hosts a été déclaré dans le fichier /etc/opendmarc.conf):</p>
  571. <pre><code>localhost
  572. 192.168.111.0/24
  573. </code></pre>
  574. <p>Les mails envoyés par les machines listées dans ce fichier ne seront pas testés. Ici, le serveur de mail lui-même et les machines du réseau local familial.</p>
  575. <p>On ajoute la ligne suivante à /etc/default/opendmarc:</p>
  576. <pre><code>SOCKET=inet:54444@localhost
  577. </code></pre>
  578. <p>Notre daemon écoutera sur le port 54444. On relance opendmarc par la commande suivante:</p>
  579. <pre><code>service opendmarc restart
  580. </code></pre>
  581. <p>Mise en place du hook dans postfix:</p>
  582. <p>Nous modifierons les 2 lignes suivantes dans le fichier: /etc/postfix/main.cf:</p>
  583. <pre><code>smtpd_milters = inet:localhost:12301,inet:localhost:54444
  584. non_smtpd_milters = inet:localhost:12301,inet:localhost:54444
  585. </code></pre>
  586. <p>On recharge postfix (comme d'habitude ...)
  587. Configuration de l'enregistrement DNS dans le fichier de zone (ne pas oublier d'incrémenter le compteur!):</p>
  588. <pre><code>_dmarc.yojik.net. TXT ( "v=DMARC1; p=none; sp=reject; pct=10; adkim=r;aspf=r;fo=1;ri=86400;rua=mailto:ericadmin@yojik.net")
  589. </code></pre>
  590. <p>Test d'envoi de messages:</p>
  591. <pre><code>Authentication-Results: atom.yojik.net; dmarc=**pass**
  592. </code></pre>
  593. <p>Ça fonctionne :)</p>
  594. </div>
  595. </div>
  596. <footer>
  597. <div class="rst-footer-buttons" role="navigation" aria-label="footer navigation">
  598. <a href="../Courrier-Comptes-Virtuels/" class="btn btn-neutral float-right" title="Ajout des comptes émail virtuels">Next <span class="icon icon-circle-arrow-right"></span></a>
  599. <a href="../Installation-Certificats-Letsencrypt/" class="btn btn-neutral" title="Installation des certificats letsencrypt"><span class="icon icon-circle-arrow-left"></span> Previous</a>
  600. </div>
  601. <hr/>
  602. <div role="contentinfo">
  603. <!-- Copyright etc -->
  604. </div>
  605. Built with <a href="https://www.mkdocs.org/">MkDocs</a> using a <a href="https://github.com/snide/sphinx_rtd_theme">theme</a> provided by <a href="https://readthedocs.org">Read the Docs</a>.
  606. </footer>
  607. </div>
  608. </div>
  609. </section>
  610. </div>
  611. <div class="rst-versions" role="note" aria-label="versions">
  612. <span class="rst-current-version" data-toggle="rst-current-version">
  613. <span><a href="../Installation-Certificats-Letsencrypt/" style="color: #fcfcfc;">&laquo; Previous</a></span>
  614. <span style="margin-left: 15px"><a href="../Courrier-Comptes-Virtuels/" style="color: #fcfcfc">Next &raquo;</a></span>
  615. </span>
  616. </div>
  617. <script>var base_url = '..';</script>
  618. <script src="../js/theme.js" defer></script>
  619. <script src="../search/main.js" defer></script>
  620. <script defer>
  621. window.onload = function () {
  622. SphinxRtdTheme.Navigation.enable(true);
  623. };
  624. </script>
  625. </body>
  626. </html>