Cyrus IMAP mit SASL, PAM, SSSD und LDAP – Opensuse 12.3/13.1 – IV

In den vorhergehenden Beiträgen

Cyrus IMAP mit SASL, PAM, SSSD und LDAP – Opensuse 12.3/13.1 – I
Cyrus IMAP mit SASL, PAM, SSSD und LDAP – Opensuse 12.3/13.1 – II
Cyrus IMAP mit SASL, PAM, SSSD und LDAP – Opensuse 12.3/13.1 – III

dieser Artikel-Reihe hatten wir eine einfache Installation des Cyrus IMAP-Dienstes auf einem Host namens "mycyrus" vorbereitet und durchgeführt. Der IMAP-Server nutzt einen LDAP-Server "ldap-serv" zur Authentifizierung von Benutzern, die Zugriff auf vorhandene IMAP-Mailboxen erhalten wollen.

In diesem Beitrag kümmern wir uns nun um die Anbindung eines KDE "Kmail"-Client an den IMAP-Server. Wir starten dazu "Kontact" oder "Kmail" auf einem Host "tux" im Netzwerk. Die nächsten Schritte beinhalten lediglich das Eingeben der Verbindungsdaten:

Dazu gehen wir in die Konfiguration der sog. "Zugänge" (gemeint sind Server-Zugänge - oder besser noch "Server-Konten") über

Menüpunkt "Einstellungen" >> "Kmail einrichten" >> "Zugänge" >> Tab "Empfang"

Dort drücken wir auf den Button "Hinzufügen" und wählen im folgenden Auswahldialog die Option "IMAP-E-Mail-Server".

Im nächsten Konfigurationsdialog geben wir die erforderlichen Zugangs- und Authentifizierungsdaten zum Server ein. Das sind zunächst vor allem unsere Userdaten für den IMAP-Dienst - also genau jene Daten, die wir im LDAP-System zu unserer Authentifizierung hinterlegt haben, und auf die der Server "mycyrus" gem. unserer Einrichtung in den letzten Artikeln per SASLAUTHD, PAM, SSSD zugreift. Wir verwenden hier wieder die Zugangsdaten unserer Testuserin "tarja" aus den vorhergehenden Artikeln:

Kmail_IMAP2_600

Den Namen des Mail-Kontos (oberstes Feld) können wir dabei nach Gutdünken festlegen.

Von größerer Bedeutung ist ferner der Dialog unter dem Reiter "Erweitert", den dort stellen wir ein, dass Kmail eine STARTTLS-Verbindung zum IMAP-Server aufbauen soll. Ein Druck auf den Button "Automatisch erkennen" sollte das fehlerfrei und im lokalen Netz innerhalb von Sekundenbruchteilen für uns erledigen. Falls der IMAP-Server TLS anbietet - und dafür haben wir ja durch die Cyrus Konfiguration im ersten Beitrag gesorgt - wird die TLS-Option automatisch ausgewählt. Als "Authentifizierung"s-Mechanismus kommt in unserem Fall nur "Plain" oder "Login" in Frage.

Kmail_IMAP3_600

Sollte die automatische Konfiguration lange dauern oder zu Meldungen führen, so ist dies meist ein Zeichen dafür, dass

  • entweder gar keine Kommunikation zum Server möglich ist
  • oder es ein Problem mit der Zugangsberechtigung oder der Authentifizierung - in unserem Fall gegenüber einem LDAP-System - gibt
  • oder TLS nicht funktioniert.

Dann sind eine Überprüfung der Kommunikation mit "telnet", ein Check von Firewall-Einstellungen sowie spezifischere Tests (z.B. mit "imtest") angesagt.

An dieser Stelle sollte man sich außerdem noch einmal bewusst machen, dass wir es gemäß unserer Installation mit 2 unterschiedlichen TLS-Verbindungen zu tun haben:

  • Der Mail-Client Kmail auf dem Host "tux" baut eine per STARTTLS gesicherte Verbindung zum IMAP-Server "mycyrus" auf und tauscht so abgesichert Userdaten und später auch Maildaten mit dem IMAP-Server aus.
  • Der IMAP-Server "mycyrus" hingegen baut zur Authentifizierung des Users "tarja" über SASLAUTHD, PAM und vor allem SSSD eine per STARTTLS gesicherte Verbindung zum LDAP-Server (hier "ldap-serv") auf.

Für die erste Verbindungsmöglichkeit sorgt eine adäquate Konfiguration des Cyrus IMAP-Dienstes und natürlich auch des E-Mail-Clients Kmail. Die zweite Verbindung beruht auf einer TLS-fähigen Auslegung des LDAP-Servers und einer geeigneten Konfiguration von SASL, PAM und SSSD auf dem Server "mycyrus". Siehe hierzu die vorangegangenen Artikel.

Als nächstes schließen wir die Einrichtung unseres IMAP-Kontos durch Drücken des Buttons "OK" ab. Der Server-Zugang namens "mycyrus-tarja" sollte nun gem. der oben gewählten Einstellungen angelegt worden sein und als funktionstüchtig ("bereit") angezeigt werden:

Kmail_IMAP5

Wechseln wir nun zur Standardansicht von "Kontact", so sollten wir etwa ein Bild der folgenden Art erhalten:

Kmail_IMAP6

Natürlich ist die Mailbox im Gegensatz zur obigen Darstellung in Ihrem Fall noch leer. Aber mit Hilfe von Kontakt/Kmail können wir nun schon Mails aus anderen Mailfoldern anderer Server in die Mailfolder des neuen Accounts - hier "mycyrus-tarja" kopieren und die kopierten Mails danach auch ansehen.

Damit haben wir eine vollständige Kette

E-Mail-Client Kmail <= TLS => Cyrus IMAP-Server mit userspezifischen und allgemeinen Mailboxen < = TLS => LDAP-Server zur Authentifizierung von IMAP-User

realisiert. Denn in Zeiten wie diesen gilt auch im hauseigenen Netzwerk: Ein Schutz gegen unerwünschtes Ausspähen kann nicht verkehrt sein - zumal, wenn er sich - wie gezeigt - unter Linux doch recht einfach einrichten lässt.

Im nächsten Beitrag beschreibe ich zur Abrundung des Cyrus IMAP-Themas noch die Einrichtung von "Webmin" zur grafischen Verwaltung der Mailboxen und zugehöriger Zugriffsrechte.

OpenLDAP – TLS serverseitig erzwingen

Vor ein paar Tagen machte mich ein interessierter Blog-Leser auf folgende Punkt im Zusammenhang mit meinen früheren LDAP-Artikeln aufmerksam:

Ich habe in meinen Blog-Beiträgen zwar beschrieben, wie man unter Opensuse die TLS-Fähigkeit des Servers herstellt. Aber die Konfiguration mit YaST schließt eine Authentifizierung ohne TLS-Verbindung keineswegs aus. Nun gibt es aber Situationen, in denen man einen Simple Bind und den nachfolgenden Datenaustausch nicht ohne hinreichende Verschlüsselung zulassen will.

Eine Variante, wie man das im eigenen Netzwerk erreichen kann, ist sicher die, alle Clients entsprechend zu konfigurieren. Das wird angesichts der Vielzahl an Tools, die ihre eigenen Wege gehen, aber zur echten Qual. Deshalb ist es eher sinnvoll, eine serverbasierte Einstellung zu finden, die eine TLS/SSL-Verschlüsselung erzwingt.

Hierzu gibt es die Option:

olcSecurity: tls=1

Zu den möglichen Angaben nach "olcSecurity: " sage ich weiter unten noch etwas mehr. Siehe aber auch:
http://gsp.com/cgi-bin/man.cgi?section=5&topic=slapd-config

Die Option "olcSecurity" sollte man in einer modernen LDAP-Installation mit modularer, LDIF-artiger Konfiguration natürlich durch Ausführung einer LDIF-Datei in seine LDAP-Konfigurationseinstellungen einfügen. Beispieldatei:

Datei "erzwinge_tls.ldif"

dn: cn=config
changetype: modify
add: olcSecurity
olcSecurity: tls=1

Hinweis:
Bevor man diese Datei tatsächlich zur Anwendung bringt, muss man natürlich dafür sorgen, dass man mindestens einen Client bereits erfolgreich für einen TLS-Zugriff konfiguriert hat. Das sollte man unbedingt vorab testen; nach Setzen des olcSecurity-Parameters geht sonst bzgl. des LDAP-Zugriffs nämlich nichts mehr - zumindest nicht ohne größere Klimmzüge.

Die Datei bringt man dann wie gewohnt zur Ausführung - z.B. :

ldapmodify -D "cn=Administrator,dc=anraconx,dc=de" -w ADMINS_LDAP_PASSWD -x -a -f erzwinge_tls.ldif

Siehe auch: http://www.linuxlasse.net/linux/howtos/OpenLDAP_Server,_authenticate_linux_users

Danach kann man eine Reihe von unterschiedlichen Zugriffstests durchführen. Sehr ausführlich und interessant ist das z.B. hier beschrieben:
http://www.openldap.org/lists/openldap-technical/201007/msg00241.html
http://lists.arthurdejong.org/openldap-technical/2012/09/msg00139.html

Typisch ist folgende Serverreaktion:

ldap_bind: Confidentiality required (13)
     additional info: TLS confidentiality required

Insgesamt ist danach ein Zugriff nicht mehr ohne STARTTLS oder "ldaps" als Protokoll möglich.

Bei Benutzung von LDAP-CLI-Kommandos ist dann - falls nicht in Konfigurationsdateien bereits explizit "ldaps" als Protokoll vorgegeben wurde - die Verwendung der Optionen "-Z" oder "-ZZ" oder gar "-ZZZ" erforderlich. Siehe zu den Optionen
https://access.redhat.com/site/documentation/en-US/Red_Hat_Directory_Server/8.1/html/Configuration_and_Command_Reference/Configuration_Command_File_Reference-Command_Line_Utilities-ldapmodify.html
Dies gilt auch bei Einsatz des Protokolls "ldapi" - wie z.B. in folgenden Beispielen

ldapmodify -Y EXTERNAL -H ldapi:// -Z -f Beispiel.ldif
oder
ldapmodify -D "cn=Administrator,dc=anraconx,dc=de" -w ADMINS_LDAP_PASSWD -x -a -ZZ -f BEISPIEL.ldif

Andere LDAP-Zugriffs-Tools wie "gq" oder der LDAP-Browser aus dem "Apache Directory Studio" wie auch Opensuse's YaST2-Browser müssen natürlich auch auf STARTTLS oder den Einsatz von "ldaps" (Port 636) umgestellt werden.

Die Angabe "olcSecurity: tls=1" sichert strukturell nur ab, dass überhaupt mit TLS/SSL verschlüsselt wird. Durch Angabe von Faktoren wie

olcSecurity: minssf=128

oder

olcSecurity: tls=128

kann man zudem die erforderliche Mindest-Verschlüsselungsstärke steuern.

Siehe für Details hierzu:
http://itsecureadmin.com/tag/openldap/
http://man7.org/linux/man-pages/man5/slapd-config.5.html
http://www.zytrax.com/books/ldap/ch6/#security

Viel Spaß nun mit mit dem per TLS abgeschotteten LDAP-Server. Vergesst nicht, euren Anwendern mitzuteilen, dass Sie danach auf STARTTLS-Verfahren umsteigen müssen.

Cyrus IMAP mit SASL, PAM, SSSD und LDAP – Opensuse 12.3/13.1 – III

In den letzten beiden Beiträgen
Cyrus IMAP mit SASL, PAM, SSSD und LDAP – Opensuse 12.3/13.1 – I
Cyrus IMAP mit SASL, PAM, SSSD und LDAP – Opensuse 12.3/13.1 – II
unserer kleinen Serie zur Implementierung eines Cyrus IMAP-Dienstes mit LDAP-Authentifizierung über PAM und SSSD hatten wir uns mit den IMAP-Konfigurationsdateien sowie der PAM, SSSD- und partiell auch der LDAP-Konfiguration herumgeschlagen. Getestet haben wir bereits den "saslauthd"-Authentifizierungsmechanismus.

Den IMAP-Service selbst hatten wir dagegen noch gar nicht gestartet oder benutzt. Wir holen dies nun nach und testen dann den Zugriff zunächst rein per "telnet" (oder "imtest") und expliziten IMAP-Komandos. Ich finde es lehrreich, unabhängig von echten Mail-Clients auch mal die Kommandozeile zu nutzen.

Starten des Cyrus- IMAP-Servers

Wir starten den IMAP-Dienst:

systemctl start cyrus.service

Das sollte nach den Konfigurationsvorbereitungen der letzten Artikel anstandslos funktionieren ! Also etwa so:

mycyrus:~ # systemctl start cyrus.service
mycyrus:~ # systemctl status cyrus.service
cyrus.service - LSB: The cyrus-imapd mail system
Loaded: loaded (/etc/init.d/cyrus)
Active: active (running) since Wed 2014-03-12 19:56:23 CET; 7s ago
Process: 9392 ExecStop=/etc/init.d/cyrus stop (code=exited, status=0/SUCCESS)
Process: 9404 ExecStart=/etc/init.d/cyrus start (code=exited, status=0/SUCCESS)
CGroup: /system.slice/cyrus.service
├─9412 /usr/lib/cyrus/bin/master -p /var/run/cyrus.pid -d
└─9417 idled
Mar 12 19:56:23 mycyrus master[9418]: about to exec /usr/lib/cyrus/bin/ctl_cyrusdb
Mar 12 19:56:23 mycyrus ctl_cyrusdb[9418]: checkpointing cyrus databases
Mar 12 19:56:23 mycyrus ctl_cyrusdb[9418]: archiving log file: /var/lib/imap/db/log.0000000001
Mar 12 19:56:23 mycyrus ctl_cyrusdb[9418]: archiving log file: /var/lib/imap/db/log.0000000001
Mar 12 19:56:23 mycyrus ctl_cyrusdb[9418]: archiving log file: /var/lib/imap/db/log.0000000001
Mar 12 19:56:23 mycyrus ctl_cyrusdb[9418]: archiving database file: /var/lib/imap/annotations.db
Mar 12 19:56:23 mycyrus ctl_cyrusdb[9418]: archiving database file: /var/lib/imap/mailboxes.db
Mar 12 19:56:23 mycyrus ctl_cyrusdb[9418]: archiving log file: /var/lib/imap/db/log.0000000001
Mar 12 19:56:23 mycyrus ctl_cyrusdb[9418]: done checkpointing cyrus databases
Mar 12 19:56:23 mycyrus master[9412]: process 9418 exited, status 0

Danach "enablen" wir den Service mal prophylaktisch:

mycyrus:~ # systemctl enable cyrus.service

Anlegen von Mailverzeichnissen für unsere Test-Userin "tarja"

Wir legen nun gezielt eine Mailbox mit Subfoldern für unsere Testuserin "tarja" an. Dazu benutzen wir die "cyradm"-Umgebung:

mycyrus:/etc/pam.d # su - cyrus
cyrus@mycyrus:~> cyradm
cyradm> connect localhost
Password:
localhost> cm user.tarja
localhost> cm user.tarja.Drafts
localhost> cm user.tarja.Sent
localhost> cm user.tarja.Spam
localhost> cm user.tarja.Junk
localhost> cm user.tarja.Archive
localhost> lm user.tarja.*
user.tarja.Archive (\HasNoChildren) user.tarja.Sent (\HasNoChildren)
user.tarja.Drafts (\HasNoChildren) user.tarja.Spam (\HasNoChildren)
user.tarja.Junk (\HasNoChildren)
localhost> exit
cyrus@mycyrus:~> exit
Abgemeldet
mycyrus:/etc/pam.d #

Test des Remote-Zugangs

Nun testen wir von einem Remote-Host "tux" aus, ob wir den IMAP-Dienst auf "mycyrus" erreichen können. Ich setze voraus, dass alle Firewall-Einstellungen so gesetzt sind, dass ein Zugang über den Standard Imap-Port 143 möglich ist. Mehr benötigen wir bei Anwendung von STARTTLS nicht. Erstmal remote über "telnet" von einem anderen Linux-System "tux" aus :

tarja@tux:~> telnet mycyrus 143
Trying 192.168.0.88...
Connected to mycyrus.
Escape character is '^]'.
* OK [CAPABILITY IMAP4 IMAP4rev1 LITERAL+ ID STARTTLS AUTH=PLAIN AUTH=LOGIN SASL-IR COMPRESS=DEFLATE] mycyrus Cyrus IMAP v2.3.16 server ready
starttls login tarja TARJAPWD
starttls OK [CAPABILITY IMAP4 IMAP4rev1 LITERAL+ ID LOGINDISABLED COMPRESS=DEFLATE ACL RIGHTS=kxte QUOTA MAILBOX-REFERRALS NAMESPACE UIDPLUS NO_ATOMIC_RENAME UNSELECT CHILDREN MULTIAPPEND BINARY SORT SORT=MODSEQ THREAD=ORDEREDSUBJECT THREAD=REFERENCES ANNOTATEMORE CATENATE CONDSTORE SCAN IDLE X-NETSCAPE URLAUTH] User logged in
r list all "*"
r OK Completed (0.000 secs 1 calls)
r list "" "*"
* LIST (\Noinferiors) "." "INBOX"
* LIST (\HasNoChildren) "." "Archive"
* LIST (\HasNoChildren) "." "Drafts"
* LIST (\HasNoChildren) "." "Junk"
* LIST (\HasNoChildren) "." "Sent"
* LIST (\HasNoChildren) "." "Spam"
* LIST (\HasNoChildren) "." "Trash"
r OK Completed (0.000 secs 8 calls)
s select Drafts
* FLAGS (\Answered \Flagged \Draft \Deleted \Seen)
* OK [PERMANENTFLAGS (\Answered \Flagged \Draft \Deleted \Seen \*)]
* 2 EXISTS
* 0 RECENT
* OK [UIDVALIDITY 1394475578]
* OK [UIDNEXT 3]
* OK [NOMODSEQ] Sorry, modsequences have not been enabled on this mailbox
* OK [URLMECH INTERNAL]
s OK [READ-WRITE] Completed
t search all
* SEARCH 1 2
t OK Completed (2 msgs in 0.000 secs)
E fetch 1 (body[text])
* 1 FETCH (BODY[TEXT] {6}
test
)
E OK Completed (0.000 sec)
. logout
* BYE LOGOUT received
. OK Completed
Connection closed by foreign host.
tarja@tux:~>

Man erkennt nach der Initiierung des Dialogs, dass der Cyrus IMAP-Server zunächst seine Fähigkeiten - u.a. STARTTLS- ausweist. Das explizit abgesetzte "starttls"-Kommando funktioniert entsprechend problemlos.

Ferner sieht man, dass habe ich danach einige IMAP-Kommandos an den Server abgesetzt habe. Welche IMAP-Kommandos es gibt und wie man mit ihrer Hilfe unter "telnet" oder "imtest" direkt mit dem IMAP-Server kommunizieren kann, erfährt man z.B. hier:

http://www.skytale.net/blog/archives/23-Manual-IMAP.html
http://www.tcpipguide.com/free/t_IMAPOverviewHistoryVersionsandStandards.htm
http://donsutherland.org/crib/imap
http://adityo.blog.binusian.org/?tag=telnet-imap-command
http://busylog.net/telnet-imap-commands-note/
http://help.notify.net/TechDocs/enterprise/Troubleshooting/NetHelp/index.html?turl=WordDocuments%2Fotherimapcommands.htm

Jedes IMAP-Kommando wird durch einen Klein- oder Groß-Buchstaben oder einen "." am Anfang der Zeile mit anschließendem Blank eingeleitet. Dieser Buchstabe ist syntaktisch erforderlich; er erleichtert die Orientierung im Kommandoablauf und zeigt anhand abschließender Bestätigungsmeldungen zu gleichen Startbuchstaben am Anfang der Zeile an, welche Antworten zu welchem Kommando gehören.

Einen ähnlichen Dialog mit dem IMAP-Dienstes hätte man auch im Rahmen des Testkommando "imtest" führen können:

imtest -v -t "" -a tarja -u tarja -m login mycyrus

Das Absetzen des imtest-Kommandos erlaubt es einem zudem, den Austausch von TLS-Informationen direkt zu verfolgen. Das kann jeder mal selbst testen. Zu "imtest"findet man weitere Infos auf der man-Seite:
http://linux.die.net/man/1/imtest
http://www.cyrusimap.org/docs/cyrus-imapd/2.3.16/man/imtest.1.php

Der aufmerksame Leser wird beim Studieren des obigen IMAP-Dialogs unter "telnet" natürlich mitbekommen haben, dass ich dort im Ordner Drafts zwei Mails gefunden und eine davon sogar geöffnet habe. Natürlich muss man sich fragen, wie das vor sich gehen soll, wenn der Folder "Drafts" doch gerade erst angelegt wurde. Keine Sorge: Die Mails kommen nicht aus dem Nirwana; ich hatte sie dort vorab händisch reinkopiert, um zeigen zu können, dass man Mails auch über telnet öffnen kann.

Im nächsten Teil
Cyrus IMAP mit SASL, PAM, SSSD und LDAP – Opensuse 12.3/13.1 – IV
kümmere ich mich dann um eine Kmail-Anbindung an unseren offenbar funktionstüchtigen IMAP-Server, der unsere Testuserin "tarja" erfolgreich über ein LDAP-System authentifiziert hat.