Postfix – igreks開発日記

DKIMの複数ドメイン対応と作成者署名,第三者認証（CentOS7.2+Postfix+OpenDKIM）

Postfix, OpenDKIMはインストール済み、firewallも適切に設定済みであると仮定。

鍵ペアの作成

cd /etc/opendkim/keys/
mkdir example.com
cd example.com
opendkim-genkey -d example.com -s selector
chown opendkim:opendkim *
chmod 440 *.private

cd /etc/opendkim/keys/

mkdir example.com

cd example.com

opendkim-genkey -d example.com -s selector

chown opendkim:opendkim *

chmod 440 *.private

※複数のドメインを異なるキーペアで認証する場合は上記を繰り返し、必要数分キーペアを作成する。ドメインが異なればセレクタ名は同じでも大丈夫だが、混乱を避けるため変えてもよいと思う。

OpenDKIMの設定

1つのドメインしか扱わない場合

 :
# 認証するドメイン名
Domain example.com
 : 
# セレクタ名
Selector selector
 :
# 署名に使う秘密鍵の場所
KeyFile  /etc/opendkim/keys/selector.private
 :
# 署名に使う秘密鍵の場所(複数ある場合)
#KeyTable  /etc/opendkim/KeyTable
 : 
# 署名を行うドメイン+セレクタのペアを指定するファイル(複数ある場合)
#SigningTable refile:/etc/opendkim/SigningTable
 :

# 認証するドメイン名

Domain example.com

# セレクタ名

Selector selector

# 署名に使う秘密鍵の場所

KeyFile /etc/opendkim/keys/selector.private

# 署名に使う秘密鍵の場所(複数ある場合)

#KeyTable /etc/opendkim/KeyTable

# 署名を行うドメイン+セレクタのペアを指定するファイル(複数ある場合)

#SigningTable refile:/etc/opendkim/SigningTable

複数のドメインを扱うが、すべて同じキーペアを使う場合

 :
# 認証するドメイン名
Domain example.com, hoge.com, fuga.com
または 
Domain example.com, *
Domain * 
 : 
# セレクタ名
Selector selector
 :
# 署名に使う秘密鍵の場所
KeyFile  /etc/opendkim/keys/selector.private
 :
# 署名に使う秘密鍵の場所(複数ある場合)
#KeyTable  /etc/opendkim/KeyTable
 : 
# 署名を行うドメイン+セレクタのペアを指定するファイル(複数ある場合)
#SigningTable refile:/etc/opendkim/SigningTable
 :

# 認証するドメイン名

Domain example.com, hoge.com, fuga.com

または

Domain example.com, *

Domain *

# セレクタ名

Selector selector

# 署名に使う秘密鍵の場所

KeyFile /etc/opendkim/keys/selector.private

# 署名に使う秘密鍵の場所(複数ある場合)

#KeyTable /etc/opendkim/KeyTable

# 署名を行うドメイン+セレクタのペアを指定するファイル(複数ある場合)

#SigningTable refile:/etc/opendkim/SigningTable

複数のドメイン、複数のキーペアを扱う場合

 :
# 認証するドメイン名
#Domain example.com
 : 
# セレクタ名
#Selector selector
 :
# 署名に使う秘密鍵の場所
#KeyFile  /etc/opendkim/keys/selector.private
 :
# 署名に使う秘密鍵の場所(複数ある場合)
KeyTable  /etc/opendkim/KeyTable
 : 
# 署名を行うドメイン+セレクタのペアを指定するファイル(複数ある場合)
SigningTable refile:/etc/opendkim/SigningTable
 :

# 認証するドメイン名

#Domain example.com

# セレクタ名

#Selector selector

# 署名に使う秘密鍵の場所

#KeyFile /etc/opendkim/keys/selector.private

# 署名に使う秘密鍵の場所(複数ある場合)

KeyTable /etc/opendkim/KeyTable

# 署名を行うドメイン+セレクタのペアを指定するファイル(複数ある場合)

SigningTable refile:/etc/opendkim/SigningTable

# 作成者認証(例)################################

# ①FROMドメインが"example.com"の時は"selector"セレクタを使い、
# "example.com"の署名を使い認証する
*@example.com selector._domainkey.example.com

# ②FROMドメインが"hoge.com"の時は"selector"セレクタを使い、
# "hoge.com"の署名を使い認証する
*@hoge.com selector._domainkey.hoge.com

# ③FROMドメインが"hoge.com"の時は"selector_hoge"セレクタを使い、
# "hoge.com"の署名を使い認証する
*@hoge.com selector_hoge._domainkey.hoge.com 

# ④FROMドメインが上記以外の時は"selector"セレクタを使い
# "example.com"の署名を使い認証する(1番目と同じキーペアを使う)
*@* selector._domainkey.example.com


# 第三者認証(例)################################

# ⑤FROMドメインが"fuga.com"の時は"selector"セレクタを使い、
# "example.com"の署名を使い認証する
*@fuga.com selector._domainkey.example.com

# ⑥FROMドメインが"fuga.com"の時は"selector_fuga"セレクタを使い、
# "example.com"の署名を使い認証する
*@fuga.com selector_fuga._domainkey.example.com 

# ⑦FROMドメインが上記以外の時は"selector_common"セレクタを使い
# "dkim.example.com"の署名を使い認証する
*@* selector_common._domainkey.dkim.example.com

# 作成者認証(例)################################

# ①FROMドメインが"example.com"の時は"selector"セレクタを使い、

# "example.com"の署名を使い認証する

*@example.com selector._domainkey.example.com

# ②FROMドメインが"hoge.com"の時は"selector"セレクタを使い、

# "hoge.com"の署名を使い認証する

*@hoge.com selector._domainkey.hoge.com

# ③FROMドメインが"hoge.com"の時は"selector_hoge"セレクタを使い、

# "hoge.com"の署名を使い認証する

*@hoge.com selector_hoge._domainkey.hoge.com

# ④FROMドメインが上記以外の時は"selector"セレクタを使い

# "example.com"の署名を使い認証する(1番目と同じキーペアを使う)

*@* selector._domainkey.example.com

# 第三者認証(例)################################

# ⑤FROMドメインが"fuga.com"の時は"selector"セレクタを使い、

# "example.com"の署名を使い認証する

*@fuga.com selector._domainkey.example.com

# ⑥FROMドメインが"fuga.com"の時は"selector_fuga"セレクタを使い、

# "example.com"の署名を使い認証する

*@fuga.com selector_fuga._domainkey.example.com

# ⑦FROMドメインが上記以外の時は"selector_common"セレクタを使い

# "dkim.example.com"の署名を使い認証する

*@* selector_common._domainkey.dkim.example.com

※上から順に処理されるので、ワイルドカード(ex: *@*, *@*.example.com, *@sub.*)を使うとその下の行は無効になる。ドメインを明示的に指定する場合はワイルドカード行の上に書いておく。

# セレクタが"selector"、
# 署名ドメインが"example.com" の時使うキーペアを指定
selector._domainkey.example.com example.com:selector:/etc/opendkim/keys/example.com/selector.private

# セレクタが"selector"
# 署名ドメインが"hoge.com" の時使うキーペアを指定
selector._domainkey.hoge.com hoge.com:selector:/etc/opendkim/keys/hoge.com/selector.private

# セレクタが"selector_hoge"
# 署名ドメインが"hoge.com" の時使うキーペアを指定
selector_hoge._domainkey.hoge.com hoge.com:selector_hoge:/etc/opendkim/keys/hoge.com/selector_hoge.private

# セレクタが"selector"
# 署名ドメインが"fuga.com" の時使うキーペアを指定
selector._domainkey.fuga.com fuga.com:selector:/etc/opendkim/keys/fuga.com/selector.private

# セレクタが"selector_fuga"
# 署名ドメインが"fuga.com" の時使うキーペアを指定
selector_fuga._domainkey.fuga.com fuga.com:selector_fuga:/etc/opendkim/keys/fuga.com/selector_fuga.private

# セレクタが"selector_common"
# 署名ドメインが"dkim.example.com" の時使うキーペアを指定
selector_common._domainkey.dkim.example.com dkim.example.com:selector_common:/etc/opendkim/keys/dkim.example.com/selector_common.private

# セレクタが"selector"、

# 署名ドメインが"example.com" の時使うキーペアを指定

selector._domainkey.example.com example.com:selector:/etc/opendkim/keys/example.com/selector.private

# セレクタが"selector"

# 署名ドメインが"hoge.com" の時使うキーペアを指定

selector._domainkey.hoge.com hoge.com:selector:/etc/opendkim/keys/hoge.com/selector.private

# セレクタが"selector_hoge"

# 署名ドメインが"hoge.com" の時使うキーペアを指定

selector_hoge._domainkey.hoge.com hoge.com:selector_hoge:/etc/opendkim/keys/hoge.com/selector_hoge.private

# セレクタが"selector"

# 署名ドメインが"fuga.com" の時使うキーペアを指定

selector._domainkey.fuga.com fuga.com:selector:/etc/opendkim/keys/fuga.com/selector.private

# セレクタが"selector_fuga"

# 署名ドメインが"fuga.com" の時使うキーペアを指定

selector_fuga._domainkey.fuga.com fuga.com:selector_fuga:/etc/opendkim/keys/fuga.com/selector_fuga.private

# セレクタが"selector_common"

# 署名ドメインが"dkim.example.com" の時使うキーペアを指定

selector_common._domainkey.dkim.example.com dkim.example.com:selector_common:/etc/opendkim/keys/dkim.example.com/selector_common.private

キーペアの公開鍵を取得

# 例：セレクタが"selector" 署名ドメインが"example.com" の公開鍵
cat /etc/opendkim/keys/example.com/selector.txt
　　↓
selector._domainkey IN      TXT     ( "v=DKIM1; k=rsa; "
      "p=MIGfMA0GCS..." )  ; ----- DKIM key selector for example.com・

# 例：セレクタが"selector" 署名ドメインが"example.com" の公開鍵

cat /etc/opendkim/keys/example.com/selector.txt

　　↓

selector._domainkey IN TXT ( "v=DKIM1; k=rsa; "

"p=MIGfMA0GCS..." ) ; ----- DKIM key selector for example.com・

公開鍵をDNSに登録

①FROMドメインが“example.com”で“example.com”の署名を使い作成者認証する場合は、”example.com”のDNSサーバに公開鍵を登録。

項目	値
Name	selector._domainkey
Type	TXT
Value	“v=DKIM1; k=rsa; p=MIGfMA0GCS…”

ポリシーが登録されてなければポリシーも登録。

項目	値
Name	_policy._domainkey
Type	TXT
Value	“t=y; o=~”

項目	値
Name	_domainkey
Type	TXT
Value	“t=y; o=~”

②~③FROMドメインが”hoge.com”で“hoge.com”の署名を使い作成者認証する場合は、”hoge.com”のDNSサーバに公開鍵を登録。

④FROMドメインが”任意のドメイン”で“example.com”の署名を使い作成者認証する場合は、任意ドメインのDNSサーバに公開鍵を登録。

⑤~⑥FROMドメインが”fuga.com”で“example.com”の署名を使い第三者認証する場合は、“example.com”ドメインのDNSサーバに公開鍵を登録。

⑦FROMドメインが”任意のドメイン”で“dkim.example.com”の署名を使い第三者認証する場合は、“dkim.example.com”ドメインのDNSサーバに公開鍵を登録。

項目	値
Name	selector_common._domainkey.dkim
Type	TXT
Value	“v=DKIM1; k=rsa; p=MIGfMA0GCS…”

項目	値
Name	_policy._domainkey.dkim
Type	TXT
Value	“t=y; o=~”

項目	値
Name	_domainkey.dkim
Type	TXT
Value	“t=y; o=~”

レコード返却の確認

#dig selector._domainkey.ドメイン名 TXT @レコードを登録したDNSサーバ
dig selector._domainkey.example.com TXT @ns.example.com
　　↓
# ANSWERセクションに登録した値が返ってくればOK
;; ANSWER SECTION:
selector._domainkey.example.com. 360 IN TXT "v=DKIM1\; k=rsa\; p=MIGfMA0GCS..."

#dig selector._domainkey.ドメイン名 TXT @レコードを登録したDNSサーバ

dig selector._domainkey.example.com TXT @ns.example.com

　　↓

# ANSWERセクションに登録した値が返ってくればOK

;; ANSWER SECTION:

selector._domainkey.example.com. 360 IN TXT "v=DKIM1\; k=rsa\; p=MIGfMA0GCS..."

Postfixの設定

# 末尾に以下を追記
smtpd_milters = inet:127.0.0.1:8891
non_smtpd_milters = $smtpd_milters
milter_default_action = accept

# 末尾に以下を追記

smtpd_milters = inet:127.0.0.1:8891

non_smtpd_milters = $smtpd_milters

milter_default_action = accept

サービス再起動

service opendkim restart
service postfix restart

1 2	service opendkim restart service postfix restart

確認

Gmailが一番わかりやすいので、Gmailでテスト

echo "DKIM test." | mail -s "DKIM test" -r someone@example.com user@gmail.com

1	echo "DKIM test." \| mail -s "DKIM test" -r someone@example.com user@gmail.com

受信したメールで、DKIMがPassで、ヘッダが以下のようになってればOK。

作成者認証の場合

DKIMSignature:	（～略～） d=example.com; s=selector; b=xdIeG4cUHIBhU0nix2V5tK9Z （～略～）
From:	<someone@example.com>

第三者認証の場合

DKIMSignature:	（～略～） d=example.com; s=selector; b=xdIeG4cUHIBhU0nix2V5tK9Z （～略～）
From:	<someone@hoge.com>

参考サイト）

Postfixのメールログで特定のキューIDを抽出する

あるメール配信で配信エラーになった場合に、相手先からどのようなエラーコードとバナーが返却されているかを調べるときに便利。

ちなみに、postfixのログは、一行ごとに、

日付 時刻 ホスト名  postfix/プロセス名[プロセスID]: キューID: 処理・・・

1	日付時刻ホスト名 postfix/プロセス名[プロセスID]: キューID: 処理・・・

といった構造で書かれる。同じキューIDのログを調べれば、一通のメールの一連の動きを追うことが出来る。

直近の”to@hoge.com”宛てのメールのキューIDを取得するシェルスクリプト

#!/bin/bash

# メールログの場所
MAILLOG_PATH='/var/log/maillog'
# 宛て先でgrepして、sedでキューIDを抽出
qid=`cat "$MAILLOG_PATH" | grep -Eo "\[[0-9]+\]\: [A-Z0-9]+\:.*?to=<to\@hoge\.com>" | tail -1 | sed -r "s/^\[[0-9]+\]\: ([A-Z0-9]+)\:.*?$/\1/"`
# 抽出したキューIDで再検索
logs=`cat "$MAILLOG_PATH" | grep $qid`

echo $logs

#!/bin/bash

# メールログの場所

MAILLOG_PATH='/var/log/maillog'

# 宛て先でgrepして、sedでキューIDを抽出

qid=`cat "$MAILLOG_PATH" | grep -Eo "\[[0-9]+\]\: [A-Z0-9]+\:.*?to=<to\@hoge\.com>" | tail -1 | sed -r "s/^\[[0-9]+\]\: ([A-Z0-9]+)\:.*?$/\1/"`

# 抽出したキューIDで再検索

logs=`cat "$MAILLOG_PATH" | grep $qid`

echo $logs

結果

May  8 19:**:** *** postfix/pickup[32062]: D361640567: uid=48 from=<from@fuga.com>
May  8 19:**:** *** postfix/cleanup[32321]: D361640567: message-id=<20180508******.D361640567@fuga.com>
May  8 19:**:** *** postfix/qmgr[1849]: D361640567: from=<from@fuga.com>, size=1098, nrcpt=1 (queue active)
May  8 19:**:** *** postfix/smtp[32324]: D361640567: to=<to@hoge.com>, relay=***.***.com[***.**.**.**]:25, delay=0.2, delays=0.06/0/0.03/0.12, dsn=5.0.0, status=bounced (host ***.***.com[***.**.**.**] said: 550 Invalid recipient: <to@hoge.com> (in reply to RCPT TO command))
May  8 19:**:** *** postfix/bounce[32332]: D361640567: sender non-delivery notification: 1145640568
May  8 19:**:** *** postfix/qmgr[1849]: D361640567: removed

May 8 19:**:** *** postfix/pickup[32062]: D361640567: uid=48 from=<from@fuga.com>

May 8 19:**:** *** postfix/cleanup[32321]: D361640567: message-id=<20180508******.D361640567@fuga.com>

May 8 19:**:** *** postfix/qmgr[1849]: D361640567: from=<from@fuga.com>, size=1098, nrcpt=1 (queue active)

May 8 19:**:** *** postfix/smtp[32324]: D361640567: to=<to@hoge.com>, relay=***.***.com[***.**.**.**]:25, delay=0.2, delays=0.06/0/0.03/0.12, dsn=5.0.0, status=bounced (host ***.***.com[***.**.**.**] said: 550 Invalid recipient: <to@hoge.com> (in reply to RCPT TO command))

May 8 19:**:** *** postfix/bounce[32332]: D361640567: sender non-delivery notification: 1145640568

May 8 19:**:** *** postfix/qmgr[1849]: D361640567: removed

ちなみに上記は「said: 550 Invalid recipient: <to@hoge.com>」と返ってきているので、メールを送ったこのユーザ(to@hoge.com>)は存在しなかったということになる。

ちなみに理想としては、エンベロープFROMに、宛て先と送信するたびの履歴番号など、特定の情報を仕込んでおくと、時系列で探しやすい。

sendmail使うなら、

echo -e "To: to@hoge.com\nFrom: from@fuga.com\nSubject: Hello world.\n\nHello world." | /usr/sbin/sendmail -t -f to=hoge.com-001@fuga.com

1	echo -e "To: to@hoge.com\nFrom: from@fuga.com\nSubject: Hello world.\n\nHello world." \| /usr/sbin/sendmail -t -f to=hoge.com-001@fuga.com

とかしておくとよい。(この場合「to=hoge.com-001@fuga.com」がエンベロープFROM)

そうしておけば、何回も同じ宛先に送っている場合でも、下記のように目的のキューIDを探しやすくなる。

　：
# 宛て先でgrepして、sedでキューIDを抽出
qid=`cat "$MAILLOG_PATH" | grep -Eo "\[[0-9]+\]\: [A-Z0-9]+\:.*?from=<to=hoge\.com\-001\@" | head -1 | sed -r "s/^\[[0-9]+\]\: ([A-Z0-9]+)\:.*?$/\1/"`
　：

　：

# 宛て先でgrepして、sedでキューIDを抽出

qid=`cat "$MAILLOG_PATH" | grep -Eo "\[[0-9]+\]\: [A-Z0-9]+\:.*?from=<to=hoge\.com\-001\@" | head -1 | sed -r "s/^\[[0-9]+\]\: ([A-Z0-9]+)\:.*?$/\1/"`

　：

なおヘッダーFROMをいくらいじっても、基本的にはメールログには記録されない。（ログレベルを上げればできるかも。この辺は調べてない。）

参考サイト）

メール本文にピリオド（.）のみの行がある場合の対処

今更感がありますが、、。

SMTP通信上は、原則ピリオドのみの行（正確にはCRLF.CRLF）はメールの終わりを意味します。

本文にこれらが含まれていた場合、以降のデータが無視されてしまいますので、SMTPとPOPのルール上は、本文にピリオドのみの行があった場合には、送信時にピリオドをさらに1つつけ、受信時（POP処理時）には1つピリオドを落とします。

sendmailでは-iオプションで送信時に上記の処理を勝手にやってくれます。（逆に-iオプションを付けないとデフォルトでピリオドだけの行を終端と見なし以降は無視される、という仕様に驚き）

例

sendmail -i -f from@example.com -t to@example.com

1	sendmail -i -f from@example.com -t to@example.com

qmailやPostfixで、sendmailラッパを利用している場合でも、きちんと動作します。

参考サイト）

https://fumiyas.github.io/2014/12/13/sendmail.postfix-advent-calendar.html

Postfixで特定のクライアントからのアクセスをブロックするテスト

※本記事は過去に公開した記事の復刻記事です※

特定のホストからのSMTP要求を拒否するための設定。実務的には、主にメールが拒否された際に行いたい処理の確認などに使う。

■main.cfを編集

————————————————

# vi /etc/postfix.main.cf

（以下を追記）

：
smtpd_client_restrictions = check_client_access regexp:/etc/postfix/clients_test

：

————————————————

※正規表現を使わない場合は「regexp:」でなく、「hash：」や「cidr：」でも可。ただし「postmap /etc/postfix/clients_test」してdbファイルを作り必要あり。

■client_testファイル作成

————————————————

vi /etc/postfix/client_test

（以下の形式で記載）

/接続元/ 応答コード [バナーテキスト]

例：

/123.123.123.123/ REJECT

/test.smtp.hoge.jp/ REJECT

/123.123.123.123/ 550 This is test block.(Don’t send anymore.)

/123.123.123.123/ 421 This is test block.(Send one more later.)

————————————————

※書式の詳細はこちらを参照。

■Postfix 再起動

————————————————

# service postfix restart

————————————————

参考サイト）

http://www.postfix-jp.info/trans-2.1/jhtml/access.5.html

http://d.hatena.ne.jp/hidde/20081104/1225775861

http://kisekiit.seesaa.net/article/226142927.html

http://blog.negabaro.com/4496.html