メールサーバー間通信内容暗号化（Postfix+Dovecot+OpenSSL+Certbot） の履歴(No.1)

• 履歴一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• メールサーバー間通信内容暗号化（Postfix+Dovecot+OpenSSL+Certbot） へ行く。
  • 1 (2018-08-23 (木) 20:40:08)

---

CentOS7

メールサーバー間通信内容暗号化（Postfix+Dovecot+OpenSSL+Certbot）†

メールの送受信を行う場合、ユーザー名、パスワードやメール本文が盗み見される恐れがあるため、メールサーバー間の通信内容を暗号化する。

また、メールサーバーとの通信内容を暗号化するには、サーバー証明書を発行する必要があるが、自作したサーバー証明書ではクライアントが通信を行うたび（メールソフト起動毎）にセキュリティの警告が表示されてしまう。対処としては、有料のサーバー証明書を発行するか、自作サーバー証明書を発行して各クライアントにインポートすればよいが、有料のサーバー証明書は高額かつ年単位に継続して費用がかかる、自作サーバー証明書のインポートは不特定多数のすべての利用者に対してサーバー証明書をインポートさせるのは現実的ではないことから、ここでは、Certbotの無料サーバー証明書を導入し、無料でセキュリティの警告が表示されずに暗号化通信が行えるようにする。

【Certbotの特徴】

• サーバー証明書を無料で発行できる
• サーバー証明書の取得がコマンドのみで行える（Web経由、メール経由等での煩わしい手続き等がない）
• サーバー証明書の更新がコマンドのみで行える（維持＝サーバー証明書の更新／差し替えを完全自動化）

Certbotクライアントインストール†

サーバー証明書取得†

Certbotではサーバー名の認証をWeb経由で行うため、サーバー証明書に指定するサーバー名で外部からWebアクセスできるようにしておく必要がある。

• Webサーバーが稼動している場合は、メールサーバー名でWebサーバーへアクセスできるようにする。
• Webサーバーが稼動していない場合は、サーバー証明書取得時にCertbotが一時的にWebサーバーとして稼動して認証を行うため、TCP80番と443番ポートをOPENする。

メールサーバー上にWebサーバーも稼動している場合†

メールサーバー上にWebサーバーが稼動していない場合†

ルーター側の設定でポート80番と443番をOPENする。

Postfix設定†

Postfix再起動†

Postfix再起動†

TCP465番ポート開放†

【ルーター】

ルーター側の設定で、TCP465番ポートへのアクセスをサーバーに転送するようにする。

【ファイアウォール】

サーバー側のファイアウォール設定で、TCP465番ポートへのアクセスを許可するようにする。

Portチェックテスト【外部からのPort開放確認】で「ホスト名(FQDN) または グローバルIPアドレス」にサーバー名(例:mail.hoge.com)、「チェックポート番号」に465と入力、「ご注意・制約事項」を確認チェックして「Portチェック実行」ボタンを押下し、

• ホスト:mail.hoge.com
• ポート:465
• にアクセスできました

と表示されることを確認。

TCP587番ポート閉塞†

【ルーター】

ルーター側の設定で、TCP587番ポートへのアクセスをサーバーに転送しないようにする。

【ファイアウォール】

サーバー側のファイアウォール設定で、TCP587番ポートへのアクセスを禁止するようにする（アクセス許可設定を削除する）。

Portチェックテスト【外部からのPort開放確認】で「ホスト名(FQDN) または グローバルIPアドレス」にサーバー名(例:mail.hoge.com)、「チェックポート番号」に587と入力、「ご注意・制約事項」を確認チェックして「Portチェック実行」ボタンを押下し、

• ホスト:mail.hoge.com
• ポート:587
• に到達できませんでした

と表示されることを確認。

Dovecot設定†

|[root@localhost ~]# vi /etc/dovecot/conf.d/10-ssl.conf ←　Dovecot設定ファイル編集

Dovecot再起動†

Dovecot再起動†

TCP995番(POPの場合)またはTCP993番(IMAPの場合)ポート開放†

【ルーター】

ルーター側の設定で、TCP995番(POPの場合)またはTCP993番(IMAPの場合)ポートへのアクセスをサーバーに転送するようにする。

【ファイアウォール】

サーバー側のファイアウォール設定で、TCP995番(POPの場合)またはTCP993番(IMAPの場合)ポートへのアクセスを許可するようにする。

Portチェックテスト【外部からのPort開放確認】で「ホスト名(FQDN) または グローバルIPアドレス」にサーバー名(例:hoge.com)、「チェックポート番号」に995または993と入力、「ご注意・制約事項」を確認チェックして「Portチェック実行」ボタンを押下し、

• ホスト:hoge.com
• ポート:995または993
• にアクセスできました

と表示されることを確認。

Postfix、Dovecot確認†

メールソフトでメール送受信してセキュリティの警告が表示されないこと

サーバー証明書自動更新設定†

Certbotのサーバー証明書の有効期間は3ヶ月のため、毎月自動でサーバー証明書を更新するようにする。

#!/bin/sh
log=`mktemp`
code=0

#
# 証明書更新
#
for conf in `ls /etc/letsencrypt/renewal/`
do
    # ドメイン名取得
    domain=`echo ${conf}|sed -e 's/\([^ ]*\)\.conf/\1/p' -e d`

    # 認証方式取得
    authenticator=`grep authenticator /etc/letsencrypt/renewal/${conf}|awk '{print $3}'`

    if [ ${authenticator} = 'webroot' ]; then
        # Web認証の場合

        # ドキュメントルート取得
        webroot=`grep -A 1 webroot_map  /etc/letsencrypt/renewal/${conf}|grep =|awk '{print $3}'`

        # 証明書更新
        /usr/local/certbot/certbot-auto certonly --webroot \
        -w ${webroot} -d ${domain} --renew-by-default >> ${log} 2>&1
        [ $? -ne 0 ] && cat ${log}
    else
        # スタンドアロン認証の場合

        # 証明書更新
        lsof -i:80 > /dev/null 2>&1
        if [ $? -eq 0 ]; then
            echo 'Webサーバー稼働中のためスタンドアロン認証不可'
        else
            /usr/local/certbot/certbot-auto certonly -a standalone \
            -d ${domain} --renew-by-default >> ${log} 2>&1
            [ $? -ne 0 ] && cat ${log}
        fi
    fi
done

#
# 証明書更新反映
#

# Webサーバー設定再読込み
lsof -i:443 > /dev/null 2>&1
if [ $? -eq 0 ]; then
    rpm -q systemd > /dev/null 2>&1
    if [ $? -eq 0 ]; then
        systemctl reload httpd
    else
        /etc/rc.d/init.d/httpd reload > /dev/null 2>&1
    fi
fi

# SMTPサーバー設定再読込み
lsof -i:465 > /dev/null 2>&1
if [ $? -eq 0 ]; then
    rpm -q systemd > /dev/null 2>&1
    if [ $? -eq 0 ]; then
        systemctl reload postfix
    else
        /etc/rc.d/init.d/postfix reload > /dev/null 2>&1
    fi
fi

# IMAPサーバー設定再読込み
lsof -i:995 > /dev/null 2>&1
if [ $? -eq 0 ]; then
    rpm -q systemd > /dev/null 2>&1
    if [ $? -eq 0 ]; then
        systemctl reload dovecot
    else
        /etc/rc.d/init.d/dovecot reload > /dev/null 2>&1
    fi
fi

#
# ログをsyslogへ出力後削除
#
cat ${log}|logger -t `basename ${0}` ; rm -f ${log}