{"id":1583,"date":"2014-07-03T06:41:56","date_gmt":"2014-07-03T05:41:56","guid":{"rendered":"http:\/\/michauko.org\/blog\/?p=1583"},"modified":"2018-08-04T10:31:53","modified_gmt":"2018-08-04T09:31:53","slug":"migration-courier-imap-dovecot","status":"publish","type":"post","link":"https:\/\/michauko.org\/blog\/migration-courier-imap-dovecot-1583\/","title":{"rendered":"Migration courier-imap => dovecot"},"content":{"rendered":"

\"dovecotLogo\"<\/p>\n

C’est quoi \u00e7a encore ?<\/h2>\n

Dans des articles pr\u00e9c\u00e9dents<\/a>, je montre comment se monter un serveur de mails assez complet sous Debian. Mais un choix fait il y a fort longtemps, le choix de courier-imap et courier-pop comme brique g\u00e9rant l’IMAP et le POP, n’avait pas \u00e9t\u00e9 bien r\u00e9fl\u00e9chi et il se trouve que courier-* manque de fonctions, notamment la prise en charge du protocole SIEVE, permettant du tri de mails en amont, sur le serveur.
\nApr\u00e8s un peu d’utilisation, il y a aussi d’autres petites choses qui se passent mieux avec dovecot plut\u00f4t que courier-*. Bref, autant y aller.<\/p>\n

Ainsi, avec Dovecot, lorsque les utilisateurs sont virtuels (en base MySQL ici), on peut r\u00e9gler les filtres (et r\u00e9pondeur automatique) depuis par exemple le webmail ou un plugin pour Thunderbird g\u00e9rant le SIEVE (mais ce plugin est plus brut, il faut \u00e9crire le script SIEVE au lieu de le g\u00e9n\u00e9rer graphiquement comme avec RoundCube).
\nAu passage, j’en ai profit\u00e9 pour ajouter (obliger en fait !) le TLS sur les ports non s\u00e9curis\u00e9s ; c’est une alternative au SSL, bien plus en vogue. Perso, j’ai tout tol\u00e9r\u00e9 (SSL, TLS sur port normal) et simplement interdit le mode \u00ab\u00a0tout en clair\u00a0\u00bb.<\/p>\n

Voici donc comment migrer ; c’est assez rapide une fois qu’on s’est pay\u00e9 pas mal de docs, tuto etc
\nEn gros on change la couche IMAP (de courier \u00e0 dovecot), on le configure, on adapte les structures Maildir – automatiquement gr\u00e2ce \u00e0 un script de migration pr\u00e9vu pour – pour que dovecot trouve ses petits \u00e0 partir de l’existant courier (fichiers courierimapsubscribed & co), on change 2\/3 trucs dans postfix et on relance postfix et dovecot. Zou.<\/p>\n

R\u00e9f\u00e9rences<\/h2>\n

Je suis parti de ces documents l\u00e0 :
\nhttps:\/\/library.linode.com\/email\/postfix\/postfix2.9.6-dovecot2.0.19-mysql – sauf pour le cryptage des mots de passe, car je suis parti sur des mots de passe des mes utilisateurs virtuels assez simples (via la fonction MySQL ENCRYPT) l\u00e0 o\u00f9 un SHA-512 aurait p\u00fb \u00eatre plus pertinent.
\ndonc j’ai mix\u00e9 la doc avec celle-ci : http:\/\/www.pointroot.org\/index.php\/2012\/04\/13\/un-serveur-de-mails-debian-postfix-dovecot-mysql-smtps-imaps\/<\/p>\n

Avant de commencer<\/h2>\n

Avant de r\u00e9aliser la bascule, pr\u00e9venez vos utilisateurs que \u00e7a va couper ; et mieux, coupez vos acc\u00e8s aux ports imap, imaps, pop3, pop3s (si vous utilisez le POP).
\nJe n’ai pas eu de surprise trop mauvaises \u00e0 la relance. Les clients Apple (iphone, mail, ipad) ont perdu les sous-r\u00e9pertoires des bo\u00eetes mails, je n’ai rien trouv\u00e9 d’autre que d’effacer les comptes et de les recr\u00e9er… merci apple.
\nOutlook s’en est bien sorti et suivant les versions, il a voulu – ou pas – cr\u00e9er des r\u00e9pertoires \u00ab\u00a0El\u00e9ments envoy\u00e9s\u00a0\u00bb plut\u00f4t que \u00ab\u00a0Sent\u00a0\u00bb ; \u00e0 voir suivant vos versions. A la limite, c’est plut\u00f4t cool, sauf si les noms habituels \u00ab\u00a0Sent, Trash\u00a0\u00bb etc sont d\u00e9finis \u00e0 d’autres endroits, comme par exemple dans votre webmail.<\/p>\n

Vous pouvez aussi bloquer votre serveur SMTP afin que les mails n’entrent plus. En effet, on supprime \u00e9ventuellement procmail et vacation si vous l’utilisiez ; et le temps que le reste soit en place, c’est mieux qu’aucun mail ne transite. On pourrait avoir des mails qui se perdent je pense, sinon.<\/p>\n

On installe Dovecot<\/h2>\n

L’acc\u00e8s aux ports IMAP et POP est coup\u00e9 ? on attaque<\/p>\n

Ajout du mode TLS uniquement pour renforcer la s\u00e9curit\u00e9<\/h3>\n

Dans \/etc\/postfix\/main.cf<\/code> j’ajoute smtpd_tls_auth_only = yes<\/code><\/p>\n

Configuration pour dovecot<\/h3>\n

Dans \/etc\/postfix\/main.cf<\/code>, j’ajoute ou modifie :
\nsmtpd_sasl_type = dovecot
\nsmtpd_sasl_path = private\/auth
\nvirtual_transport = lmtp:unix:private\/dovecot-lmtp<\/code><\/p>\n

Ajout de submission dans postfix<\/h3>\n

Pour vraiment prendre en charge tous les protocoles (port 587), dans \/etc\/postfix\/master.cf<\/code>, d\u00e9commenter les lignes du protocole \u00ab\u00a0submission\u00a0\u00bb :
\nsubmission inet n - - - - smtpd
\n -o smtpd_tls_security_level=encrypt
\n -o smtpd_sasl_auth_enable=yes
\n -o smtpd_client_restrictions=permit_sasl_authenticated,reject
\n -o milter_macro_daemon_name=ORIGINATING<\/code><\/p>\n

D\u00e9sactivation de procmail et vacation<\/h3>\n

Si vous utilisiez procmail, vous aviez peut-\u00eatre des lignes commen\u00e7ant par procmailpipe_<\/code> (ou un autre nom venant un pipe cr\u00e9\u00e9 dans le master.cf
\nOn enl\u00e8ve aussi \u00e7a : mailbox_command = \/usr\/bin\/procmail -a \"$EXTENSION\"<\/code>
\nDans ma base MySQL, j’avais un tas de \u00ab\u00a0forwardings\u00a0\u00bb vers ces pipe + dans la table transport ; je les supprime. C’est ce qui permettait de renvoyer vers procmail ou vacation pour le r\u00e9pondeur de vacances.<\/p>\n

Installation de DOVECOT – sans sieve pour l’instant, pour ne pas tout m\u00e9langer<\/h3>\n
aptitude install dovecot-core dovecot-imapd dovecot-pop3d dovecot-lmtpd dovecot-mysql\r\ncp \/etc\/dovecot\/dovecot.conf \/etc\/dovecot\/dovecot.conf.orig\r\ncp \/etc\/dovecot\/conf.d\/10-mail.conf \/etc\/dovecot\/conf.d\/10-mail.conf.orig\r\ncp \/etc\/dovecot\/conf.d\/10-auth.conf \/etc\/dovecot\/conf.d\/10-auth.conf.orig\r\ncp \/etc\/dovecot\/dovecot-sql.conf.ext \/etc\/dovecot\/dovecot-sql.conf.ext.orig\r\ncp \/etc\/dovecot\/conf.d\/10-master.conf \/etc\/dovecot\/conf.d\/10-master.conf.orig\r\ncp \/etc\/dovecot\/conf.d\/10-ssl.conf \/etc\/dovecot\/conf.d\/10-ssl.conf.orig<\/pre>\n
Ensuite on adapte.<\/p>\n
Dans \/etc\/dovecot\/dovecot.conf<\/code> ligne 21 apr\u00e8s include_try *.protocol :
\nprotocols = imap pop3 lmtp<\/code>
\nOn peut se passer du pop3 (suivant votre cas) et on prend le LDA lmtp ; le LDA est le Local Delivery Agent, le programme en charge de prendre le mail du serveur postfix vers la bo\u00eete mail de la personne.<\/p>\n
Dans \/etc\/dovecot\/conf.d\/10-mail.conf<\/code> :
\nLigne 30 :
\n#mail_location = mbox:~\/mail:INBOX=\/var\/mail\/%u
\nmail_location = maildir:\/vmailboxes\/%d\/%n<\/code>
\nCar mes identifiants de compte sont de la forme user@domain.com et pas juste \u00ab\u00a0user\u00a0\u00bb.
\nLigne 116 :
\nmail_privileged_group = vmail<\/code><\/p>\n
Dans \/etc\/dovecot\/conf.d\/10-auth.conf<\/code> :
\nLigne 10 :
\ndisable_plaintext_auth = yes<\/code>
\nSi on veut renforcer un peu la s\u00e9cu ; lire les commentaires au-dessus de ce param\u00e8tre pour bien comprendre
\nLigne 102 :
\nauth_mechanisms = plain login<\/code>
\nLigne 127 : j’inverse les 2 lignes pour indiquer que je fais une authentification par SQL, pas par compte syst\u00e8me :
\n#!include auth-system.conf.ext
\n!include auth-sql.conf.ext<\/code><\/p>\n
Dans \/etc\/dovecot\/conf.d\/auth-sql.conf.ext<\/code> :
\nA la fin du fichier – si j’ai bien compris – on lui dit d’aller v\u00e9rifier l’existence d’un compte (pas son mot de passe) simplement en se basant sur la pr\u00e9sence ou non du r\u00e9pertoire correspondant, au lieu d’aller requ\u00eater pour peu de choses :
\n#userdb {
\n#  driver = sql
\n#  args = \/etc\/dovecot\/dovecot-sql.conf.ext
\n#}<\/p>\n
# If you don't have any user-specific settings, you can avoid the user_query
\n# by using userdb static instead of userdb sql, for example:
\n# 
\nuserdb {
\n  driver = static
\n  #args = uid=vmail gid=vmail home=\/var\/vmail\/%u
\n  args = uid=vmail gid=vmail home=\/vmailboxes\/%d\/%n
\n}<\/code>
\nIdem, mes comptes sont cr\u00e9\u00e9s de la sorte : \/vmailboxes\/‹mondomain.com›\/‹monuser› pour un compte user@domain.com
\nAjouter enfin :
\ndriver = mysql
\nconnect = host=mon_serveur_mysql dbname=ma_db_postfix user=mon_admin password=mon_pass
\ndefault_pass_scheme = CRYPT
\npassword_query = SELECT email as user, password FROM users WHERE email='%u';<\/code>
\nC’est ici que, si j’avais opt\u00e9 pour un cryptage plus costaud d\u00e8s le d\u00e9part, j’aurais pu le pr\u00e9ciser, type SHA-512.<\/p>\n
Dans \/etc\/dovecot\/conf.d\/10-master.conf<\/code> :
\nLigne 53 :
\n  unix_listener \/var\/spool\/postfix\/private\/dovecot-lmtp {
\n    #mode = 0666
\n    mode = 0600
\n    user = postfix
\n    group = postfix<\/code>
\nLigne 85 :
\n  unix_listener \/var\/spool\/postfix\/private\/auth {
\n    mode = 0666
\n    user = postfix
\n    group = postfix
\n  }<\/code>
\nLigne 106 :
\n    mode = 0600
\n    user = vmail<\/code>
\nLigne 120 :
\n    user=dovecot<\/code>
\nLigne 130 :
\n    user=vmail<\/code><\/p>\n
Dans \/etc\/dovecot\/conf.d\/10-ssl.conf<\/code> :
\nAu d\u00e9but, \u00e0 vous de voir si vous mettez yes\/no ou carr\u00e9ment imposez avec \u00ab\u00a0required\u00a0\u00bb le param\u00e8tre \u00ab\u00a0ssl\u00a0\u00bb. Puis, si vous aviez d\u00e9j\u00e0 des certificats :
\nssl_cert = ‹\/etc\/postfix\/smtpd.cert
\nssl_key = ‹\/etc\/postfix\/smtpd.key<\/code><\/p>\n
Voil\u00e0 pour cette premi\u00e8re passe sur la configuration Dovecot.
\nOn adapte quelques permissions et on relance :<\/p>\n
chown -R vmail:dovecot \/etc\/dovecot\r\nchmod -R o-rwx \/etc\/dovecot\r\nservice dovecot restart\r\nservice postfix restart<\/pre>\n
Choix imap VS imaps, pop ou pas pop ?<\/h3>\n
Dans \/etc\/dovecot\/conf.d\/10-master.conf<\/code> :
\nOn d\u00e9sactive un protocole en mettant son \u00ab\u00a0port\u00a0\u00bb \u00e0 0 ; sinon en laissant en commentaire.
\nConcernant IMAP vs IMAPS, pensez bien qu’avec TLS, le IMAP normal devient tout aussi secure que IMAPS (SSL).<\/p>\n
Conversion des fichiers courierimap* vers la structure Dovecot<\/h3>\n
Il y a un outil tr\u00e8s bien fait et expliqu\u00e9 ici : http:\/\/wiki2.dovecot.org\/Migration\/Courier<\/a>
\nOn le lance en faisant \/root\/courier-dovecot-migrate.pl --to-dovecot --recursive \/vmailboxes # puis idem avec --convert<\/code><\/p>\n
TLS dans roundcube<\/h3>\n
Si c’est l’occasion pour vous aussi de renforcer le cryptage au niveau r\u00e9seau, vous pouvez ajouter tls:\/\/<\/code> devant le nom du serveur SMTP dans le fichier main.inc.php<\/code>, variable $rcmail_config['smtp_server']<\/code> de RoundCube.
\nC’est obligatoire si vous avez forc\u00e9 le TLS dans postfix via smtpd_tls_auth_only = yes<\/code> dans le main.cf<\/code>.<\/p>\n
Ajout de SIEVE<\/h2>\n
SIEVE dans Dovecot<\/h3>\n
Rappel, c’est pour permettre le tri c\u00f4t\u00e9 serveur des messages. C’est vacation et procmail, en plus accessible. Et utilisable par un utilisateur lambda via le plugin qui va bien dans RoundCube.
\nPour avoir SIEVE sur LMTP (et non le LDA normal), j’ai utilis\u00e9 cette doc : https:\/\/rtcamp.com\/tutorials\/mail\/server\/sieve-filtering\/<\/a>
\nD’abord, on ajoute ce qu’il manque \u00e0 Dovecot :<\/p>\n
aptitude install dovecot-sieve dovecot-managesieved<\/pre>\n
Ce qui a pour but de cr\u00e9er les fichiers 20-managesieve.conf<\/code> et 90-sieve.conf<\/code> dans \/etc\/dovecot\/conf.d\/<\/code>.
\nDu coup, on pr\u00e9cise \u00e0 Dovecot qu’il doit proposer SIEVE.<\/p>\n
Dans \/etc\/dovecot\/dovecot.conf<\/code>, on ajoute le protocole sieve dans la liste des protocols d\u00e9finie tout \u00e0 l’heure.
\nDans \/etc\/dovecot\/conf.d\/20-lmtp.conf<\/code>, on change :
\n  #mail_plugins = $mail_plugins
\n  mail_plugins = $mail_plugins sieve
\n  postmaster_address = vous@quelquepart.fr<\/code><\/p>\n
Dans \/etc\/dovecot\/conf.d\/90-sieve.conf<\/code> :
\nLigne 11, on indique o\u00f9 stocker le script SIEVE (c’est un langage) associ\u00e9 au compte :
\n  #sieve = ~\/.dovecot.sieve
\n  sieve = \/vmailboxes\/%d\/%n\/dovecot.sieve<\/code><\/p>\n
On relance Dovecot et c’est tout \ud83d\ude42<\/p>\n
plugin SIEVE dans RoundCube<\/h3>\n
De base, on a le plugin \u00ab\u00a0managesieve\u00a0\u00bb dans RoundCube. Il vaut mieux r\u00e9cup\u00e9rer \u00ab\u00a0sieverules\u00a0\u00bb qui est bien mieux fait. C’est ici : https:\/\/github.com\/JohnDoh\/Roundcube-Plugin-SieveRules-Managesieve\/releases<\/a><\/p>\n
Il ne faut pas prendre b\u00eatement la derni\u00e8re version, mais celle qui va bien en fonction de votre version roundcube. Le tableau de compatibilit\u00e9 est l\u00e0 : http:\/\/plugins.roundcube.net\/packages\/johndoh\/sieverules<\/a>
\nJe r\u00e9cup\u00e8re donc wget https:\/\/github.com\/JohnDoh\/Roundcube-Plugin-SieveRules-Managesieve\/archive\/2.0.tar.gz<\/code>, je renomme le r\u00e9pertoire obtenu en sieverules et le place dans \u00ab\u00a0plugins\u00a0\u00bb de l’installation roundcube.
\nDans le r\u00e9pertoire du plugin :
\n1) on cr\u00e9e un fichier config.inc.php \u00e0 partir du config.inc.php.dist, on change le port de 2000 \u00e0 4190 (la nouvelle norme de sieve, sur lequel notre Dovecot s’attend \u00e0 trouver SIEVE).
\n2) on peut l\u00e0 aussi activer le TLS via $rcmail_config['sieverules_usetls'] = TRUE;<\/code><\/p>\n
Une limitation : les accents ne sont pas appr\u00e9ci\u00e9s dans les noms de r\u00e9pertoire, j’obtiens l’erreur suivante si je fais une r\u00e8gle de tri vers un r\u00e9pertoire avec accent :
\nsieve: info: started log at Mar 31 10:03:17.
\nerror: msgid=<53392139.5060003@toto.com>: failed to store into mailbox '_ blabla &AOA- avecaccent': Mailbox doesn't exist: _ blabla &-AOA- avecaccent.<\/code><\/p>\n
Ne pas oublier d’activer le plugin dans la conf Roundcube, dans le config\/main.inc.php :
\n$rcmail_config['plugins'] = array('password', 'fail2ban', 'zipdownload', 'show_additional_headers', 'jqueryui', 'sieverules', 'quickrules');<\/code>
\nJe crois que \u00ab\u00a0jqueryui\u00a0\u00bb est un pr\u00e9-requis pour sieverules ; trou de m\u00e9moire.<\/p>\n
Remarques finales<\/h2>\n