Postfix - Integração AD e autenticação

m@verick

Este artigo visa abordar de maneira simples como podemos integrar o Postfix a ambientes com AD e restringir o envio de emails a um dado grupo especifico de autenticação para quem usa Dovecot.

[ Hits: 9.166 ]

Por: Filipe Binat Gallo em 17/02/2016

3 0

Denuncie Favoritos Indicar Impressora

Limitando autenticação emails Dovecot

Quando a integração com o AD é realizada utilizando o PAM, todo e qualquer usuário no domínio poderia se autenticar e enviar ou receber emails utilizando o Dovecot.

Portanto podemos restringir os grupos usando a diretiva pam_access, assim o arquivo /etc/security/access.conf passa a ser consultado para validar usuários ou grupos que podem ser autenticados.

# vi /etc/pam.d/dovecot

auth       required     pam_access.so
auth       sufficient   pam_winbind.so

Abaixo precisamos ajustar o arquivo /etc/security/access.conf e especificar os grupos que poderão utilizar o Dovecot.

# vi /etc/security/access.conf

+ : root : ALL
+ : GRUPO_EMAIL_AD : ALL
+ : ALL : IPSERVIDOR_LIBERADO
- : ALL : ALL

A partir de agora você pode observar no log do Dovecot entradas com 'Aborted login' para usuários fora dos grupos autorizados no arquivo que configuramos acima.

dovecot: Feb 10 12:46:26 Info: pop3-login: Aborted login: method=PLAIN, rip=::ffff:IP_ORIGEM, lip=::ffff:IP_MAIL_SERVER

Conclusões

Esperamos que este artigo possa ser útil para ajudar a refinar suas configurações.

Vale lembrar que não é um tutorial completo, mas uma dica que pode auxiliar a quem já teve alguma dificuldade no cenário descrito.

As configurações do Postfix podem ser um tanto quanto complexas em função do ambiente, mas é muito importante estar atento a evitar o relay aberto e tentativas de força-bruta no serviço do Dovecot.

Existem ferramentas online que podem ser úteis para estes diagnósticos.

Agradeço a comunidade, e espero ter contribuído com uma dica que possa ajudar.

Página anterior

Páginas do artigo

1. Conhecendo o POSTFIX
2. Limitando autenticação emails Dovecot

Outros artigos deste autor

Direcionando log Squid para banco MySQL

Leitura recomendada

Instalando MTA Sceo no FreeBSD 7.1

Email + EGroupWare + Active Directory

Postfix + AD (Active Directory)

Dividindo carga de saída de servidor SMTP (MTA Selor)

Conversão da base de dados do Cyrus IMAP no Debian

Comentários