Guía breve QMAIL

En pocas palabras: por seguridad y por comodidad. Sendmail y otros MTA’s menos utilizados han sido (y de seguro seguirán siendo) una fuente constante de "bugs" y "vulnerabilidades" explotables por los hackers. Según algunos, esto se debe a que toda la complejidad del sistema de correo recae en un solo programa que necesariamente debe ejecutarse con privilegios de administrador. Qmail intenta paliar este problema mediante un esquema modular en el cual diversas etapas del procesamiento del correo electrónico son llevadas a cabo por distintos procesos que mayormente se ejecutan con un usuario no privilegiado.

Asimismo, la modularidad mencionada permite intercalar con facilidad filtros personalizados a criterio del administrador, cosa poco usual en los MTA’s sencillos, y compleja en el MTA sendmail. Un caso muy útil correspondería a la instalación de programas antivirus, a fin de filtar los mensajes maliciosos que pasan por el MTA.

Además, qmail promueve (aunque no obliga) al uso del mailbox en el "home directory" a fin de evitar los riesgos que presenta el tradicional directorio de mailbox común; también promueve el uso de un formato distinto para este archivo, de modo tal que sea invulnerable a los fallos imprevistos que fácilmente corrompen el mailbox tradicional.

Si Ud. descarga qmail del site oficial, probablemente tendrá que compilarlo. Para esto, su sistema deberá disponer del compilador de lenguaje C. Si Ud. no desea hacer esto, los desarrolladores también mantienen paquetes RPM (binarios.)

Es muy recomendable (casi imprescindible) instalar el programa tcpserver. Si por algún motivo no se desea emplear tcpserver, se puede usar una combinación de inetd con los tcp+wrappers tal como recomienda la documentación que acompaña a qmail. Finalmente (como aporte inédito) aquí mostramos cómo trabajar con xinetd aunque la solución tiene visos de "hack".

Otros requisitos evidentes corresponden a una conexión de red, y posiblemente la facultad de configurar el nameserver si se está instalando por primera vez un mailserver para las estaciones de un dominio. Aquí asumiremos que el usuario está familiarizado con la arquitectura de Internet de correo electrónico y con el DNS.

Si se desea emplear otra ubicación, esta se debe registrar en el archivo conf-qmail. En lo que sigue, asumiremos la ruta arriba indicada.

Qmail requiere la creación de diversos usuarios para su correcta ejecución. Estos son: alias, qmaild, qmaill, qmailp, qmailq, qmailr, y qmails. Si por algún motivo no se puede emplear estos pseudo-usuarios (por ejemplo, si algún usuario real coincide con los mencionados), entonces se deberá especificar los nuevos valores en el archivo conf-users. Igualmente se requiere de la creación de dos grupos (especificados en el archivo conf-groups.)

Para crear los usuarios y grupos usar:

En este paso se generan los ejecutables de qmail y se prepara el directorio de trabajo de qmail:

Luego se deberá especificar el nombre de nuestro host (incluyendo el dominio completo) mediante el comando config-fast del siguiente modo:

En qmail, el correo para los usuarios especiales postmaster, MAILER-DAEMON y root, es redirigido hacia el pseudo-usuario alias. Esto requiere de la existencia de ciertos archivos en el "home directory" del pseudo-usuario alias:

El correo dirigido a los usuarios locales debe ser almacenado en algún archivo o directorio (el 'mailbox'.) Esto normalmente 'NO' lo realiza el MTA, sino que lo delega a un programa auxiliar. Sendmail normalmente emplea a procmail para este fin. A fin de realizar una rápida puesta a punto, mantendremos el uso de procmail (luego veremos el agente alternativo que proporciona qmail llamado qmail-local.) Para esto tan sólo es necesario efectuar el siguiente comando:

Sin embargo, procmail en este caso será ejecutado mediante un usuario no privilegiado, por lo que es menester cambiar los permisos del directorio de los mailbox (que se mantendrá en /var/spool/mail.) Para RedHat 7.1:

Nótese que qmail recomienda cambiar el mailbox; sin embargo, esto requiere algunos pasos adicionales que no veremos aquí. Lea la documentación respectiva (archivo INSTALL.mbox) para más detalles.

Lo primero que debemos hacer es asegurarnos de que sendmail no está en ejecución, por lo que habremos de buscarlo en la tabla de procesos:

La primera línea indica que sendmail está en ejecución, por lo que debemos hacer que termine. Para esto usaremos cualquiera de los siguientes comandos (basta con uno) en orden de preferencia:

El "698" del último comando corresponde al PID del proceso y se obtiene del comando anterior. En su sistema deberá presentarse otro valor. Asegúrese (volviendo a lanzar "ps") de que sendmail ya no esté en ejecución.

Luego debemos asegurarnos de que sendmail no se vuelva a ejecutar. La manera más sencilla consiste en desinstalarlo mediante:

Probablemente deberá desinstalar otros paquetes (como fetchmail y mutt.) Para forzar la desinstalación de sendmail:

El archivo REMOVE.sendmail muestra otras maneras de trabajar sin necesidad de eliminar el paquete sendmail, aunque lo anterior es más recomendable.

Diversos programas asumen la existencia de sendmail y lo invocan ciegamente. Por esto, qmail proporciona un "reemplazo" básico para sendmail, a fin de mantener operativas a las aplicaciones mencionadas.

Qmail proporciona páginas de manual para diversas utilidades. Estas se instalan en /var/qmail/man. Sin embargo, el sistema "man" debe ser configurado para acceder a éste.

Para esto, añada el directorio de los manuales mediante el la directiva MANPATH en el archivo /etc/man.config:

Luego, Ud. deberá probar algo como man qmail-send.

En el http://cr.yp.to/ucspi-tcp.html site de ucspi-tcp Ud. deberá encontrar la última versión del paquete. Este viene en un archivo TAR comprimido. En mi caso, ucspi-tcp-0.88.tar.gz.

Ud. deberá luego desempacarlo en un lugar razonable (después lo podrá eliminar) mediente un comando como:

Ud. procederá ahora a compilar los programas del paquete. Para esto ejecute:

Y tras unos momentos deberá tener una serie de ejecutables en el mismo directorio. Proceda a copiar los ejecutables tcpserver y tcprules a un directorio en el PATH, como /usr/sbin o /usr/local/bin:

Sólo estos dos ejecutables serán necesarios, por lo que puede eliminar el directorio de ucspi-tcp-0.88.

Hemos configurado qmail para que se ejecute cada vez que el computador es reiniciado. Así que conviene en este momento reiniciar el computador a fin de apreciar que hemos realizado bien esta tarea.

Para analizar si los procesos de qmail están en ejecución, pruebe a lanzar el siguiente comando:

Casi todos los valores numéricos serán distintos en su computador (incluso hemos recortado un poco la salida por cuestiones de formato.) Lo importante es el nombre de los procesos, y de los usuarios dueños de los mismos (a la extrema derecha e izquierda, respectivamente.) Revise el "log" si no se hubieran iniciado estos procesos.

En caso de que no pudiera reiniciar el computador en este momento, tendrá que iniciar qmail manualmente:

Se trata de observar si los mensajes de qmail pueden ser distribuidos, es decir, pueden ser enviados a los usuarios de nuestro computador o de otro.

En primer lugar, "inyectamos" un mensaje con destino local, para lo cual Ud. deberá modificar la palabra xxxxx por el nombre de un usuario común del sistema (distinto del administrador.) Esta prueba la debería efectuar con un usuario común.

Escriba con cuidado el "to:" separando el nombre de usuario. Observe el log, y pruebe a recepcionar este mensaje (por ejemplo, logeándose con el usuario y ejecutando $ mail.) Pruebe también el envío a un usuario local inexistente:

Pruebe ahora el envío a un computador remoto:

Esto requiere que qmail se conecte al puerto SMTP de "remoto" (donde también deberá haber un servidor de email) y que allí exista el usuario especificado.

El archivo TEST.deliver contiene más pruebas y detalles que Ud. debe leer.

Ahora se trata de observar si qmail acepta mensajes (que después serán distribuidos como se vió arriba.) Para esto, tcpserver debe estar "escuchando" en el puerto SMTP (25). Esto puede analizarse fácilmente con netstat:

Si esto tarda mucho, o no funciona bien, usar:

Desde el computador remoto.unima.edu.pe, pruebe a enviar un mensaje a a cualquier usuario (no root) del computador local marquesa.unima.edu.pe, y observe los mensajes del log de ambos sistemas.

El archivo TEST.receive contiene más pruebas y detalles.

Asumimos que el lector está familiarizado con las funciones generales del nameserver. Entre éstas, nos interesa la configuración del registro MX para el dominio de nuestra organización. Asumiendo que el nameserver utiliza bind, el archivo de la zona incacoca.com.pe debería contener algo como lo que se muestra a continuación:

Con esto, todo el correo de Internet de la forma "usuario@incacoca.com.pe" se destina hacia "qmailserver.incacoca.com.pe".

Asumimos que el lector ha instalado qmail tal como se vio anteriormente. Cuando se instala qmail, éste asume que sólo debe aceptar mensajes destinados a su propio host; en nuestro caso, mensajes de la forma "usuario@qmailserver.incacola.com.pe". Como las direcciones ahora son diferentes, hay que configurar qmail para que las acepte. Para esto sólo se debe añadir "incacola.com.pe" (la parte de "host" de las direcciones electrónicas) a los archivos /var/qmail/control/rcpthosts y /var/qmail/control/locals:

Si se ha decidido mantener el mailbox en /var/spool/mail, entonces ya puede iniciar los demonios POP y/o IMAP. Asumimos que el lector sabe hacerlo (sugerencia: ntsysv, service xinetd reload.)

El archivo rcpthosts permite que qmail-smtp acepte los mensajes con el host especificado, en tanto locals permite que qmail-send efectue el delivery a un usuario local (en su mailbox.)

Con la configuración actual, los usuarios inscritos en qmailserver.incacola.com.pe ya pueden recibir correo desde sus estaciones (vía POP y/o IMAP.) Sin embargo, aún no pueden enviar correo.

Qmail deberá ser capaz de recibir correo desde las estaciones y redirigirlo hacia el exterior, esto es, servir de RELAY a las estaciones. Esto normalmente está dehabilitado, pues en caso contario cualquier persona de Internet podría usar nuestro servidor para enviar correo SPAM. Sólo nuestras estaciones deberán habilitarse.

Lamentablemente qmail (en la versión actual) no proporciona un mecanismo sencillo para habilitar el RELAY. Los lectores que no utilizan tcpserver deben leer en el archivo FAQ la pregunta acerca de cómo hacer que qmail actúe como RELAY para nuestros clientes (pregunta 5.4 en mi versión.) Xinetd no proporciona un mecanismo satisfactorio, pero el procedimiento que se muestra más adelante funciona.

Qmail-smtpd se encarga de recepcionar el correo de las estaciones cliente y del exterior (medianet SMTP.) Sin embargo, para forzar a que nos sirva como RELAY es preciso que sea iniciado con la variable de entorno RELAYCLIENT. Esto es, dependiendo de quién se conecta a qmail-smtpd, deberíamos activar la variable mencionada.

Tcpserver satisface este requerimiento de un modo sencillo. Ud. deberá en primer lugar crear un archivo llamado /etc/tcp.smtp con el siguiente contenido:

Donde 1.2.3.100-104 corresponde a nuestras estaciones que podrán enviar el email al exterior (Ud. debe colocar sus direcciones reales.) A éstas se les proporcionará el RELAY. Acto seguido, debemos "compilar" este archivo mediante el comando:

Que creará una versión de acceso rápido en /etc/tcp.smtp.cdb.

Ahora modifique la invocación a tcpserver en /etc/rc.d/rc.local del siguiente modo:

Sólo hemos añadido la especificación del archivo tcp.smtp.cdb con la opción "-x". Reinicie su sistema para apreciar los cambios. Ahora las estaciones deberían poder remitir mensajes hacia el exterior.

Ud. deberá crear el archivo /etc/xinetd.d/smtp con el siguiente contenido:

Nota: aunque no es el caso de RedHat 7.1, muchos sistemas no usan xinetd, sino inetd. En este caso, añadir la siguiente línea al archivo /etc/inetd.conf:

Con la configuración presentada, el sistema será capaz de recepcionar correo para sus usuarios. Para enviar mensajes desde el sistema, los usuarios Linux pueden emplear MUA’s como mail:

Sin embargo, no podrán remitirlo desde sus estaciones, pues no se ha configurado el RELAY para ellos (ver siguiente sección.)

Voy a asumir que se pretende configurar qmail para que opere como en el ejemplo descrito anteriormente. Si no hubieran estaciones que emplean a qmail como RELAY, bastaría con la configuración de la sección anterior.

El archivo /etc/xinetd.d/smtp define la "escucha" del puerto 25 (smtp) para cualquier interfaz de red. Modifiquemos esto añadiendo la siguiente línea:

Donde el lector reemplazará la dirección IP por la que realmente tiene el host. Con esto, sólo los requerimientos dirigidos a este IP serán procesados del modo normal (sin relay.)

Acto seguido, asociaremos una nueva dirección IP (IP alias) a la interfaz de red. No vamos a entrar en muchos detalles al respecto:

Esta dirección debe estar en su red, pero no debe hacer conflicto con ningún host. Asegúrese de que este IP alias siempre esté disponible al reiniciar el computador (sugerencia:
control-panel+.)

Ahora generaremos un nuevo archivo (por ejemplo, /etc/xinetd.d/smtp2 con el siguiente contenido:

Nótese que sólo hemos añadido la línea env = RELAYCLIENT= (variable de entorno), y hemos especificado la dirección (bind) al nuevo IP-alias. Con esto, las conexiones a esta dirección de red dispondrán de la facultad de hacer RELAY. Tenga cuidado con los signos de igualdad (=) de la línea mencionada.

Los MUA’s de las estaciones de la red local ahora se deberán configurar para que la conexión de salida (SMTP) se dirija hacia la dirección 1.2.3.200. Si se desea, se puede asignar un nombre a esta dirección en el DNS (por ejemplo "envios.unima.edu.pe".)

El único detalle suelto consiste en evitar que desde Internet se conecten a este IP (de relay.) Lo más sencillo es configurar el filtro de paquetes con una línea como la que se muestra:

o, si se usa netfilter:

Esto evita las conexiones a la dirección de RELAY, excepto para la subnet 1.2.3.0/24, que debe coincidir con nuestras estaciones de trabajo.