人生という名の酷道で遭難中

随分昔にsmtp auth/TLSは設定していたけれど、saslのローカールデータベースで認証させてました。ただ、いちいちアカウント作るのが面倒。

今時はsaslauthd経由でPAMが使えるらしいので設定見直し。FreeBSD/sendmailの基本的な設定は下記参照。

https://www.freebsd.org/doc/handbook/SMTP-Auth.html

そしてちょっと弄った結果。

dnl PAM経由だと平文（PLAINとLOGIN）しか通らない
TRUST_AUTH_MECH(`PLAIN LOGIN')dnl
define(`confAUTH_MECHANISMS', `PLAIN LOGIN')dnl

dnl A=認証をヘッダに記録, p=PLAIN/LOGIN認証にSSL/TLS必須, y=anonymnous login禁止
define(`confAUTH_OPTIONS', `A p y')dnl

dnl TLS1.1以前は蹴る
define(`confSERVER_SSL_OPTIONS',`+SSL_OP_NO_SSLv2 +SSL_OP_NO_SSLv3 +SSL_OP_NO_TLSv1 +SSL_OP_NO_TLSv1_1 +SSL_OP_CIPHER_SERVER_PREFERENCE')dnl
define(`confCLIENT_SSL_OPTIONS',`+SSL_OP_NO_SSLv2 +SSL_OP_NO_SSLv3 +SSL_OP_NO_TLSv1 +SSL_OP_NO_TLSv1_1')dnl

TLSの設定については割愛。あんまり見つからなかった、TLS1.1以前を蹴る設定だけ載せときます。PAM連係は実質TLS必須ですね。平文垂れ流しとか怖すぎる…。

Submissionポートを使ったSTARTTLSとしています。常時TLSなsmtpsのほうが良いんじゃ無いの？と思った物の、smtps非推奨っぽい。

IANA的にsmtpsは一度廃止方向になりつつも、なんとなく復活。ただport 465の用途はsmtpsとssmとがブッキングしたままとか。

confAUTH_OPTIONSでTLS強制してるからまぁいいかってな感じ。

しかしsendmailの設定、m4マクロのキーワードで検索するとテンプレばかりで詳細情報ぜんぜん引っかかりませんね。

設定内容について詳細に理解しようとしたら、cf側のキーワードで検索かけないとあかんっぽいです。日本語の情報はほとんど無いけど。