流程

1. 对私钥文件设置安全权限：

   # chown root:root /etc/pki/dovecot/private/server.example.com.key
   # chmod 600 /etc/pki/dovecot/private/server.example.com.key

2. 使用 Diffie-Hellman 参数生成文件：

   # openssl dhparam -out /etc/dovecot/dh.pem 4096

   根据服务器上的硬件和熵，生成 4096 位的 Diffie-Hellman 参数可能需要几分钟。

3. 在 /etc/dovecot/conf.d/10-ssl.conf 文件中设置证书和私钥文件的路径：

   1. 更新 ssl_cert 和 ssl_key 参数，并将其设置为使用服务器的证书和私钥的路径：

      ssl_cert = </etc/pki/dovecot/certs/server.example.com.crt
      ssl_key = </etc/pki/dovecot/private/server.example.com.key

   2. 取消 ssl_ca 参数的注释，并将其设置为使用 CA 证书的路径：

      ssl_ca = </etc/pki/dovecot/certs/ca.crt

   3. 取消 ssl_dh 参数的注释，并将其设置为使用 Diffie-Hellman 参数文件的路径：

      ssl_dh = </etc/dovecot/dh.pem

   重要

   为确保 Dovecot 从文件中读取参数的值，该路径必须以 < 字符开头。

流程

1. 创建 vmail 用户：

   # useradd --home-dir /var/mail/ --shell /usr/sbin/nologin vmail

   Dovecot 之后将使用此用户来管理邮箱。出于安全考虑，请不要为此使用 dovecot 或 dovenull 系统用户。

2. 如果您使用与 /var/mail/ 不同的路径，请对其设置 mail_spool_t SELinux 上下文，例如：

   # semanage fcontext -a -t mail_spool_t "<path>(/.*)?"
   # restorecon -Rv <path>

3. 仅将 /var/mail/ 的写权限授予 vmail 用户：

   # chown vmail:vmail /var/mail/
   # chmod 700 /var/mail/

4. 取消 /etc/dovecot/conf.d/10-mail.conf 文件中 mail_location 参数的注释，并将其设置为 mailbox 格式和位置：

   mail_location = sdbox:/var/mail/%n/

   使用这个设置：

   • Dovecot 在 single 模式下使用高性能 dbox 邮箱格式。在此模式下，服务将每个邮件存储在单独的文件中，类似于 maildir 格式。
   • Dovecot 将路径中的 %n 变量解析为用户名。这需要确保每个用户对其邮箱都有一个单独的目录。

流程

1. 更新 /etc/dovecot/conf.d/10-mail.conf 文件中的 first_valid_uid 参数，以定义可以验证到 Dovecot 的最低用户 ID (UID)：

   first_valid_uid = 1000

   默认情况下，UID 大于或等于 1000 的用户可以进行身份验证。如果需要，您也可以设置 last_valid_uid 参数，以定义 Dovecot 允许登录的最高 UID。

2. 在 /etc/dovecot/conf.d/auth-system.conf.ext 文件中，将 override_fields 参数添加到 userdb 部分，如下所示：

   userdb {
     driver = passwd
     override_fields = uid=vmail gid=vmail home=/var/mail/%n/
   }

   由于值固定，Dovecot 不会从 /etc/passwd 文件查询这些设置。因此，/etc/passwd 中定义的主目录不需要存在。

流程

1. 如果您只想向用户提供 IMAP 或 POP3 服务，请取消 /etc/dovecot/dovecot.conf 文件中protocols 参数的注释，并将其设置为所需的协议。例如，如果您不需要 POP3，请设置：

   protocols = imap lmtp

   默认情况下启用 imap、pop3 和 lmtp 协议。

2. 在本地防火墙中打开端口。例如，要为 IMAPS、IMAP、POP3S 和 POP3 协议打开端口，请输入：

   # firewall-cmd --permanent --add-service=imaps --add-service=imap --add-service=pop3s --add-service=pop3
   # firewall-cmd --reload

3. 启用并启动 dovecot 服务：

   # systemctl enable --now dovecot

验证

1. 使用 Mozilla Thunderbird 等邮件客户端连接到 Dovecot ，并读取电子邮件。邮件客户端的设置取决于您要使用的协议：

   表 1.1. 到 Dovecot 服务器的连接设置

   协议	端口	连接安全性	身份验证方法
   IMAP	143	STARTTLS	PLAIN[a]
   IMAPS	993	SSL/TLS	PLAIN[a]
   POP3	110	STARTTLS	PLAIN[a]
   POP3S	995	SSL/TLS	PLAIN[a]
   [a] 客户端通过 TLS 连接传输加密的数据。因此，凭证不会被披露。

   请注意，这个表不会列出未加密连接的设置，因为默认情况下，Dovecot 在没有 TLS 的连接上不接受纯文本身份验证。

2. 显示具有非默认值的配置设置：

   # doveconf -n

流程

1. 对私钥文件设置安全权限：

   # chown root:root /etc/pki/dovecot/private/server.example.com.key
   # chmod 600 /etc/pki/dovecot/private/server.example.com.key

2. 使用 Diffie-Hellman 参数生成文件：

   # openssl dhparam -out /etc/dovecot/dh.pem 4096

   根据服务器上的硬件和熵，生成 4096 位的 Diffie-Hellman 参数可能需要几分钟。

3. 在 /etc/dovecot/conf.d/10-ssl.conf 文件中设置证书和私钥文件的路径：

   1. 更新 ssl_cert 和 ssl_key 参数，并将其设置为使用服务器的证书和私钥的路径：

      ssl_cert = </etc/pki/dovecot/certs/server.example.com.crt
      ssl_key = </etc/pki/dovecot/private/server.example.com.key

   2. 取消 ssl_ca 参数的注释，并将其设置为使用 CA 证书的路径：

      ssl_ca = </etc/pki/dovecot/certs/ca.crt

   3. 取消 ssl_dh 参数的注释，并将其设置为使用 Diffie-Hellman 参数文件的路径：

      ssl_dh = </etc/dovecot/dh.pem

   重要

   为确保 Dovecot 从文件中读取参数的值，该路径必须以 < 字符开头。

流程

1. 创建 vmail 用户：

   # useradd --home-dir /var/mail/ --shell /usr/sbin/nologin vmail

   Dovecot 之后将使用此用户来管理邮箱。出于安全考虑，请不要为此使用 dovecot 或 dovenull 系统用户。

2. 如果您使用与 /var/mail/ 不同的路径，请对其设置 mail_spool_t SELinux 上下文，例如：

   # semanage fcontext -a -t mail_spool_t "<path>(/.*)?"
   # restorecon -Rv <path>

3. 仅将 /var/mail/ 的写权限授予 vmail 用户：

   # chown vmail:vmail /var/mail/
   # chmod 700 /var/mail/

4. 取消 /etc/dovecot/conf.d/10-mail.conf 文件中 mail_location 参数的注释，并将其设置为 mailbox 格式和位置：

   mail_location = sdbox:/var/mail/%n/

   使用这个设置：

   • Dovecot 在 single 模式下使用高性能 dbox 邮箱格式。在此模式下，服务将每个邮件存储在单独的文件中，类似于 maildir 格式。
   • Dovecot 将路径中的 %n 变量解析为用户名。这需要确保每个用户对其邮箱都有一个单独的目录。

流程

1. 在 /etc/dovecot/conf.d/10-auth.conf 文件中配置身份验证后端：

   1. 注释掉您不需要的 auth-*.conf.ext 身份验证后端配置文件的 include 语句，例如：

      #!include auth-system.conf.ext

   2. 通过取消下列行的注释来启用 LDAP 身份验证：

      !include auth-ldap.conf.ext

2. 编辑 /etc/dovecot/conf.d/auth-ldap.conf.ext 文件，并按如下所示将 override_fields 参数添加到 userdb 部分：

   userdb {
     driver = ldap
     args = /etc/dovecot/dovecot-ldap.conf.ext
     override_fields = uid=vmail gid=vmail home=/var/mail/%n/
   }

   由于值固定，Dovecot 不会从 LDAP 服务器查询这些设置。因此，这些属性也不是必须出现。

3. 使用以下设置创建 /etc/dovecot/dovecot-ldap.conf.ext 文件：

   1. 根据 LDAP 结构，配置以下之一：

      • 如果用户存储在 LDAP 目录中的不同树中，请配置动态 DN 查找：

        dn = cn=dovecot_LDAP,dc=example,dc=com
        dnpass = password
        pass_filter = (&(objectClass=posixAccount)(uid=%n))

        Dovecot 使用指定的 DN、密码和过滤器在目录中搜索身份验证用户的 DN。在此搜索中，Dovecot 将过滤器中的 %n 替换为用户名。请注意，LDAP 搜索必须只返回一个结果。

      • 如果所有用户都存储在特定条目下，请配置 DN 模板：

        auth_bind_userdn = cn=%n,ou=People,dc=example,dc=com

   2. 启用绑定到 LDAP 服务器的身份验证以验证 Dovecot 用户：

      auth_bind = yes

   3. 将 URL 设置为 LDAP 服务器：

      uris = ldaps://LDAP-srv.example.com

      为安全起见，请只使用使用 LDAPS 的加密连接，或使用通过 LDAP 协议的 STARTTLS 命令。对于后者，在设置中额外添加 tls = yes。

      对于正常工作的证书验证，LDAP 服务器的主机名必须与其 TLS 证书中使用的主机名匹配。

   4. 启用 LDAP 服务器的 TLS 证书的验证：

      tls_require_cert = hard

   5. 将基本 DN 设置为要开始搜索用户的 DN：

      base = ou=People,dc=example,dc=com

   6. 设置搜索范围：

      scope = onelevel

      Dovecot 仅在指定的基本 DN 中使用 onelevel 范围搜索，并且也使用子树中的 subtree 范围搜索。

4. 对 /etc/dovecot/dovecot-ldap.conf.ext 文件设置安全权限：

   # chown root:root /etc/dovecot/dovecot-ldap.conf.ext
   # chmod 600 /etc/dovecot/dovecot-ldap.conf.ext

流程

1. 如果您只想向用户提供 IMAP 或 POP3 服务，请取消 /etc/dovecot/dovecot.conf 文件中protocols 参数的注释，并将其设置为所需的协议。例如，如果您不需要 POP3，请设置：

   protocols = imap lmtp

   默认情况下启用 imap、pop3 和 lmtp 协议。

2. 在本地防火墙中打开端口。例如，要为 IMAPS、IMAP、POP3S 和 POP3 协议打开端口，请输入：

   # firewall-cmd --permanent --add-service=imaps --add-service=imap --add-service=pop3s --add-service=pop3
   # firewall-cmd --reload

3. 启用并启动 dovecot 服务：

   # systemctl enable --now dovecot

验证

1. 使用 Mozilla Thunderbird 等邮件客户端连接到 Dovecot ，并读取电子邮件。邮件客户端的设置取决于您要使用的协议：

   表 1.2. 到 Dovecot 服务器的连接设置

   协议	端口	连接安全性	身份验证方法
   IMAP	143	STARTTLS	PLAIN[a]
   IMAPS	993	SSL/TLS	PLAIN[a]
   POP3	110	STARTTLS	PLAIN[a]
   POP3S	995	SSL/TLS	PLAIN[a]
   [a] 客户端通过 TLS 连接传输加密的数据。因此，凭证不会被披露。

   请注意，这个表不会列出未加密连接的设置，因为默认情况下，Dovecot 在没有 TLS 的连接上不接受纯文本身份验证。

2. 显示具有非默认值的配置设置：

   # doveconf -n

流程

1. 对私钥文件设置安全权限：

   # chown root:root /etc/pki/dovecot/private/server.example.com.key
   # chmod 600 /etc/pki/dovecot/private/server.example.com.key

2. 使用 Diffie-Hellman 参数生成文件：

   # openssl dhparam -out /etc/dovecot/dh.pem 4096

   根据服务器上的硬件和熵，生成 4096 位的 Diffie-Hellman 参数可能需要几分钟。

3. 在 /etc/dovecot/conf.d/10-ssl.conf 文件中设置证书和私钥文件的路径：

   1. 更新 ssl_cert 和 ssl_key 参数，并将其设置为使用服务器的证书和私钥的路径：

      ssl_cert = </etc/pki/dovecot/certs/server.example.com.crt
      ssl_key = </etc/pki/dovecot/private/server.example.com.key

   2. 取消 ssl_ca 参数的注释，并将其设置为使用 CA 证书的路径：

      ssl_ca = </etc/pki/dovecot/certs/ca.crt

   3. 取消 ssl_dh 参数的注释，并将其设置为使用 Diffie-Hellman 参数文件的路径：

      ssl_dh = </etc/dovecot/dh.pem

   重要

   为确保 Dovecot 从文件中读取参数的值，该路径必须以 < 字符开头。

流程

1. 创建 vmail 用户：

   # useradd --home-dir /var/mail/ --shell /usr/sbin/nologin vmail

   Dovecot 之后将使用此用户来管理邮箱。出于安全考虑，请不要为此使用 dovecot 或 dovenull 系统用户。

2. 如果您使用与 /var/mail/ 不同的路径，请对其设置 mail_spool_t SELinux 上下文，例如：

   # semanage fcontext -a -t mail_spool_t "<path>(/.*)?"
   # restorecon -Rv <path>

3. 仅将 /var/mail/ 的写权限授予 vmail 用户：

   # chown vmail:vmail /var/mail/
   # chmod 700 /var/mail/

4. 取消 /etc/dovecot/conf.d/10-mail.conf 文件中 mail_location 参数的注释，并将其设置为 mailbox 格式和位置：

   mail_location = sdbox:/var/mail/%n/

   使用这个设置：

   • Dovecot 在 single 模式下使用高性能 dbox 邮箱格式。在此模式下，服务将每个邮件存储在单独的文件中，类似于 maildir 格式。
   • Dovecot 将路径中的 %n 变量解析为用户名。这需要确保每个用户对其邮箱都有一个单独的目录。

流程

1. 安装 dovecot-mysql 软件包：

   # dnf install dovecot-mysql

2. 在 /etc/dovecot/conf.d/10-auth.conf 文件中配置身份验证后端：

   1. 注释掉您不需要的 auth-*.conf.ext 身份验证后端配置文件的 include 语句，例如：

      #!include auth-system.conf.ext

   2. 通过取消以下行的注释来启用 SQL 身份验证：

      !include auth-sql.conf.ext

3. 编辑 /etc/dovecot/conf.d/auth-sql.conf.ext 文件，并将 override_fields 参数添加到 userdb 部分，如下所示：

   userdb {
     driver = sql
     args = /etc/dovecot/dovecot-sql.conf.ext
     override_fields = uid=vmail gid=vmail home=/var/mail/%n/
   }

   由于值固定，Dovecot 不会从 SQL 服务器查询这些设置。

4. 使用以下设置创建 /etc/dovecot/dovecot-sql.conf.ext 文件：

   driver = mysql
   connect = host=mariadb_srv.example.com dbname=dovecotDB user=dovecot password=dovecotPW ssl_ca=/etc/pki/tls/certs/ca.crt
   default_pass_scheme = SHA512-CRYPT
   user_query = SELECT username FROM users WHERE username='%u';
   password_query = SELECT username AS user, password FROM users WHERE username='%u';
   iterate_query = SELECT username FROM users;

   要对数据库服务器使用 TLS 加密，请将 ssl_ca 选项设置为发布 MariaDB 服务器证书的 CA 的证书路径。对于正常工作的证书验证，MariaDB 服务器的主机名必须与其 TLS 证书中使用的主机名匹配。

   如果数据库中的密码值包含 {pw-storage-scheme} 前缀，则您可以省略 default_pass_scheme 设置。

   文件中的查询必须设置如下：

   • 对于 user_query 参数，查询必须返回 Dovecot 用户的用户名。查询还必须只返回一个结果。
   • 对于 password_query 参数，查询必须返回用户名和密码，并且 Dovecot 必须在 user 和 password 变量中使用这些值。因此，如果数据库使用不同的列名称，请使用 AS SQL 命令重命名结果中的列。
   • 对于 iterate_query 参数，查询必须返回所有用户的列表。

5. 对 /etc/dovecot/dovecot-sql.conf.ext 文件设置安全权限：

   # chown root:root /etc/dovecot/dovecot-sql.conf.ext
   # chmod 600 /etc/dovecot/dovecot-sql.conf.ext

流程

1. 如果您只想向用户提供 IMAP 或 POP3 服务，请取消 /etc/dovecot/dovecot.conf 文件中protocols 参数的注释，并将其设置为所需的协议。例如，如果您不需要 POP3，请设置：

   protocols = imap lmtp

   默认情况下启用 imap、pop3 和 lmtp 协议。

2. 在本地防火墙中打开端口。例如，要为 IMAPS、IMAP、POP3S 和 POP3 协议打开端口，请输入：

   # firewall-cmd --permanent --add-service=imaps --add-service=imap --add-service=pop3s --add-service=pop3
   # firewall-cmd --reload

3. 启用并启动 dovecot 服务：

   # systemctl enable --now dovecot

验证

1. 使用 Mozilla Thunderbird 等邮件客户端连接到 Dovecot ，并读取电子邮件。邮件客户端的设置取决于您要使用的协议：

   表 1.3. 到 Dovecot 服务器的连接设置

   协议	端口	连接安全性	身份验证方法
   IMAP	143	STARTTLS	PLAIN[a]
   IMAPS	993	SSL/TLS	PLAIN[a]
   POP3	110	STARTTLS	PLAIN[a]
   POP3S	995	SSL/TLS	PLAIN[a]
   [a] 客户端通过 TLS 连接传输加密的数据。因此，凭证不会被披露。

   请注意，这个表不会列出未加密连接的设置，因为默认情况下，Dovecot 在没有 TLS 的连接上不接受纯文本身份验证。

2. 显示具有非默认值的配置设置：

   # doveconf -n

流程

1. 设置 Dovecot：

   1. 在 /etc/dovecot/conf.d/10-master.conf 文件中包括以下行：

      service auth {
        unix_listener /var/spool/postfix/private/auth {
          mode = 0660
          user = postfix
          group = postfix
        }
      }

      前面的示例对 Postfix 和 Dovecot 之间的通信使用 UNIX-域套接字。该示例还假定默认的 Postfix SMTP 服务器设置，其包括位于 /var/spool/postfix/ 目录中的邮件队列，以及在 postfix 用户和组下运行的应用程序。

   2. 可选：建立 Dovecot 以通过 TCP 侦听 Postfix 验证请求：

      service auth {
        inet_listener {
            port = port-number
        }
      }

   3. 通过编辑 /etc/dovecot/conf.d/10-auth.conf 文件中的 auth_mechanisms 参数来指定电子邮件客户端用来使用 Dovecot 进行身份验证的方法：

      auth_mechanisms = plain login

      auth_mechanisms 参数支持不同的纯文本和非纯文本身份验证方法。

2. 通过修改 /etc/postfix/main.cf 文件来建立 Postfix：

   1. 在 Postfix SMTP 服务器上启用 SMTP 身份验证：

      smtpd_sasl_auth_enable = yes

   2. 为 SMTP 身份验证启用 Dovecot SASL 实现：

      smtpd_sasl_type = dovecot

   3. 提供相对于 Postfix 队列目录的身份验证路径。请注意，使用相对路径可确保无论 Postfix 服务器是否以 chroot 运行，配置都可以正常工作：

      smtpd_sasl_path = private/auth

      此步骤使用 UNIX-域套接字在 Postfix 和 Dovecot 之间进行通信。

      如果您使用 TCP 套接字进行通信，要将 Postfix 配置为在不同机器上查找 Dovecot，请使用类似如下的配置值：

      smtpd_sasl_path = inet: ip-address : port-number

      在上例中，将 ip-address 替换为 Dovecot 机器的 IP 地址，将 port-number 替换为 Dovecot 的 /etc/dovecot/conf.d/10-master.conf 文件中指定的端口号。

   4. 指定 Postfix SMTP 服务器为客户端提供的 SASL 机制。请注意，您可以为加密和未加密的会话指定不同的机制。

      smtpd_sasl_security_options = noanonymous, noplaintext
      smtpd_sasl_tls_security_options = noanonymous

      以上指令指定在未加密的会话期间，不允许匿名身份验证，且不会允许传输未加密的用户名或密码的机制。对于使用 TLS 的加密会话，只允许非匿名身份验证机制。