第 9 章 配置和维护 Dovecot IMAP 和 POP3 服务器

流程

1. 对私钥文件设置安全权限：

   # chown root:root /etc/pki/dovecot/private/server.example.com.key
   # chmod 600 /etc/pki/dovecot/private/server.example.com.key

2. 使用 Diffie-Hellman 参数生成文件：

   # openssl dhparam -out /etc/dovecot/dh.pem 4096

   根据服务器上的硬件和熵，生成带有 4096 位的 Diffie-Hellman 参数可能需要几分钟。

3. 在 /etc/dovecot/conf.d/10-ssl.conf 文件中设置到证书和私钥文件的路径：

   1. 更新 ssl_cert 和 ssl_key 参数，并将其设置为使用服务器的证书和私钥的路径：

      ssl_cert = </etc/pki/dovecot/certs/server.example.com.crt
      ssl_key = </etc/pki/dovecot/private/server.example.com.key

   2. 取消注释 ssl_ca 参数，并将其设置为使用 CA 证书的路径：

      ssl_ca = </etc/pki/dovecot/certs/ca.crt

   3. 取消注释 ssl_dh 参数，并将其设置为使用 Diffie-Hellman 参数文件的路径：

      ssl_dh = </etc/dovecot/dh.pem

   重要

   为确保 Dovecot 从文件中读取参数的值，该路径必须以前导 < 字符开头。

流程

1. 创建 vmail 用户：

   # useradd --home-dir /var/mail/ --shell /usr/sbin/nologin vmail

   Dovecot 之后将使用此用户来管理邮箱。出于安全考虑，请不要使用 dovecot 或 dovenull 系统用户来实现这一目的。

2. 如果您使用与 /var/mail/ 不同的路径，请在其上设置 mail_spool_t SELinux 上下文，例如：

   # semanage fcontext -a -t mail_spool_t "<path>(/.*)?"
   # restorecon -Rv <path>

3. 仅将 /var/mail/ 的写入权限授予 vmail 用户：

   # chown vmail:vmail /var/mail/
   # chmod 700 /var/mail/

4. 取消注释 /etc/dovecot/conf.d/10-mail.conf 文件中的 mail_location 参数，并将其设置为 mailbox 格式和位置：

   mail_location = sdbox:/var/mail/%n/

   使用这个设置：

   • Dovecot 在单一 模式中使用 high-performant dbox 邮箱格式。在此模式中，服务将每个邮件存储在单独的文件中，类似于 maildir 格式。
   • Dovecot 解析路径中的 %n 变量到用户名。这需要确保每个用户在其邮箱中都有单独的目录。

流程

1. 更新 /etc/dovecot/conf.d/10-mail.conf 文件中的 first_valid_uid 参数，以定义可以对 Dovecot 进行身份验证的最低用户 ID (UID)：

   first_valid_uid = 1000

   默认情况下，UID 大于或等于 1000 的用户可以进行身份验证。如果需要，您也可以设置 last_valid_uid 参数，以定义 Dovecot 允许登录的最高 UID。

2. 在 /etc/dovecot/conf.d/auth-system.conf.ext 文件中，将 override_fields 参数添加到 userdb 部分，如下所示：

   userdb {
     driver = passwd
     override_fields = uid=vmail gid=vmail home=/var/mail/%n/
   }

   由于固定值，Dovecot 不会从 /etc/passwd 文件查询这些设置。因此，/etc/passwd 中定义的主目录不需要存在。

流程

1. 如果您只想向用户提供 IMAP 或 POP3 服务，请取消 /etc/dovecot/dovecot.conf 文件中 protocols 参数的注释，并将其设为所需的协议。例如，如果您不需要 POP3，请设置：

   protocols = imap lmtp

   默认情况下启用 imap、pop3 和 lmtp 协议。

2. 在本地防火墙中打开端口。例如，要打开 IMAPS、IMAP、POP3S 和 POP3 协议的端口，请输入：

   # firewall-cmd --permanent --add-service=imaps --add-service=imap --add-service=pop3s --add-service=pop3
   # firewall-cmd --reload

3. 启用并启动 dovecot 服务：

   # systemctl enable --now dovecot

验证

1. 使用 Mozilla Thunderbird 等邮件客户端连接到 Dovecot 并读取电子邮件。邮件客户端的设置取决于您要使用的协议：

   表 9.1. 连接设置到 Dovecot 服务器

   协议	端口	连接安全性	身份验证方法
   IMAP	143	STARTTLS	PLAIN[a]
   IMAPS	993	SSL/TLS	PLAIN[a]
   POP3	110	STARTTLS	PLAIN[a]
   POP3S	995	SSL/TLS	PLAIN[a]
   [a] 客户端通过 TLS 连接传输数据。因此，凭证不会被披露。

   请注意，这个表不会列出未加密的连接的设置，因为默认情况下，Dovecot 在没有 TLS 的连接中不接受纯文本身份验证。

2. 使用非默认值显示配置设置：

   # doveconf -n