AUTHSMTP

AUTHSMTP är en tjänst som gör det möjligt att på ett säkert sätt skicka mail via Lysators mailserver från datorer utanför Lysators nätverk.

Varför?

Några anledningar att vilja använda tjänsten kan vara:

• Den lokala SMTP-servern fungerar dåligt.
• Man litar mer på postmaster (at) lysator.liu.se än postmaster@sin.egen.isp.
• Man vill inte skicka mail okrypterat på det lokala nät man befinner sig och den lokala SMTP-servern stödjer inte kryptering.
• Man använder en laptop och vill slippa ändra inställningar i sitt mailprogram när man flyttar sig mellan olika nät.

Hur?

AUTHSMTP är en funktion i Lysators vanliga mailserver mail.lysator.liu.se, man kan dock använda den på flera olika sätt.

Alternativ ett är att använda SMTP och STARTTLS. Detta fungerar både via den vanliga SMTP-porten (25) och port 26. Anledningen till att även port 26 kan användas är att många Internetoperatörer spärrar utgående trafik till port 25.

Alternativ två är att använda SMTP över SSL via ssmtp-porten 465 samt SMTP AUTH för autentisering.

Ett tredje alternativ är att köra klartextlösenord över vanlig okrypterad SMTP (port 25 eller 26) utan TLS. Detta är tillåtet, men inte rekomenderat.

För autentisering används AUTH PLAIN med vanliga lysatoranvändarnamn och maillösenord.

SSL-certifikatet som mailservern använder är signerat av UNIT Best-Effort CA och rootcertifikatet kan hämtas från deras sida.

Hur man ställer in sitt mailprogram att använda detta varierar naturligtvis mellan olika program. Nedan kommer beskrivningar för några olika program.

Mozilla Thunderbird 1.0

Ladda hem rootcertifikatet i PEM-format (beca-root-pem.crt) från UNITs sida.

Välj menyn Edit->Account Settings->Outgoing Server(SMTP): Server Name: mail.lysator.liu.se Port: 26 Markera "Use name and password" User Name: Lysatoranvändarnamn Use secure connection: TLS

Välj Edit->Preferences->Advanced->Certificates->Manage Certificates->Authorities Välj Import Öppna filen beca-root-pem.crt som du laddade hem tidigare Markera "Trust this CA to identify web sites." Välj OK. Klart!

Postfix

Om man kör Postfix och vill använda authsmtp behöver man göra följande:

Installera en Postfix med TLS och SASL-stöd. (apt-get install postfix-tls på Debian. Den version av postfix som finns i Debian Woody är dock för gammalt och kommer inte att fungera. Backports.org har en nyare version)

Lägg till följande rader i /etc/postfix/main.cf:

relayhost = [mail.lysator.liu.se]:26 smtp_sasl_auth_enable = yes smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd smtp_sasl_security_options = noanonymous smtp_use_tls = yes smtp_tls_CApath = /etc/postfix/ssl/ca

Om man vill vara helt säker på att ingenting någonsin skickas utan att använda TLS kan även lägga till smtp_enforce_tls = yes.

Skapa filen /etc/postfix/sasl_passwd med följande innehåll: mail.lysator.liu.se <Lysatoranvändarnamn>:<Maillösenord> Kör postmap /etc/postfix/sasl_passwd

Ladda hem rootcertifikatet i PEM-format (beca-root-pem.crt) från UNIT och byt namn på filen till någonting som slutar på .pem, t.ex. UNIT-Best-Effort-CA.pem.

Flytta certifikatfilen till /etc/postfix/ssl/ca samt kör c_rehash /etc/postfix/ssl/ca.

Om postfix körs chrootad (default på Debian) så lägg certifikatfilen i /var/spool/postfix/etc/postfix/ssl/ca i stället och låt /etc/postfix/ssl/ca vara en symlänk till den katalogen.

Om det mot förmodan inte fungerar nu så är ett bra tips vid felsökning att sätta smtp_tls_loglevel = 2 i main.cf vilket get lite mer i loggen. Mer dokumentation om Postfix/TLS finns här.