Ablösen von Exchange2k3, OWA und W2k3 AD

[Cyberspace19]

Hallo zusammen und noch ein gutes neues Jahr!

Ich habe da mal ein paar Fragen/Probleme bei meinem Vorhaben.

Als erstes vielleicht hier mal kurz meine jetzige Situation:
Ich habe bei mir zu Haus derzeit einen W2k3 Server (DNS/DHCP/AD) + Exchange2003 stehen. Auf diesem Server läuft derzeit ein AD, über welches die ganzen Benutzer verwaltet werden. Des weiteren habe ich auf diesem Server eine CA installiert um mir OWA über SSL nach außen zu publischen.
Bei 1und1 habe ich noch eine Web-Adresse und habe dort den MX-Record auf meine dyndns.org Adresse umgebogen. Die Mails nach draußen werden über den 1und1 SMTP-Server gesendet. Diese Konstellation funktioniert hervorragend. Allerdings möchte ich das ganze jetzt durch kostenlose Software (Linux) ablösen.

So weit bin ich bis jetzt:
Das verwendete OS dafür ist Ubuntu 6.06.1 LTS Server und alle Software bis auf eine Ausnahme aus den Paketquellen.
Da ich mein Produktionssystem nicht einfach platt machen wollte, habe ich mir das ganze nun zuerst einmal in einer VM-Umgebung aufgebaut.

1) DHCPv3 und DDNS
Diese beiden Stücke laufen bereits wie von mir gewünscht. DHCPv3 verteilt IPs und gibt diese an BIND9 weiter.
Domäne: domain.intern.
A Record: server1
MX Record: server1.domain.intern.
INFO: Diese Domäne ist für das Intranet gedacht.

Domäne: 1.168.192.in-addr.arpa
Hier drin sind meine PTR Records zu finden

Domäne: dm.int
MX Record: server1.domain.intern.
INFO: Diese Domäne habe ich für den Test des Mailversands ohne Inet nur in der VM mit angelegt. Diese Domäne wäre später meine Mailadressdomäne.
z.B. **********

2) Samba als PDC für Windows Clients
Auch der Samba läuft bereits als PDC.
Für die Authentifizierung habe ich die Benutzer mit einem --disabled-login angelegt und diese dann Samba mit smbpasswd bekannt zu gegeben.
Domäne: domain (Wäre es auch möglich hier "domain.intern" in Samba als Workgroup anzugeben?)

3) Mailsystem
Hier wird es nun ein bisschen interessanter.
Meine Literatur, welche ich dazu alles herangezogen habe, um Postfix entsprechend einzurichten:
Postfix Buch ISBN 978-3-89721-372-2
ISPMail Sarge
Ein anderes How-To
Dieses Board hier
Google
Und zu guter letzt das RFC zu IMAP.
Benutzte Software aus den Paketquellen von Ubuntu (keine genaue Paketnamen ): postfix, postfix-mysql, courier-imap(-ssl), courier-pop(-ssl), mysql-server-5.0, mysql-client-5.0
Postfix ist anhand des ISP How-Tos eingerichtet und funktioniert soweit sehr gut. Mails an die lokale (domain.intern) Adressen werden den lokalen Systembenutzern zugestellt und Mails an "dm.int" werden den virtuellen Benutzern zugeordnet.
Mails an SMTP Adressen außerhalb meines LANs werden über smtp.1und1.de versendet.
Courier stellt IMAP(-SSL) und POP3(-SSL) zur Verfügung. Meine bevorzugte Methode ist das Abrufen der Mails über IMAP (SSL gesichert). Unter Linux mit Evolution, unter WinNT mit Outlook XP und unter WinXP SP2 mit Outlook 2003.

INFO: amavisd und Spamassassin habe ich noch nicht konfiguriert. Wird aber noch nachgeholt.

4) Webzugriff auf die Mails von außen
Dies ist für mich ein sehr wichtiger Punkt, da ich oft unterwegs bin und nur einen Zugriff auf HTTP(S) von Fremden Rechnern aus habe.
Für den Zugriff auf meine Mails verwende ich nicht wie im ISP HowTo beschrieben "sqWebMail" sondern eine Groupwarelösung (eGroupWare)
Installation erfolgte aus den Paketquellen mit einem anschließenden Upgrade auf 1.2-106.
Das ganze ist noch SSL gesichert. (Anhand dieser Anleitung)

Nun aber zu meinen Fragen/Probleme:
Ich hoffe überhaupt mal, dass es jemand bis hier her geschafft hat.
1) Da ich auch Mail von meinen POP3 Accounts (GMX, Lycos,...) abholen muss, werde ich noch fetchmail einrichten. Meine Freundin möchte jetzt aber nicht, dass beim Versenden von Mails über mein System die Adresse wie (benutzer@meinedomain.tld) erscheint sondern ihre GMX Adresse.
Deshalb meine Frage: Funktioniert "sender_canonical_maps" auch auf virtuellen Adressen?

2) Wenn ich in Evolution als Protokoll IMAP4rev1 auswähle sehe ich keine Mails mehr in der INBOX und Evolution reagiert sehr lahm und komisch.

3) Outlook 2003 macht Probleme beim Zugriff auf IMAP.
Mein Outlook2003 schmiert mir jedes Mal ab, sobald ich mich per IMAP auf den Server verbinde. Outlook XP hingegen funktioniert wunderbar mit IMAP und SSL.

4) Windows meckert mir immer an, dass das Zertifikat nicht gültig wäre obwohl ich es in "vertrauenswürdige Stammzertifikate" importiert habe. Das Zertifikat habe ich nach dem ISP How-To angelegt.

openssl req -new -outform PEM -out /etc/postfix/smtpd.cert -newkey rsa:2048 \
-nodes -keyout /etc/postfix/smtpd.key -keyform PEM -days 3650 -x509

Importiert habe ich dann das smtpd.cert - File.
Common Name entspricht bei mir server1.domain.intern. Über diese adresse greife ich auch auf IMAP und SMTP zu.

5) eGroupware - FeLaMiMail
Unter eGroupware habe ich beide Mailapplikationen installiert und zwei Benutzer angelegt. Beide benutzer haben ebenfalls eine virtuelle Mailbox im Postfix konfiguriert, welche funktionieren. Die "normale" eMail Applikation funktioniert fast so, wie ich es möchte. FeLaMiMail allerdings zeigt immer die Mailbox des eGroupware Admin-Benutzers (Benutzer1) an. Selbst wenn sich Benutzer2 (normaler Benutzer) anmeldet, werden die Mails von Benutzer1 in FeLaMiMail angezeigt. In der anderen Mail Applikation wird jedoch die richtige Mailbox ausgewählt.

6) eGroupware - Webmailer allgemein
Beide Webmailer von eGroupware haben ihre Probleme mit der Darstellung von HTML-Mails.
FeLaMiMail: es ist zwar möglich, Mails als HTML darstellen zu lassen aber die eingebetteten Bilder werden immer als Anhang angezeigt und nicht in der Mail selbst. Des weiteren wird zuerst immer der PLAIN-Text Teil ausgegeben.
eGroupware Mailapplikation: Hier werden die HTML-Mails auch nicht richtig angezeigt. Bilder werden als eine URL im Text mit ausgegeben aber auch nicht eingebettet. Manchmal gibt es auch einen Button "In HTML-Form anzeigen" (oder so ähnlich). Allerdings wird dann das aktuelle Fenster mit der Mail neu geladen und eGroupware verschwindet. Hier wäre es aus meiner Sicht schöner, wenn die Mail in einem neuen Fenster aufgehen würde. Zudem ist da dann nur der Body der Mail zu sehen aber nicht der Header (From, To, Subject,...).

Bei den Webmailern bin ich halt ein bisschen von OWA verwöhnt wobei GMX,... können HTML-Mails ebenfalls sauber darstellen.
Des weiteren ist es nicht möglich, HTML-Mails über die Webmailer zu versenden. <-- Dies ist kein unbedingte muss. Lediglich eine korrekte Darstellung der HTML-Mails wäre schön.

Hat mir hier jemand einen Tipp ob dies mit eGroupware möglich ist oder kann mir jemand einen anderen Webmailer, der mit HTML-Mails umgehen kann, nennen. Sollte auch mit Courier IMAP(S) umgehen können.

7) eGroupwarer/Apache und SSL mit Windows
Das Zertifikat habe ich wie unter Punkt 4 beschrieben erstellt. Windows sagt mir aber immer, das das Zertifikat abgelaufen wäre obwohl es bis 2016 gültig ist.


Ich glaube dass war es nun fürs Erste.
Ich hoffe dass ich euch jetzt mit dem Beitrag nicht habe. Ich wollte halt genau beschreiben, worum es hier geht.
Solltet Ihr noch Logs, Configs oder sonstiges von mir benötigen, dann gebt kurz bescheid. Ich werde diese dann heute Abend, wenn ich wieder zu Haus bin, nachlegen.

Bis dahin schon mal vielen, vielen Dank fürs Lesen und möglicherweise weiterhelfen.

#Greetz,
Cyberspace19

 

[Cyberspace19]

Ok. Dann beantworte ich mir jetzt mal ein paar fragen (nach einer nächtlichen "google-session") mal selbst. Vielleicht ist es ja für den ein oder anderen auch interessant.

1) Für dieses Vorhaben gibt es einen speziellen Parameter "smtp_generic_maps".
Ist der Parameter auf eine Lookup-Tabelle gesetzt, dann werden alle Mails, welche über den smtp gesendet werden durch diese Lookup-Table "gejagt". In der Tabelle habe ich dann einen Eintrag wie user@local --> user@isp eingetragen. Somit werden Mails, welche nach außen versandt werden automatisch auf die ISP Adresse umgeändert. Lokal/virtuell zugestellte Mails sind davon allerdings nicht betroffen.

2) Noch keine Lösung

3) Da hier das selbe Verhalten wie unter 2 besteht, vermute ich dass es etwas mit dem Protokoll zu tun hat. Habe dafür aber auch noch keine Lösung

4) Muss ich mir auch nochmals genauer anschauen.

5) Ist erledigt. Ich habe hier nur eine Falsche Konfiguration "erzwungen". Nachdem ich auf vmailmgr umgestellt habe und meine Benutzernamen angepasst (auch Groß und Kleinschreibung wichtig) funktioniert der Zugriff für jeden Benutzer.
z.B. Mailadresse: **********
Benutzer in eGroupware: benutzer1 angemeldet an der dm.int
Hierzu aber noch eine kleine Frage: kann man es in courier ausschalten, dass für den Benutzernamen die Groß- und Kleinschreibung berücksichtigt wird?

6) Leider auch noch keine "Lösung"

7) Hat sich erledigt. Nach einer weile wurde das Zertifikat als Gültig angesehen. Habe danach festgestellt, dass meine Linuxkiste von der Zeit um ein paar Stunden vorging. Möglicherweise hing es damit zusammen.

Habe dann aber noch ein neues Problem entdeckt.
In eGroupware, wenn ich die Home-Site aufrufe, dann bekomme ich einen Fehlermeldung,dass er meine Mailbox nocht richtig öffnen kann. Im mail.log bekomme ich jedes mal diese Fehlermeldung hier:

Jan  4 21:14:49 server1 imaplogin: couriertls: connect:error:14094418:SSL routines:SSL3_READ_BYTES:tlsv1 alert unknown ca

Kann mir hier noch jemand weiterhelfen?

Bzw. sagen wir es mal anders.

Unter Windows habe ich ja eine CA und über diese habe ich entsprechende Zertifikatsanfragen gestellt und freigegeben. Müsste doch unter Linux auch so gehen. Kann mir vielleicht einer (schritt für Schritt) erklären, wie ich
a) eine eigene CA erstelle
b) ein Zertifikat über diese CA für SMTP/IMAP-SSL/POP3SSL bekomme
c) ein Zertifikat über diese CA für meinen Web-Server erstelle

Vielen Dank schon mal!

#Greetz,
Cyberspace19

 

[drfreak2004]

Hi ich habe das mit Outlook und imap gelesen. Schon mal Thunderbird oder Evolution für WIndows getestet ?

 

[Cyberspace19]

Ne. Aber OExpress. Da funzt es auch.

Was ich komisch finde ist halt dass Evolution unter Linux exakt das selbe Verhalten an den Tisch legt wie Outlook 2003 wenn ich IMAP4rev1 in Evolution auswähle. Ich vermute, dass da Courier oder wer auch immer sich dran verschluckt.

Wenn ich aber ein "telnet meinserver.domain.int 143" mache, dann bekomme ich als response das IMAP4rev1 angezeigt.

#Greetz,
Cyberspace19
.
.
.
EDIT (autom. Beitragszusammenführung) :
.
Und da bin ich schon wieder...

Also folgendes hat sich bis jetzt ergeben:
Punkt 2 und 3 sind nach wie vor nicht erledigt.

Punkt 4 und 7 + das neue Problem: fast gelöst.
Ich habe nun eine CA. Dieses Zertifikat habe ich im IE, Firefox, Evoultion hinterlegt. Danach habe ich ein CSR für meine Web-URL erstellt und mit dem CA-Key signiert. Funktioniert ebenfalls wunderbar. Nun das ganze noch für SMTP und IMAP. Hat auch funktioniert. OExpress und Evolutione meckern mir nun nicht mehr an, dass das Zertifikat für IMAP und SMTP nicht vertrauenswürdig sind. Also soweit bin ich jetzt zufrieden.

Allerdings bekomme ich immer noch in eGroupware folgende Meldung:

Warning: imap_open(): Couldn't open stream {server1.domain.int:143}INBOX in /usr/share/egroupware/email/inc/class.mail_dcom_imap.inc.php on line 214

und im mail.log habe ich immer noch diese Meldung:

Jan  5 17:48:59 sever1 imaplogin: couriertls: connect: error:14094418:SSL routines:SSL3_READ_BYTES:tlsv1 alert unknown ca

Muss ich meinem Apache bzw. php noch irgendwie meine Root CA bekannt geben?

#Greetz

 

[Cyberspace19]

Und nochmals ein kleiner Zwischenbericht.

Problem 2 und 3 sind immer noch da.
Hier wäre ich für weiter Tipps/Anregungen sehr dankbar.
Achja. Mit Thunderbird geht es auch.
Courier sollte doch eigentlich IMAP4rev1 kennen. Die bekomme ich auch in der "Response" angezeigt. Aber jedes Mal, wenn ich Evolution auf IMAP4rev1 stelle spinnt es genau so wie Outlook2003 herum.

Die restlichen Punkte haben sich mit dem neuen eGroupware 1.3 aus dem "trunk" Zweig ( Beta/RC? ) erledigt.
Es ist nun möglich HTML Mails zu erstellen und diese werden ebenfalls in FeLaMiMail besser angezeigt als zuvor.


#Greetz,
Cyberspace19

 

[Cyberspace19]

Und jetzt noch eine spezielle Frage zu den smtpd_recipient_restrictions.

Ich habe folgende Konfiguration:

smtpd_recipient_restrictions =
        reject_rbl_client relays.ordb.org,
        reject_rbl_client sbl.spamhaus.org,
        reject_rbl_client proxies.relays.monkeys.com,
        reject_rbl_client opm.blitzed.org,
        reject_rbl_client dnsbl.njabl.org,
        reject_rbl_client blackholes.wirehub.net,
        reject_rbl_client list.dsbl.org,
        permit_mynetworks,
        permit_sasl_authenticated,
        reject_unauth_destination,
        reject_unknown_recipient_domain

Wenn ich allerdings nun von meinem eGroupware auf der selben machine eine Mail versenden will, dann bekomme ich eine sehr "schöne" Meldung in meinen Logs:

Jan 15 15:48:28 server postfix/smtpd[10856]: warning: 100.178.168.192.relays.ordb.org: RBL lookup error: Host or domain name not found. Name service error for name=100.178.168.192.relays.ordb.org type=A: Host not found, try again
Jan 15 15:48:30 server postfix/smtpd[10856]: NOQUEUE: reject: RCPT from unknown[192.168.178.100]: 554 Service unavailable; Client host [192.168.178.100] blocked using proxies.relays.monkeys.com; And the horse you rode in on!; from=<user@domain> to=<user@domain> proto=ESMTP helo=<host>

Kann mir hier jemand weiterhelfen, dass ich die Blacklists für eingehen nutze aber nicht für die ausgehenden. Leider komme ich hier nicht wirklich weiter.

Die Kiste steht hinter meinem DSL-Router.

Vielen Dank schon mal!