Alliance-Boreale/Set-OPS-Public
2
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions
Set-OPS-Public/roles/serveur_dovecot
History
Daniel Allaire a90dff7ba7 courriel : routage local par identifiant, et la livraison interne remise en marche 
Arbitrage rendu : le courrier local est route par uid, plus par l'attribut
mail. Dovecot le faisait DEJA (mail_home = /var/vmail/%{user | username}) ;
les deux moities ne s'accordaient que par coincidence, tant que mail valait
uid@<domaine_interne>. Cout assume : l'adresse interne est derivee et ne se
choisit plus ; en echange mail redevient libre de porter la vraie adresse de
la personne.

Puis la preuve de bout en bout a revele bien pire : toute livraison interne
etait DIFFEREE.

  SSL_connect error to infra-mail-01:24: Connection timed out
  status=deferred (Cannot start TLS: handshake failure)

Postfix etait durci (lmtp_tls_security_level = verify), le port LMTP de
Dovecot ecoutait en clair — son ssl = required global ne concerne que les
services de connexion. Les deux cotes d'un meme flux avaient ete traites
separement. Corrige et accorde : ssl = yes sur l'inet_listener (TLS implicite)
et lmtp_tls_wrappermode = yes cote client ; l'un sans l'autre ne marche pas.

Livraison prouvee : status=sent (250 ... Saved), message dans
/var/vmail/sysadmin/Maildir/.INBOX/new/.

Le devis disait CONFORME pendant ce temps : il verifiait la resolution et les
dialectes, jamais si le courrier BOUGE. Un devis qui ne regarde que les
reglages ne dit pas si le service rend son service. Il releve desormais la
file d'attente et ses raisons ; test negatif : la panne est nommee.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-08-08 09:42:45 -04:00
..
defaults courriel : routage local par identifiant, et la livraison interne remise en marche 2026-08-08 09:42:45 -04:00
handlers serveur_dovecot (Dovecot 2.4) : IMAP + auth LDAP + TLS step_ca — prouvé 2026-07-02 15:09:37 -04:00
meta authentification : chaque rôle déclare sa position, gardé par P29 2026-08-03 17:05:43 -04:00
tasks Consolider : binding annuaire (resoudre_annuaire) — keycloak/dovecot/postfix 2026-07-03 22:23:22 -04:00
templates courriel : routage local par identifiant, et la livraison interne remise en marche 2026-08-08 09:42:45 -04:00
README.md docs : un README par rôle (12 manquants) + carte remise à l'état du code 2026-07-29 11:32:06 -04:00

README.md

serveur_dovecot

Mailstore : Dovecot 2.4 (Debian 13) — IMAP pour les utilisateurs, LMTP pour la remise depuis Postfix, authentification et résolution des comptes sur l'annuaire OpenLDAP. Stockage Maildir de boîtes virtuelles. Cf. docs/courriel-conception.md.

Rôle

  • Installe dovecot-core, -imapd, -lmtpd, -ldap.
  • Crée l'utilisateur/groupe système vmail (uid/gid 5000) et /var/vmail.
  • TLS : pont de certificat step_ca (client_pki) — script setops-dovecot-cert-sync
    • unités .service/.path qui recopient le certificat d'hôte dans /etc/dovecot/tls et rechargent Dovecot à chaque renouvellement.
  • Annuaire : connexion fournie par le rôle partagé resoudre_annuaire (uri, base, bind_dn, bind_password) — rien de codé en dur.
  • Déploie toute la configuration en un drop-in conf.d/99-setops.conf (syntaxe 2.4), valide avec doveconf avant d'activer le service.
  • Désactive l'auth système par défaut : LDAP est l'unique autorité.

Réglages Dovecot 2.4 qui comptent

La 2.4 a changé la donne par rapport à la 2.3 ; ces trois points conditionnent la remise :

  • static_allow_all_users pour le userdb static ;
  • mail_inbox_path laissé vide ;
  • mail_path par utilisateur — {{ vmail_base }}/%{user | username}.

Le local-part seul (| username) donne le même chemin pour la remise LMTP (destinataire local-part) et l'accès IMAP (adresse complète) — c'est ce qui fait fonctionner le flux bout-en-bout en mono-domaine.

Variables principales

Variable Défaut Rôle
serveur_dovecot_vmail_base /var/vmail Racine des boîtes
serveur_dovecot_mail_path <base>/%{user | username} Chemin Maildir par compte
serveur_dovecot_ldap_filter (&(objectClass=inetOrgPerson)(mail=%{user})) Login = adresse courriel
serveur_dovecot_tls_actif true Pont de certificat step_ca
serveur_dovecot_lmtp_reseau true LMTP :24 pour un MTA distant (edge-mta)
serveur_dovecot_sasl_reseau false Auth SASL réseau :12345 pour la soumission :587

Flux (meta/flux.yml)

993/tcp IMAPS (utilisateurs) · 24/tcp LMTP ← Postfix (TLS vérifié) · 12345/tcp SASL ← Postfix · 636/tcp → OpenLDAP (userdb/passdb).

Notes / limites

  • Mono-domaine : le chemin ne conserve pas le domaine. Le multi-domaine demandera de le préserver des deux côtés (raffinement Étape B).
  • LMTP et SASL réseau doivent être restreints au nœud MTA par pare-feu — c'est ce que fait nftables_baseline à partir de meta/flux.yml (pair: serveur_postfix).
  • Si Postfix est co-localisé, le rôle bascule sur les sockets sous le chroot (/var/spool/postfix/private) plutôt que sur le réseau (détection automatique).
  • Le certificat est exigé : sans client_pki sur le nœud, le rôle échoue explicitement.

Prérequis

  • serveur_dovecot requiert serveur_openldap actif (docs/dependances-groupes.yml).
  • client_pki appliqué sur le nœud (couche pki_client, avant la couche services).