Партнёры:

Хостинг:

[ новости /+++ | форум | теги | ]

Каталог документации / Раздел "Настройка почты (sendmail, postfix, qmail)" / Оглавление документа

Cyrus IMAP Server FAQ

• В чем разница между аутентификацией(идентификацией) и авторизацией?

  Скажем у Вас есть эксклюзивный билет на частную вечеринку. Вы идете на эту вечеринку, предъявляете билет, и Вас пропускают. Билет авторизовал Вас(хотя если Вы потеряете билет, то тот, кто его найдет сможет пройти вместо Вас).

  Ok, на следующей недели, у Вас есть другой билет для входа на другую вечеринку, но этот билет только для входа на вечеринку. Вы идете на вечеринку, предъявляете билет, и человек в дверях говорит Вам: "Докажите мне, что Вы тот человек, чье имя написанно на билете". Ваше доказательство - это аутентификация, билет - авторизация.

  Аутентификация в предыдущем примере зависит от того поверить Вам человек в дверях или нет. Например, Вы предъявили паспорт или права. Челове в дверях должен определить Вашу личность по правам или паспорту (но даже если в правах и пасспорте тоже имя, что и на белете, вы можете оказаться другим человеком, т.к. имя может просто случайно совпасть; в этом случае фотография была бы лучше).

  Когда Вы залогинились к вашей почте по имени и паролю, Вы обеспечили свою аутентификацию. Считайте свои имя/пароль идентификацией того кто вы есть. Теперь, когда вы залогинины(аутентифицированны) на сервере, то что разрешено Вам делать определяется с помощью авторизации. Например Боб может быть авторизован только для просмотра собственного INBOX, в то время как пользователь 'cyrus' может просматривать все ящики на сервере и менять их ACL.

• Использование PAM(библиотечного метода доступа) Под Linux, при использовании PAM и теневых паролей, Cyrus-пользователь должен иметь возможность читать файл /etc/shadow.
• POP-Before-SMTP По умолчанию это не включено в дистрибутив, потому что это стандартный способ SMTP AUTH. Любой хороший MTA и/или MUA должен поддерживать SMTP AUTH. Однако, если Вы все же хотите установить это, мы рекомендуем использовать DRAC, наряду с патчами доступными в contrib/drac_auth.patch.
• Использование NFS Мы не рекомендуем делать это. Если Вы сделатете это, может быть все заработает, а может быть вы потеряете свои почтовые ящики и повредите файлы cyrus.*. Вы можете посмотреть архив майлинг-листа для уточнения деталей.
• Использование AFS/Coda Мы не рекомендуем делать это. То что все это заработает еще менее вероятно, чем нормальная работа с NFS. Если Вы сделатете это, может быть все заработает, а может быть вы потеряете свои почтовые ящики и повредите файлы cyrus.*. Предыдущая почтовая система университета Карнеги-Меллона, служба сетевого управления, усиливали AFS екстенсивно для хранения (и перемещения) целей. По различным причинам это не особенно хорошо масштабировалось и не удовлетворяло интересам университета Карнеги-Меллона в области IMAP.

  Cyrus был разработан для использования локальной файлофой системы с семантикой Unix и работать с комбинацией mmap()/write(). AFS не обеспечивает такой семантики и по этому будет работать не правильно.

• Виртуальные хосты - Это будет поддерживаться начиная с версии 2.2.
• точки в идентефикаторе пользователя - в имени пользователя может присутствовать '.' ЕСЛИ, И ТОЛЬКО ЕСЛИ, Вы используете соглашение об иерархии UNIX.
• переименовывание пользователей - нет, не поддерживается.
• plus addressing(плюс-адресация) - Плюс-адресация позволяет напрямую осуществлять доставку в специфический ящик(другой, не INBOX). Это делается двумя способами.

  Первый метод позволяет осуществить доставку в подпапку INBOX'а определенного пользователя. Это делается с пом. адреса в след. форме: username+mailfolder@domain, сообщения идущие на этот адрес будут "падать" в папку INBOX.mailfolder (или эквивалент в альтернативном именовании). На этот подъящик у пользователя должно быть разрешение на отправку - разрешение 'p' (вообще, 'enyone' должен иметь право 'p'), иначе сообщение не будет доставлено в INBOX.

  Второй метод заключается в использовании адресов в форме: [postuser]+mailfolder@domain. В этом случае доставка будет осуществлена в ящик 'mailfolder'. [postuser] - это строка, определенная в файле imapd.conf и может быть пустой строкой. Как и в предыдущем варианте пользователь должен иметь право 'p' на ящик.

  Для обоих методов, если 'mailfolder' находиться глубже, чем на один уровень, вам нужно будет использовать иерархический разделитель, соответствующий вашей системе.

• Производительность/Возможности/Масштабируемость - Смотрите perfomance guide.

Troubleshooting(Проблемы)

Q: Я получаю через syslog сообщения от master-процесса, который говорит, что "signaled to death by 10". Что происходит?

A: Если Вы используете Berkeley DB 3.0.55, попробуйте поставить какие-нибуть патчи к Berkeley DB доступные на http://www.sleepycat.com/update/3.0.55/patch.3.0.55.html.

Q: Я использовал saslpasswd2 для создания CRAM-MD5 secrets(ключей), но imapd не говорит AUTH=CRAM-MD5. Почему?

A: А Вы уверенны, что /etc/sasldb2 доступен для чтения Cyrus-пользователю.

Q: Я использую "sasl_pwcheck_method: saslauthd", но аутентификация не работает.

A: Проверьте, запущен ли демон saslauthd (лучше всего запускать его во время загрузки системы). imapd не может соединисться с saslauthd если следующее сообщение присутствует в логах:

Dec  6 12:58:57 mail3.andrew.cmu.edu imapd[1297]: cannot connect to saslauthd server

Убедитесь, что saslauthd запущен и к его сокету (unix domain socket) имеет доступ cyrus-пользователь (по умолчанию сокет - /var/run/mux).

Q: Я получаю сообщения о "duplicate_prune". Что случилось?

A: Сообщения типа:

Jan 14 13:46:24 grant ctl_deliver[9060]: duplicate_prune: opening
  /var/imap/deliverdb/deliver-x.db: No such file or directory
Jan 14 13:46:24 grant ctl_deliver[9060]: duplicate_prune: opening
  /var/imap/deliverdb/deliver-y.db: No such file or directory
Jan 14 13:46:24 grant ctl_deliver[9060]: duplicate_prune: opening
  /var/imap/deliverdb/deliver-z.db: No such file or directory

Эти сообщения обсолютно нормальные; Каждый отсутствующий файл поддерживает пользователей имена которых начинаются с "x", "y", "z" и т.д. Если Вы осуществили первый запуск или у Вас нет пользователей имена которых начинаются на какие-либо символы, то эти сообщения вполне нормальны и их можно игнорировать.

Q: Я получаю сообщения о "imapd: could not getenv(CYRUS_SERVICE); exiting" в мой imapd.log. Что случилось?

A: Удалите все imap, pop, lmtp и sieve строки из [x]inetd.conf и перезапустите [x]inetd. Cyrus запускается из своего собственного "master"-процесса.

Q: Как мне использовать различные сертификаты SSL/TLS для imap и pop?

A: Определите различные сертификаты используя соответствующие опции в imapd.conf. Хотите подробностей - читайте imapd.conf(5).

Q: Мой KPOP-клиент жалуется на ключи TLS. Что я должен сделать?

A: Отключите TLS для службы kpop. Все установки tls_pop3_cert_file в imapd.conf убрать (это так же отключит SSL/TLS для pop3), или используйте для kpop отдельный кофиг. Например, измените службу kpop в cyrus.conf на что-нибуть типа:

kpop    cmd="pop3d -k -C /etc/kpopd.conf" listen="kpop",

а затем скопируйте /etc/imapd.conf в /etc/kpopd.conf и удалите tls_* опции.

Q: Eudora 5.x не может подключится используя STARTTLS ("SSL Neogotiation Failed"). В чем трабл?

A: Во-первых, все бочки на QUALCOMM, т.к. ихний STARTTLS реализован криво. Eudora не поддерживает TLSv1 (RFC2246), а Cyrus'у это необходимо. Если Вам реально надо это сделать, надождавшись пока в Eudora не соизволят пофиксить все лаги, то удалите или закоментируйте следующие строки в tls.c:

    if (tlsonly) {
        off |= SSL_OP_NO_SSLv2;
        off |= SSL_OP_NO_SSLv3;
    }

Q: Я получаю сообщения в imapd.log, типа:

Sep 11 17:23:55 ogg lmtpd[773]: DBERROR db3: 16 lockers
Sep 11 17:23:55 ogg lmtpd[1409]: DBERROR db3: 17 lockers
Sep 11 17:23:56 ogg lmtpd[1508]: DBERROR db3: 9 lockers
Sep 11 17:23:56 ogg lmtpd[776]: DBERROR db3: 9 lockers

В чем дело?

A: Ни в чем. Такого рода сообщения появляются всякий раз, когда Berkeley db блокирует столкновение утверждений, и это не обязательно проблема. Это наиболее часто случается когда у Вас пустая или маленькая двойная база данных в которую идет большой объем почты.

В Berkeley db 4.0 есть баг, который заключается в том, что число блокировок не декриминируется (i--) должным образом, что приводит к ошибке.

Q: Все 8bit'ные символы в заголовках сообщений которые я получаю изменены на 'X'. Что не так?

A: 8-bit'ные символы являются недопустимыми в заголовках сообщений. Следуя принципу "быть либеральным к тому, что вы получаете, и быть строгим к тому что вы посылаете" cyrus конвертирует их в X'ы. (Не имея набора символов, 8-bit'ные символы замененные на X'ы с таким же успехом можно заменять любым другим 8-bit символом, особенно это выгодно для сортировки и поиска). Как альтернатива, вы можете установить опцию "reject8bit: t" в imapd.conf для отклонения сообщений. Разумно было бы сделать в cyrus'е использование заданного по умолчанию набора символов , но досихпор никто этого не сделал(этот также ввлекло бы QP-кодировку поврежденных заголовков).

Q: Почему я не могу удалить сообщения в своем переполненном(превышение квоты) ящике? Я использую клиента с 'trash folder'('корзиной').

A: 'Корзины', в том виде, в каком они есть(как правило это ящики IMAP), не совсем хорошо соответствует модели IMAP delete/expunge. Фактически, клиент может застрять в ситуации, когда он не может удалить сообщения из ящика, потому что он пытается сначала скопировать сообщение в trash, а только потом удалить. Это будет происходить на любом ящике с исчерпанной квотой.

Такого рода недостаток папки trash, это главным образом недоработки на стороне клиентов. Есть несколько вариантов:

• Обратиться к разработчику клиента и сказать ему, чтобы они сделали в клиенте функцию, которая спросит у пользователя - удалять сообщения пермаментно, если копирование в trash неудачно.
• Прекратить использование функции 'trash mailbox' в Ваших клиентах (если возможно).
• Установите раздельне корни для 'trash folder'(т.е. сделайте один trash для всех пользователей - прим. пер.). Это сделать довольно тяжело, т.к. предпологается, что все пользователи будут использовать trash-папку с одним именем.

Q: Как я могу остановить показ Cyrus'ом DIGEST-MD5 и CRAM-MD5 публичных секретов SASL-механизмов?

A: В чистом виде такой опции в Cyrus IMAPd нет, это можно сделать только удалив соответствующие плагины SASL, в том месте где установлен Cyrus-SASL (если никакие другие приложения не требуют их), или используя опцию sasl_mech_list в imapd.conf, чтобы отображать только те механизмы, которые вам необходимо.