Cento7.x postfix + dovecot SSL/TLS化

SSL/TLSがない場合のメールクライアントのポート設定は
送信サーバ(SMTP)はsmtp(25)を使う。
但し、Outbound Port25 Blockingなどで制限する場合
はsmtp-submission(587)を使う。
受信サーバ(POP3)はpop3(110)を使う。

一方SSL/TLSの場合、ポート設定は
送信サーバ(SMTP)はsmtp-submission(587)を使う。smptps(467)は非推奨らしい。
受信サーバは（POP3)はpop3s(995)を使う。

証明書の発行

let's encryptにて発行。httpサーバ用ではないのでstandaloneで発行
同一サーバにwebサイトでの証明書発行がいる場合、エラーとなる？ので
nginx(apache)を停止して発行する。
このままだとcronによる自動再発行でエラーとなるかも。

# certbot certonly --standalone -d black.jp

使用する証明書は以下の2ファイル
Certificate Path：/etc/letsencrypt/live/black.jp/fullchain.pem
Private Key Path: /etc/letsencrypt/live/black.jp/privkey.pem

postfixの設定変更

/etc/postfix/main.cf

smtpd_tls_security_level = may
smtpd_tls_cert_file = /etc/letsencrypt/live/black.jp/fullchain.pem
smtpd_tls_key_file = /etc/letsencrypt/live/black.jp/privkey.pem
smtpd_tls_session_cache_database = btree:/var/lib/postfix/smtpd_scache
smtpd_tls_session_cache_timeout = 3600s
smtpd_tls_received_header = yes
smtpd_tls_loglevel = 1

/etc/postfix/master.cf

smtps     inet  n       -       n       -       -       smtpd
#  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
#  -o smtpd_reject_unlisted_recipient=no
#  -o smtpd_client_restrictions=$mua_client_restrictions
#  -o smtpd_helo_restrictions=$mua_helo_restrictions
#  -o smtpd_sender_restrictions=$mua_sender_restrictions
  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject
#  -o milter_macro_daemon_name=ORIGINATING

dovecotの設定

設定するファイルは10-ssl.conf、10-master.conf。

/etc/dovecot/conf.d/10-ssl.conf

ssl=yes
ssl_cert = </etc/letsencrypt/live/black.jp/fullchain.pem
ssl_key = </etc/letsencrypt/live/black.jp/privkey.pem

POP3(POP3S)とIMAP4(IMAP4S)の有効無効とポートの設定を行う。
POP3とIMAP4のportは0とし無効に、POP3SとIMAP4Sはportを指定しssl=yesとする。

/etc/dovecot/conf.d/10-master.conf

...
service imap-login {
  inet_listener imap {
    port = 0
  }
  inet_listener imaps {
    port = 993
    ssl = yes
  }
...
service pop3-login {
  inet_listener pop3 {
    port = 0
  }
  inet_listener pop3s {
    port = 995
    ssl = yes
  }
}

メールクライアントの確認

Becky! で確認していたが
「基本設定」タブのPOP3S、SMTPSのチェック状態で
「詳細」タブのサーバのポート番号が自動で変更されるので
メール送受信プロトコルで標準ポートを使用しない場合は注意が必要。