Debian → Интегрируем iRedmail (Debian/Ubuntu) c Active Directory (Windows Server 2003/2008/2008R2/2012beta) (В разном пространстве имен!)

Изначально, я хотел слегка переделать статью, но оказалось, что изменения весьма существенные и чтобы не возникало путаницы, требуется отдельное описание.
Для чего это все?!
Достаточно удобной альтернативой Exchange серверу, может стать система iRedMail, конечно ее функционал несколько скромнее, но зачастую, его более чем достаточно, для компании небольших или средних размеров. Тем более что мне в руки попала версия Windows Server 2012 RC в редакции Datacenter, вот я и решил все на ней протестировать
Довольно трудно предугадать будущие потребности в инфраструктуре, зачастую, они появляются по мере роста компании, как обычно бывает, сначала было несколько ПК в рабочей группе, затем, по мере роста количества рабочих мест, появился контроллер домена, через какое-то время появилась, доменное имя для сайта компании ну и как следствие-потребность в почтовом сервере. Доменную инфраструктуру могли назвать как угодно (все зависит от фантазии того, кто это разворачивал) например companyname.local и когда ее устанавливали никто даже предположить не мог куда все это придет через 2-3 года. Соответственно доменное имя в пространстве .local-не может быть использовано в интернет, как следствие, почтовая инфраструктура не может использоваться при такой схеме работы.
Валить домен и перестанавливать его, совсем тухлая идея (для совсем «мешком прибитых») которая потребует повторного заведения учетных записей пользователей если их 50 то еще куда не шло, а если 100, а если 1000, также потребует повторного создания групповых политик и прочих давно настроенных вещей, которые отлично работают годами. Также, существует возможность переименования домена предприятия, но это тоже весьма не простой вариант, а вдруг «не взлетит» эта процедура может тащить за собой довольно серьезную перспективу получения «кучи геморроя» на равном месте, а если от работы системы зависит целое предприятие, то за непредвиденный простой, руководство компании «барбарЫсок вам не насыпет».

Для лучшего понимания я буду использовать примеры из документации Microsoft.

У нас есть контроллер домена server10.contoso.com, на момент его установки, компания не имела внешнего доменного имени, в дальнейшем, она приобрела доменное имя для сайта example.org, параллельно возникла необходимость в установке почтового сервера, к которому должны иметь возможность подключаться сотрудники компании, которые могут находиться как в офисе компании, так и за его пределами. Для работы почтового сервера была создана запись MX указывающая на IP адрес почтового сервера в сети internet. Также, сотрудники- которые не могут использовать почтовую программу, должны иметь возможность подключиться через WEB интерфейс, для работы которого, был создан под домен mail.example.org. Сотрудники должны проходить проверку подлинности с использованием учетных данных (Login/Password) в доменной сети предприятия, которые они используют для входа на рабочие станции.
Вот так все просто!

Чтобы не было путаницы, еще раз напоминаю

Если ваш почтовый сервер и контроллер домена находятся в разных пространствах имен, например: Контроллер домена имеет имя server10.contoso.com, а почтовый сервер имеет доменное имя mail.example.org, то эта статья для вас.

Если у вас контроллер домена и почтовый сервер находится в одном пространстве имен, например: контроллер домена имеет доменное имя dc1.example.org, а почтовый сервер mail.example.org, как видно из примера, они имеют одинаковый DNS суффикс example.org смотрите ранее опубликованное руководство- Интеграция почтового сервера iRedMail с Active Directory (Windows Server 2003/2008/2008R2 )

У нас есть почтовый сервер настроенный по руководству Настройка почтового сервера Ubuntu+iRedMail. Настоятельно рекомендую использовать Debian 6.0.5 иил Ubuntu 12.04 LTS, которые уже доступны, также на нее можно установить стабильный релиз iRedMail, доступный и стабильный релиз на текущий момент, можно посмотреть на странице загрузки Iradmail.org). В остальном процесс установки не изменился ни капли.

Предполагается что оба сервера установлены и готовы к работе. Вся дальнейшая конфигурация представлена ИСКЛЮЧИТЕЛЬНО в тестовых целях, имена серверов, логины пользователей, IP адреса, пароли-необходимо заменить на свои, а пароли желательно вообще генерировать с помощью ПО, добавив им сложности!

Также- Если предполагается доступ пользователей из интернет, то необходимо включить в GPO, требования задающие сложонсть и уникальность паролей, иначе один из пользователей, который «самый умный» будет использовать пароль 123456 (поверьте такие найдутся) и ваш сервер станет легкой добычей для спамеров, которые быстро срубят такой пароль, со всеми вытекающими последствиями...

Единственное ограничение — Dovecot воспринимает символ # как перенос, данный символ НЕЛЬЗЯ использовать в паролях!

Подготавливаем инфраструктуру к взаимодействию.

Настраиваем Linux сервер
Поднимаем права до root:
В Ubuntu

sudo su

В Debian

su

нам необходимо добавить имя сервера в hosts

nano /etc/hosts

Добавляем туда:

172.16.0.20 server10.contoso.com

Сохраняем изменения и выходим
Пробуем пинговать server10.contoso.com
Если пинги, проходят все отлично! Если нет, то проверяем правильность написания имени и IP адрес контроллера домена.

Маленький, полезный, но не обязательный момент
Настроим синхронизацию времени почтового сервера с контроллером домена, это нужно для корректного отображения даты и времени получения писем, с другой стороны ничего не мешает использовать поставщиков времени в интернете, но если мы хотим получить полноценную систему, то лучше сделать это.

nano /etc/default/ntpdate

Находим строку и вписываемым туда DNS адрес контроллера домена:

NTPSERVERS="server10.contoso.com"

Перезагружаем почтовый сервер, вуаля, все работает, время синхронизировалось.

Настраиваем Windows Server

Переходим на наш Windows Server 2003/2008/2008R2/2012RC
У него имя server10.contoso.com и IP 172.16.0.20

В качестве примера я буду использовать скриншоты из Windows Server 2012, но на других версиях Windows Server, названия оснасток аналогичные.

Нам необходимо перейти в оснастку Active Directory Domains and Trusts в русском варианте Active Drectory Домены и доверие, и переходим в свойства, как указано на скриншоте:


Нам необходимо добавить UPN суффикс-example.org как на скриншоте:

Заводим пользователей на контроллере домена

Нам необходимо создать пользователя с именем iredmail, логином iredmail и паролем: password^1 Никаких админских прав, мы ему не даем-это важно! Его мы создаем в самом корне контроллера домена.

Чтобы путь к учетной записи в LDAP каталоге был cn=iredmail,dc=contoso,dc=com
Также, нам необходимо создать подразделение (Organization Unit), назовем подразделение personal путь в LDAP каталоге, будет иметь вид: ou=personal,dc=contoso,dc=com
Внутри подразделения personal, создадим 3 учетные записи, пользователей домена с паролем password@1 с именами:
Федя Мегатронов с логином megatronov и адресом электронной почты megatronov@example.org выбрав ему UPN суффикс example.org, как на скриншоте:

Аналогичным способом заводим двух других пользователей
Кеша Фуфлометов с логином fuflometov и адресом электронной почты fuflometov@example.org
Светлана Кукуева с логином kukueva и адресом электронной почты kukueva@example.org

Пути в каталоге LDAP, к учетным записям пользователей, будут иметь вид:

cn=Федя Мегатронов,ou=personal,dc=contoso,dc=com
cn=Кеша Фуфлометов,ou=personal,dc=contoso,dc=com
cn=Светлана Кукуева,ou=personal,dc=contoso,dc=com

В этом подразделении, создадим группу распространения, allusers и электронной почтой allusers@example.org.
В эту группу распространения, нам необходимо добавить наших трех пользователей.

Переходим к серверу Linux

Для начала нам необходимо перенастроить базу LDAP для поиска, при установке сервера мы казали example.org нам необходимо это исправить.

Необходимо отредактировать конфигурационный файл LDAP:

nano /etc/ldap/ldap.conf

Нас интересует строка:

BASE dc=example,dc=org

Переделаем ее, чтобы она выглядела:

BASE    dc=contoso,dc=com

Пробуем подключиться к Active Directory

ldapsearch -x -h server10.contoso.com -p 389 -D 'cn=iredmail,dc=contoso,dc=com' -W

Enter password: Вводим пароль password^1

Получаем тонну информации от контроллера домена, у кого много времени могут попробовать разобраться, что она из себя представляет, на досуге…

Меняем настройки транспорта для сообщений:

postconf -e transport_maps='hash:/etc/postfix/transport'

Изменим настройки транспорта:

nano /etc/postfix/transport

Добавим в него следующее:

mail.example.org dovecot

Экспортируем все это, в базу данных Postfix:

postmap hash:/etc/postfix/transport

Подключаться к AD мы будем от имени пользователя iredmail (cn=iredmail,dc=example,dc=org) с паролем password^1, мы будем искать пользователей, которые находятся в подразделении personal (ou=presonal,dc=example,dc=org)
Нам необходимо отредактировать содержимое следующих файлов (то что там находится удаляем и заменяем на приложенное снизу)

nano /etc/postfix/ldap/virtual_mailbox_maps.cf

server_host     = server10.contoso.com
server_port     = 389
version         = 3
bind            = yes
start_tls       = no
bind_dn         = cn=iredmail,dc=contoso,dc=com
bind_pw         = password^1
search_base     = ou=personal,dc=contoso,dc=com
scope           = sub
query_filter    = (&(objectclass=person)(userPrincipalName=%s))
result_attribute        = userPrincipalName
debuglevel      = 0

Разрешаем подключение к AD с целью поиска групп и их членов.

nano /etc/postfix/ldap/virtual_group_maps.cf

server_host     = server10.contoso.com
server_port     = 389
version         = 3
bind            = yes
start_tls       = no
bind_dn         = cn=iredmail,dc=contoso,dc=com
bind_pw         = password^1
search_base     = ou=personal,dc=contoso,dc=com
scope           = sub
query_filter    = (&(objectClass=group)(mail=%s))
special_result_attribute = member
leaf_result_attribute = mail
#result_attribute= userPrincipalName
debuglevel      = 0

Активируем поиск логинов отправителей в AD:

nano /etc/postfix/ldap/sender_login_maps.cf

server_host     = server10.contoso.com
server_port     = 389
version         = 3
bind            = yes
start_tls       = no
bind_dn         = cn=iredmail,dc=contoso,dc=com
bind_pw         = password^1
search_base     = ou=personal,dc=contoso,dc=com
scope           = sub
query_filter    = (&(userPrincipalName=%s)(objectClass=person)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
result_attribute= userPrincipalName
debuglevel      = 0

Отредактируем main.cf

nano /etc/postfix/main.cf

Там нам необходимо найти и удалить строку:

check_policy_service inet:127.0.0.1:7777

Проверка логина отправителя:

postmap -q megatronov@example.org ldap:/etc/postfix/ldap/sender_login_maps.cf

Должно выдать:

megatronov@example.org

Проверим разрешение членства в группе:

postmap -q allusers@example.org ldap:/etc/postfix/ldap/virtual_group_maps.cf

Должно выдать:

kukueva@example.org,fuflometov@example.org,megatronov@example.org

Если нет вывода то возможно 4 причины:
1) У группы распространения не указан email.
2) Неправильные данные для подключения к AD.
3) В указанную группу не добавлены пользователи.
4) У пользователей добавленных в группу не заполнено email.

Нам также необходимо перенастроить Dovecot для запросов в Active Directory, все что там написано сотрем и записываем свое:

nano /etc/dovecot/dovecot-ldap.conf

hosts           = server10.contoso.com:389
ldap_version    = 3
auth_bind       = yes
dn              = iredmail@contoso.com
dnpass          = password^1
base            = ou=personal,dc=contoso,dc=com
scope           = subtree
deref           = never
user_filter     = (&(userPrincipalName=%u)(objectClass=person)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
pass_filter     = (&(userPrincipalName=%u)(objectClass=person)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
pass_attrs      = userPassword=password
default_pass_scheme = CRYPT
user_attrs      = =home=/var/vmail/vmail1/%Ld/%Ln/Maildir/,=mail=maildir:/var/vmail/vmail1/%Ld/%Ln/Maildir/

Квота на размер почтового ящика.

По умолчанию, iRedMail позволяет задавать квоты на размер почтового ящика, но перейдя с OpenLDAP на работу с AD эта возможность теряется, но мы можем указать дисковую квоту для всех пользователей, одним махом.
nano /etc/dovecot/dovecot.conf

Находим строку:

quota_rule = *:storage=1G

Это и есть размер почтового ящика для пользователей- 1Гб. Квота задается для всех пользователей разом!

Перезапускаем службы:

/etc/init.d/postfix restart
/etc/init.d/dovecot restart

Создание почтовых ящиков на почтовом сервере:

Создавать ящики, на почтовом сервере не требуется, достаточно на контроллере домена создать учетную запись, но бывают ситуации, когда у пользователя есть учетная запись, но почтовый ящик ему не требовался или не был положен, теперь это легко решить, достаточно в свойствах учетной записи, изменить UPN суффикс, например:
У нас была учетная запись Виктора Зелипукина, чтобы предоставить ему почтовый ящик достаточно в свойствах учетной записи выставить UPN суффикс example.org вместо contoso.com как на скриншоте:



При первом подключении пользователя, его почтовый ящик будет создан автоматически и готов к использованию.

Важный момент!

Рекомендуется заполнять поле E-mail, хотя пользователь сможет пользоваться ящиком и без него, но если включить его учетную запись в группу рассылки, то почта, приходить к нему не будет т.к. адрес почты не указан, также пользователь не будет виден в глобальной адресной книге, пока данное поле не будет заполнено.

Почтовые ящики пользователей находятся в:

/var/vmail/vmail1/example.org/$userlogin

Эта информация вам пригодится, когда понадобится настроить резервное копирование почтовых ящиков пользователей!
Продуем подключаться через telnet:

telnet localhost 110

Нам выдаст:

Trying 127.0.0.1…
Connected to localhost.
Escape character is '^]'.
+OK Dovecot ready.

указываем пользователя:

user megatronov@example.org

Получаем:

+OK

Указываем пароль:

pass password@1

Получаем ответ:

+OK Logged in.

Проверим наличие почты:

list

Севера нам выдаст:

+OK 0 messages:
.

Завершаем сессию:

quit

Сервер нам ответит

+OK Logging out.
Connection closed by foreign host.

Теперь можно пробовать подключаться через WEB интерфейс, для входа пользователя нам достаточно указать только Login, например megatronov хотя можно указывать данные пользователя полностью megatronov@example.org, Dovecot подставляет UPN суффикс самостоятельно.

Ну и завершающий этап-подключение адресной книжки из Active Dorectory

Подключение адресной книги

nano /usr/share/apache2/roundcubemail/config/main.inc.php

Находим строку:

$rcmail_config['autocomplete_addressbooks']

Приводим ее к виду:

$rcmail_config['autocomplete_addressbooks'] = array("sql", "mail.example.org");

Далее, нам необходимо найти раздел:

// Global LDAP address book.

И привести его к виду, указанному ниже:
(Я специально ничего не удалял, а просто за комментировал строки, которые там были изначально и добавил свои, также слегка переделал порядок сортировки, теперь он идет по алфавиту)
Вставляем туда:

$rcmail_config['ldap_public']["mail.example.org"] = array(
    'name'          => 'Global AD Address Book',
    'hosts'         => array('server10.contoso.com'),
    'port'          => 389,
    'use_tls'       => false,

// Search accounts in the same domain.
    'user_specific' => false, // If true the base_dn, bind_dn and bind_pass default to the user's IMAP login.
    'base_dn'       => 'ou=personal,dc=contoso,dc=com',
    'bind_dn'       => 'cn=iredmail,dc=contoso,dc=com',
    'bind_pass'     => 'password^1',
    'writable'      => false, //запретим запись в AD
    'ldap_version'  => '3',
//    'search_fields' => array('mail', 'cn', 'givenName', 'sn'),
    'search_fields' => array('mail', 'cn', 'sAMAccountName', 'displayname', 'sn', 'givenName'),
//    'name_field'    => 'cn',

    'email_field'   => 'mail',
    'surname_field' => 'displayName',
//    'firstname_field' => 'givenName',
//    'sort'          => 'cn',
    'scope'         => 'sub',
//    'filter'        => '(&(enabledService=mail)(enabledService=deliver)(enabledService=displayedInGlobalAddressBook)(|(objectClass=mailList)(objectClass=mailAlias)(objectClass=mailUser)))',
    'filter'        => "(mail=*@*)",
    'fuzzy_search'  => true);

Сохраняем изменения, пробуем под пользователем зайти в адресную книгу, у нас там появиться пункт Global AD Address Book нажимаем на него и получаем список пользователей домена, которые имеют почтовые ящики.

Ну а теперь легкий тюнинг вида ящика. Слегка изменим порядок отображения колонок в почтовом ящике, лично мне нравится дефонтный порядок отображения колонок писем в Outlook, на мой взгляд, он удобный, по этому я решил привести отображение писем немного похожим на него.
Открываем файл:

nano /usr/share/apache2/roundcubemail/config/main.inc.php

находим строку:

$rcmail_config['list_cols'] = array

Закоментриуем ее и сразу под ней добавим, готовую строку:

$rcmail_config['list_cols'] = array('flag','attachment', 'from', 'subject', 'status', 'date', 'size' );

Вот и все.
Если у вас есть интересные доработки, для данной схемы, не стесняйтесь выкладывайте, думаю что они будут полезны многим. Также, если возникли вопросы, то прошу в комментарии.

Ну и напоследок, в статье, в качестве контроллера домена, используется Windows Server 2012 которая находится в состоянии Резиз-кандидата, я использовал данную ОС ИСКЛЮЧИТЕЛЬНО в тестовых целях, не рекомендую ее использовать в продукционной среде, до официального релиза, все это было сделано для того чтобы показать что iRedMail может работать с операционными системами предыдущего поколения Win 2003/2008/2008r2 так и с самыми современными, официальный релиз которых, на момент написания статьи, еще не состоялся. Обратная совместимость с операционными системами предыдущего поколения, полностью сохранена!
Вдогонку к выше сказанному, тем людям кто будет использовать данную наработку, перед внедрением в производственной сети предприятия- ОБЯЗАТЕЛЬНО тестируйте все это в песочнице, тогда у вас появится понимание того как все это работает, без вероятности все завалить!