Servidor IMAP LAN en Mandriva

Hola.

Vamos a montar una cochinadita que a mí me ha gustado.

La mayoría de nosotros tiene varias cuentas de correo electrónico. También los hay que tienen varios ordenadores y el que más y el que menos, tiene una de sus cuentas en gmail.

A mí me gusta el pipiriripipi tenerlo todo disponible y accesible en todo momento y desde cualquier lugar. Y no me gusta que gente que no conozco conserve datos personales míos, como pueden ser mis correos electrónicos. Así que me he montado un servidor IMAP para mi uso personal, el cual gestiona todas mis cuentas de correo electrónico, dejando accesibles ésos correos, en mi LAN y desde fuera, pero almacenados en mi máquina, donde deben estar.

Cómo montamos el tinglado:

Usaremos fetchmail para recoger el correo de nuestras cuentas, el cual almacenaremos en nuestro /home, en un directorio y con formato maildir (un correo - un archivo). Luego usaremos exim y courier para la distribución entre usuarios (si hay más de uno) y el servicio IMAP. Todo bien guardadito para poder acceder desde donde queramos y con el cliente de correo que soporte IMAP de nuestra elección. Hasta podemos montar un webmail ligerito para acceder con un navegador (aunque yo he pasado, vista la lamentable capacidad de subida de la línea donde tengo pinchado el servidor).

Al lío

Lo primero, fetchmail y la recogida del correo:

[flynn@bestiaparda ~]$ su -
Password:
[root@bestiaparda ~]# urpmi fetchmail

    http://themainman.kicks-ass.net/repositorios/main-rel/release/fetchmail-6.3.8-8mdv2009.0.i586.rpm
instalando fetchmail-6.3.8-8mdv2009.0.i586.rpm desde /var/cache/urpmi/rpms
Preparando...                    #############################################################
      1/1: fetchmail             #############################################################
[root@bestiaparda ~]#

(sí, tengo un mirror local de los repos corriendo en una máquina virtual, ¿y qué? ¿tenéis idea del tiempo y ancho de banda que ahorro cuando actualizo todo el parque informático doméstico que tengo montado?)

Fetchmail es muy sencillo de configurar. Aunque si usamos una cuenta de gmail vamos a tener que hacer una serie de pasos previos para configurar el acceso mediante SSL a las cuentas.

Vamos a pillar los certificados de gmail para poder autenticar a fetchmail y descargar el correo:

Lo haremos como root, aunque nos podemos inventar un usuario para fetch, si queremos securizar un poco la instalación. En un tinglado doméstico, pues con la mínima seguridad que aplicaremos, vale. Pero para soluciones en empresas y / o de usuarios paranoicos, habría que aplicar algunas políticas más restrictivas.

Creamos el directorio donde vamos a almacenar los certificados:

[root@bestiaparda ~]# mkdir /root/.certs
[root@bestiaparda ~]# openssl s_client -connect pop.gmail.com:995 -showcerts | sed -n '/BEGIN/,/END/p' >
(sigue de la línea de arriba) /root/.certs/gmail.pem

Se quedará esperando y sin mostrar el prompt. Pulsamos enter y listos.

Vamos a comprobar si no nos ha bailado el dedo con la orden:

[root@bestiaparda ~]# cat /root/.certs/gmail.pem
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
[root@bestiaparda ~]#

Equifax

La CA del certificado es de Equifax. Su certificado también debe estar registrado. Es muy común y probablemente lo encontraréis en vuestro /usr/share/ssl/cert.pem. Pero por si acaso, o para instalaciones limpias, podemos pillarlo y colocarlo en /root/.certs con el nombre equifax.pem, por ejemplo:

-----BEGIN CERTIFICATE-----
MIIDIDCCAomgAwIBAgIENd70zzANBgkqhkiG9w0BAQUFADBOMQswCQYDVQQGEwJV
UzEQMA4GA1UEChMHRXF1aWZheDEtMCsGA1UECxMkRXF1aWZheCBTZWN1cmUgQ2Vy
dGlmaWNhdGUgQXV0aG9yaXR5MB4XDTk4MDgyMjE2NDE1MVoXDTE4MDgyMjE2NDE1
MVowTjELMAkGA1UEBhMCVVMxEDAOBgNVBAoTB0VxdWlmYXgxLTArBgNVBAsTJEVx
dWlmYXggU2VjdXJlIENlcnRpZmljYXRlIEF1dGhvcml0eTCBnzANBgkqhkiG9w0B
AQEFAAOBjQAwgYkCgYEAwV2xWGcIYu6gmi0fCG2RFGiYCh7+2gRvE4RiIcPRfM6f
BeC4AfBONOziipUEZKzxa1NfBbPLZ4C/QgKO/t0BCezhABRP/PvwDN1Dulsr4R+A
cJkVV5MW8Q+XarfCaCMczE1ZMKxRHjuvK9buY0V7xdlfUNLjUA86iOe/FP3gx7kC
AwEAAaOCAQkwggEFMHAGA1UdHwRpMGcwZaBjoGGkXzBdMQswCQYDVQQGEwJVUzEQ
MA4GA1UEChMHRXF1aWZheDEtMCsGA1UECxMkRXF1aWZheCBTZWN1cmUgQ2VydGlm
aWNhdGUgQXV0aG9yaXR5MQ0wCwYDVQQDEwRDUkwxMBoGA1UdEAQTMBGBDzIwMTgw
ODIyMTY0MTUxWjALBgNVHQ8EBAMCAQYwHwYDVR0jBBgwFoAUSOZo+SvSspXXR9gj
IBBPM5iQn9QwHQYDVR0OBBYEFEjmaPkr0rKV10fYIyAQTzOYkJ/UMAwGA1UdEwQF
MAMBAf8wGgYJKoZIhvZ9B0EABA0wCxsFVjMuMGMDAgbAMA0GCSqGSIb3DQEBBQUA
A4GBAFjOKer89961zgK5F7WF0bnj4JXMJTENAKaSbn+2kmOeUJXRmm/kEd5jhW6Y
7qj/WsjTVbJmcVfewCHrPSqnI0kBBIZCe/zuf6IWUrVnZ9NA2zsmWLIodz2uFHdh
1voqZiegDfqnc1zqcPGUIWVEX/r87yloqaKHee9570+sB3c4
-----END CERTIFICATE-----

Rehash y enlaces simbólicos

Una vez descargados los certificados, vamos a meterles una rehasheada y a crear los enlaces simbólicos pertinentes. Para ello, usaremos el comando c_rehash:

[root@bestiaparda ~]# c_rehash .certs
Doing .certs
equifax.pem => 594f1775.0
gmail.pem => 7f549ca4.0
[root@bestiaparda ~]#

Vamos a comprobar que todo funciona:

[root@bestiaparda ~]# openssl s_client -connect pop.gmail.com:995 -CApath /root/.certs
CONNECTED(00000003)                                                                   
depth=1 /C=US/O=Equifax/OU=Equifax Secure Certificate Authority                       
verify return:1
depth=0 /C=US/ST=California/L=Mountain View/O=Google Inc./CN=pop.gmail.com
verify return:1
---
Certificate chain
 0 s:/C=US/ST=California/L=Mountain View/O=Google Inc./CN=pop.gmail.com
   i:/C=US/O=Equifax/OU=Equifax Secure Certificate Authority
---
Server certificate
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
subject=/C=US/ST=California/L=Mountain View/O=Google Inc./CN=pop.gmail.com
issuer=/C=US/O=Equifax/OU=Equifax Secure Certificate Authority
---
No client certificate CA names sent
---
SSL handshake has read 883 bytes and written 318 bytes
---
New, TLSv1/SSLv3, Cipher is RC4-MD5
Server public key is 1024 bit
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : RC4-MD5
    Session-ID: FF1935034F825C80D39AFDBCDC8860DFC28815D4D034F24905D20100537D33ED
    Session-ID-ctx:
    Master-Key: 8C6DEB55316C3E6607AC036424289AC8C1AE7555166704E931E74879CBDB25D3FAC9375DFF16133140030FA2C1B4549E
    Key-Arg   : None
    Start Time: 1232299384
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)
---
+OK Gpop ready for requests from 83.54.68.22 p10pf6841018gvf.26

Fijaos en la línea que pone "Verify return code: 0 (ok)". Indica que el certificado ha sido verificado. Si obtenéis un código "21 (unable to verify the first certificate)", algo ha ido mal. Borrad los certificados y los enlaces y comenzad de nuevo prestando atención a los saltos de línea y cosas así.

El archivo .fetchmailrc

El archivo .fetchmailrc es el archivo donde vamos a definir cómo y con qué opciones va a recolectar nuestro correo fetch. Un archivo de configuración simple para una única cuenta y usuario podría ser así:

# Comprobamos el correo cada 90 segundos
set daemon 90
# Mandamos los mensajes de fetch al registro del sistema
set syslog
# Identificamos al postmaster
set postmaster root
# Datos de la cuenta de correo y descarga de mensajes
poll pop.gmail.com with proto POP3 and options no dns user 'elbofh@gmail.com' with pass 'tevoyaLARTEAR' is
'flynn' here options ssl sslcertck sslcertpath '/root/.certs' keep
# La partícula final keep hace que se descargue el correo pero no se borre del servidor (por si acaso)

Le damos permisos con chmod:

[root@bestiaparda~]# chmod 0710 .fetchmailrc

Listos.

Exim

[root@bestiaparda ~]# urpmi exim
Para satisfacer las dependencias, se instalarán los paquetes siguientes:
   Paquete                        Versión      Revisión      Arq.
(soporte «Contrib-local»)
  exim                           4.69         1mdv2009.0    i586
  perl-Net-IMAP-Simple           1.17         4mdv2009.0    noarch
se utilizarán 3.6MB de espacio de disco adicional.
se descargarán 1MB de paquetes.
¿Efectuar la instalación de los 2 paquetes? (S/n) s
    http://themainman.kicks-ass.net/repositorios/contrib-rel/release/perl-Net-IMAP-Simple-1.17-4mdv2009.0.noarch.rpm
    http://themainman.kicks-ass.net/repositorios/contrib-rel/release/exim-4.69-1mdv2009.0.i586.rpm
instalando perl-Net-IMAP-Simple-1.17-4mdv2009.0.noarch.rpm exim-4.69-1mdv2009.0.i586.rpm desde /var/cache/urpmi/rpms
Preparando...                    ####################################################################################
      1/2: perl-Net-IMAP-Simple  ####################################################################################
      2/2: exim                  ####################################################################################
----------------------------------------------------------------------
Más información sobre el paquete exim-4.69-1mdv2009.0.i586
* Creat TLS/SSL certificates at install time (4.63-6)
See below.
Va en serio, "See below"
[root@bestiaparda ~]#

Ahora abrimos /etc/exim/exim.conf y localizamos la sección "local_delivery". Éstos son los valores que debemos dejar:

driver = appendfile
maildir_format = true
directory = /home/${local_part}/Maildir
create_directory = true
group = mail
mode = 0600
check_string = ""
escape_string = ""

Arrancamos Exim:

[root@bestiaparda ~]# service exim start
Starting exim:                                                  [  OK  ]
[root@bestiaparda ~]#

Instalamos courier

[root@bestiaparda ~]# urpmi courier-imap
Para satisfacer la dependencia «libpq.so.5», se necesita uno de los paquetes siguientes:
 1- libpq8.3_5-8.3.4-6mdv2009.0.i586: The shared libraries required for any PostgreSQL clients (para instalar)
 2- libpq5-8.2.10-4mdv2009.0.i586: The shared libraries required for any PostgreSQL clients (para instalar)
¿Qué elige? (1-2)1
Para satisfacer las dependencias, se instalarán los paquetes siguientes:
   Paquete                        Versión      Revisión      Arq.
(soporte «Man-local»)
  libpq8.3_5                     8.3.4        6mdv2009.0    i586
(soporte «Contrib-local»)
  courier-authdaemon             0.61.0       2mdv2009.0    i586
  courier-authlib                0.61.0       2mdv2009.0    i586
  courier-authlib-devel          0.61.0       2mdv2009.0    i586
  courier-base                   4.4.0        1mdv2009.0    i586
  courier-imap                   4.4.0        1mdv2009.0    i586
se utilizarán 3.6MB de espacio de disco adicional.
se descargarán 1017KB de paquetes.
¿Efectuar la instalación de los 6 paquetes? (S/n) s

    http://themainman.kicks-ass.net/repositorios/main-rel/release/libpq8.3_5-8.3.4-6mdv2009.0.i586.rpm
    http://themainman.kicks-ass.net/repositorios/contrib-rel/release/courier-authlib-0.61.0-2mdv2009.0.i586.rpm
    http://themainman.kicks-ass.net/repositorios/contrib-rel/release/courier-authlib-devel-0.61.0-2mdv2009.0.i586.rpm
    http://themainman.kicks-ass.net/repositorios/contrib-rel/release/courier-base-4.4.0-1mdv2009.0.i586.rpm
    http://themainman.kicks-ass.net/repositorios/contrib-rel/release/courier-imap-4.4.0-1mdv2009.0.i586.rpm
    http://themainman.kicks-ass.net/repositorios/contrib-rel/release/courier-authdaemon-0.61.0-2mdv2009.0.i586.rpm
instalando courier-authlib-devel-0.61.0-2mdv2009.0.i586.rpm courier-authlib-0.61.0-2mdv2009.0.i586.rpm 
courier-base-4.4.0-1mdv2009.0.i586.rpm courier-imap-4.4.0-1mdv2009.0.i586.rpm courier-authdaemon-0.61.0-2mdv2009.0.i586.rpm
libpq8.3_5-8.3.4-6mdv2009.0.i586.rpm desde /var/cache/urpmi/rpms
Preparando...                    ###################################################################################
      1/6: courier-authlib       #############################################################################
      2/6: libpq8.3_5            #############################################################################
      3/6: courier-authlib-devel #############################################################################
      4/6: courier-authdaemon    #############################################################################
      5/6: courier-base          #############################################################################
      6/6: courier-imap          #############################################################################
[root@bestiaparda ~]#

Modificamos /etc/courier/imapd para que escuche en la dirección ip de nuestra máquina:

...
##NAME: ADDRESS:0
#
#  Address to listen on, can be set to a single IP address.
#
# ADDRESS=127.0.0.1

ADDRESS=192.168.1.2

##NAME: PORT:1
#
#  Port numbers that connections are accepted on.  The default is 143,
#  the standard IMAP port
...

Y arrancamos courier

[root@bestiaparda ~]# service courier-imapd start
[root@bestiaparda ~]# service courier-authdaemon start #el demonio para autenticación a través de la LAN

Vale, ahora antes de arrancar fetchmail, un par de cochinaditas:

1. Gmail es muy puñetero, así que si alguna vez habeis descargado correos mediante POP desde la cuenta a gestionar, fetch no los va a pillar. Una solución patillera es desactivar y reactivar el acceso POP a la cuenta en cuestión, poniendo cuidado en dejar seleccionado el radio-button que pone "Habilitar pop para todos los mensajes..." o no descargaremos la mandanga.

2. Lo que tengáis en Borradores, no bajará. No sé como solucionar ésto, si no es enviándolo a la propia cuenta.

3. Lo chulo de éste tinglado es que quede lo más "profesional" posible, así que vamos a montarnos un servicio fetchmail que arrancaremos al inicio del sistema:

Creamos un archivo que podemos llamar fetchmaild por ejemplo, y le ponemos éste contenido:

#!/bin/sh
#
# description:  Automatiza el arranque de fetchmail con
#               el arranque del sistema.
#
# chkconfig: 345 11 92
# config:/root/.fetchmailrc
# pidfile: /var/run/gpm.pid
# Fuente de funciones
. /etc/init.d/functions

# Obtenemos configuración
. /etc/sysconfig/network 

# Verificamos que haya conexión a red.
if [ ${NETWORKING} = "no" ]           
then                                  
        exit 0                        
fi

# Comprobamos si está presente fetchmail
[ -x /usr/bin/fetchmail ] || exit 0


start() {
        echo -n "Iniciando servicio: fetchmail "
        /usr/bin/fetchmail -f /root/.fetchmailrc --all
        echo "."
}

stop() {
        echo -n "Deteniendo servicio: fetchmail "
        /usr/bin/fetchmail -q
        echo "."
}

case "$1" in
    start)
        start
    ;;

    stop)
        stop
    ;;
    status)
        status fetchmail
        RETVAL=$?
    ;;
    *)
        echo "Uso: /etc/init.d/fetchmail {start|stop|status}" >&2
        exit 1
    ;;
esac

exit 0

Bonito, ¿eh?. Ahora lo copiamos en /etc/init.d, y le damos permisos de ejecución con:

[root@bestiaparda ~]# chmod +x /etc/init.d/fetchmaild

Hasta lo veremos en el MCC, sección servicios.

Pues nada, ahora arrancamos el servicio:

[root@bestiaparda ~]# service fetchmaild start

Y si hacemos un tail -f /var/log/syslog, veremos cómo fetch va descargando los correos.

Cuando haya acabado, sólo es cuestión de configurar una cuenta IMAP en nuestro cliente de correo favorito que apunte a la ip de la máquina que corre el sistema fetch+exim+courier, y en el nombre de usuario, ponemos el de la cuenta local, así como la contraseña. Después será cuestión de ordenarnos el correo a nuestro gusto y listos.

Otro día os cuento cómo me lo monto para acceder desde fuera, cómo he optimizado el tinglado para dar servicio a una red de maníacos del pdf, y cómo acabar de quedar como un machote metiéndole un spamassassin+clamAV a todo el chiringuito.

Actualización tan obvia como tontuna pero fijo que alguno pica: No olvidéis abrir los puertos del servidor de IMAP en el firewall!!

Ánimo y adelante.