Последнее время мне приглянулся дистрибутив Arch Linux. Вообще я симпатизирую «rolling release» философии — поддержка постоянного актуального состояния системы. Я пока не проверил на практике, насколько стабильно работает Arch Linux, но в целом идея замечательная. Сервера я использую в рабочих целях, поэтому, необходимо обеспечить стабильную работу системы. Проблема в том, что установка обновлений, есть угроза что-то сломать. Для компенсации этого недостатка, я намерен компенсировать регулярными бэкапами, что которые и так у меня регулярно выполняются. Сейчас я использую Alma Linux. Но мне надоели форки RHEL, поэтому, возникла задача на практике пощупать Arch Linux и понять, насколько эта система подходит мне для рабочей среды.
Статья будет длинной, поэтому, буду разбивать ее на логические части. Начну с самого начала и всех подробностей, которые мне могут пригодится в будущем.
IPv4 у меня настроен на этапе установки Arch Linux, поэтому, мне останется только прописать настройки IPv6. На этом этапе я остановлюсь более подробно. В моем случае IPv6 адрес 2001:41d0:11c:c700::/56, а шлюз fe80:0000:0000:0000:0000:0000:0000:0001. В сокращенном виде шлюз fe80::1, его я и буду использовать далее.
Настройка IPv6
Сейчас нам необходимо прописать IPv6 на уровне настроек сети. У меня настройки хранятся в файле 20-ens18.network, имя конфига может отличаться от вашего.
nano /etc/systemd/network/20-ens18.network
В секцию [Network] нужно добавить IPv6 адрес и параметр IPv6AcceptRA=no
[Network]
Address=2001:41d0:11c:c700::777/64
IPv6AcceptRA=no
Далее ниже еще одну дублирующую секцию [Route]
[Route]
Gateway=fe80::1
GatewayOnLink=yes
В итоге конфиг стал выглядеть следующим образом:
[Match]
Name=ens18
[Network]
Address=51.51.5.15/32
Gateway=100.64.0.1
DNS=1.1.1.1
DNS=8.8.8.8
Address=2001:41d0:11c:c700::777/64
DNS=2001:4860:4860::8888
DNS=2606:4700:4700::1111
IPv6AcceptRA=no
[Route]
Gateway=100.64.0.1
GatewayOnLink=yes
[Route]
Gateway=fe80::1
GatewayOnLink=yes
Сохраняем файл и применяем настройки командой:
systemctl restart systemd-networkd
Проверяем, что IPv6 поднялся:
# ping -6 -c 3 2001:4860:4860::8888
PING 2001:4860:4860::8888 (2001:4860:4860::8888) 56 data bytes
64 bytes from 2001:4860:4860::8888: icmp_seq=1 ttl=112 time=4.52 ms
64 bytes from 2001:4860:4860::8888: icmp_seq=2 ttl=112 time=4.52 ms
64 bytes from 2001:4860:4860::8888: icmp_seq=3 ttl=112 time=4.52 ms
Настройка синхронизации времени
Находим свой часовой пояс и меняем настройки синхронизации:
timedatectl list-timezones | grep -i helsinki
timedatectl set-timezone Europe/Helsinki
Включаем автоматическую синхронизацию времени:
timedatectl set-ntp true
Проверяем статус:
timedatectl
timedatectl timesync-status
Настройка DNS записей
На этом этапе необходимо создать A, AAAA и MX записи для нашего почтового домена. Я не буду подробно описывать этот процесс.
Прописываем SPF запись для всех ip с которых будет вестись отправка почты:
"v=spf1 ip4:1.1.1.1 -all"
Если у вас два или более почтовых сервера:
"v=spf1 ip4:1.1.1.1 ip4:2.2.2.2 -all"
Следует отметить, что для SPF записи нужно используются кавычки, как указано у меня в примере.
Установка Postfix
Устанавливаем Postfix, включаем автозапуск, проверяем статус:
pacman -Syu postfix postfix-lmdb
systemctl enable --now postfix
systemctl status postfix --no-pager
Проверить версию Postfix можно командой:
# postconf mail_version
mail_version = 3.10.7
Проверяем открытые порты:
# ss -lnpt | grep master
LISTEN 0 0 0.0.0.0:25 0.0.0.0:* users:(("master",pid=11439,fd=13))
Видно, что с настройками по умолчанию используется только IPv4 адрес.
Убедимся, что имя хоста соответствует нашему почтовому домену:
# cat /etc/hostname
mx.codebeer.ru
Приводим /etc/hosts к следующему виду:
127.0.0.1 localhost
::1 localhost
51.51.5.15 mx.codebeer.ru mx
Далее набор настроек Postfix, которые необходимы для работы почтового сервера. Вам необходимо выполнить команды по порядку:
Базовая идентификация сервера:
postconf -e "inet_interfaces = all"
postconf -e "myhostname = mx.codebeer.ru"
postconf -e "mydomain = codebeer.ru"
postconf -e "myorigin = codebeer.ru"
postconf -e "mydestination = codebeer.ru, \$myhostname, localhost.\$mydomain, localhost"
Доверенные сети:
postconf -e "mynetworks = 127.0.0.0/8 [::1]/128"
Локальная доставка:
postconf -e "home_mailbox = Maildir/"
Ограничения на релей и получателей:
postconf -e "smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination"
postconf -e "smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination"
Лимиты размеров:
postconf -e "message_size_limit = 36700160"
postconf -e "mailbox_size_limit = 0"
SMTP AUTH (SASL через Dovecot):
postconf -e "smtpd_sasl_auth_enable = no"
postconf -e "smtpd_sasl_type = dovecot"
postconf -e "smtpd_sasl_path = private/auth"
postconf -e "smtpd_sasl_security_options = noanonymous"
postconf -e "smtpd_sasl_tls_security_options = noanonymous"
OpenDKIM:
postconf -e "milter_default_action = accept"
postconf -e "milter_protocol = 6"
postconf -e "smtpd_milters = unix:/run/opendkim/opendkim.sock"
postconf -e "non_smtpd_milters = unix:/run/opendkim/opendkim.sock"
TLS для исходящих соединений:
postconf -e "smtp_tls_security_level = may"
postconf -e "smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt"
postconf -e "smtp_tls_loglevel = 1"
postconf -e "smtp_tls_session_cache_database = btree:\${data_directory}/smtp_scache"
postconf -e 'smtp_tls_session_cache_database = lmdb:/var/lib/postfix/smtp_scache'
postconf -e 'smtpd_tls_session_cache_database = lmdb:/var/lib/postfix/smtpd_scache'
VRFY и ETRN — лучше выключить:
postconf -e 'disable_vrfy_command = yes'
postconf -e 'smtpd_etrn_restrictions = reject'
postconf -e 'smtpd_banner = $myhostname ESMTP'
Теперь необходимо сгенерировать базу алиасов.
Для начала создадим алиас для root:
echo "root: admin" >> /etc/postfix/aliases
Эта команда пригодится в будущем, если необходимо будет прописать алиасы для почтовых ящиков.
# postalias /etc/postfix/aliases
# ls -l /etc/postfix/aliases*
-rw-r--r-- 1 root root 11516 Dec 7 15:08 /etc/postfix/aliases
-rw-r--r-- 1 root root 20480 Feb 2 14:29 /etc/postfix/aliases.lmdb
Если нужно что бы Postfix работал только через IPv4 протокол:
postconf -e "inet_protocols = ipv4"
Для IPv4 и IPv6:
postconf -e "inet_protocols = all"
Применяем настройки Postfix:
systemctl restart postfix
Проверка, что Postfix слушает 25 порт:
# ss -lntp | grep ':25'
LISTEN 0 0 0.0.0.0:25 0.0.0.0:* users:(("master",pid=15085,fd=13))
LISTEN 0 0 *:25 *:* users:(("master",pid=15085,fd=14))
Отправляем тестовое письмо на свою почту. Адрес в конце команды нужно поменять на свой.
echo "Test from mx.codebeer.ru" | sendmail -v [email protected]
Включить автоматический запуск Postfix в случае падения
Необходимо создать drop-in файл :
mkdir -p /etc/systemd/system/postfix.service.d
cat > /etc/systemd/system/postfix.service.d/restart.conf <<'EOF'
[Unit]
StartLimitIntervalSec=300
StartLimitBurst=5
[Service]
Restart=on-failure
RestartSec=5s
EOF
Применяем настройки:
systemctl daemon-reload
systemctl restart postfix
Проверяем работает ли автоматическое поднятие сервиса:
pkill -9 master
sleep 2
systemctl status postfix --no-pager
В случае проблем, для анализа причины и устранения используем лог:
journalctl -u postfix -n 200 --no-pager
Следующий этап настройки Postfix настройка TLS шифрования