Последнее время мне приглянулся дистрибутив Arch Linux. Вообще я симпатизирую «rolling release» философии — поддержка постоянного актуального состояния системы. Я пока не проверил на практике, насколько стабильно работает Arch Linux, но в целом идея замечательная. Сервера я использую в рабочих целях, поэтому, необходимо обеспечить стабильную работу системы. Проблема в том, что установка обновлений, есть угроза что-то сломать. Для компенсации этого недостатка, я намерен компенсировать регулярными бэкапами, что которые и так у меня регулярно выполняются. Сейчас я использую Alma Linux. Но мне надоели форки RHEL, поэтому, возникла задача на практике пощупать Arch Linux и понять, насколько эта система подходит мне для рабочей среды.
Статья будет длинной, поэтому, буду разбивать ее на логические части. Начну с самого начала и всех подробностей, которые мне могут пригодится в будущем.
IPv4 у меня настроен на этапе установки Arch Linux, поэтому, мне останется только прописать настройки IPv6. На этом этапе я остановлюсь более подробно. В моем случае IPv6 адрес 2001:41d0:11c:c700::/56, а шлюз fe80:0000:0000:0000:0000:0000:0000:0001. В сокращенном виде шлюз fe80::1, его я и буду использовать далее.
Настройка IPv6
Сейчас нам необходимо прописать IPv6 на уровне настроек сети. У меня настройки хранятся в файле 20-ens18.network, имя конфига может отличаться от вашего.
nano /etc/systemd/network/20-ens18.network
В секцию [Network] нужно добавить IPv6 адрес и параметр IPv6AcceptRA=no
[Network] Address=2001:41d0:11c:c700::777/64 IPv6AcceptRA=no
Далее ниже еще одну дублирующую секцию [Route]
[Route] Gateway=fe80::1 GatewayOnLink=yes
В итоге конфиг стал выглядеть следующим образом:
[Match] Name=ens18 [Network] Address=51.51.5.15/32 Gateway=100.64.0.1 DNS=1.1.1.1 DNS=8.8.8.8 Address=2001:41d0:11c:c700::777/64 IPv6AcceptRA=no [Route] Gateway=100.64.0.1 GatewayOnLink=yes [Route] Gateway=fe80::1 GatewayOnLink=yes
Сохраняем файл и применяем настройки командой:
systemctl restart systemd-networkd
Проверяем, что IPv6 поднялся:
# ping -6 -c 3 2001:4860:4860::8888 PING 2001:4860:4860::8888 (2001:4860:4860::8888) 56 data bytes 64 bytes from 2001:4860:4860::8888: icmp_seq=1 ttl=112 time=4.52 ms 64 bytes from 2001:4860:4860::8888: icmp_seq=2 ttl=112 time=4.52 ms 64 bytes from 2001:4860:4860::8888: icmp_seq=3 ttl=112 time=4.52 ms
Настройка синхронизации времени
Находим свой часовой пояс и меняем настройки синхронизации:
timedatectl list-timezones | grep -i helsinki timedatectl set-timezone Europe/Helsinki
Включаем автоматическую синхронизацию времени:
timedatectl set-ntp true
Проверяем статус:
timedatectl timedatectl timesync-status
Настройка DNS записей
На этом этапе необходимо создать A, AAAA и MX записи для нашего почтового домена. Я не буду подробно описывать этот процесс.
Прописываем SPF запись для всех ip с которых будет вестись отправка почты:
"v=spf1 ip4:1.1.1.1 -all"
Если у вас два или более почтовых сервера:
"v=spf1 ip4:1.1.1.1 ip4:2.2.2.2 -all"
Следует отметить, что для SPF записи нужно используются кавычки, как указано у меня в примере.
Установка Postfix
Устанавливаем Postfix, включаем автозапуск, проверяем статус:
pacman -Syu postfix postfix-lmdb systemctl enable --now postfix systemctl status postfix --no-pager
Проверить версию Postfix можно командой:
# postconf mail_version mail_version = 3.10.7
Проверяем открытые порты:
# ss -lnpt | grep master
LISTEN 0 0 0.0.0.0:25 0.0.0.0:* users:(("master",pid=11439,fd=13))
Видно, что с настройками по умолчанию используется только IPv4 адрес.
Убедимся, что имя хоста соответствует нашему почтовому домену:
# cat /etc/hostname mx.codebeer.ru
Приводим /etc/hosts к следующему виду:
127.0.0.1 localhost ::1 localhost 51.51.5.15 mx.codebeer.ru mx
Далее набор настроек Postfix, которые необходимы для работы почтового сервера. Вам необходимо выполнить команды по порядку:
Базовая идентификация сервера:
postconf -e "inet_interfaces = all" postconf -e "myhostname = mx.codebeer.ru" postconf -e "mydomain = codebeer.ru" postconf -e "myorigin = codebeer.ru" postconf -e "mydestination = codebeer.ru, \$myhostname, localhost.\$mydomain, localhost"
Доверенные сети:
postconf -e "mynetworks = 127.0.0.0/8 [::1]/128"
Локальная доставка:
postconf -e "home_mailbox = Maildir/"
Ограничения на релей и получателей:
postconf -e "smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination" postconf -e "smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination"
Лимиты размеров:
postconf -e "message_size_limit = 36700160" postconf -e "mailbox_size_limit = 0"
SMTP AUTH (SASL через Dovecot):
postconf -e "smtpd_sasl_auth_enable = no" postconf -e "smtpd_sasl_type = dovecot" postconf -e "smtpd_sasl_path = private/auth" postconf -e "smtpd_sasl_security_options = noanonymous" postconf -e "smtpd_sasl_tls_security_options = noanonymous"
OpenDKIM:
postconf -e "milter_default_action = accept" postconf -e "milter_protocol = 6" postconf -e "smtpd_milters = unix:/run/opendkim/opendkim.sock" postconf -e "non_smtpd_milters = unix:/run/opendkim/opendkim.sock"
TLS для исходящих соединений:
postconf -e "smtp_tls_security_level = may"
postconf -e "smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt"
postconf -e "smtp_tls_loglevel = 1"
postconf -e "smtp_tls_session_cache_database = btree:\${data_directory}/smtp_scache"
postconf -e 'smtp_tls_session_cache_database = lmdb:/var/lib/postfix/smtp_scache'
postconf -e 'smtpd_tls_session_cache_database = lmdb:/var/lib/postfix/smtpd_scache'
Теперь необходимо сгенерировать базу алиасов.
Для начала создадим алиас для root:
echo "root: admin" >> /etc/postfix/aliases
Эта команда пригодится в будущем, если необходимо будет прописать алиасы для почтовых ящиков.
# postalias /etc/postfix/aliases # ls -l /etc/postfix/aliases* -rw-r--r-- 1 root root 11516 Dec 7 15:08 /etc/postfix/aliases -rw-r--r-- 1 root root 20480 Feb 2 14:29 /etc/postfix/aliases.lmdb
Если нужно что бы Postfix работал только через IPv4 протокол:
postconf -e "inet_protocols = ipv4"
Для IPv4 и IPv6:
postconf -e "inet_protocols = all"
Применяем настройки Postfix:
systemctl restart postfix
Проверка, что Postfix слушает 25 порт:
# ss -lntp | grep ':25'
LISTEN 0 0 0.0.0.0:25 0.0.0.0:* users:(("master",pid=15085,fd=13))
LISTEN 0 0 *:25 *:* users:(("master",pid=15085,fd=14))
Отправляем тестовое письмо на свою почту. Адрес в конце команды нужно поменять на свой.
echo "Test from mx.codebeer.ru" | sendmail -v [email protected]
Включить автоматический запуск Postfix в случае падения
Необходимо создать drop-in файл :
mkdir -p /etc/systemd/system/postfix.service.d cat > /etc/systemd/system/postfix.service.d/restart.conf <<'EOF' [Unit] StartLimitIntervalSec=300 StartLimitBurst=5 [Service] Restart=on-failure RestartSec=5s EOF
Применяем настройки:
systemctl daemon-reload systemctl restart postfix
Проверяем работает ли автоматическое поднятие сервиса:
pkill -9 master sleep 2 systemctl status postfix --no-pager
В случае проблем, для анализа причины и устранения используем лог:
journalctl -u postfix -n 200 --no-pager
Следующий этап настройки Postfix настройка TLS шифрования