• Ostatní

  • Stalwart Mail Server, open source self-hosted mail server v roce 2024 🎉

Poslední dny testuju Stalwart Mail Server (licence GNU GPL v3). Musím smeknout. Takto nějak si představuju mail server v roce 2024. Konfigurace je přes CLI, což mi vyhovuje. GUI nepotřebuju, ale prý se chystá. Pecka je, že to umí generovat odchozí + zpracovat příchozí DMARC reporting. Takže na každý příchozí DMARC rua report to do logu vypíše něco jako:

... dmarc_pass=0 dmarc_quarantine=0 dmarc_reject=0 dmarc_none=1 dkim_pass=1 dkim_fail=0 dkim_none=0 spf_pass=1 spf_fail=0 spf_none=0 ...

Fantazie. Poslední dva roky jsem používal WildDuck+ZoneMTA+Haraka. Fungovalo to, ale byla to černá krabička. DMARC reporty si člověk musel zpracovávat sám. Stalwart je jiná liga. Tento projekt se mi líbí 👏

https://stalw.art
https://github.com/stalwartlabs/mail-server

    Mailcow jsem testoval před dvěma lety. Klobouk dolů před každým adminem. Jeho docker-compose.yml mi přišel jako nejšílenější YAML soubor na světě. Od té doby se nic k lepšímu nezměnilo. Desítky a desítky služeb a volumes. Aktuálně třeba 47 otevřených bugů. Nedivím se. Malcow je slepený tooling okolo Postfixu+Dovecotu. To fakt nejde srovnat se Stelwart, který napsaný z čisté vody v Rustu. Může běžet jako jeden kontejner. Vážně, Stelwart je naprosto úplně jinde.

      samatech to treba pouzivame a funguje v pohodě. i cesky autor reaguje a bugy opravuje.

        Poste je tooling okolo Dovecot+Haraka, to je ok. Odrazuje mě licence.

        You are allowed to run unlimited number of instances for your own use only.

        Nedovoluje vytvořit poštovní účty pro nikoho jiného, mimo svou nebo právnickou osobu. To samozřejmě může kdekomu stačit. Přesto fakt, že se nejedná o open-source, ale "Built with Open Source", to u mě diskvalifikuje.

          zdeneksvarc

          you are allowed to run unlimited number of instances for your own use only
          you can't sell or distribute container images to third parties, each mail server operator needs to have its own licence

          pokud provozuju X mailserveru, ktere spravuju a na nich Y domen, tak ja jsem jeden mailserver operator, provozuju vice instanci a nikomu nepreprodavam container images, takze se podle meho nazoru pohybuju v ramci licence.

          a ze za to platim mi nevadi - domnivam se, ze podporuju cesky vyvoj a za penize dostavam fungujici vec, kterou nekdo dal rozviji a udrzuje.

            zdeneksvarc
            Mailcow je dnes dost slusne receno prasarna 🙂 ale obdivuju lidi kteri se do něčeho takoveho pusti ...samotna dokumentace postfixu a dovecotu je naprosto priserna.... Skladat tyto veci dohromady je nekdy doslova pokus/omyl

              Já jsem teda mailcow začal používat už třeba 5 roků zpátky, šlape to bez problémů. Je na tom nahozených pár domén a pár relay pro domény, které běží přímo u zákazníka ve firmě. Až na těch 18 kontejnerů v dockeru jsem na problém asi nenarazil. Máte někdo nějaké specifické důvody, proč přejít na nějakou jinou službu? Možná mi tam chybí možnost sdíleného mailboxu (třeba se to tam nastavit dá) jako např. info nebo support, ke kterému bude mít přístup více uživatelů.

              Mailcow neni zly, ale je to tak trochu smerovane k groupware. Sam som nejake PR prihodil aj pre roundcube skrz password api driver. Ma to svoje pro a proti. Hlavne Andre pribral dalsieho cloveka aby to vobec stihal, nakolko ma inu pracu. Stabilita je fajn a zatial som nemal problem. Je pravda ze compose mam upraveny + svoje rspamd pravidla. Ten stalwart pozriem ... dik za tip

              o 2 měsíce později

              Zkouším Stalwart, ale nevím, jak nastavit jednu věc - rád bych, aby ho ostatní servery v síti mohly používat jako relay. Tzn. aby fungoval jako SMTP server bez nutnosti autentizace pro ostatní servery, jejichž IP adresy budou z konkrétního rozsahu. Mělo by se to patrně dát nastavit v Settings -> SMTP -> Inbound -> RCPT stage -> Allow Relaying. Asi bych věděl, jak napsat pravidlo pro jednu IP adresu, ale jak zadat celý C rozsah, to nevím. Dokázal by někdo poradit, jak to správně udělat?

                darklogic Naštěstí se vždycky podařilo podobné případy vyřešit jinak (lokální postfix + libsasl2-modules nebo smtp sajdkára v jiném kontejneru), ale určitě dej vědět, jak jsi dopadl.

                  zdeneksvarc

                  (jsem z http://poste.io) Je vždycky fajn vědět, že někdo respektuje licence obzvlášť v našem historicky lehce zasmrádlém rybníčku. Prodáváme spíše mimo CZ, nicméně tady jsou našimi zákazníky ISPíci, obce, soukromé firmy (v cz držím i nadstandardní servis). Nicméně nalicencovat produkt tak aby byl životaschopný není jednoduché a v ideálním světě by za mě žádné licence neexistovaly. Každopádně jsem jeden z členů vývoje Haraky takže dáváme i zpět (co se týče svědomí k OS).

                  Jinak Stalwart vypadá supr, ale příliš beta...

                      analogic Testuju i poste.io. Tam mě trápí, že dokumentace je hodně skromná (i oproti Stalwart) a méně přehledná. Třeba tady:
                      https://poste.io/doc/network-schemes

                      Rád bych použil variantu č. 2, ale je tu zmínka:
                      "Let's encrypt certificates requires "/.well-known" folder properly redirected to poste container"

                      Moc nevím, co se tím chce říct (co je to za složku) a jak ji teda nastavit. A obecně pak v dokumentaci toho o Let's encrypt není moc zmíněno.

                          darklogic Většina lidí používá nginx/caddy/traefik(my) jako reverzní proxy, která sama obstará certifikát od LE. Problém ale je, že pokud chcete používat LE i v mailserveru tak je nutné certifikát nějak obstarat. Tzn. reverzní proxy musí umět requesty na .well-known, které nejsou pro ni posílat dále na kontejner poste. Další podmínka je, že ověřování s LE musí probíhat pouze na HTTP bez SSL. Ve výsledku máte tedy dva certifikáty na jednu doménu:

                          • mail.poste.io(1) - reverse proxy https
                          • mail.poste.io(2) - smtp, submission, pop3, imap

                          Jednoduše se to zprovozní člověku co ví co dělá, ale jinak je to taková vyšší dívčí a tak trochu "out of scope" dokumentace mailserveru jelikož to silně závisí na konfiguraci reverzní proxyny. Ale rozumím a vím, že v dokumentaci jsou velké mezery...

                              analogic Na druhou stranu je dobré si připomenout, že protokol ACME (Letsencrypt, ZeroSSL a další) umí vyzvat žadatele čtyřmi způsoby, takže nepotřebuje nutně :80 port (DNS-01, TLS-ALPN-01).

                              Jinak u Stalwartu se certifikáty získané z reverzní proxy natahují přes:

                              certificate.default.cert = "%{file:///certs/example.com/example.com.crt}%"
certificate.default.private-key = "%{file:///certs/example.com/example.com.key}%"

                              Musíme pak zajistit pravidelný reload certifikátu. Nejsnadnější způsob je pravidelný restart na prasáka.

                                restarter:
    image: docker # https://hub.docker.com/_/docker
    volumes: ["/var/run/docker.sock:/var/run/docker.sock"]
    command: ["/bin/sh", "-c", "while true; do sleep 864000; docker restart <container_name>; done"]
    restart: unless-stopped

                              Funguje to. Každopádně kdo si dá práci přemigrovat do Kubernetes (cert-manager), tak má život snažší.

                                  zdeneksvarc

                                  No vidíte, poste si certifikát a reload zajistí sám (pokud to tedy nemáte potřebu komplikovat reverzní proxy).

                                  Poste je postaveno kolem jednoho use-casu - menší firma, průměrně líný admin, který nechce nic moc řešit, standardní použití, pokud možno bezbolestné upgrady, rozumné výchozí nastavení a přes web. Všechny tyhle termity DKIM, DMARC, ARC, SRS, SPF, LE v základu a přes web. Flexibilita není taková jako když si to postavíte sám. Ale dle dockeru 10M+ stažení free verze a velké množství platících zákazníků mi asi dává za pravdu, že to asi tak blbé nebude. Není to vlákno o poste, tak s klidem srovnávejte, ale osobně už to tu zaplevelovat nebudu...

                                      analogic No vidíte, poste si certifikát a reload zajistí sám (pokud to tedy nemáte potřebu komplikovat reverzní proxy).

                                      Ehm, https://stalw.art/docs/server/tls/acme/challenges

                                      Nerozumím "komplikacím" s reverzní proxy. Pokud jsou potřeba ACME (X.509) certifikáty, zvolím ACME klienta (certbot, caddy, stalwart, poste, cokoliv) uložím certifikáty na sdílené místo a ostatní aplikace si tyto certifikáty vezmou. Kde má být komplikace nad rámec běžné praxe?

                                        📡 Telekomunikace.cz