Раньше я только слышал как все говорят лдап лдап, сам же я неимел практического опыта в этой сфере, было решино устранять пробелы в знаниях :).
Установил из портов /usr/ports/net/openldap23-client, и создал в корне АД учетку ldapadmin с правами админа (группы "Domain Admins, Enterprise Admins, Schema Admins") для работы с лдап.

Потом настроил лдап клиент:

ee /usr/local/etc/openldap/ldap.conf BASE dc=<ваш>, dc=<домен> URI ldap://dc1.<ваш>.<домен> ldap://dc2.<ваш>.<домен>

Проверяем работу с MS_LDAP:

ldapsearch -w 123456789 -D cn=ldapadmin,dc=uc,dc=local sAMAccountName=kotlyarov # extended LDIF # # LDAPv3 # base <> with scope subtree # filter: sAMAccountName=kotlyarov # requesting: ALL # # \D0\9A\D0\BE\D1\82\D0\BB\D1\8F\D1\80\D0\BE\D0\B2 \D0\9D\D0\B8\D0\BA\D0\BE\D 0\BB\D0\B0\D0\B9 \D0\9D\D0\B8\D0\BA\D0\BE\D0\BB\D0\B0\D0\B5\D0\B2\D0\B8\D1\8 7, \D0\91\D1\8E\D1\80\D0\BE \D0\9F\D1\80\D0\BE\D0\B3\D1\80\D0\B0\D0\BC\D0\BC \D0\B8\D1\80\D0\BE\D0\B2\D0\B0\D0\BD\D0\BD\D0\B8\D1\8F, \D0\9F\D0\BE\D0\BB\D 1\8C\D0\B7\D0\BE\D0\B2\D0\B0\D1\82\D0\B5\D0\BB\D0\B8, UC.local dn:: Q0490JrQvtGC0LvRj9GA0L7QsiDQndC40LrQvtC70LDQuSDQndC40LrQvtC70LDQtdCy0LjRh yxPVT3QkdGO0YDQviDQn9GA0L7Qs9GA0LDQvNC80LjRgNC+0LLQsNC90L3QuNGPLE9VPdCf0L7Qu9 GM0LfQvtCy0LDRgtC10LvQuCxEQz1VQyxEQz1sb2NhbA== objectClass: top objectClass: person objectClass: organizationalPerson objectClass: user cn:: 0JrQvtGC0LvRj9GA0L7QsiDQndC40LrQvtC70LDQuSDQndC40LrQvtC70LDQtdCy0LjRhw== sn:: 0JrQvtGC0LvRj9GA0L7Qsg== l: 500000000 st: 5000 title:: 0J/RgNC+0LPRgNCw0LzQvNC40YHRgg== physicalDeliveryOfficeName:: 0JHRjtGA0L4g0J/RgNC+0LPRgNCw0LzQvNC40YDQvtCy0LDQv dC90LjRjw== telephoneNumber: 598 givenName:: 0J3QuNC60L7Qu9Cw0Lk= distinguishedName:: Q0490JrQvtGC0LvRj9GA0L7QsiDQndC40LrQvtC70LDQuSDQndC40LrQvt C70LDQtdCy0LjRhyxPVT3QkdGO0YDQviDQn9GA0L7Qs9GA0LDQvNC80LjRgNC+0LLQsNC90L3QuNG PLE9VPdCf0L7Qu9GM0LfQvtCy0LDRgtC10LvQuCxEQz1VQyxEQz1sb2NhbA== instanceType: 4 whenCreated: 20080324190217.0Z whenChanged: 20080415111135.0Z displayName:: 0JrQvtGC0LvRj9GA0L7QsiDQndC40LrQvtC70LDQuSDQndC40LrQvtC70LDQtdCy 0LjRhw== otherTelephone: sysadmin@*****.** otherTelephone: programist@*****.ru otherTelephone: administrator@*****.ru otherTelephone: admin@*****.ru otherTelephone: nikll@*****.ru uSNCreated: 56181 memberOf: CN=unix_admins,CN=Users,DC=UC,DC=local memberOf: CN=folder_redirection,CN=Users,DC=UC,DC=local memberOf: CN=Schema Admins,CN=Users,DC=UC,DC=local memberOf: CN=Enterprise Admins,CN=Users,DC=UC,DC=local uSNChanged: 145216 name:: 0JrQvtGC0LvRj9GA0L7QsiDQndC40LrQvtC70LDQuSDQndC40LrQvtC70LDQtdCy0LjRhw= = objectGUID:: Os9FCrXab0uQPmiLxcQC+Q== userAccountControl: 66048 badPwdCount: 0 codePage: 0 countryCode: 0 badPasswordTime: 128527239789843750 lastLogoff: 0 lastLogon: 128527314918750000 pwdLastSet: 128521200854000482 primaryGroupID: 512 objectSid:: AQUAAAAAAAUVAAAApvsbRyTqxJDX0hZPUgYAAA== adminCount: 1 accountExpires: 9223372036854775807 logonCount: 346 sAMAccountName: kotlyarov sAMAccountType: 805306368 managedObjects: CN=dfs,CN=Dfs-Configuration,CN=System,DC=UC,DC=local managedObjects:: Q049QlVIMDAsT1U90JHRg9GF0LPQsNC70YLQtdGA0LjRjyxPVT3QmtC+0LzQv 9GM0Y7RgtC10YDRiyxEQz1VQyxEQz1sb2NhbA== managedObjects:: Q049VFMyLE9VPdCh0LXRgNCy0LXRgNCwLE9VPdCa0L7QvNC/0YzRjtGC0LXRg NGLLERDPVVDLERDPWxvY2Fs managedObjects:: Q049VFMxLE9VPdCh0LXRgNCy0LXRgNCwLE9VPdCa0L7QvNC/0YzRjtGC0LXRg NGLLERDPVVDLERDPWxvY2Fs managedObjects: CN=DC1,OU=Domain Controllers,DC=UC,DC=local managedObjects: CN=DC2,OU=Domain Controllers,DC=UC,DC=local managedObjects: DC=UC,DC=local userPrincipalName: kotlyarov@UC.local url: nikll@rambler.ru servicePrincipalName: MSSQLSvc/DC1.uc.local:1433 servicePrincipalName: MSSQLSvc/DC2.UC.local:1433 objectCategory: CN=Person,CN=Schema,CN=Configuration,DC=UC,DC=local dSCorePropagationData: 20080408094349.0Z dSCorePropagationData: 20080408094349.0Z dSCorePropagationData: 20080408094349.0Z dSCorePropagationData: 20080408085453.0Z dSCorePropagationData: 16010108151056.0Z lastLogonTimestamp: 128527070442343750 mail: kotlyarov@*****.ru # search reference ref: ldap://ForestDnsZones.UC.local/DC=ForestDnsZones,DC=UC,DC=local # search reference ref: ldap://DomainDnsZones.UC.local/DC=DomainDnsZones,DC=UC,DC=local # search reference ref: ldap://TAPI3Directory.UC.local/DC=TAPI3Directory,DC=UC,DC=local # search reference ref: ldap://UC.local/CN=Configuration,DC=UC,DC=local # search result search: 2 result: 0 Success # numResponses: 6 # numEntries: 1 # numReferences: 4

Ага значит работает :))))
Коментарии:

ldapsearch - Программа для поиска в лдап -w 123456789 - пароль к учетной записи -D cn=ldapadmin,dc=uc,dc=local - собственно учетка от имени которой мы подключаемя sAMAccountName=kotlyarov - тип обьекта и его значение

Обьекты в LDAP бывают следующих типов:


dc: - корень лдап cn: - контейнер (Папки Users Computers и учетные записи) ou: - Organization Unit (типо папка к которой можно привязать политики) l: - City (в свойствай учетки на влкадке Address) я использую для задания лимита в байтах st: - State/Province (в свойствай учетки на влкадке Address) лимит в письмах sAMAccountName: - логин otherTelephone: - Кнопка Other.. на вкладке "Geniral" напротив поля "Telephone number:" у меня это почтовые алиасы url: - Кнопка Other.. на вкладке "Geniral" напротив поля "Web page:" у меня это форварды

Можно поиграться например вот так:
посмотрим про админа домена

ldapsearch -w 123456789 -D cn=ldapadmin,dc=uc,dc=local sAMAccountName=Administrator

найдем и просмотрим всех у кого мыло admin@mu.domain

ldapsearch -w 123456789 -D cn=ldapadmin,dc=uc,dc=local mail=admin@mu.domain

подключимся к домену от имени админа, найдем и просмотрим всех у кого форвард на qwerty@ramber.ru

ldapsearch -w asdfasezx -D cn=Administrator,cn=Users,dc=uc,dc=local url=qwerty@ramber.ru

Идем в порты:

cd /usr/ports/mail/qmail-ldap/ make config

у мна получилось следующее:

[nikll@gate1 qmail-ldap ]$ make showconfig ===> The following configuration options are available for qmail-ldap-1.03.20060201_1: LOCALTIME_PATCH=on "emit dates in the local timezone" TLS=on "SMTP TLS support" ALTQUEUE=on "run a QMAILQUEUE external queue" BIGBROTHER=off "use the control/bigbrother program" BIGTODO=on "use big_todo qmail patch" BIND_8_COMPAT=off "Needed if compile fails building dns.c" CLEARTEXTPASSWD=off "use cleartext passwords (Dangerous!)" DASH_EXT=on "dash_ext extended mail addresses add" DATA_COMPRESS=on "smtp on the fly DATA compression" EXTERNAL_TODO=on "external high-performance todo processing" IGNOREVERISIGN=off "disallow dns wildchar matches on gtlds" QLDAP_CLUSTER=on "cluster support" QMQP_COMPRESS=on "QMQP on the fly compression" QUOTATRASH=on "include the Trash in the quota" SMTPEXECCHECK=on "smtp DOS/Windows executable detection" AUTOMAILDIRMAKE=on "the auto-maildir-make feature" AUTOHOMEDIRMAKE=on "auto-homedir-make feature" LDAP_DEBUG=on "possibility to log and debug imap/pop" SMTPEXTFORK=off "Allow qmail-smtpd fork external progs" XF_QUITASAP=off "Close SMTP session ASAP (SMTPEXTFORK)" QEXTRA=off "enable QUEUE_EXTRA copy feature" ===> Use 'make config' to modify these settings

делаем

make patch cd work/qmail-1.03/ ee qmail-ldap.h

Проставляем нужные параметы, я поменял следующее:

diff -u2 -r qmail-ad/qmail-1.03/qmail-ldap.h work/qmail-1.03/qmail-ldap.h --- qmail-ad/qmail-1.03/qmail-ldap.h 2008-04-13 13:23:03.000000000 +0600 +++ work/qmail-1.03/qmail-ldap.h 2008-04-13 13:31:26.000000000 +0600 @@ -42,5 +42,5 @@ /* triger level for quotawarning (0-100) */ -#define QUOTA_WARNING_LEVEL 90 +#define QUOTA_WARNING_LEVEL 70 /* reply subject for mails without subjects. */ @@ -94,14 +94,14 @@ *********************************************************************/ #define LDAP_MAIL "mail" -#define LDAP_MAILALTERNATE "otherTelephone" /* Почтовые алиасы */ +#define LDAP_MAILALTERNATE "mailAlternateAddress" #define LDAP_QMAILUID "qmailUID" #define LDAP_QMAILGID "qmailGID" -#define LDAP_MAILSTORE "sAMAccountName" /* Доменная учетка*./ -#define LDAP_HOMEDIR "NOhomeDirectory" +#define LDAP_MAILSTORE "mailMessageStore" +#define LDAP_HOMEDIR "homeDirectory" #define LDAP_QUOTA "mailQuota" -#define LDAP_QUOTA_SIZE "l" /* Размер Квоты в байтах */ -#define LDAP_QUOTA_COUNT "st" /* Размер квоты в письмах */ +#define LDAP_QUOTA_SIZE "mailQuotaSize" +#define LDAP_QUOTA_COUNT "mailQuotaCount" #define LDAP_MAXMSIZE "mailSizeMax" -#define LDAP_FORWARDS "url" /* Форвардинг в другие почтовые ящщики */ +#define LDAP_FORWARDS "mailForwardingAddress" #define LDAP_PROGRAM "deliveryProgramPath" #define LDAP_MAILHOST "mailHost" @@ -109,8 +109,8 @@ #define LDAP_REPLYTEXT "mailReplyText" #define LDAP_DOTMODE "qmailDotMode" -#define LDAP_UID "sAMAccountName" /* Поле по каоторому qmail авторизируется */ -#define LDAP_PASSWD "msSFU30Password" +#define LDAP_UID "uid" +#define LDAP_PASSWD "userPassword" #define LDAP_OBJECTCLASS "objectClass" -#define LDAP_ISACTIVE "userAccountControl" +#define LDAP_ISACTIVE "accountStatus" #define LDAP_PURGE "qmailAccountPurge" @@ -133,9 +133,8 @@ #define MODE_NOREPLY "noreply" -#define ISACTIVE_BOUNCE "514" +#define ISACTIVE_BOUNCE "disabled" #define ISACTIVE_DELETE "deleted" #define ISACTIVE_NOACCESS "noaccess" -#define ISACTIVE_ACTIVE "512" -#define ISACTIVE_ACTIVE_AD "66048" +#define ISACTIVE_ACTIVE "active"

потом правим файл qmail-ldaplookup.c

diff -u2 -r qmail-ad/qmail-1.03/qmail-ldaplookup.c work/qmail-1.03/qmail-ldaplookup.c --- qmail-ad/qmail-1.03/qmail-ldaplookup.c 2008-04-11 19:27:39.000000000 +0600 +++ work/qmail-1.03/qmail-ldaplookup.c 2008-04-13 13:31:26.000000000 +0600 @@ -322,6 +322,6 @@ switch (status) { case STATUS_BOUNCE: - output(subfdout, "%s: %s %s\n", - LDAP_ISACTIVE, ISACTIVE_BOUNCE, "=> disabled"); + output(subfdout, "%s: %s\n", + LDAP_ISACTIVE, ISACTIVE_BOUNCE); break; case STATUS_NOACCESS: @@ -330,6 +330,6 @@ break; case STATUS_OK: - output(subfdout, "%s: %s %s\n", - LDAP_ISACTIVE, ISACTIVE_ACTIVE, "=>active"); + output(subfdout, "%s: %s\n", + LDAP_ISACTIVE, ISACTIVE_ACTIVE); break; case STATUS_UNDEF:

это необходимо для того чтобы кумейл правильно распозновал отключенных юзеров в АД
ну вот и все вроде теперь можно устанавливать

cd ../.. make install clean

Долго ломал голову как проверять пароли у юзеров, изночально qmail-ldap берет их из отельного поля в лдапе, криптует их сам, пробовал вариант с изменением схемы АД чтобы у учеток было это поле, впринципе работает но всеравно некрасиво, хочется чтобы пароль был единый и задавался через mmc коснсоль.

Пгуглил маленько нашел упоминание про SFU и про то что через нее можно сохранять qmail совместимый пароль прямо в обьектах учетки, поле называетсо "msSFU30Password", но есть минусы, надо скачать ~300 метров с сата мс, установить и настроить эту хрень на всех контроллерах домена, активировать маппинг из winAD в unix у всех юзерских учеток и после этого перезадать всем юзерам пароли чтобы у них заполнилось поле "msSFU30Password", вдоволь поигравшись с этой байдой решил что это далеко не самый лудший вариант.

Я пошел дальше и касковыряв исходники сначала научил кумейл проверять пароль из обычного текстового поля без всякого криптования, получилось что мы можем задавать пароль на почту средствами винды но темнемение он задается отдельно от доменного и храниться в plain тексте некриптованный что тоже не есть гут.

Пока ковырялся в исходниках меня понесло на программированние, в итоге был напластан патч из 12 страниц для проверки пароля через вызов kinit (kerberos), пока долизывал патч обнаружил в исходниках готовое и красивое решение, которое заключалось в том чтобы просто переподключаться к лдапу с именем и паролем юзера которого надо проверить :). Для того чтобы это заработало надо только создать файл ldaprebind и записать в него еденичку:

echo 1 > /var/qmail/control/ldaprebind

Cоздаем системного юзера для работы с виртуальными почтовыми ящщиками и прописываем его в кумейл:

pw groupadd vmail pw useradd -n vmail -g virtmail -s /sbin/nologin mkdir /shares/maildirs echo "/shares/maildirs" > /var/qmail/control/ldapmessagestore echo '#!/bin/bash' > /var/qmail/bin/dirmaker echo 'mkdir -m 700 -p $1' >> /var/qmail/bin/dirmaker echo "/var/qmail/bin/dirmaker" > /var/qmail/control/dirmaker chown vmail:vmail /shares/maildirs /var/qmail/bin/dirmaker chmod 700 /shares/maildirs chmod 4755 /var/qmail/bin/dirmaker awk -F: '/^vmail/ {print $3}' < /etc/passwd > /var/qmail/control/ldapuid awk -F: '/^vmail/ {print $3}' < /etc/passwd > /var/qmail/control/ldapgid

Ну и собственно остальная конфигурация:

cd /var/qmail/control echo "mail.mu.domain" > me # полное доменное имя (FQDN) почтового сервера echo "mu.domain" >> rcpthosts # все имена (FQDN) доменов для которых echo "mu2.domain" >> rcpthosts # мы должны принимать почту echo "mu.domain" >> locals # имена (FQDN) доменов которым echo "mu2.domain" >> locals # почта достовляеться локально echo "dc=mu_local, dc=domain" > ldapbasedn # Ваш доменный лдап echo "dc1.mu_local.domain dc2.mu_local.domain" > ldapserver # контролеры домена echo "dn=ldapadmin, dc=mu_local, dc=domain" > ldaplogin # доменная админская учетка echo "123456789" >ldappassword # Пароль учетки chmod 600 ldappassword # защщищаем пароль от посторонних глаз chown qmaild 600 ldappassword # и разрешаем кумейлу его читать echo "0" > ldaplocaldelivery # если поставить в 1 то почту можно будет получать не только # для доменных но и для системных юзеров echo "1" > ldaprebind # самое главное, эх если бы я эту фичу с самого начала знал, # скока бы времени и сил сэкономил, это собственно способ авторизации юзеров путем попытки # подключения к лдапу от их имени echo "both" > ldapdefaultdotmode # для того чтобы кумайл считывал как файы .qamil так и поля # из АД "deliveryProgramPath" echo "1000" > defaultquotacount # настройка дефолтной квоты для тех случаев если echo "2000000" > defaultquotasize # мы ее непроставили в АД (количество писем и обьем # ящщика в байтах) echo "You have exceeded your quota!" > quotawarning # приписка в сообщения о переполнении квоты echo "technical support +7 (343) 2326435" >> custombouncetext # приписка к отвергнутым (bounce) сообщениям

Про настройки tcpserver я рассказыать небуду, в интернете это достаточно хороше описанно приведу только пример своих конфигов:

[nikll@gate1 control ]$ more qmail-imapd.rules :allow,IMAP_CAPABILITY="IMAP4rev1 CHILDREN NAMESPACE THREAD=ORDEREDSUBJECT THREAD=REFERENCES SORT QUOTA",NOPBS="",LOGLEVEL="3" [nikll@gate1 control ]$ more qmail-pop3d.rules :allow,NOPBS="",LOGLEVEL="9" [nikll@gate1 control ]$ more qmail-smtpd.rules 192.168.0.:allow,SENDERCHECK="",RELAYCLIENT="",NOPBS="",REJECTEXEC="" 112.112.110.:allow,SENDERCHECK="",RELAYCLIENT="",SMTPAUTH="",NOPBS="",REJECTEXEC="" 127.:allow,RCPTCHECK="",SENDERCHECK="",SMTPAUTH="",NOPBS="",REJECTEXEC="" :allow,RCPTCHECK="",SENDERCHECK="",RETURNMXCHECK="",SANITYCHECK="",SMTPAUTH="",BLOCKRELAYPROBE="", REJECTEXEC="",RBL="",NOPBS=""

Сами файлы лежат в /var/qmail/conrtol/
файлы *.cdb создаються командой gmake выполненной в каталоге с конфигами

Ну вот вроде бы и все, осталось только запустить весь этот суп в полет, делаем:

echo 'sendmail_enable="NONE"' >> /etc/rc.conf echo 'svscan_enable="YES"' >> /etc/rc.conf /usr/local/etc/rc.d/svscan.sh restart

Поздравляю, кумейл поднят и запущщен, теперь можно потестировать это.

P.S. внимание антиспам ненастроен!!! сначала хотел сделать как обычно (rbl+spamassassin), но в последний момент наткнулся на http://www.lissyara.su/scripts/redirect_link.php?link=http://www.spamdyke.org/, занятная штучка, в ней есть практически все :), кто ею пользовался пожалуйста отзовитесь.....
Наткнулся на упоминания о неком dspam, якобы тоже хорошая весч (применяеться вместо spamassasin), тоже интересует опыт использованния его с кумейлом
Ну и напоследок кто юзал simscan? я раньше делал через .pl скрипт который вызывался вместо QMAILQEUE, а на сайте разработчиков qmail-ldap рекомендуется именно simscan...