KOLAB

URLs

Clients konfigurieren

Um per CALDAV oder CARDAV Daten mit dem Server zu synchronisieren sind folgende Einstellungen nötig:

Servcice	URL	Name / User
Perönliche Kalender / Kontakte	https://mail.moppert.de/iRony/	lutz@moppert.de
Gemeinssame Kalender / Kontakte	https://mail.moppert.de/iRony/	familie@moppert.de
MopBox	https://mopbox.moppert.de:8443/	lutz@moppert.de

Security

Siehe https://weakdh.org/

Let’s Encrypt certificates for mail servers and DANE

Serverkonfiguration

Partitionierung

Dies folgt grob den Empfehlungen der CIS Benchmark kombiniert mit den Empfehlungen für Kolab:

Mount point	Size	Mount options
/	10 GB
/boot	250 MB
/tmp	2 GB	nodev,nosuid,noexec
/dev/shm	3 GB	nodev,nosuid,noexec
/home	10 GB	nodev
/var	10 GB
/var/mysql	2 GB
/var/spool/imap	30 GB
/var/www/seafile	150 GB
/var/log	2 GB
/var/tmp	–	bind (/tmp)

Fetchmail

Um E-Mails von anderen Mail Accounts holen zu können, sind folgende Schritte nötig:

Das Zertifikat des Dienstes in eine Datei speichern:

echo "quit" | openssl s_client -connect pop.gmx.net:995 -showcerts | sed -ne '/BEGIN/,/END/p' > /etc/ssl/certs/gmx.net.pem

Den entsprechenden Fingerprint herausfinden:

openssl x509 -in /etc/ssl/certs/gmx.net.pem -md5 -fingerprint

Nun noch die Zeilen in der fetchmailrc anlegen:

poll pop.gmx.de with proto POP3
    user 'MyID@gmx.de' there with password 'MyPASS'
    is 'Me@LOCAL.DOM' here options ssl sslproto tls1
    sslcertpath /etc/ssl/certs
    sslfingerprint 'AA:BB:77:CC:00:73:4E:EE:FF:EB:B8:C0:90:7D:46:56'
    sslcertck

Für Google muss der Zugriff von einem Server noch explizit freigeschaltet werden. Hierfür vom Server die URL https://accounts.google.com/b/0/DisplayUnlockCaptcha aufrufen und anmelden.

IMAP

Damit die Handys immer E-Mails senden dürfen, sollte das verschicken für angemeldete Benutzer immer erlaubt sein (die Option permit_sasl_authenticated ergänzen).

/etc/postfix/main.cf

main.cf:smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_pipelining, reject_rbl_client zen.spamhaus.org, reject_non_fqdn_recipient, reject_invalid_helo_hostname, reject_unknown_recipient_domain, reject_unauth_destination, check_policy_service unix:private/recipient_policy_incoming, permit