1.1 --- a/README.qmailapop	Mon Sep 14 19:23:11 2009 +0900
     1.2 +++ b/README.qmailapop	Thu Oct 30 00:03:05 2014 +0900
     1.3 @@ -364,3 +364,369 @@
     1.4  	用いて生じた如何なる結果に対しても著作権者は責任を負いません。
     1.5  
     1.6  						2009/9/14 yuuji@gentei.org
     1.7 +//
     1.8 +// qmail+maildir+apop+virtualdomain+POPbeforeSMTP extensions to uw-imapd
     1.9 +// Japanese Document below
    1.10 +//
    1.11 +
    1.12 +[Comentary]
    1.13 +This patch kit enables uw-imapd to handle;
    1.14 +  * maildir
    1.15 +  * qmail's extended mail addresses of user (~/.qmail-ext)
    1.16 +  * Postfix's extended mail addresses of user (~/.forward+ext)
    1.17 +  * Accesses to extended mail addresses (authenticated with ~/.apop-ext)
    1.18 +  * Virtual domain user switching
    1.19 +
    1.20 +Because this package is produced those who want to avail all features above,
    1.21 +we recommend you to turn on all switches for every extension.
    1.22 +Please let me recommend you not to use plain POP3 with this package.
    1.23 +If you want to cling onto POP3, please use qmail-pop3d which comes with
    1.24 +qmail distribution.
    1.25 +
    1.26 +[Configuration]
    1.27 +You can select these compilation switches.
    1.28 +
    1.29 +  Where:	./Makefile
    1.30 +  Switch:	QMAIL
    1.31 +  What:		Support maildir and user's address extension.
    1.32 +  		This switch is requisite.
    1.33 +  
    1.34 +  Where:	./Makefile
    1.35 +  Switch:	INET6
    1.36 +  What:		Support IPv6 address
    1.37 +  		WORKS fine only via ucspi-tcp+ipv6patch
    1.38 +  		If you are using tcpserver-ipv6, set this.
    1.39 +  
    1.40 +  Where:	./Makefile
    1.41 +  Switch:	POSTFIX
    1.42 +  What:		Defaults user address file to ~/.forward and
    1.43 +		extension delimiter to "+".
    1.44 +		Setting this flag on is equavalent to declare
    1.45 +		-DQMAIL -DDOTQMAIL=".forward" -DXADDR_DELIM="+"
    1.46 +		in ./Makefile.
    1.47 +  
    1.48 +  Where:	./Makefile
    1.49 +  Switch:	RESTRICT_POP
    1.50 +  What:		Restrict POP3 access from unsafe network.  Allow
    1.51 +		normal pop3 access only when environment variable
    1.52 +		INTRANET is set.  This can be controled by tcpd with
    1.53 +		/etc/hosts.allow.
    1.54 +  
    1.55 +  Where:	./src/osdep/unix/Makefile
    1.56 +  Switch:	DEFAULTMAILDIR (quoted string)
    1.57 +  What:		Default users' maildir directory when a user does not
    1.58 +		have ~/.qmail file.
    1.59 +		The default value is null.  If null, the default value in
    1.60 +		osdep/unix/maildir.c("Maildir") will be taken.
    1.61 +  
    1.62 +  Where:	./src/osdep/unix/Makefile
    1.63 +  Switch:	QMAILCONTROL (quoted string)
    1.64 +  What:		Default qmail/control directory.
    1.65 +		The default value is "/var/qmail/control"
    1.66 +  
    1.67 +  Where:	./src/osdep/unix/Makefile
    1.68 +  Switch:	USERAPOPFILE (string)
    1.69 +  What:		User's APOP password file relative to their home dir.
    1.70 +		".apop" is set by default.
    1.71 +  		One of recommended values is "Mail/.apop".
    1.72 +		NOTE THAT USERAPOPFILE should NOT be readable by others.
    1.73 +		Do chmod 600 USERAPOPFILE.
    1.74 +  
    1.75 +  Where:	./src/osdep/unix/Makefile
    1.76 +  Switch:	APOPOPEN (string)
    1.77 +  What:		Command name to decode APOP password from USERAPOPFILE
    1.78 +		"/usr/local/sbin/deapop" is set by default.
    1.79 +  		NOTE THAT you should install deapop command too.
    1.80 +		If you don't want to think about this,
    1.81 +		install the following shell script into /usr/local/sbin/deapop
    1.82 +
    1.83 +		  #!/bin/sh
    1.84 +		  cat "$@"
    1.85 +
    1.86 +  Where:	./src/osdep/unix/Makefile
    1.87 +  Switch:	POPBEFORESMTP
    1.88 +  What:		Turn on `POP before SMTP' feature.
    1.89 +  		The next variable POP3RECORDER takes effect when
    1.90 +		this variable is defined.
    1.91 +
    1.92 +  Where:	./src/osdep/unix/Makefile
    1.93 +  Switch:	POP3RECORDER (string)
    1.94 +  What:		Command name to achieve `POP before SMTP'.
    1.95 +		"/usr/local/etc/pop3-record" is set by default.
    1.96 +  		This recorder program should take one argument of
    1.97 +		fully qualified hostname (or IP address) where the POP
    1.98 +		authentication is passed to.
    1.99 +
   1.100 +[NO WARRANTY]
   1.101 +
   1.102 +	This package  comes from absolutely NO WARRANTY.   The author of
   1.103 +	this package is  not responsible for any result  caused by using
   1.104 +	this software.  The  copyright of the extension part  is held by
   1.105 +	HIROSE, Yuuji [yuuji@gentei.org].
   1.106 +
   1.107 +[COPYING]
   1.108 +
   1.109 +	You can re-distribute this  package without any cost except some
   1.110 +	practical cost(magnetical  media or so).   Although this package
   1.111 +	basically obeys  the license  terms in a  file CPYRIGHT  in this
   1.112 +	directory,  there is  one exception;  when you  modify  the code
   1.113 +	against   the  extensional   part  (over   uw-imapd)   and  that
   1.114 +	modification is a kind of bug-fix, modification should be telled
   1.115 +	to  the  author of  extensional  part  if  you are  thinking  of
   1.116 +	re-distribute your modification  to the public.  This limitation
   1.117 +	is  to aim  to  make this  extensional  package reasonably  safe
   1.118 +	always in any time.  Please feel free to hack and distribute it!
   1.119 +
   1.120 +
   1.121 +-- Japanese document follows...
   1.122 +
   1.123 +【qmail+maildir+APOP用POPサーバ】
   1.124 +
   1.125 +	このimapパッケージは、qmailとIMAPを組み合わせて使うこと *ではな
   1.126 +	く* qmail+maildir+APOPを柔軟に利用しようということを目的として作
   1.127 +	られましたのでIMAPでのテストは十分に行なわれていません。このパッ
   1.128 +	ケージは以下のような方を満足させるでしょう。
   1.129 +
   1.130 +	* qmailを利用している
   1.131 +	* mail spool には安全性の高い Maildir 形式を利用し(させ)ている
   1.132 +	* ~/.qmail-ext ファイルによるqmailの拡張アドレスをよく利用している
   1.133 +	* virtual domain を活用しまくっている
   1.134 +
   1.135 +	上記のようなことができるqmailですが、この機能を使いこなすために
   1.136 +	はUNIXマシンにログインしてローカルファイルを見に行くメイルリーダ
   1.137 +	を使うという方法しかありませんでした。これでは不便なので、上記の
   1.138 +	使い分けを認識するPOPサーバを作ろうということで作成したのがこの
   1.139 +	パッケージです。またPOPのみのサーバ利用が多い昨今、リモートから
   1.140 +	の認証にログインパスワードを使わずにメイル専用パスワードを利用さ
   1.141 +	せる変更も行なっています。これによりPOPもAPOP(POPのパスワード認
   1.142 +	証の暗号化版)も共通のパスワードを利用できるようにしました。また、
   1.143 +	POP の場合は既存ユーザのパスワード管理を考えて、認証時にUNIXパス
   1.144 +	ワードも参照するようにしています。
   1.145 +
   1.146 +	もう一点、POPはパスワードをプレインテキストで流すため、外部ネッ
   1.147 +	トワークからの利用は危険です。そこでPOPの利用を一部のネットワー
   1.148 +	クに限定する機能もつけました(tcp_wrappersやtcpserverが必要)。
   1.149 +
   1.150 +【インストール】
   1.151 +
   1.152 +	デフォルト設定では
   1.153 +
   1.154 +	* POP3は拒否する
   1.155 +	* ユーザのパスワード設定ファイルは ~/.apop
   1.156 +	* ~/.apop のデコードプログラムは /usr/local/sbin/deapop
   1.157 +
   1.158 +	となっています。APOP認証はサーバ側で必ず元のパスワードを知る必要
   1.159 +	があります。これまでのAPOPサーバは全てのユーザ毎に管理者権限でパ
   1.160 +	スワードを設定する必要がありました。一見安全そうですが、じつはユー
   1.161 +	ザがパスワードを変更する頻度を限りなくゼロに近づけているだけです。
   1.162 +	そもそもAPOPはサーバ側で元パスワードを取得する必要があるので必ず
   1.163 +	復元可能な形で保存されなければなりません。ということはどんなに凝っ
   1.164 +	た方法で保存しても結局は復号できるのですから、複雑な方法で暗号化
   1.165 +	&格納をすることは手間を増やすだけです。いずれにしてもroot権限さ
   1.166 +	えあれば元のパスワードは簡単に読めるわけですから、最初からユーザ
   1.167 +	自身にパスワード管理をさせてしまっても何ら問題は無く、むしろその
   1.168 +	方がパスワードをこまめに変えてくれる可能性が(ちょりっと)上がりま
   1.169 +	す。ただし、誰にでもパスワードが読めては困るので、パスワードファ
   1.170 +	イルを chmod 600 しておかないとメイルの取り込みが出来ないように
   1.171 +	なっています。またどうしても平文でファイルに保存するのだけはいや
   1.172 +	だーという場合のために、APOPパスワードファイルは 
   1.173 +	/usr/local/sbin/deapop というコマンドを経由して読み込むようになっ
   1.174 +	ています。これにデコードする処理を書いておきます。もし、とくにエ
   1.175 +	ンコードしなくてもいいという場合は
   1.176 +
   1.177 +	  #!/bin/sh
   1.178 +	  cat "$@"
   1.179 +
   1.180 +	というシェルスクリプトでも入れておいてください。このパスワードは
   1.181 +	ログインパスワードとは独立しているのでこれで大きな問題は起こらな
   1.182 +	いでしょう(責任は持ちませんが:-)。
   1.183 +
   1.184 +	コンパイル時の変数は上記英文解説の場所を読んでください。
   1.185 +
   1.186 +【ユーザから見た使い方】
   1.187 +
   1.188 +	まず、~/.qmail に正しくmaildirが設定されていることを確認します。
   1.189 +	maildirをまだ作っていない場合は、
   1.190 +	
   1.191 +	% /var/qmail/bin/maildirmake ~/maildir
   1.192 +
   1.193 +	とし、~/.qmail に
   1.194 +
   1.195 +	./maildir/
   1.196 +
   1.197 +	と書きます。またメイル専用パスワードを ~/.apop に記録します。
   1.198 +	これは apoppasswd コマンドで行ないます。
   1.199 +
   1.200 +	% apoppasswd
   1.201 +
   1.202 +	これで完了です。apoppasswdコマンドは APOPtools/apoppasswd にある
   1.203 +	ので管理者がサイトの環境に手直しした上で一般ユーザのPATHの通る場
   1.204 +	所にインストールして使って下さい。
   1.205 +
   1.206 +	さて、拡張アドレスを使いましょう。ログイン名を login とします。
   1.207 +	login-isogi@hogehoge.co.jp のようなアドレスは ~/.qmail-isogi とい
   1.208 +	うファイルで作成できます。login-isogi 用のmaildirを作ります。
   1.209 +
   1.210 +	% /var/qmail/bin/maildirmake ~/isogidir
   1.211 +
   1.212 +	これを ~/.qmail-isogi に登録します。
   1.213 +
   1.214 +	./isogidir/
   1.215 +
   1.216 +	最後に login-isogi 用のパスワードを設定します。
   1.217 +
   1.218 +	% apoppasswd -e isogi -c
   1.219 +	Enter APOP Password:
   1.220 +
   1.221 +	とすると、maildirの作成とパスワードの設定が同時に行えます。
   1.222 +	maildirとパスワードの作成が完了したら、利用してるメイルリーダの
   1.223 +	APOP アカウントの「アカウント名」をlogin-isogi にして接続します。
   1.224 +
   1.225 +【POP before SMTPについて】
   1.226 +
   1.227 +	まず tcp_wrappers を利用している場合について説明します。
   1.228 +	tcpserverを利用する場合も原理は同じなので仕組みだけ理解してくだ
   1.229 +	さい。
   1.230 +
   1.231 +	tcp_wrapperとtcp-envを組み合わせてSMTPサーバを中継用に使うドメイ
   1.232 +	ンを限定して使っていると思います。これの発展形でPOP接続して来た
   1.233 +	ドメインだけにSMTPサーバを使わせる手法のことを "POP before SMTP" 
   1.234 +	と呼びます。このパッケージでも APOP 接続をしたドメインに対して
   1.235 +	SMTPの中継許可を与えることが出来ます。本パッケージの ./APOPtools 
   1.236 +	ディレクトリにある pop3-* を /usr/local/etc にインストールします。
   1.237 +	3つのファイルの実体は同じです。さらに以下の作業をします。
   1.238 +
   1.239 +	* 原本となる /etc/hosts.allow を /etc/hosts.allow.src にコピー
   1.240 +	* crontab で10分毎に /usr/local/etc/pop3-age を起動させる
   1.241 +
   1.242 +	後者は、大抵のOSの場合 root の crontab に
   1.243 +
   1.244 +	     */10  *  *  *  *   root    /usr/local/etc/pop3-age
   1.245 +
   1.246 +	などと書けば設定できます。pop3-* スクリプトは自身の環境に合わせ
   1.247 +	て適宜修正して下さい。この段階で、tcp_wrapper の定義ファイルは 
   1.248 +	/etc/hosts.allow.src が大元で、/etc/hosts.allow はcronによって自
   1.249 +	動生成されるものとなります。hosts.allowをいじっても自動的に上書
   1.250 +	きされてしまうので、設定を変えるときは *必ず hosts.allow.src を
   1.251 +	編集する* ことに注意して下さい。
   1.252 +
   1.253 +	さらにipop3dを起動するときに接続してきたホストが環境変数
   1.254 +	RELAYCLIENT に入るようにしておきます。/etc/inetd.conf でipop3dを
   1.255 +	起動するときに tcp_wrapper 経由となることを確認します。
   1.256 +
   1.257 +	[/etc/inetd.conf]
   1.258 +	  pop3 stream tcp nowait root /usr/libexec/tcpd /usr/libexec/ipop3d
   1.259 +
   1.260 +	1999年頃以降のPC-UNIXではinetdにデフォルトでtcpdが組み込まれてい
   1.261 +	ることが多いので、inetd.confにtcpdははさまなくて良いこともありま
   1.262 +	す。続いて /etc/hosts.allow.src で環境変数の設定が起きるようにし
   1.263 +	ます。
   1.264 +
   1.265 +	[/etc/hosts.allow.src]
   1.266 +		ipop3d : all : setenv RELAYCLIENT %h
   1.267 +
   1.268 +	これで POPサービスを利用しに来たクライアントのアドレスが環境変数
   1.269 +	に入ります。
   1.270 +
   1.271 +	tcpserverの場合は、付属の pop3-record スクリプトの後半に例がある
   1.272 +	のでそれを利用してください。
   1.273 +
   1.274 +	なお、tcp_wrappers 用の pop3-age スクリプトは負荷の高いマシンで
   1.275 +	は hosts.allow ファイルが空になる可能性があります。lockすれば多
   1.276 +	少ましになるでしょうが完ぺきではありません。もし、hosts.allowの
   1.277 +	書き換えに失敗するような負荷の高い環境で使う場合は tcp_wrappers 
   1.278 +	ではなく、tcpserverでのアクセス制御をすることを強く勧めます。こ
   1.279 +	ちらはロックの必要もなく、安全にアクセス制御ファイルの更新ができ
   1.280 +	ます。
   1.281 +
   1.282 +【POPアクセス制御について】
   1.283 +
   1.284 +	POP3とAPOPは同じポートを使うので「外部からはAPOPだけ許す」などの
   1.285 +	制御はルータやtcp_wrappersなどだけではできません。このipop3dでは、
   1.286 +	生のPOP3は環境変数INTRANETが定義されているときだけに利用を制限す
   1.287 +	ることができます。tcp_wrappers の例を示します。
   1.288 +
   1.289 +		ipop3d : localhost .localnet.hoge.jp \
   1.290 +			: setenv INTRANET : setenv RELAYCLIENT %h
   1.291 +		ipop3d : all : setenv RELAYCLIENT %h
   1.292 +
   1.293 +	としておけば、ローカルネットワーク内だけで生POP3を使うことができ
   1.294 +	ます。
   1.295 +
   1.296 +【virtualdomain機能について】
   1.297 +
   1.298 +	qmailでは /var/qmail/control/virtualdomains を使うことで、ユーザ
   1.299 +	が任意のメイルドメインを持つことができます。これを解釈するように
   1.300 +	しました。/var/qmail/control/virtualdomain ファイルで
   1.301 +
   1.302 +		virtual.hoge.co.jp:user1
   1.303 +		dokan.hoge.co.jp:user2-dokan
   1.304 +
   1.305 +	としておくと、XX@virtual.hoge.co.jp は ~user1/.qmail-XX に配送さ
   1.306 +	れ、YY@dokan.hoge.co.jp は ~user2/.qmail-dokan-YY に配送されます。
   1.307 +	それがMaildirスプールを含む場合、本パッケージのIMAP/POPで取り込
   1.308 +	むことができます。デフォルトではこのためのパスワードはそれぞれ
   1.309 +
   1.310 +		~user1/.apop-XX
   1.311 +		~user2/.apop-dokan-YY
   1.312 +
   1.313 +	ファイルに保存しておかなければなりません。
   1.314 +
   1.315 +【Postfixの拡張アドレス対応について】
   1.316 +
   1.317 +	Postfixによる ~/.forward+ext で発生する拡張アドレスは、その配送
   1.318 +	先がMaildirであれば本パッケージでも利用できます。Postfix のデフォ
   1.319 +	ルト設定の
   1.320 +		forward_path = $home/.forward$recipient_delimiter$extension,
   1.321 +			     $home/.forward
   1.322 +		recipient_delimiter = +
   1.323 +
   1.324 +	のまま Postfix を動かしている場合はトップレベルのMakefileの
   1.325 +	EXTRACFLAGS に -DPOSTFIX を追加して下さい(-DQMAILも必要です)。こ
   1.326 +	れにより、拡張アドレスを決めるファイルが ".forward" に、拡張部分
   1.327 +	を区切る文字列が "+" になります。いずれかを変更している場合はた
   1.328 +	とえば、
   1.329 +
   1.330 +		-DDOTQMAIL=".postfix" -DXADDR_DELIM="-"
   1.331 +
   1.332 +	のように変更できます。もし、Postfix の .forward+ext を利用する場
   1.333 +	合は周辺ツールの APOPtools/apoppasswd, APOPtools/apopcall.c の対
   1.334 +	応する変数も変更する必要があることに注意して下さい。また、パスワー
   1.335 +	ドファイルも ~/.apop-ext ではなく~ /.apop+ext となることに注意が
   1.336 +	必要です。これらが面倒な場合は、Postfix の設定の方で .qmail-ext 
   1.337 +	を見るようにしてしまうのも手です。この場合は
   1.338 +
   1.339 +		recipient_delimiter = -
   1.340 +		forward_path = $home/.forward$recipient_delimiter$extension,
   1.341 +				$home/.qmail$recipient_delimiter$extension,
   1.342 +				$home/.forward
   1.343 +
   1.344 +	とすると ~/.qmail-ext も参照するようになり、デフォルト状態の本パッ
   1.345 +	ケージのまま利用することができるでしょう。
   1.346 +
   1.347 +【Postfixの POP before SMTPについて】
   1.348 +
   1.349 +	main.cf で たとえば次のようにします。
   1.350 +
   1.351 +		smtpd_recipient_restrictions = 
   1.352 +			permit_mynetworks
   1.353 +			check_client_access hash:/etc/postfix/client_access
   1.354 +
   1.355 +	ここで /etc/postfix/client_access は POP before SMTP の許可ホス
   1.356 +	トリストを保持するためのファイル名で、既に使われてはいないものに
   1.357 +	します。配布ディレクトリの APOPtools/pop3-record.postfix は
   1.358 +	/etc/postfix/client_access ファイルをリレー許可判定に使うことを
   1.359 +	前提とした Postfix 用のスクリプトです。
   1.360 +
   1.361 +【謝辞】
   1.362 +
   1.363 +	安井卓さん(tach@debian.or.jp)にはsyslog関係のパッチを頂きました。
   1.364 +	ここに感謝の意を表します。
   1.365 +
   1.366 +【免責】
   1.367 +
   1.368 +	IMAPパッケージに本ドキュメントで説明した拡張機能を追加する部分の
   1.369 +	著作権は広瀬雄二[yuuji@gentei.org]が保持します。このプログラムを
   1.370 +	用いて生じた如何なる結果に対しても著作権者は責任を負いません。
   1.371 +
   1.372 +						2009/9/14 yuuji@gentei.org