关于postfix的smtp认证

http://blog.sina.com.cn/s/blog_5f2a24070100kqkg.html

SASL的验证框架
    SASL的验证框架大致如下：

• 支持SASL的服务器端(比如postfix的smtpd这个daemon)监听网络连接
• 客户端连接应用并发起认证过程：客户端选择一个SMTP AUTH的机制，并根据这个机制准备相应的凭证，然后把它选择的机制和相应的凭证发给服务器
• 服务器方保存客户端的验证机制和相应的凭证，并把它交给一个真正完成这种密码验证的后服务，比如saslauthd
• 验证服务根据客户的凭证和验证的后端数据(比如/etc/shadow文件)来确定是否通过验证，并把验证结果返回给smtpd
• smtpd根据验证的结果做出相应的动作

SASL的验证接口
    在验证的过程中服务器和客户之间需要一个验证接口来告诉客户端需要验证以及哪些验证机制是可用的。SASL本身并没有
对这个接口做出规定，而是由具体的服务和协议自己来确定这个接口。比如在ESMTP协议中，在客户端敲入EHLO时，服务器端
会提示支持的验证机制：
250-AUTH LOGIN PLAIN DIGEST-MD5 CRAM-MD5

提供认证的服务

• saslauthd 它是一个独立运行的daemon,它是基于系统密码来验证的，可以读取很多种后端的认证数据，包括：getpwent(/etc/passwd), kerberos,pam,rimap(remote IMAPserver),shadow,ldap，其中一些是需要root权限的，而saslauthd就是以root身份来运行的，它可以帮助postfix来 验证密码，因为postfix本身在设计的时候就避开了特权身份。saslauthd只支持和PLAIN和LOGIN两种验证机制。

• auxprop 它提供了一种独立于系统密码的验证方法，它的含义是Auxiliary Property Plug-ins，它的作用是调用外部程序来验证，它可以读取sasldb2和sql server的验证数据，支持上面提到的各种验证机制。

简单应用

1. 修改/usr/lib/sasl/smtpd.conf文件，告诉postfix使用saslauthd作为后台认证程序： pwcheck_method: saslauthd
2. 修改/etc/sysconfig/saslauthd文件，使saslauthd采用shadow作为验证数据源        MECH=shadow
3. 启动saslauthd：/etc/init.d/saslauthd start
4. 验证saslauthd                                                  /usr/sbin/testsaslauthd -u haha -p'123456'                        0: OK "Success."
5. 编 辑/etc/postfix/main.cf，增加：                           smtpd_sasl_auth_enable = yes                               broken_sasl_auth_clients = yes                                                smtpd_sasl_security_options = noanonymous
   smtpd_recipient_restrictions = permit_mynetworks,permit_sasl_authenticated,check_relay_domains
   smtpd_client_restrictions = permit_sasl_authenticated
6. postfix reload

完成以上设置以后，在客户端发信的时候就需要验证了。