Die Entscheidung für einen Mailserver unter Linux ist nicht leicht: Einfach den bekanntesten – Sendmail – zu nehmen, verbietet sich, wenn man eine übersichtliche Konfiguration will, die auch ein anderer Admin weiterpflegen kann. Die Alternative QMail lässt sich sicherer und einfacher betreiben.

Im Privatbereich und in vielen Firmen steigt das Internet-Mailaufkommen täglich und spätestens seit dem ILOVEYOU-Virus ist Benutzern wie Admins die Gefahr eines via E-Mail ausgeführten Angriffs auf lokale Netze bewusst. Daher nehmen Verfügbarkeit und Schutz der Mailsysteme einen immer höheren Stellenwert ein.

Doch sicher ist nur, was überschaubar, verständlich und somit auch wartbar ist. Der Einzige zu sein, der die Sendmail-Konfiguration der Firma versteht, mag den Job sichern, doch was, wenn man krank wird? Die überlebenswichtige E-Mail-Infrastruktur eines Unternehmens auf einen Mail Transfer Agent (MTA) zu gründen, der sich auch ohne das Durcharbeiten Ziegelstein-großer Bücher beherrschen lässt, spart Zeit, Nerven und ist zukunftssicher. Daher zeigt dieser Artikel die Umstellung einer Standarddistribution von Sendmail auf QMail.

Was ist QMail?

QMail, ein kleiner, schneller und zuverlässiger MTA für Unix-artige Betriebssysteme, stammt von Dan J. Bernstein, einem Mathematik-Professor an der University of Illinois in Chicago. QMail entstand als Ersatz für Sendmail, das in der Vergangenheit regelmäßig mit Sicherheitslöchern und anderen Problemen auf sich aufmerksam machte.

Die Version 1.03 erschien im Juni 1998 – und seitdem gab es keine Änderungen mehr an der Basis. Der Unwille zur Weiterentwicklung und ein gewisser Starrsinn des Autors werden oft als Kritikpunkt an QMail angeführt. Andererseits spricht die Tatsache, dass seit vier Jahren keine Bugfixes erforderlich waren, eine deutliche Sprache bezüglich der Qualität des Code.

Sendmails menschenunfreundliche Konfigurationsdateien führten zu dem Mythos, einen Mailserver aufsetzen sei gleichbedeutend mit Hexenwerk und Zauberei. Auch wenn sich QMail bei der Installation spröder gibt als andere MTA-Alternativen, muss man kein Guru sein, um zum Erfolg zu kommen. Die einzigen Voraussetzungen sind gute Fähigkeiten im Umgang mit einem Unix-artigen Betriebssystem, grundlegendes Wissen darüber, was ein Mailserver eigentlich macht[1], und ein gutes Stück Geduld, denn QMail ist noch nicht mit dem Aufruf eines Skripts installiert.

Ausgehend von den zentralen QMail- Seiten im Web (namentlich [http://cr. yp.to/qmail.html], [http://www.qmail.org/] und [http://www.lifewithqmail.org/]) findet man alle benötigten Softwarepakete sowie Dokumentationen, die helfen individuelle Probleme zu lösen oder besondere Wünsche zu realisieren.

MBox versus Maildir

Wer sich jedoch auf das Abenteuer QMail einlässt, sollte über einige Besonderheiten des MTA Bescheid wissen. Dazu gehört das Format, in dem QMail seine Mails ablegt. Diese landen standardmäßig im Homeverzeichnis des Benutzers und nicht im Spool-Verzeichnis »/var/spool/mail/ Benutzername«. Das hat auch damit zu tun, dass QMail zur Ablage der Mail per Default das Maildir-Format verwendet. Der integrierte Mail Delivery Agent (MDA) hängt die Mails also nicht wie sonst üblich ans Spoolfile des jeweiligen Users an (MBox-Format), sondern speichert jede Message als separate Datei ab.

Diese Speicherform löst das Problem konkurrierender Zugriffe auf eine Datei, wenn ein Benutzer Mails abholt und der MTA gleichzeitig versucht neue Botschaften zuzustellen. Außerdem bleiben die Dateigrößen überschaubar. Werden alle E-Mails in einer Datei abgelegt, belegt diese bei entsprechendem Mailaufkommen schon in kurzer Zeit mehrere hundert MByte.

Unterhalb jedes QMail-Maildirectories und jedes Unterordners existieren immer drei Verzeichnisse: »cur«, »new« und »tmp«. »cur« enthält alle Mails, die der Benutzer bereits gesehen oder gelesen hat, »new« hingegen alle neuen Messages. Im Verzeichnis »tmp« speichert QMail neue Mails vor der Zustellung temporär zwischen.

Alle für einen

Dass QMail durch Sicherheit und Geschwindigkeit überzeugt, statt wie andere MTAs immer wieder mit Sicherheitslücken auf sich aufmerksam zu machen, liegt unter anderem auch daran, dass der Mailserver im Gegensatz zu Sendmail kein monolithisches Programm ist, das alle Funktionen in einem Binary enthält. QMail besteht vielmehr aus mehreren kleinen Programmen, von denen jedes eine bestimmte Aufgabe erfüllt und unter verschiedenen Benutzerkennungen läuft.

Ihre hohe Geschwindigkeit erreicht die Software durch Parallelisierung der Mailzustellungen. Einige Nutzerberichte[2] sprechen von 450000 verarbeiteten Mails an einem Tag, und zwar auf einem Pentium 90 mit 64 MByte RAM!

Auch in puncto Zuverlässigkeit profitiert QMail von seiner Architektur: Wenn der MTA eine Mail annimmt, garantiert er deren Zustellung. Das erreicht die Software, indem sie die Mail nach der Annahme zunächst in der Queue speichert und erst nach erfolgreicher Auslieferung an den Benutzer aus der Queue entfernt. Die Möglichkeit eines Mail-Verlusts sinkt somit deutlich.

Installation

Voraussetzung ist ein funktionsfähiges Linux-System möglichst jüngeren Datums. Darauf (etwa bei Red Hat 8.0) ist üblicherweise bereits Sendmail installiert und betriebsbereit; allerdings gehen immer mehr Distributeure dazu über, von sich aus alternative MTAs (in der Regel jedoch nicht QMail) einzusetzen. Im Rahmen der im Kasten “QMail-Installation” beschriebenen Installation aus dem Quellcode – das Verfahren ist eine Folge der speziellen QMail-Lizenz – ersetzt QMail Sendmail.

Während sich die Installation auf den verschiedenen Distributionen nicht unterscheiden sollte, richtet sich das Abschalten des vorinstallierten MTAs nach den lokalen Gegebenheiten. Zwar setzt die QMail-Installation nicht unbedingt einen Nameserver voraus, dennoch geht dieser Artikel von einem funktionierenden und erreichbaren Nameserver aus. Einen guten Einstiegspunkt zum Thema Nameserver und DNS bietet das Howto unter[3].

Konfiguration, aber wo?

Bereits die Ausgabe des Basisskripts für die Konfiguration »config-fast« (siehe Kasten “QMail-Installation”) lässt keinen Zweifel daran: Die Dateien des Verzeichnisses »/var/qmail/control« nehmen die zentralen Einstellungen für QMail auf. Dabei kommt jeder Konfigurationspunkt in ein eigenes File. Die wichtigsten Konfigurationsdateien sind »defaultdelivery«, »defaultdomain«, »locals«, »me«, »rcpthosts« und »virtualdomains«. »defaultdelivery« legt die Standardzustellmethode (Maildir oder MBox) fest; »locals« enthält die Domains, die dieser Mailserver verwaltet.

Alle möglichen Control-Files listet die Manpage zu »qmail-control(5)« auf. Falls »/var/qmail/man« jedoch nicht in dem Suchpfad des »man«-Befehls liegt, erlaubt der Befehl

groff -mandoc -Tlatin1 /var/qmail/
man/man5/qmail-control.5 | less

einen Blick in die Hilfeseite. Sie listet außer den Namen auch den jeweiligen Standardwert und das Programm, das diese Einstellung verwendet. Genauere Informationen bieten die Manpages zu dem jeweiligen Programm. Jene beschreiben dann auch die Bedeutung der passenden Control-Datei.

Zustellungsweg

QMail ermittelt aus einer eingehenden Mail die Zieladressen und prüft deren Domain-Anteil um festzustellen, ob die Mail für den lokalen Server bestimmt ist. Ist dies der Fall, extrahiert es den Namensteil vor dem »@«. Gibt es einen passenden Benutzer, versucht der MDA, die Nachricht in dessen Homeverzeichnis zu schicken.

Existiert kein lokaler User, schaut QMail nach, ob es einen passenden Alias gibt, also eine Datei ».qmail- Namensanteil« mit den Namen. Existiert ein Alias, leitet QMail die Mail an den in dieser Datei eingetragenen Benutzer weiter. Bei den Alias-Dateien gilt es allerdings zu beachten, dass der Namensanteil keine Punkte (».«) enthalten darf. Ist dies aus irgendeinem Grund aber erwünscht, müssen sie durch Doppelpunkte ersetzt werden. Die Alias-Datei ».qmail-frank:berbig« beispielsweise enthält also den Alias für »frank.berbig«.

Ist der Benutzer ermittelt, hängt die weitere Verarbeitung der Mail vom Inhalt der Datei ».qmail« im jeweiligen Benutzerverzeichnis ab. Diese so genannte Dot-QMail-Datei bietet folgende Möglichkeiten:

• Einfügen von Kommentaren: »#
  Kommentar«
• Zustellung ins Maildir: »./Maildir/«
• Zustellung in eine MBox-Datei: »./mbox«
• Verarbeitung durch ein Programm:
  »| /Pfad/zu/ProgrammArgumente«
• Weiterleitung: » me@ host.tld«

Leider wartet hier eine böse Falle auf den Anwender: Während QMail bei der Angabe von »./mbox« in »~/.qmail« beim Eintreffen von Mail automatisch die Datei »mbox« im Homeverzeichnis des Users erzeugt, ist dies beim Festlegen eines Maildir nicht der Fall. Hier muss der User zunächst mit »/var/ qmail/bin/maildirmake ~/Maildir« das passende Maildir selbst im Homedirectory anlegen, ehe der MDA die Mail zustellen kann.

Sprich mit mir!

Wer den QMail-Server wie im Kasten “QMail-Installation” beschrieben startet und mit »telnet localhost smtp« versucht ihn zu kontaktieren, stößt erstaunt auf die Meldung »Connection refused«, während QMail bei einer mit »mutt« versandten Nachricht – wie in der Logdatei »/var/log/mail« nachzulesen – aktiv wird. Um mit der Außenwelt zu kommunizieren, benötigt der MTA nämlich noch ein paar weitere Programme, die Zugriffe über POP, SMTP und IMAP ermöglichen. POP, das Post-Office-Protokoll, erlaubt es, Mails von entfernten Mailservern zu beziehen, ohne dass lokal ein von außen zugänglicher MTA samt MDA laufen muss.

Die Mails werden nach erfolgter Authentifizierung an den anfragenden Client gesendet und dann (in der Regel) vom Server gelöscht. QMail bringt einen eigenen POP-Daemon mit; seine Einrichtung erfolgt durch den Eintrag

pop3 stream tcp nowait root 
/var/qmail/bin/qmail-popup 
qmail-popup eigener_hostname 
/bin/checkpassword 
/var/qmail/bin/qmail-pop3d Maildir

in der »/etc/inetd.conf« und anschließenden Neustart des »inetd«:

/etc/init.d/inetd restart

Beim Ändern der Konfigurationsdatei des Inet-Daemon ist zu beachten, dass ein Protokolleintrag (hier »pop3«) nur einmal existiert. Eine analoge Konfigurationszeile sorgt dafür, dass QMail als SMTP-Server von außen ansprechbar ist:

smtp stream tcp nowait qmaild 
/var/qmail/bin/tcp-env
tcp-env /var/qmail/bin/qmail-smtpd

Mit IMAP, dem Internet Message Access Protocol, verwalten Clients die Mails auf dem Server statt wie bei POP auf dem lokalen Rechner. Dafür bringt QMail jedoch kein eigenes Programm mit. Zusammen mit dem Courier-IMAP-Server kann der Mailserver jedoch auch diese Funktionalität anbieten (siehe Kasten “Wenn der Mailserver …”).

cd /tmp
tar xzvf qmail-1.03.tgz
tar xzvf ucspi-tcp-0.88.tar.gz
cd /tmp/qmail-1.03

cp INSTALL.ids ids.sh
vi ids.sh
chmod 755 ids.sh
./ids.sh

make setup check

./config-fast meine.domain.tld

cd /tmp/ucspi-tcp-0.88
make
make setup check

#!/bin/sh
exec env - PATH="/var/qmail/bin:$PATH" 
qmail-start "`cat  /var/qmail/control/ 
defaultdelivery`" splogger qmail

echo ./Maildir/ > /var/qmail/control/ 
defaultdelivery

/var/qmail/rc &

/etc/init.d/sendmail stop
mv /Pfad/zu/Sendmail /Pfad/zu/sendmail.old
chmod 0 /Pfad/zu/sendmail.old

ln -s /var/qmail/bin/sendmail /Pfad/zu/ 
sendmail

echo admin > /var/qmail/alias/.qmail-root
echo admin > /var/qmail/alias/ 
.qmail-postmaster
ln -s /var/qmail/alias/.qmail-root 
/var/qmail/alias/.qmail-mailer-daemon
chmod 644 /var/qmail/alias/.qmail-root 
/var/qmail/alias/.qmail-postmaster

Täglicher Betrieb

Wer als Betreiber eines Mailservers häufig neue Benutzer anlegen muss, hat vermutlich keine Lust, jedes Mal das passende Maildir und die Datei »~/.qmail« von Hand hinzuzufügen. Glücklicherweise verfügen die meisten Distributionen unter »/etc« über ein Verzeichnis »skel«, das eine Art Template für Benutzerverzeichnisse ist. Alle dort angelegten Dateien und Verzeichnisse werden beim Erzeugen eines neuen Accounts mit den richtigen Rechten, Benutzer- und Gruppenzugehörigkeiten ins Benutzerverzeichnis kopiert.

Die folgenden Kommandos fügen die QMail-spezifischen User-Dateien vorkonfiguriert unter »/etc/skel« ein:

/var/qmail/bin/maildirmake /etc/skel/Maildir
echo "./Maildir/" > /etc/skel/.qmail

Falls Beschwerden über nicht zugestellte Mails eintrudeln, hilft ein Blick in die Logdateien. Leider fügt QMail dort viele Einträge ein, die zur Fehlerbehebung definitiv uninteressant sind. Um nur die relevanten Informationen zu ermitteln, ist zunächst zu klären, wonach man sucht: Die QMail-Fehler im Logfile enthalten stets das Muster »(#[0-9] .[0-9].[0-9])«. Also kann man diese über den Aufruf

egrep '(#[0-9].[0-9].[0-9])' /var/log/mail

ausgeben. Ein angehängtes »| tail -1« gibt den letzten aufgetretenen Fehler aus. Diese Ausgabe lässt sich schon wesentlich leichter analysieren. Zwei Möglichkeiten, um regelmäßig aktuelle Statistiken aus dem laufenden Logfile zu generieren, beschreibt der Kasten “Log-Statistik”.

Läuft der QMail-Server, treten normalerweise nicht mehr viele Fehler auf. Auf falsche Berechtigungen des »Maildir« eines Benutzers reagiert QMail allerdings sensibel. Damit das nicht zu unerwarteter Leere in diversen Mailboxen führt, prüft der vorausschauende Admin seine Installation mit dem Perl-Skript »checkhomeownership« von[8]. Dessen Nachteil: Es überprüft einfach die Homeverzeichnisse aller in »/etc/passwd« verzeichneten Benutzer. Darunter sind jedoch auch nicht-menschliche Systemuser ohne eigenes Maildir.

Hier jedes Mal Fehlermeldungen zu bekommen, ist wenig sinnvoll. Deshalb bietet es sich an, diese User in einer Art Negativliste zu verzeichnen. Das Shellskript »checkhomeownership.sh«[9] eliminiert sie aus der Ausgabe des Perl-Skripts und versendet das Ergebnis an den Admin.

Die QMail-Warteschlange

Alle Mails, die QMail zu bearbeiten hat, stehen in der Mailqueue unterhalb des Verzeichnisses »/var/qmail/queue«. Zwar listet

find /var/qmail/queue/ -type f

alle Dateien in der Warteschlange auf, aber wer hat es nicht lieber etwas bequemer? Mit »qmail-qstat« bringt QMail ein eigenes Anzeigetool mit. Informationen über die wartenden Mails lassen sich so mit

/var/qmail/bin/qmail-qread

einsehen. »qmail-send« versucht diese Nachrichten erneut auf den Weg zu bringen. Wenn zu viele Zustellversuche fehlschlugen, schickt QMail eine Fehlermeldung. Sollten dennoch einmal Mails in der Queue stecken bleiben und nicht von selbst verschwinden, kann man diese mit »qmHandle«[10] löschen.

Dial-up-Verbindungen

Verfügt das lokale Netz beziehungsweise der Mailserver nur über eine Dial-up-Verbindung per Modem oder ISDN, sind Mails an die Außenwelt nicht direkt zustellbar. Stattdessen müssen sie gesammelt werden, bis wieder eine Internet-Verbindung besteht. Dieses Problem löst QMail, indem ein spezieller Account (zum Beispiel »outgoing«) alle Mails erhält, die sich an keinen anderen (lokalen) Benutzer zustellen lassen. Dazu hängt man die Zeile

:alias-outgoing

ans Ende der Control-Datei »virtualdomains« an und legt eine Alias-Datei namens ».qmail-outgoing-default« mit dem Inhalt »outgoing« im »alias«-Verzeichnis ab.

Die so im »outgoing«-Konto gesammelten Mails müssen bei der Interneteinwahl an den externen Mailserver (zum Beispiel beim Provider) verschickt werden. Diese Aufgabe übernimmt bei einer Dial-up-Verbindung das Paket »serialmail«[11]. Vor der Installation mit »make« und »make setup check« sind gegebenenfalls noch die Dateien »conf-home« und »conf-qmail« zu bearbeiten; nähere Informationen enthält das beiliegende »INSTALL«-File.

Die enthaltenen Programme, darunter auch »maildirsmtp«, findet man anschließend im Verzeichnis » conf-home /bin«. Der Befehl

/Pfad/zu/maildirsmtp 
/home/outgoing/Maildir/  "alias-outgoing" 
externer_Mailserver lokaler_Server

versendet alle Mails unter »/home/outgoing/Maildir/new« an den externen Mailserver. Die von QMail hinzugefügten »alias-outgoing«-Einträge in Mailadressen werden dabei eliminiert. Steht statt »”alias-outgoing”« ein leerer Parameter in der Kommandozeile, finden keine Ersetzungen statt.

Wenn der angesprochene Mailserver des Providers nur dann Mails annimmt, wenn der User vorher sein POP-Konto geleert hat (SMTP after POP), empfiehlt es sich, den Aufruf von »maildirsmtp« an den »fetchmail«-Aufruf anzuschließen.

tar xzvf courier-imap-version.tar.gz
cd courier-imap-version
./configure
make
make check
su
make install
make install-configure

Fazit

Der Aufwand, QMail auf einem Linux-System einzurichten, ist zwar nicht unerheblich. Jedoch dankt es der Server durch hohe Stabilität und seltene Updates. Für QMail spricht zudem seine ausgesprochen aktive User-Community, die sich nicht nur um die Dokumentation des Programms, sondern auch um Erweiterungen und Patches kümmert. Deshalb zählt QMail nicht nur zu den sichersten, sondern auch zu den vollständigsten MTAs.

Doch Vorsicht: Die hier beschriebene Installation eignet sich nicht für einen Mailserver im Internet, da sie weder gegen Relaying, Spam oder Viren geschützt ist. Wie man dies nachrüstet und wie man mit QMail zudem Mailinglisten verwaltet, wird Thema in einer der nächsten Ausgaben sein. (pju)