Dovecot mit MySQL-SSL

Servus.

Ich versuche gerade Dovecot zum Laufen zu bekommen.

Die Datenbank mit den Benutzern liegt hierbei auf einem anderen Server im Internet, weshalb ich gerne eine verschlüsselte Verbindung zu diesem aufbauen möchte.

Leider finde ich jedoch keinerlei Informationen, wie man bei der SQL Config von Dovecot die entsprechenden Zertifikate hinterlegen kann.

Ich finde in der Default-Config lediglich wild eingeworfene Parameter ohne Zusammenhang:

#   But also adds some new settings:
#     client_flags        - See MySQL manual
#     ssl_ca, ssl_ca_path - Set either one or both to enable SSL
#     ssl_cert, ssl_key   - For sending client-side certificates to server
#     ssl_cipher          - Set minimum allowed cipher security (default: HIGH)
#     option_file         - Read options from the given file instead of
#                           the default my.cnf location
#     option_group        - Read options from the given group (default: client)

Hat jemand von euch bereits Erfahrung damit gesammelt?

Folgende Fehlermeldung erhalte ich aktuell sobald ein Benutzer versucht sich anzumelden:

Mar 30 19:31:27 mx01 dovecot: auth-worker(28600): Error: mysql(db01.example.com): Connect failed to database (vmail): SSL connection error: Failed to set ciphers to use - waiting for 1 seconds before retry
Mar 30 19:31:27 mx01 dovecot: auth-worker(28600): Error: mysql(db01): Connect failed to database (vmail): SSL connection error: Failed to set ciphers to use - waiting for 1 seconds before retry
Mar 30 19:31:28 mx01 dovecot: auth-worker(28600): Error: mysql(db01): Connect failed to database (vmail): Access denied for user 'vmail'@'...' (using password: YES) - waiting for 5 seconds before retry
Mar 30 19:31:28 mx01 dovecot: auth-worker(28600): Error: mysql(db01): Connect failed to database (vmail): Access denied for user 'vmail'@'...' (using password: YES) - waiting for 5 seconds before retry
Mar 30 19:31:33 mx01 dovecot: auth-worker(28600): Error: mysql(db01): Connect failed to database (vmail): Access denied for user 'vmail'@'...' (using password: YES) - waiting for 25 seconds before retry

Danke,

Alex

Wäre ne Idee, würde aber gerade bei MySQL doch unnötig Latenz anhängen oder überschätze ich das?

lg.

Zitat von chaosrind

bei Latenzen zickt Dovecot ohnehin, hab ich gemerkt, darum den openvpn n bisschen optimiert, Ich hab nu keine riesige Last drauf, es läuft soweit rund. Sonst wäre noch ne Idee, den mysql als master-slave laufen zu lassen und dovecot an den lokalen slave dran zu hängen...

Hab ich auch schon dran gedacht, würde aber den Vorteil der NVMe's zerstören.

Rein theoretisch muss es ja funktionieren, zumal in der Default-Config von entsprechenden Parametern die Rede ist.

lg.

An sich würde ich die Dienste auch nur nach außen tragen, wenn sie das müssen. Da ich jedoch am Datenbankserver alle Zugriffe gesperrt habe und diese nur von bestimmten IPs durchlasse, die wirklich durchmüssen, sehe ich das als weniger problematisch an. Ist ja nur eine Übergangslösung bis ich irgendwie ein VLAN organisiert bekomme.

Ich hab im H'tzner Forum die Lösung gefunden.

Zitat von TimWolla

Ich erinnere mich nicht genau an die Fehlermeldung, das sieht aber ganz nach dem Problem aus, was ich damals hatte:

Verwendest du dovecot-mysql mit libmariadbclient18 aus den Debian-Paketquellen und mariadb-server aus den MariaDB-Paketquellen? In diesem Fall ist mariadb-server mit OpenSSL gelinkt und libmariadbclient18 mit irgendeiner völlig unbekannten SSL-Library, welche keine Ciphers kann, die OpenSSL machen möchte. Installiere auf dem Dovecot-Server die Client-Bibliothek aus MariaDB-Paketquellen.

Für die Referenz meine dovecot-sql.conf.ext sieht so aus (der Login erfolgt ausschließlich über TLS-Clientzertifikate, nicht über Passwörter):

Code

driver = mysqlconnect = host=db dbname=postfix user=dovecot ssl_key=/etc/dovecot/ssl-client/dovecot-key.pem ssl_cert=/etc/dovecot/ssl-client/dovecot-cert.pem ssl_ca=/etc/dovecot/ssl-client/ca.pem ssl_cipher=AES128-GCM-SHA256default_pass_scheme = PLAIN-MD5password_query = SELECT email AS user, password FROM virtual_users WHERE disabled = 0 AND email = '%u';

In der my.cnf von MariaDB steht folgendes:

Code

ssl = 1
ssl_ca = /var/lib/mysql-ssl/ca.pem
ssl_cert = /var/lib/mysql-ssl/server-cert.pem
ssl_key = /var/lib/mysql-ssl/server-key.pem

Alles anzeigen

Jetzt stehe ich vor einem ähnlichen Problem mit Postfix..

Das Leben wird wohl nicht einfacher mit Verschlüsselung

Ich habs nun auch bei Postfix geschafft. Schuld war der standardmäßig aktivierte Chroot für die einzelnen Dienste (zu sehen in der master.cf).

Hab nun erstmal brachial alle chroots deaktiviert und werd mir das morgen näher ansehen.

lg. & danke trotzdem für eure Hilfe