Запрет удаления писем с сервера

[mr. brightside]

Добрый день, уважаемые

Столкнулся с неожиданной проблемой, которая вообще не должна вызывать нареканий...

Версии:

Код: Выделить всё

Dovecot 2.1.12
FreeBSD 9

Сервер imap/pop3 собран с:

Код: Выделить всё

[root@mail /usr/ports/mail/dovecot2]# dovecot --build-options
Build options: ioloop=kqueue notify=kqueue ipv6 openssl
Mail storages: cydir dbox maildir mbox raw shared
SQL drivers: mysql
Passdb: checkpassword ldap pam passwd passwd-file sql
Userdb: nss ldap passwd passwd-file prefetch sql static

Хочу запретить пользователям забирать письма с сервера. Дело в том, что ящики общие - на 1 по 10 человек. Вот если один юзер заберет всю почту, то другие не увидят. Работаем по POP3

Прочитал это и это. Но, в официальной доке нет упоминания о POP3.

Настроил у себя так:

dovecot.conf:

Код: Выделить всё

protocol pop3 {
  ...
  mail_plugins = acl
  ...
}
...
plugin {
  ...
  acl = vfile
  ...
}

И в конечные папки пользователей кинул файлик dovecot-acl со следующим содержанием:

Код: Выделить всё

owner   lrwstik

После рестарта получаю такую ошибку:

Код: Выделить всё

Plugin acl not found from directory /usr/local/lib/dovecot/pop3

Понимаю, что тупо нету плагина этого для pop3. Для imap, я посмотрел, этот плагин лежит.

Вопрос: - откуда его взять? Посмотрел опции для пересборки dovecot - что то я там вообще не вижу ACL. Как быть? Кто подскажет?

Заранее спасибон

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[skeletor]

А почему не использовать imap?

[mr. brightside]

А почему не использовать imap?

Предполагал, что этот вопрос будет задан

В папках юзеров есть папки spam, куда заворачиваются спамовые письма. Или которые я собственноручно заверну, если увижу в папку "входящие" явный спам. Оттуда потом они падают в общий отстойник и СА обучается.

Если поставить ИМАП, то у пользователя будет возможность видеть эту папку, а не хотелось бы, - хотя, может и можно запретить синхронизацию с этой папкой как-нибудь...

Кроме того сейчас созданы сертификаты под ПОП3 и у меня 100 клиентов, которые работают с ПОП3. Всё это влечёт целую кучу мелких действий по перенастройке.

Если можно сделать ACL с pop3, то это проще и менее кровозатратно. Если нет, то придется делать с IMAP

[skeletor]

Вы сами себе создаёте проблемы. Использовать imap только для некоторых ящиков (его можно совместно использовать с pop3) и не надо перенастраивать тем, кому imap не надо. IMAP и POP3 могут работать независимо друг от друга и мешать друг другу не будут.
Спам (если юзеру он не надо), то лучше складывать вообще у другое место.

[mr. brightside]

Вы сами себе создаёте проблемы. Использовать imap только для некоторых ящиков (его можно совместно использовать с pop3) и не надо перенастраивать тем, кому imap не надо. IMAP и POP3 могут работать независимо друг от друга и мешать друг другу не будут.

Это понятно.

Но как это мне поможет с моей проблемой?

Мне надо запретить всем удалять письма с сервера через MUA.

Т.е. не должно иметь значения, что выставлено в "оставлять письма на сервере" - ни количество дней, ни даже опция "удалять письма с сервера".

Так как одним ящиком у меня пользуется с десяток человек, то все должны получать одну и ту же почту. Если кто то заберет всю почту, то другой её не прочтет.

Спам (если юзеру он не надо), то лучше складывать вообще у другое место.

Под это создавал отдельную тему. Sieve-скрипт для dovecot я так и не смог переписать таким образом, чтобы он складывал письма в общий отстойник. Получилось только в сабфолдер .spam текущего ящика.

Потом я понял преимущества для себя в этом. Если письмо по ошибке завернется в спам, то проще будет его отыскать в папке spam конкретного ящика, а не ползать по общему отстойнику, где писем ой как много накопилось за несколько то лет.

Вопрос остается открытым - можно ли использовать ACL для pop3?

Судя по приведенной ссылке с такой же темой, - можно. Но даже на офф сайте пример настройки именно с имап.

[mr. brightside]

Нашел ответ, как мне кажется.

Для Pop3 такое сделать нельзя. Чтобы работало для всех, придется перекинуть на IMAP - Пруфлинк

Может и можно это реализовать, но, видимо, не в случае с dovecot. Всё же он больше IMAP, чем POP3.

[FiL]

chmod 400 /path/to/mbox
И никаких проблем со стиранием писем.

[skeletor]

А новые письма как будут попадать в папку?

[FiL]

А новые письма как будут попадать в папку?

а новые письма LDA под рутом раскладывает. Ему пофик.

[skeletor]

А с чего так? Разве что настройки такие будут, а так, по дефолту от того, от кого запущен.

[mr. brightside]

А с чего так? Разве что настройки такие будут, а так, по дефолту от того, от кого запущен.

+ 1

Да и вообще, вроде на dovecot.org или даже в примере конфига говорится, что от рута ничего лучше не запускать. А локальный доставщик дело такое... он доставляет

У меня он от спец пользователя работает.

[FiL]

А с чего так? Разве что настройки такие будут, а так, по дефолту от того, от кого запущен.

и как он доступ в почту к разным юзерам имеет, если он под бесправным юзером работает?

[skeletor]

Мы сейчас про каких юзеров говорим? про виртуальных или системных?

[mr. brightside]

Мы сейчас про каких юзеров говорим? про виртуальных или системных?

Если вопрос адресован мне, то данная тема создавалась с расчетом, что пользователи в LDAP, т.е. виртуальные

Для доступа к каталогам таких юзеров выделается один юзер

Еще один выделяется для проведения авторизации

[skeletor]

Вопрос был к FiL.
А вообще (ИМХО), неважно какие юзеры, главное где хранится почта. Для виртуальных - ящики лежат с папке, к которой имеет доступ только юзер от которого работает pop3/imap сервер(зависит от настроек) + mta (зависит от настроек). Всё. Для локальных - почти тоже самое (зависит от того, где хранятся ящики)
А вообще - одно из правил безопасности: всегда использовать метод наименьших привилегий.

[FiL]

Мы сейчас про каких юзеров говорим? про виртуальных или системных?

Я что-то нигде до сих пор не видел упоминаний про виртуальных юзеров. Всё про реальных.

[mr. brightside]

Я что-то нигде до сих пор не видел упоминаний про виртуальных юзеров. Всё про реальных.

Позвольте, я Вас поправлю - про системных также упоминаний не было

Я верю тому, что прочитал - для POP3 этого не сделать.

[xM]

имхо ACL должны действовать и для POP3.
У меня они активированы в конфиге глобально строкой

mail_plugins = acl

в его начале.
Проверить не могу, поскольку использую ACL только на public-папки, которые по POP3 недоступны.