Быстрый старт TEGU Enterprise¶

Choose a language: RU | EN | ZH

Table of contentsTable of contents

• Содержание
• Быстрый старт TEGU Enterprise
• 1. Подготовка к установке
• 2. Первичная настройка зоны DNS
• 3. Настройка маршрутизатора
• 4. Установка и настройка Postgres
  • 4.1. Установите СУБД Postgres
  • 4.2. Создайте пользователя tegu
  • 4.3. Создайте базы данных
  • 4.4. Настройка доступа из подсетей
• 5. Установка сервера TEGU (консоль)
• 6. Настройка сервера TEGU (GUI интерфейс)
  • 6.1. Подключение базы данных конфигурации
  • 6.2. Базовые настройки
  • 6.3. Подключение базы данных хранилища
  • 6.4. Подключение базы данных очереди сообщений
  • 6.5. Подключение сервера каталогов
  • 6.6. Настройка провайдера БД пользователей
  • 6.7. Установка и генерация сертификатов
  • 6.8. Генерация DKIM
• 7. Финальная настройка зоны DNS
• 8. Управление почтовыми ящиками
  • 8.1. Создание почтового ящика
  • 8.2. Удаление почтового ящика

Данная статья призвана помочь вам быстро установить почтовый сервер TEGU Enterprise в минимальной конфигурации, однако она не исключает необходимость прочтения всей документациивсей документации

1. Подготовка к установке¶

Архитектура TEGU EnterpriseАрхитектура TEGU Enterprise

Необходимые компонентыНеобходимые компоненты

Получение TEGU EnterpriseПолучение TEGU Enterprise

2. Первичная настройка зоны DNS¶

Часть параметров (известных вам) необходимо настроить перед установкой сервера.
В процессе настройки вы получите дополнительные параметры (сертификат DKIM, ресурсные записи для автонастройки клиентов etc), которые необходимо будет настроить в финале.

Запись SOA (Start of Authority)Запись SOA (Start of Authority)

Записи NS (name server)Записи NS (name server)

Запись A (address record)Запись A (address record)

$ host mail.tegu.online
mail.tegu.online has address 79.137.210.127

Записи MX (mail exchange)Записи MX (mail exchange)

$ host -t mx tegu.online
tegu.online mail is handled by 10 mail.tegu.online.

Запись TXT для DKIMЗапись TXT для DKIM

$ host -t txt mail._domainkey.tegu.online
mail._domainkey.tegu.online descriptive text "v=DKIM1; h=sha256; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDRKjngoDbWD3Cj1NHc/GB9YB4i3bjmJV2R0HfVpph2Hze1e6u1a9p8PiTkZQOA/Meuusb9YwrnxD27L+boZways1CQvWWvK3aySEWMy5VcauJw3BBNRJK4cMwlXv1DC9hzrFLqjynVQfqEWtKGk3Dgm6K+nH1IBu6ZVUwCC35nQQIDAQAB" 

Запись TXT для DMARCЗапись TXT для DMARC

$ host -t txt _dmarc.tegu.online
_dmarc.tegu.online descriptive text "v=DMARC1; p=quarantine; rua=mailto:abuse@tegu.online" 

Обратная зона DNSОбратная зона DNS

Пример правильно настроенной зоны DNSПример правильно настроенной зоны DNS

tegu.online.               IN    MX    10    mail.tegu.online.
tegu.online.               IN    TXT    "v=spf1 mx -all" 
_dmarc.tegu.online.        IN    TXT    "v=DMARC1; p=quarantine; rua=mailto:abuse@tegu.online" 
mail._domainkey.tegu.online.    IN    TXT    "v=DKIM1; h=sha256; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC4Lbl9UVcH/vu0LVp66sWUn8BMwB7Ec5D3uVgopu/1R2yEAWdJURQa1xfScgkfBJX/+N7i/hLOaT1tgeF52tI029R0T4hx4Uswwqgi9/5ZuIcLyTaGAVXtsGooc8n/Z5pYjaXNXjmnsyaJjuLp6IEtM49d95c3jFjJcp1vgluJIwIDAQAB" 
imap.tegu.online.          IN    CNAME    mail.tegu.online.
smtp.tegu.online.          IN    CNAME    mail.tegu.online.
_smtp._tcp.tegu.online.    IN    SRV    10    0    25    mail.tegu.online.
_smtps._tcp.tegu.online.       IN    SRV    0    0    465    mail.tegu.online.
_imaps._tcp.tegu.online.       IN    SRV    0    0    993    mail.tegu.online.
_carddavs._tcp.tegu.online.    IN    SRV    0    0    8809    mail.tegu.online.
_caldavs._tcp.tegu.online.     IN    SRV    0    0    8809    mail.tegu.online.
_carddavs._tcp.tegu.online.    IN    TXT    "path=/carddav" 
_caldavs._tcp.tegu.online.     IN    TXT    "path=/caldav" 

Подробнее о DNS читайте в статье Настройка DNS-зоны

3. Настройка маршрутизатора¶

Проброс портов наружу для корректной работы сервера.

TEGU использует следующие TCP порты:

25,80,465,993,8809,9999

Пример настройки проброса портовПример настройки проброса портов

#!/usr/sbin/nft -f

flush ruleset

table ip nat {
        chain prerouting {
                type nat hook prerouting priority -150; policy accept;
                iifname vmbr1 ip daddr 8.150.200.45 meta l4proto tcp tcp dport { 25,80,465,993,8809,9999 } counter dnat to 10.50.50.18
        }
        chain postrouting {
                type nat hook postrouting priority 100; policy accept;
                oifname vmbr1 ip saddr 10.50.50.18 counter snat to 8.150.200.45
        }
}

table inet filter {
        chain input {
                type filter hook input priority 0;
                ct state related,established counter accept
                meta l4proto icmp icmp type echo-request counter accept
                iifname vmbr1 counter drop
        }
        chain forward {
                type filter hook forward priority 0;
                ct state related,established counter accept
                iifname vmbr1 ip daddr 10.50.50.18 meta l4proto tcp tcp dport { 25,80,465,993,8809,9999 } counter accept
                iifname vmbr1 counter drop
        }
}

# IPv6
table ip6 filter {
        chain input {
                type filter hook input priority 0; policy accept;
                ct state related,established counter accept
                meta l4proto ipv6-icmp icmpv6 type echo-request counter accept
                iifname vmbr1 counter drop
        }
}

4. Установка и настройка Postgres¶

Требования:

• Postgres не ниже версии 13.
• Крайне не рекомендуется использование утилиты PgBouncer.
• В силу специфики работы Postgres (PG активно забирает, но самостоятельно не возвращает ресурсы операционной системе) установка СУБД и TEGU Enterprise на одной вычислительной ноде не рекомендуется и не поддерживается.
• Обязательно необходим пакет postgresql-contrib (как правило в таких системах как REDOS, AltLinux его приходится устанавливать дополнительно). Что делать если забыли установитьЧто делать если забыли установить

  Если не установлен пакет postgresql-contrib, то в логе почтового сервера будет ошибка:

  [DEBUG] Dirty database version 5. Fix and force version.
  

  Для исправления необходимо установить postgresql-contrib, удалить базу tegu_settings и создать ее заново.

4.1. Установите СУБД Postgres¶

Соблюдая описанные выше требования, на отдельной ноде установите выбранный вами СУБД Postgres удобным для вас способом, способом,
рекомендованным вендором вашей ОС, вендором вашей Postgres или воспользуйтесь нашими инструкциями для установка PostgreSQL для следующих ОС:

для Debian и SelectOSдля Debian и SelectOS

dpkg-reconfigure locales

timedatectl set-timezone Europe/Moscow

apt update && apt install postgresql postgresql-contrib -y

systemctl status postgresql

ss -lnpt | grep 5432

LISTEN 0      244        127.0.0.1:5432      0.0.0.0:*    users:(("postgres",pid=26097,fd=6))      
LISTEN 0      244            [::1]:5432         [::]:*    users:(("postgres",pid=26097,fd=5))

systemctl enable postgresql

для AstraLinux 1.8.3для AstraLinux 1.8.3

sudo su -

dpkg-reconfigure locales

timedatectl set-timezone Europe/Moscow

deb https://dl.astralinux.ru/astra/stable/1.8_x86-64/main-repository/     1.8_x86-64 main contrib non-free non-free-firmware
deb https://dl.astralinux.ru/astra/stable/1.8_x86-64/extended-repository/ 1.8_x86-64 main contrib non-free non-free-firmware
deb https://download.astralinux.ru/astra/stable/1.8_x86-64/repository-main/ 1.8_x86-64 main contrib non-free
deb https://download.astralinux.ru/astra/stable/1.8_x86-64/repository-extended/ 1.8_x86-64 main contrib non-free

nameserver 77.88.8.8

apt update && apt install postgresql postgresql-contrib -y

systemctl status postgresql

ss -lnpt | grep 5432

LISTEN 0      244        127.0.0.1:5432      0.0.0.0:*    users:(("postgres",pid=26097,fd=6))      
LISTEN 0      244            [::1]:5432         [::]:*    users:(("postgres",pid=26097,fd=5))

systemctl enable postgresql

для AltLinux Server 11для AltLinux Server 11

postgresql17-server
postgresql16-server
postgresql15-server
postgresql14-server
postgresql13-server

su -

apt-get update && apt-get install postgresql17 postgresql17-contrib -y

/etc/init.d/postgresql initdb

service postgresql start

systemctl status postgresql

ss -lnpt | grep 5432

LISTEN 0      244        127.0.0.1:5432      0.0.0.0:*    users:(("postgres",pid=26097,fd=6))      
LISTEN 0      244            [::1]:5432         [::]:*    users:(("postgres",pid=26097,fd=5))

systemctl enable postgresql

postgresql16-server
postgresql15-server
postgresql14-server
postgresql13-server
postgresql12-server

dnf update && dnf install postgresql16 postgresql16-contrib -y

postgresql-16-setup initdb

systemctl enable postgresql-16.service --now

systemctl status postgresql-16.service

ss -lnpt | grep 5432

LISTEN 0      244        127.0.0.1:5432      0.0.0.0:*    users:(("postgres",pid=26097,fd=6))      
LISTEN 0      244            [::1]:5432         [::]:*    users:(("postgres",pid=26097,fd=5))

4.2. Создайте пользователя tegu¶

Переходим в postrges

su - postgres -s /bin/bash

или

sudo -u postgres -s /bin/bash

Создаем пользователя:

createuser -d -S -E -P tegu

4.3. Создайте базы данных¶

Создаем 3 базы данных.

tegu_queue - база данных очередей
tegu_mailboxes - база данных почтового хранилища
tegu_settings - база данных настроек почтового сервера

createdb -E UTF-8 -O tegu tegu_queue
createdb -E UTF-8 -O tegu tegu_mailboxes
createdb -E UTF-8 -O tegu tegu_settings

4.4. Настройка доступа из подсетей¶

nano /var/lib/pgsql/data/pg_hba.conf

или так (где номер это версия postgres)

nano /etc/postgresql/15/main/pg_hba.conf

Если версия Pro то путь может быть такой

nano /var/lib/pgpro/std-14/data/pg_hba.conf

Пример файла pg_hba.confПример файла pg_hba.conf

# TYPE  DATABASE        USER            ADDRESS                 METHOD

# "local" is for Unix domain socket connections only
local   all             all                                     peer
# IPv4 local connections:
host    all             all             127.0.0.1/32            md5
# IPv6 local connections:
host    all             all             ::1/128                 md5
# Allow replication connections from localhost, by a user with the
# replication privilege.
local   replication     all                                     peer
host    replication     all             127.0.0.1/32            md5
host    replication     all             ::1/128                 md5
host    all             all             10.199.199.0/24         md5
host    all             all             10.44.44.0/24           md5
host    all             all             10.0.0.0/8              md5

Раскомментируйте в конфигурационном файле postgresql.conf port 5432 и ip адрес с которого можно подключиться к базе данных.

Пример файла postgresql.confПример файла postgresql.conf

listen_addresses = '*'          # what IP address(es) to listen on;
                                        # comma-separated list of addresses;
                                        # defaults to 'localhost'; use '*' for all
                                        # (change requires restart)
port = 5432                             # (change requires restart)

nano /var/lib/pgsql/data/postgresql.conf

nano /etc/postgresql/15/main/postgresql.conf

nano /var/lib/pgpro/std-14/data/postgresql.conf

После правок в конфигурационных файлах, перезапустите СУБД.

Полезные команды при работе с PostgresПолезные команды при работе с Postgres

pg_ctlcluster 15 main restart

psql -U postgres -c "\l+" 

psql    
DROP DATABASE tegu_mailboxes;

SELECT usename
FROM pg_user;

SELECT *
FROM pg_user;

SELECT *
FROM information_schema.role_table_grants
WHERE grantee = 'имя_пользователя';

SELECT r.rolname
FROM pg_roles r
JOIN pg_auth_members m ON r.oid = m.roleid
JOIN pg_roles r2 ON r2.oid = m.member
WHERE r2.rolname = 'имя_пользователя';

SELECT datname
FROM pg_database
WHERE has_database_privilege('имя_пользователя', datname, 'CONNECT');

SELECT grantee, table_name, privilege_type
FROM information_schema.table_privileges
WHERE grantee = 'имя_пользователя';

DROP USER имя_пользователя;

psql -U  tegu -d tegu_settings -h 172.16.10.2 -p 5432 -W

-U (имя пользователя
-d (имя базы данных)
-h (хост сервера базы данных)
-p (порт)
-W (пароль)

5. Установка сервера TEGU (консоль)¶

• Любая 64-битная ОС Linux с системным менеджером systemd (в т.ч. любая отечественная ОС).
• Отсутствие в ОС предустановленных почтовых серверов, а также каких либо иных дополнительных компонентов.
• Последний дистрибутив TEGU ENTERPRISE, полученный с официального репозитория https://mbk-lab.ru/download/
• Коммерческая или тестовая лицензия TEGU ENTERPRISE (лицензионный ключ).

Перед началом установки TEGU убедитесь, что на вашей ОС правильно настроена локаль, часовой пояс, а также не установлен сервер Postfix. Как это сделатьКак это сделать

  systemctl status postfix

  apt purge postfix

dpkg-reconfigure locales

timedatectl set-timezone Europe/Moscow

Перед установкой обратите внимание, что все работы необходимо выполнять от имени root.

• Вы можете выполнить установку с помощью установочного скриптас помощью установочного скрипта

  ---

  • Скачайте скрипт https://downloads.mbk-lab.ru/stable/util/install_tegu.tar.gz
  • Запустите его от имени root
  • В случае успешного выполнения переходите к разделу 6. Настройка сервера TEGU (GUI интерфейс)

  ---

• Либо вы можете выполнить установку вручную (как это описано ниже):

Получите дистрибутив для вашей аппаратной платформы

• Для платформы 86_64:

wget https://downloads.mbk-lab.ru/stable/tegu-ent-latest-x86_64.tar.gz

• Для платформы aarch64:

wget https://downloads.mbk-lab.ru/stable/tegu-ent-latest-aarch64.tar.gz

Распакуйте полученный архив

$ tar -xvf tegu-ent-v1.xx.yy-x86_64.tar.gz
tegu-ent-v1.xx.yy-x86_64/
tegu-ent-v1.xx.yy-x86_64/sbin/
tegu-ent-v1.xx.yy-x86_64/sbin/tegu

Создайте структуру каталогов для сервера

$ mkdir /opt/tegu
$ mkdir /opt/tegu/{bin,sbin,data,certs}

Скопируйте исполняемый файл в рабочий каталог

$ cp tegu-ent-v1.xx.yy-x86_64/sbin/* /opt/tegu/sbin/
$ cp tegu-ent-v1.xx.yy-x86_64/bin/* /opt/tegu/bin/

Назначьте пользователя и права

$ chown -R mail: /opt/tegu/{data,certs}
$ chgrp -R mail /opt/tegu/{bin,sbin}
$ chmod 750 /opt/tegu/{data,certs}
$ chmod -R 750 /opt/tegu/sbin
$ chmod -R 750 /opt/tegu/bin

Проверьте правильность создания каталогов и файлов, а также их прав

$ ls -l /opt/tegu
drwxr-x--- 2 root mail 4096 апр 11 14:32 bin
drwxr-x--- 2 mail mail 4096 апр 11 14:32 certs
drwxr-x--- 2 mail mail 4096 апр 11 14:32 data
drwxr-x--- 2 root mail 4096 апр 11 14:33 sbin

Для запуска и управления сервером создайте файл /etc/systemd/system/tegu.service со следующим содержание

[Unit]
Description=Tegu. MBK-Lab Mail Server

[Service]
ExecStart=/opt/tegu/sbin/tegu
User=mail
Group=mail
UMask=0007
RestartSec=10
Restart=always

[Install]
WantedBy=multi-user.target

Разрешите запуск сервера от имени непривелегированного пользователя

$ setcap CAP_NET_BIND_SERVICE=+eip /opt/tegu/sbin/tegu

Создайте конфигурационный файл в /etc/tegu.conf со следующим содержанием

[global]
dataDir = /opt/tegu/data

[Log]
debug = true
crushReportsCount = 10

[WEB]
adminPassword = admin
httpPort = 8888
httpsPort = 9999
ctlPort = 8899

Установите права на файл /etc/tegu.conf

$ chown root.mail /etc/tegu.conf
$ chmod 640 /etc/tegu.conf

Стартуйте сервер

$ systemctl start tegu.service

Полезные команды при работе с TeguПолезные команды при работе с Tegu

debug = true

$ systemctl enable tegu.service

$ systemctl start tegu.service

$ systemctl status tegu.service

● tegu.service - Tegu. MBK-Lab Mail Server
     Loaded: loaded (/etc/systemd/system/tegu.service; enabled; vendor preset: enabled)
     Active: active (running) since Mon 2022-04-11 13:58:09 MSK; 50min ago
   Main PID: 88519 (tegu)
      Tasks: 9 (limit: 9357)
     Memory: 3.3M
     CGroup: /system.slice/tegu.service
             └─88519 /opt/tegu/sbin/tegu

апр 11 13:58:09 systemd[1]: Started Tegu. MBK-Lab Mail Server.

Если все предыдущие шаги выполнены правильно, то вам становится доступной веб-панель администрирования сервером, в которой производятся все остальные настройки.
На этом установка сервера завершена.

6. Настройка сервера TEGU (GUI интерфейс)¶

6.1. Подключение базы данных конфигурации¶

Управление сервером TEGU осуществляется с помощью веб-интерфейса, доступного на порту 8888.
Откройте браузером сслыку: http://<адрес вашего сервера>:8888

Сервер TEGU хранит свои настройки не в конфигурационных файлах, а в СУБД. Следовательно, сначала необходимо указать базу данных для хранения конфигурации. В первоначально установленном сервере этот диалог открывается автоматически.

В диалоге /Настройки/База параметров/Настройки заполните вашими данными следующие поля:

• Тип БД параметров: PostgreSQL
• Адрес сервера: <адрес сервера СУБД>
• Порт сервера: 5432
• Имя базы данных: tegu_settings
• Имя пользователя: tegu
• Пароль: <пароль пользователя tegu на СУБД>
• Максимальное количество одновременных подключений: 220

После сохранения почтовый сервер перезапустится и вы попадете в полнофункциональный веб-интерфейс.

В диалоге /Настройки/Лицензия загрузите лицензионный ключ. Как получить тестовую лицензиюКак получить тестовую лицензию

6.2. Базовые настройки¶

Базовые настройки задаются в диалоге /Настройки/Основные

Смысл указанных опций интуитивно понятен. Более подробно читайте в статье Администрирование сервера
Часто встречающаяся ошибка на данном этапе - использование в поле "Имя сервера" имени ноды на которой установлен сервер. Необходимо указывать имя, используемое в DNS. К примеру: mail.tegu.online

6.3. Подключение базы данных хранилища¶

TEGU хранит данные в СУБД. С этой целью для каждого интернет-домена необходимо указать параметры соответствующей базы данных СУБД.

• Новый домен: <имя интернет-домена>
• Тип хранилища: PostgreSQL
  Нажмите "Добавить домен".

Продолжите заполнение полей:

• Адрес сервера: <адрес сервера СУБД>
• Порт сервера: 5432
• Имя базы данных: tegu_mailboxes
• Имя пользователя: tegu
• Пароль: <пароль пользователя tegu на СУБД>
• Максимальное количество одновременных подключений: 40
• Паттерн распределения ящиков: *

Используйте кнопку "Проверить соединение".
Сохраните правильные настройки.

6.4. Подключение базы данных очереди сообщений¶

TEGU хранит временную информацию (очереди, кеши etc) в СУБД. Следовательно, необходимо настроить базу данных очередей.
Более того, без настройки очередей 25-й порт сервера не будет активным.

Подключите базу данных очередей в диалоге /Настройки/Очередь SMTP/Настройки

Заполните следующие поля:

• Тип очереди: PostgreSQL
• Адрес сервера: <адрес сервера СУБД>
• Порт сервера: 5432
• Имя базы данных: tegu_queue
• Имя пользователя: tegu
• Пароль: <пароль пользователя tegu на СУБД>
• Максимальное количество одновременных подключений: 5
• Количество обрабатываемых писем за проход: 20

Используйте кнопку "Проверить соединение".
Сохраните правильные настройки.

6.5. Подключение сервера каталогов¶

Для выполнения аутентификации TEGU должен быть интегрирован с сервером каталогов. TEGU поддерживает любой из LDAP-каталогов не ниже версии 3.

В связи с тем, что разные типы серверов каталогов реализуют различные схемы, для уверенных действий желательно проанализировать структуру сервера каталогов. Подробнее об анализе серверов каталоговПодробнее об анализе серверов каталогов

apt install ldap-utils

ldapsearch -x -b <search_base> -H <ldap_host> -D <bind_dn> -W

ldapsearch -x -b "DC=tegu,DC=online" -H ldap://10.44.44.16:389

$ ldapsearch -x -b "uid=ikurennov,ou=People,DC=tegu,DC=online" -H ldap://10.44.44.16:389

# extended LDIF
#
# LDAPv3
# base <uid=ikurennov,ou=People,DC=tegu,DC=online> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# iurennov, People, tegu.online
dn: uid=ikurennov,ou=People,dc=tegu,dc=online
objectClass: posixAccount
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: person
homeDirectory: /home/ikurennov
loginShell: /bin/bash
uid: ikurennov
uidNumber: 10001
gidNumber: 10000
title:: 0JjQvdC20LXQvdC10YA=
o:: 0JzQkdCaLdCb0LDQsQ==
mail: ikurennov@tegu.online
sn:: 0JrQsNC70YzQvNC10YLQvtCy
givenName:: 0JjQs9C+0YDRjA==
cn:: 0JrQsNC70YzQvNC10YLQvtCyINCY0LPQvtGA0Yw=
jpegPhoto:: /9j/4AAQSkZJRgABAQAASABIAAD/7QByUGhvdG9zaG9wIDMuMAA4QklNBAQAAAAAAD
 ocAVoAAxslRxwCAAACAAIcAigAFm0zTXV6VDhMVHNHQ0JLWCUwc0t4MEEcAhkAC1Bob3RvIEJvb3R
 Bh479yI1rrF7bn/9k=
facsimileTelephoneNumber: 10000

# search result
search: 2
result: 0 Success

# numResponses: 2
# numEntries: 1

• Почтовый сервер может обратиться к LDAP серверу ldap://10.44.44.16:389 с логином BindDN: cn=admin,dc=tegu,dc=online и вашим паролем; 
    • Определена область поиска BaseDN dc=tegu,dc=online ; 
    • Определено поле Attr for mailbox e-mail = mail ; 
    • Определено поле Attr for mailbox quota (value in MB) = facsimileTelephoneNumber.

6.6. Настройка провайдера БД пользователей¶

В диалоге /Настройка/<ваш домен>/Провайдеры БД пользователей выберите "Добавить провайдера".
Заполните предложенные поля:

• Поле Provider Name - любой текст, означающий имя подключения;
• Local Domain Name - имя домена (а не сервера т.е. то, что в email-адресе следует после @);
• LDAP server connection URI - найденный и проверенный выше пусть к серверу;
• BindDN - логин;
• Password - пароль;
• BaseDN - найденный выше фильтр поиска.;
• Atr for mailbox e-mail - название поля, которое в LDAP заполнено email-адресом пользователя (важно! с доменным суффиксом);
• Atr for mailbox quota - название поля, которое в LDAP используется для определения квоты.

Сейчас поле BindDN прописано в формате UPN - user@realm.com так как мы используем OpenLDAP.
Такой вариант работает и с Microsoft AD, но если вы в качестве сервера каталогов используете FreeIPA или ALD Pro, то BindDN должен быть полным DN (uid=user,ou=org_unit,dc=domain,dc=com)

• Интеграция с MS Active DirectoryИнтеграция с MS Active Directory

  Вы можете просмотреть атрибуты в Active Directory
  с помощью графического интерфейса с помощью оснасток "Active Directory - пользователи и компьютеры" 
  (после включения "Дополнительных функций") и "Центр администрирования Active Directory", 
  а также с помощью командлета PowerShell Get-ADUser, Get-ADComputer или Get-ADGroup
  

  

  

  

• Интеграция с Open LDAPИнтеграция с Open LDAP

  

  

  

  

• Установка и интеграция с ALD Pro 3.1.0Установка и интеграция с ALD Pro 3.1.0

  Установка операционной системы.

  Системные требования:

  1. Операционная система: Astra Linux Special Edition 1.7.8
  2. 4 CPU.
  2. 8 Гб оперативной памяти.
  3. 50 Гб дискового пространства SSD.

  Рекомендации во время установки:
  Установите операционную систему с графическим окружением и максимальным уровнем защищенности «Смоленск».

  1. Настройки сети пропустить.
  2. Имя компьютера оставить по умолчанию «astra», домен не указывать.
  3. Локальный администратором укажите пользователя «localadmin.
  4. Разметка диска «Авто – использовать весь диск и настроить LVM», схема разметки «Все файлы в одном разделе».
  5. Версию ядра оставьте «6.1-generic» по умолчанию.
  6. Из пакетов программ по умолчанию исключите, «Средства работы с графикой», но добавьте «Средства удаленного подключения SSH».
  7. При выборе дополнительных параметров укажите уровень защищенности «Смоленск» и оставьте включенными флажки «Мандатный контроль целостности»
  и «Мандатное управление доступа». В тестовых средах для удобства работы можно отключить флажок «Запрос пароля для команды sudo».

  Настройка сетевого интерфейса

  Для установки пакетов нужно, чтобы сервер имел доступ к репозиториям, расположенным по адресу https://dl.astralinux.ru

  Если операционная система установлена с графическим интерфейсом fly-wm, то в качестве менеджера сетевых подключений устанавливается служба NetworkManager.
  На серверах ее нужно отключить:

  sudo systemctl stop NetworkManager
  sudo systemctl disable NetworkManager
  sudo systemctl mask NetworkManager
  sudo systemctl status NetworkManager
  

  После выполнения последней команды в терминале должна отобразиться информация о маскировке службы NetworkManager:

  o NetworkManager.service
    Loaded: masked (Reason: Unit NetworkManager.service is masked.)
    Active: inactive (dead) since Tue 2024-10-29 18:16:15 MSK; 3min 35s ago
  Main PID: 493 (code=exited, status=0/SUCCESS)
  ...
  

  После отключения службы NetworkManager сетевые настройки задаются в файлах /etc/network/interfaces и /etc/resolv.conf.
  Файл resolv.conf используется DNS-клиентом, а файл interfaces – утилитами ifup и ifdown для конфигурирования сетевых интерфейсов.

  Так как служба каталога интегрирована со службой разрешения имен, то контроллер домена выступает еще и в роли DNS-сервера.
  Адреса DNS-серверов устанавливаются на доменных компьютерах вручную или через DHCP. Поэтому на контроллерах домена рекомендуется использовать только статические IP-адреса.
  Отредактировать файл конфигурации можно с помощью редактора nano:

  sudo nano /etc/network/interfaces

  Пример настройки сетевого интерфейса на контроллере домена для использования статического IP-адреса:

  auto lo
  iface lo inet loopback
  
  auto eth0
  iface eth0 inet static
     address 10.199.199.64
     netmask 255.255.255.0
     gateway 10.199.199.1
  

  Для применения новых настроек, необходимо перезапустить службу Networking:

  sudo systemctl restart networking
  

  Для возможности обращения к публичным репозиториям следует настроить функцию разрешения имен.
  В файле /etc/resolv.conf рекомендуется указать бесплатный сервер разрешения имен от Яндекс:

  sudo nano /etc/resolv.conf
  

  Изменить содержимое файла:

  nameserver 77.88.8.8
  

  После установки настроек необходимо проверить подключение к репозиториям ALSE:

  ping -c 4 dl.astralinux.ru
  

  Настройка имени хоста.

  Изменение имени хоста рекомендуется делать с помощью утилиты hostnamectl:

  sudo hostnamectl set-hostname dc-1.test.tegu.online
  

  В имени хоста можно использовать буквы латинского алфавита [a-z] в нижнем регистре, цифры [0-9], точку [.] и дефис [-].
  Имя хоста задается в формате полного имени FQDN ( от Fully Qualified Domain Name), например, dc-1.test.tegu.online,
  поэтому команда hostname без параметров должна выдавать полное имя. Данное правило касается имен всех машин домена.

  Для того чтобы имя контроллера всегда могло быть преобразовано в IP-адрес вне зависимости от доступности DNS-службы, содержимое файла /etc/hosts должно быть:

  10.199.199.64 dc-1.test.tegu.online
  127.0.0.1 localhost.localdomain localhost
  

  В начало файла нужно добавить строку со статическим IP-адресом контроллера, полным и коротким именем хоста.
  Полное имя должно быть указано перед коротким, чтобы оно считалось каноническим и возвращалось командой hostname -f,
  что требуется для корректной работы скриптов автоматизации.

  Подключение репозиториев.

  Разработчиками ОС Astra Linux рекомендовано использовать репозитории из ветки stable, которые соответствуют последней версии системы,
  но для корректной работы продукта ALD Pro требуется использовать репозитории frozen, чтобы гарантировать полную совместимость пакетов.
  Информация о поддержке очередных обновлений и возможности обновления ОС публикуется в Release Notes.

  Для корректных установки и обновления ALD Pro необходимо задействовать репозитории main и update (при его наличии) от ОС Astra Linux, отключив репозитории base.

  Для установки продукта из официальных интернет-репозиториев РусБИТех-Астра на ОС ALSE 1.7.xxx файл /etc/apt/sources.list должен содержать:

  Пример для 1.7.8:

  deb http://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.8/repository-main 1.7_x86-64 main non-free contrib
  deb http://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.8/repository-update 1.7_x86-64 main contrib non-free
  

  Для установки продукта ALD Pro 3.1.0 из официальных интернет-репозиториев РусБИТех-Астра нужно создать дополнительный файл /etc/apt/sources.list.d/aldpro.list и добавить в него следующую строку:

  deb https://dl.astralinux.ru/aldpro/frozen/01/3.1.0/ 1.7_x86-64 main base
  

  Настройка приоритетов пакетов.

  о умолчанию для всех пакетов, находящихся в репозиториях, приоритет P=500. Переопределить приоритет по умолчанию можно с помощью конфигурационных файлов в директории /etc/apt/preferences.d

  В системе Astra Linux уже есть один такой конфигурационны файл, устанавливающий приоритет 900 для пакетов релиза 1.7_x86-64:

  nano /etc/apt/preferences.d/smolensk
  

  ### cat /etc/apt/preferences.d/smolensk
  Package: *
  Pin: release n=1.7_x86-64
  Pin-Priority: 900
  

  Для пакетов ALD Pro — создать конфигурационный файл /etc/apt/preferences.d/aldpro со следующим содержимым:

  Package: *
  Pin: release n=generic
  Pin-Priority: 900
  

  Перестраивать индекс после настройки приоритетов не требуется. Необходимо проверить, нет ли пакетов, доступных для обновления, и обновить систему, если таковые будут обнаружены:

  sudo apt update
  sudo apt list --upgradable
  sudo apt dist-upgrade -y -o Dpkg::Options::=--force-confold
  

  Установка пакетов.

  Перед установкой пакетов перезагрузите сервер.

  Для установки пакетов продукта необходимо выполнить следующую команду:

  sudo DEBIAN_FRONTEND=noninteractive apt-get install -y -q aldpro-mp
  

  где:

  DEBIAN_FRONTEND — переменная окружения, которая позволяет изменить режим взаимодействия с пользователем при установке пакетов менеджером APT. 
  Переключение менеджера пакетов в режим noninteractive позволяет избежать уточнений о настройках для последующей работы от Kerberos, OpenDNSSec и PAM;

  -y — ключ позволяет автоматически ответить Да на все возможные вопросы в ходе установки;

  -q — ключ позволяет скрыть сообщения о прогрессе установки, делая журнал более читаемым;

  aldpro-mp — основной инсталляционный пакет ALD Pro, который позволяет через зависимости установить все остальные пакеты продукта, 
  за исключением пакетов глобального каталога и модуля синхронизации.

  При возникновении ошибок, информация о них записывается в журнал пакетного менеджера в файле /var/log/apt/term.log.
  Для просмотра используется следующая команда:

  sudo grep 'error:' /var/log/apt/term.log
  

  Повышение роли сервера до контроллера домена.

  При установке контроллера домена на сервер, на котором включен режим замкнутой программной среды, перед запуском скрипта продвижения домена необходимо выполнить перезагрузку сервера.

  Повышение роли сервера до контроллера домена.

  Повышение роли сервера до КД выполняется командой:

  aldpro-server-install -n dc-1 -p 'P@$$word' -d test.tegu.online --ip 10.199.199.62 --no-reboot
  

  Параметры утилиты aldpro-server-install:

      -d (--domain) — имя домена;
  
      -n (--name) — имя сервера. В параметре нужно передать короткое имя сервера без указания домена, т.е. первый компонент от полного FQDN-имени, которое выдает команда hostname -f;
  
      -p (--admin_pwd) — получить пароль администратора домена из командной строки (небезопасно). 
  
  Пароль всегда должен быть экранирован одинарными кавычками, для возможности использовать в пароле спецсимволов например: 'P@$$word'
  
      --ip — IP-адрес КД, на котором предполагается обслуживать клиентов.
  
      --no-reboot — ключ отключает автоматическую перезагрузку после завершения процедуры настройки.
  

  Мы рекомендуем запускать перезагрузку вручную после ознакомления с журналом установки.

  Данная процедура выполняется ориентировочно около 10 минут, ни в коем случае процесс не прерывать.

  После окончания выполнения продвижения не должно быть никаких ошибок, этим подтвержается успешная установка контроллера домена.

  Для вступления изменений в силу необходимо перезагрузить сервер:

  sudo reboot
  

  После перезагрузки сервера войти в систему можно, используя УЗ администратора:

  login: admin

  password: ***  в нашем случае (пароль администратора домена из строки продвижения сервера) - P@$$word

  Внимание

  Важно помнить, что корректный вход в систему возможен только после полной загрузки всех служб.
  Если после перезагрузки сервера не удалось войти в операционную систему контроллера под доменной учетной записью,
  стоит повторить попытку через пару минут. Если доступ для доменного пользователя так и не появится,
  необходимо войти в систему с помощью локальной учетной записи и проверить содержимое журналов /var/log/auth.log и /var/log/messages.

  Проверить статус доменных служб после загрузки сервера командой status утилиты aldproctl:

  sudo aldproctl status
  

  
  Результат выполнения команды:

  .....Сервисы ALD Pro.....
  Сервис aldpro-mp-services: ЗАПУЩЕН
  .....Сервисы FreeIPA.....
  Сервис Directory Service: ЗАПУЩЕН
  Сервис krb5kdc: ЗАПУЩЕН
  Сервис kadmin: ЗАПУЩЕН
  Сервис named: ЗАПУЩЕН
  Сервис httpd: ЗАПУЩЕН
  Сервис ipa-custodia: ЗАПУЩЕН
  Сервис smb: ЗАПУЩЕН
  Сервис winbind: ЗАПУЩЕН
  Сервис ipa-otpd: ЗАПУЩЕН
  Сервис ipa-dnskeysyncd: ЗАПУЩЕН
  .....Другие сервисы.....
  Сервис celery: ЗАПУЩЕН
  Сервис celerybeat: ЗАПУЩЕН
  

  Утилита поддерживает такой же набор команд start/stop/restart/status.

  Дополнительные настройки DNS

  Для корректной работы сервера необходимо отключить DNSSEC, присвоив значение
  no параметру dnssec-validation в файле /etc/bind/ipa-options-ext.conf.

  Особенностью настроек службы bind9-pkcs11 по умолчанию является запрет на обработку рекурсивных DNS-запросов от клиентов,
  находящихся за пределами той же подсети, в которой находится сам DNS-сервер.
  Сделано это для предотвращения DDoS-атак с DNS-усилением, но эта защита не актуальна для контроллеров домена,
  которые работают в закрытом периметре, поэтому в файле ipa-options-ext.conf рекомендуется задать также значение any
  для параметров allow-recursion и allow-query-cache или определить в файле /etc/bind/ipa-ext.conf список доверенных сетей.

  Содержимое файла /etc/bind/ipa-options-ext.conf после внесения изменений:

  allow-recursion { any; };
  allow-query-cache { any; };
  dnssec-validation no;
  

  Для проверки конфигурационного файла bind9 после изменений использовать команду:

  sudo named-checkconf /etc/bind/named.conf
  

  Для применения изменений требуется перезапустить DNS-службу:

  sudo systemctl restart bind9-pkcs11.service
  

  Действия по настройке конфигурационного файла /etc/bind/ipa-options-ext.conf рекомендуется производить на основном и резервных контроллерах домена.

  Хотя bind9-pkcs11 может успешно выступать в роли распознавателя, для снижения нагрузки с DNS-сервера эту функцию рекомендуется передать стороннему сервису,
  например, публичным DNS-серверам от Яндекс, доступных по IP-адресу 77.88.8.8.

  Для настройки перенаправления DNS-запросов на портале управления Роли и службы сайта → Служба разрешения имен → Глобальная конфигурация DNS нужно добавить запись
  с политикой Только перенаправлять или Сначала перенаправлять, см. Глобальная конфигурация DNS.

  

  Создание обратной DNS-зоны подробно описано в Руководства администратора. Часть 2, в разделе Роли и службы сайта → Служба разрешения имен → Зоны DNS → Создание зоны DNS.
  По умолчанию обратная зона создается с маской с размерностью /24, игнорируя настройки сетевого адаптера. Если подсеть отличается от размерности /24,
  то необходимо вручную создать обратную зону нужной размерности, а созданную по умолчанию - выключить.

  Интеграция.

  

  

  

  

• Установка и интеграция с RED ADMУстановка и интеграция с RED ADM

  Данная статья призвана помочь вам быстро установить и настроить сервер каталогов RED ADM.

  Подготовка к установке.

  Требования к оборудованию и программному обеспечению.

  Операционная система РЕД ОС 8 «Сервер» без графического окружения.

  до 1 000 клиентских машин включительно, для их обслуживания
  требуются следующие параметры серверной машины:
  – ЦПУ – 4 ядра с частотой от 1,6 ГГц;
  – объём ОЗУ – 8 Гбайт;
  – объём накопителя HDD/SSD – 100 Гбайт
  – скорость сети от 1 Гбит/c.

  Сервер подсистемы управления РЕД АДМ может быть установлен:
  - на той же серверной машине, что и подсистема службы каталогов РЕД АДМ.
  - на каждый сайт необходим один сервер подсистемы управления.

  Рекомендации производителя

  1. Производитель не рекомендует использовать подсистему управления РЕД АДМ
     и подсистему службы каталогов РЕД АДМ на одной машине при наличии более
     500 пользователей на обслуживаемом контроллере домена.

  1. Производитель рекомендует, вход в веб-интерфейс РЕД АДМ и работа в нём
     производились не с машины, на которой система РЕД АДМ развёрнута.

  Развертывание системы.

  Установка.

  Скачайте RPM-пакет redadm-enterprise из Центра загрузок red-soft.

  https://update-center.red-soft.ru/
  

  Выполните установку командой.

  dnf install -y redadm-enterprise-〈версия_пакета〉.rpm
  

  Проверьте статус всех установленных сервисов.

  systemctl status redadm.service rabbitmq-server.service \
  redadm-celery-worker.service redadm-celery-beat.service nginx.service \
  memcached.service
  

  Предварительная настройка.

  В браузере введите адрес сервера:

  https://〈IP-адрес_сервера〉
  

  В открывшемся веб-интерфейсе выполните первоначальную настройку в 5 этапов

  Активируйте лицензию.

  Примите лицензионное соглашение и введите лицензионный ключ.
  

  

  Введите данные привилегированного пользователя.

  Введите логин и пароль локального пользователя  – это должен быть root
  

  

  Настройте сеть.

  Установите параметры вручную.
  

  

  Установка базы данных.

  Разверните БД локально на том же хосте, где развёрнут сервер РЕД АДМ.
  

  

  Укажите логин и пароль администратора БД.
  Путь к файлу БД оставьте по умолчанию.
  

  

  Настройте контроллер домена.

  Введите ip адрес контроллера домена и данные привилигированного пользователя (root)
  

  

  Задайте сетевые настройки.

  

  Ввод сервера РЕД АДМ в домен.

  Задайте имя домена, имя хоста на котором развернут RED ADM.
  Задайте параметры для служебной учетной записи. 
  

  

  После успешного ввода в домен производится генерация сертификатов и установка
  обновлений. По окончанию процесса откроется окно авторизации.

  Начало работы.

  В адресной строке браузера введите адрес:

  https://〈IP-адрес_сервера〉
  

  collapse(После успешной авторизации откроется веб-интерфейс системы.)

  

  

  Дополнительные настройки.

  Интеграция со сторонними системами такими как tegu, требующими аутентификацию LDAP.
  Выполните следующие настройки:

  – в веб-интерфейсе перейдите в секцию «Управление доменом», раздел «Контроллеры домена»;
  – на контроллер домена установите менеджер управления (выбрать контроллер
  домена в списке и нажать ставшую активной кнопку «Установить менеджер»);
  – выберете в списке контроллер домена, нажмите кнопку «Подробнее»,
  на странице свойств контроллера домена перейдите на вкладку «Параметры»
  для параметра «Строгая аутентификация на сервере LDAP» выберите значение «Не подписан»
  – сохраните сделанное изменение.

  

  Интеграция.

  

  

  

• Установка и интеграция с Multidirectory Установка и интеграция с Multidirectory

  Требования для установки каталога MULTIDIRECTORY.

  Компонент устанавливается на Linux-сервер, протестирован на Ubuntu, Debian, Astra.
  Минимальные параметры сервера, рассчитанного на тысячу пользователей: 5 CPU (с поддержкой AVX инструкций), 10 GB RAM, 50 GB HDD.
  Необходимо зарегистрировать домен и сопоставить его с IP вашего сервера.
  В случае использования локального домена, необходимы сертификаты для SSL/TLS.
  Объект сертификата должен совпадать с доменным именем, по которому будет доступен веб-интерфейс.

  Необходим статический IP-адрес. Пример: ваш_домен.ru -> 255.255.255.255.
  При использовании локальной доменной записи необходимо добавить запись на ваш DNS-сервер со ссылкой на IP-адрес машины, где устанавливается MULTIDIRECTORY.
  Пример: srv01.domain.ru -> 10.0.0.20

  Для работы MULTIDIRECTORY необходимо произвести установку Docker и Docker-Compose.

  Установка Multidirectory.

  Создайте папку, в которой будет храниться MULTIDIRECTORY.

  mkdir MultiDirectory; cd MultiDirectory;
  

  Скачайте и сгенерируйте конфигурационный .env файл при помощи:

  bash <(curl https://raw.githubusercontent.com/MultiDirectoryLab/MultiDirectory/main/.package/setup.sh);
  wget -O docker-compose.yml https://github.com/MultiDirectoryLab/MultiDirectory/releases/download/v2.7.0/docker-compose.yml;
  wget -O traefik.yml https://github.com/MultiDirectoryLab/MultiDirectory/releases/download/v2.7.0/traefik.yml;
  wget -O kea-ctrl-agent.conf https://github.com/MultiDirectoryLab/MultiDirectory/releases/download/v2.7.0/kea-ctrl-agent.conf;
  curl https://raw.githubusercontent.com/MultiDirectoryLab/MultiDirectory/main/LICENSE
  

  Запустите ./setup.sh, затем следуйте инструкциям. После заполнения будет создан .env-файл и службы будут готовы к развертыванию.

  MULTIDIRECTORY использует порт 53 для запуска и работы контейнера с DNS сервером. Для корректного запуска освободите данный порт.

  Запустите сервисы при помощи команды:

  docker compose pull; docker compose up -d

  Настройка Web-интерфейса MULTIDIRECTORY.

  После успешной настройки и запуска сервисов Docker – перейдите в браузер. В поисковую строку внесите домен, который ранее был указан при генерации .env-файла.
  Вы попадете в настройку WEB-интерфейса вашей MULTIDIRECTORY.
  Проверьте правильность написания домена, выберите необходимые вам настройки:

  Настроить DNS. Если стоит галочка, то настройка DNS будет произведена сразу же (настройку DNS можно произвести и позже в WEB-интерфейсе администратора).
  Настроить Kerberos. Если стоит галочка, то настройка керберос произойдет сразу же (настройку керберос можно произвести и позже из интерфейса администратор MULTIDIRECTORY).
  Сгенерировать пароли для Kerberos. Если стоит галочка, то произойдет автоматическая генерация паролей для Kerberos.
  После настройки WEB-интерфейса сгенерированные пароли будут выгруженны в файл.

  Нажмите кнопку «Далее».

  

  Придумайте административную учетную запись и парольу к ней.

  

  Завершение настройки административной учетной записи.

  

  Этап загрузки лицензии.

  

  Настройка зоны dns.

  

  Общий вид консоли Multidirectory.

  

  Интеграция с Tegu.

  

  

  

6.7. Установка и генерация сертификатов¶

• Для работы сервера вам понадобятся сертификаты на имя почтового сертификата (а не домена!).
• Формат сертификатов поддерживаемый Tegu только PEM (Privacy Enhanced Mail) — это текстовый (ASCII) формат хранения цифровых сертификатов X.509, ключей и запросов (CSR), использующий кодировку Base64.
• Ваш сертификат может быть получен любым валидным способом. Самоподписанные сертификаты не поддерживаются.
• В документации приводится методика получения для хрестоматийного источника Let’s Encrypt. Подробнее о Let’s EncryptПодробнее о Let’s Encrypt
  • Центр сертификации Let’s Encrypt предоставляет бесплатные криптографические сертификаты X.509 для шифрования передаваемых через интернет данных HTTPS и других протоколов.
  • Процесс выдачи сертификатов полностью автоматизирован.
  • Центр сертификации Let’s Encrypt выдаёт сертификаты со сроком действия 90 дней.
  • Для получения сертификата должны быть проброшены порты: 80, 443
  • Начиная с 4 июня 2025 года Let's Encrypt больше не будет уведомлять своих подписчиков о том, что их сертификация скоро истечет и ее необходимо обновить.
  • Если вы будете получать сертификат на кириллический домен (к примеру mail.тегу.рф), то Letsencrypt выдаст вам соответствующее предупреждение: Non-ASCII domain names not supported. To issue for an Internationalized Domain Name, use Punycode. Ask for help or search for solutions at https://community.letsencrypt.org. See the logfile /tmp/certbot-log-skn94fy8/log or re-run Certbot with -v for more details. Для решения данной проблемы необходимо воспользоваться Punycode конвертером: https://www.punycoder.com/ или https://www.reg.ru/web-tools/punycode , где на выходе вы получите следующий результат:

  

Установить сертификат Let’s Encrypt

Установка в Debian SelectOS и Alt ServerУстановка в Debian SelectOS и Alt Server

 
apt-get update 
apt-get install certbot 

 
certbot certonly --standalone -m ваша_почта@yandex.ru -d mail.вашдомен.рф 

 
cd /etc/letsencrypt/live/mail.вашдомен.рф/ 

ls 

 
cert.pem    chain.pem    fullchain.pem    privkey.pem    README 

Установка в RED OSУстановка в RED OS

 
dnf install    python-virtualenv 

 
mkdir -p /web/install/python/ 

 
cd /web/install/python/ 

 
python3 -m venv python-red 

 
source python-red/bin/activate 

 
pip install --upgrade pip 

 
pip install certbot 

 
certbot certonly --standalone -m ваша_почта@yandex.ru -d mail.вашдомен.рф 

 
cd /etc/letsencrypt/live/mail.вашдомен.рф/ 

ls 

 
cert.pem    chain.pem    fullchain.pem    privkey.pem    README 

Установка в AstraLinux 1.8.3 SEУстановка в AstraLinux 1.8.3 SE

apt update && apt install python3-acme python3-configargparse python3-configobj python3-distro python3-parsedatetime -y

 
wget http://ftp.de.debian.org/debian/pool/main/p/python-certbot/certbot_2.1.0-4_all.deb
wget http://ftp.de.debian.org/debian/pool/main/p/python-certbot/python3-certbot_2.1.0-4_all.deb

dpkg -i *.deb

 
certbot certonly --standalone -m ваша_почта@yandex.ru -d mail.вашдомен.рф 

 
cd /etc/letsencrypt/live/mail.вашдомен.рф/ 

ls 

 
cert.pem    chain.pem    fullchain.pem    privkey.pem    README 

Настройка автообновления сертификатовНастройка автообновления сертификатов

 
mkdir work 

 
#!/bin/sh 
do 
        if [ "$domain" = mail.вашдомен.рф ] 
        then 
                /root/work/tegu_certs 
                /bin/systemctl restart tegu 
        fi 
done 

 
chmod +x /etc/letsencrypt/renewal-hooks/deploy/hook01 

 
nano /root/work/tegu_certs 

 
#!/bin/bash 
cat /etc/letsencrypt/live/mail.вашдомен.рф/fullchain.pem > /opt/tegu/certs/fullchain.pem 
cat /etc/letsencrypt/live/mail.вашдомен.рф/privkey.pem > /opt/tegu/certs/privkey.pem 
chgrp mail /opt/tegu/certs/* 
chmod 640 /opt/tegu/certs/* 

 
chmod +x /root/work/tegu_certs 

 
chgrp root /etc/letsencrypt/archive/mail.вашдомен.рф/* 

 
/root/work/tegu_certs 

 
ls -lh /opt/tegu/certs/ 

 
fullchain.pem privkey.pem 

 
/opt/tegu/certs/fullchain.pem 
/opt/tegu/certs/privkey.pem 

crontab -e

20 0,12 * * *           /root/work/process.sh >/dev/null

 
systemctl restart tegu 

Wildcard SSL сертификаты в TeguWildcard SSL сертификаты в Tegu

cat domain.crt Intermediate1.crt Intermediate2.crt CARoot.crt > fullchain.crt

sudo apt install net-tools

Порты, которые слушает сервер TEGU:

root@tegu:~# netstat -tulpn | grep tegu
tcp        0      0 127.0.0.1:8899          0.0.0.0:*               LISTEN      81/tegu             
tcp6       0      0 :::8888                 :::*                    LISTEN      81/tegu             
tcp6       0      0 :::9999                 :::*                    LISTEN      81/tegu             
tcp6       0      0 :::25                   :::*                    LISTEN      81/tegu             
tcp6       0      0 :::143                  :::*                    LISTEN      81/tegu             
tcp6       0      0 :::465                  :::*                    LISTEN      81/tegu             
tcp6       0      0 :::993                  :::*                    LISTEN      81/tegu

6.8. Генерация DKIM¶

В диалоге /Настройка/<ваш домен>/DKIM нажмите кнопку "Добавить ключ DKIM".

В результате сервер самостоятельно сгенерирует ключ DKIM, приватную часть часть он сохранит у себя, а публичную часть вернет в виде, в котором вы должны разместить ее в DNS-зоне.

Пример: mail._domainkey.tegu.online. IN TXT "v=DKIM1; h=sha256; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC4Lbl9UVcH/vu0LVp66sWUn8BMwB7Ec5D3uVgopu/1R2yEAWdJURQa1xfScgkfBJX/+N7i/hLOaT1tgeF52tI029R0T4hx4Uswwqgi9/5ZuIcLyTaGAVXtsGooc8n/Z5pYjaXNXjmnsyaJjuLp6IEtM49d95c3jFjJcp1vgluJIwIDAQAB"

Вы можете удалить ключ и сгенерировать новый. При этом каждый раз необходимо соответственно обновлять DNS-зону.

7. Финальная настройка зоны DNS¶

В диалоге /Дашборд вы найдете "Рекомендации для зоны DNS" для каждого из интернет-доменов.

Рекомендация содержит все необходимые записи, включая DMAC, DKIM, ресурсные записи (необходимые для автонастройки почтовых программ).
Перенесите их на ваш сервер DNS в требуемом формате.

8. Управление почтовыми ящиками¶

8.1. Создание почтового ящика¶

• В TEGU почтовые ящики создаются автоматически в момент первой авторизации. Подробнее...Подробнее...

  Ранее мы уже писали, что сервер не синхронизирует данные серверов каталогов, он обращается к серверу каталога всякий раз, когда необходимо выполнить авторизацию пользователя. При этом сервер не сохраняет полученную информацию, а лишь кеширует на время.

  Кеширование необходимо, чтобы в случае DDOS-а почтовый сервер не завалил запросами сервер каталогов.
  По умолчанию время кеширования составляет 10 секунд и вы можете самостоятельно изменить его с помощью параметра "Провайдеры БД пользователей/<выбранный провайдер>/Cache TTL (seconds)".

  Это обстоятельство означает, что сервер не знает от существовании вашего пользователя, созданного на сервере каталогов до тех пор, пока не возникнет необходимость его авторизации.

  Необходимость авторизации возникает когда:

  • Сервер получил письмо в адрес этого пользователя;
  • Сервер получил письмо от этого пользователя;
  • Пользователь настраивает клиентское ПО или регистрируется на сайте веб-мэйла.

  Если таких ситуаций не было, но сервер не знает о существовании и, как следствие, не создает почтовый ящик. Более того, этот пользователь не участвует в подсчете использованных лицензий.

  Однако, при первой попытке успешно авторизации почтовый ящик создается автоматически.

• Для создания почтового ящика в учетной доменной записи необходимо и достаточно указать:
  • Логин (в формате email. Пример: test@tegu.online)
  • Пароль
  • Поле Email (должно содержать email-адрес пользователя. test@tegu.online)
  • Остальные поля являются необязательными, но рекомендованными. (К примеру квота etc)

8.2. Удаление почтового ящика¶

Для удаления ящика используйте диалог "Хранилища почты/Панель управления <соответствующего домена>/Почтовые ящики". Подробнее...Подробнее...