Editing Host:Intern

{{Host
|name=intern.chaosdorf.de
|os=Debian 11 amd64
|location=Host:Vm
|purpose=Interne (Mail-)Dienste
|disk=60GB
|ram=4GiB
|swap=4GB
|admin_toolkit=Yes
|ssh_root_keys=/var/cache/ssh/root
|ssh_pam=No
|ssh_userlogin=No
|admins=byte, derf, feuerrot
|netbox_url=https://netbox.chaosdorf.space/virtualization/virtual-machines/11/ VM-ID 11
}}
== SSL ==

Zertifikate und Keys für alle Dienste auf intern liegen unter /etc/ssl.

Die Zertifikate werden einmal monatlich per certbot (LetsEncrypt) erneuert. Über <tt>/etc/crontab</tt> wird dazu <tt>/usr/local/sbin/refresh-tls-cert</tt> aufgerufen, was per certbot das Zertifikat erneuert und apache2, dovecot und postfix neustartet. Wir nutzen einen nicht ganz üblichen certbot-Workflow mit von uns manuell erstellten CSRs, da wir so sowohl ECDSA- als auch RSA-Keys für unser Zertifikat nutzen können. Apache2 und Dovecot nutzen ECDSA, Postfix RSA.

== Website ==

vhosts liegen in /srv/www, vhost-configs in /etc/apache2/sites-enabled.

=== intern.chaosdorf.de ===

* HTTP-Requests werden auf HTTPS rewritten
* Userauth via LDAP
* <del>roundcube auf /webmail</del>
* sympa auf /sympa

== Git ==

Das Repository für unser Intern-Wiki liegt in <tt>/srv/git/wiki</tt>. SSH-Zugriff ist über <tt>git@intern.chaosdorf.de:wiki</tt> mit allen im LDAP eingetragenen Keys möglich; zusätzlich ist der SSH-Key von {{H|Wikijs}} hier eingetragen. Wir nutzen hier bewusst nicht das GitLab, um die Komplexität (und damit Fehleranfälligkeit) für das Intern-Wiki niedrig zu halten.

== gitolite ==

Legacy. Wird bald entfernt, {{H|Git}} macht das besser.

<del>Über <tt>gitolite@intern.chaosdorf.de</tt> können Git-Repositories für begrenzte Personenkreise (nicht automatisch alle Chaosdorfmitglieder) verwaltet werden. Um das Anlegen von Repos und Eintragen von SSH-Keys kümmert sich {{U|derf}}</del>.

== Munin ==

HTML und Graphen sind komplett dynamisch, es gibt entspreche Aliases und Rewrites in der Apache2-config. Erreichbar unter <https://intern.chaosdorf.de/munin/>.

== Quota ==

Linux-Diskquota auf / via /etc/fstab. 512M soft und 768M hard. Beachten: dovecot weigert sich sobald die Soft-Quota erreicht wurde, irgendwelche Mailoperationen durchzuführen. Gibt ne entsprechende Logmeldung (quota exceeded). Um Userquotas temporär oder auch dauerhaft zu erhöhen: ''edquota -u nutzername''

== Mail ==

Als MTA kommt Postfix zum Einsatz, für POP3S/IMAPS Dovecot.

=== Postfix ===

Die Config ist recht unspektakulär. Spam wird durch SpamPD als content_filter markiert, Postgrey ist als Policy-Daemon eingetragen. Der Dovecot Quota-Service wird beim Empfang ebenfalls konsultiert, so dass Mails bei Over Quota direkt abgelehnt werden und keinen Backscatter generieren.

SASL Auth ist an Dovecot gebunden und nur erlaubt, wenn TLS verwendet wird. Wir bieten SMTP+STARTTLS an, zusätzlich SMTPS (SSL) und Submission (STARTTLS).

Die Mailboxen sind Maildirs in /srv/mail. Die gültigen User bezieht Postfix über users.ldap aus dem LDAP. Mit forward.ldap werden Mails weitergeleitet, wenn der User ein 'mailRoutingAddress'-Attribut im LDAP-Eintrag hat. intern@ wird via LDAP (ml-intern) und die internal_ok Restriction Class gehandhabt, während die restlichen Mailinglisten über Sympa laufen.

=== Dovecot ===

Als passdb verwendet Dovecot PAM, da LDAP dort eingebunden ist. Die userdb ist
static auf den User vmail eingestellt. Wir erlauben 2GB Quota je Account (+100MB Trash). Der quota-status-Service erlaubt postfix auf Port 12346, vor der Annahme einer Mail den Quota-Status des Zielaccounts abzufragen.

== OpenDKIM ==

Hängt als milter in Postfix, signiert ausgehende Mails von *.chaosdorf.de und prüft die Signaturen eingehender Mails. Standardsetup.

==  MySQL ==

Für Sympa.


[[Category:Administration]]