携帯メールサーバ (mobileimap)の構築(SuSE編)

■システム概要

■動作概要

1. mobileimapは、予めユーザ毎に起動している Webサーバであり、ユーザ毎に異なるポート番号で待ち受けている。
   そこに、Webから要求があると対応するユーザのメール情報を IMAPサーバにアクセスして引き出しクライアントに通知する。
   
   
2. mobileimapに直接クライアントがアクセスする場合は、ポートが異なるのでそれで識別できる。しかし、このままでは mobileimapへのアクセスURIさえわかってしまえば、メールを読み書きできてしまい危険である。そこで、今回はインターネット側からの接続要求に対して、Apacheの認証機能を利用してセキュリティを確保すると同時に、mod_proxyを使用したリバース・プロキシ機能を利用してユーザ毎に異なるポート番号で待ち受けるmobileimapに振り向ける仕組みで動作させた。そのため、インターネット側からどのmobileimapサーバにアクセスするかを識別する情報が必要になり、下記のURI(mobile1/2)でユーザを識別するようにした。
   このURIは単なる識別情報なので任意であるが、他のディレクトリ名との重複は当然できないので注意が必要である。
   
   注： 実際の話としてはユーザが数人ならこのままでもかまわないが、多くなる場合は Apacheの Basic認証用の設定が大変になるので、mobileimap専用のドメインを用意して名前ベースのバーチャルホストで動かすか、もしくは、「https://www.aconus.com/mobile/user1、https://www.aconus.com/mobile/user2」のように mobileimap専用ディレクトリ名を付与することで設定が簡単にできるようになる。詳細は後述。
   
   
3. Apacheは、まずはセキュリティ対策としての httpsの終端と mibileimapへのアクセス制御として Basic認証を行う。このとき、公開サーバである以上、全てのアクセスを認証するわけにはいかないので、下記の例では mobile1や mobile2へのアクセスで識別する.。(上記の注の対策が必要になるかもしれない。)
   
   
4. 続いて、mobileimapへはリバース・プロキシ機能で中継接続するが、mobileimapがユーザ毎に異なるポート番号で動作しているためアクセスしてきた URI(mobile1/2)をキーにして、lホスト名(localhost)とポート番号の変換を相互に行う。なお、初回アクセスは特に問題ないが、以降、コンテンツ内のリンクが合わなくなるので、mobileimap側でも URIの設定(-x オプション)が必要になる。これに伴い、mobileimap側へのアクセスに URI(mobile1/2)がないと接続規制されるので、Apache側のリバース・プロキシでもそのまま中継する。

■mobileimap のインストールと設定

◆Ruby のダウンロードとインストール

◆Ruby/Zlib のダウンロードとインストール

$ wget http://www.blue.sky.or.jp/atelier/ruby/ruby-zlib-0.6.0.tar.gz $ tar zxfv ruby-zlib-0.6.0.tar.gz $ cd ruby-zlib* $ ruby extconf.rb $ make $ su # make install

◆mobileimap のダウンロードとインストール

$ wget http://namazu.org/~satoru/mobileimap/mobileimap-2.5.tar.gz $ tar zxfv mobileimap-2.5.tar.gz $ cd mobileimap* $ vi mobileimap.in 「下記を編集」。 #! /usr/bin/ruby -Ke 「Esc」、「/@max_body_length」でジャンプし、「下記を編集」。 　　@max_body_length 16384 「Esc」、「：」、「w」、「q」で保存する。 $ make $ su # make install

◆mobileimap の動作確認

1. サーバ機で mobileimapをコマンドラインから起動する。コマンドを入れると指定ユーザの IMAP用パスワードを要求してくるので、入力すると mobileimapサーバへのアクセス形式が表示され(下記3行目。8143はデフォルトの mobileimapのポート番号)、mobileimapが webサーバとして起動する。
   下記は、以下の条件で起動したものである。オプションの詳細は mobileimapのサイトを参照してください。
   ・IMAP認証形式： -a login (平文のlogin認証。デフォルトはCRAM-MD5)
   ・IMAPユーザ名： -u oyaji
   ・HTTPサーバ名： -s localhost
   ・メール送信時のFrom： -f "oyaji <oyaji@mail.aconus.com>"
   
   

   $ mobileimap -a login -u oyaji -s localhost -f "oyaji <oyaji@mail.aconus.com>" oyaji@localhost:143[login]: IMAP Password: xxxxxxxx (IMAP用パスワードを入力。エコーなし) http://localhost:8143/

   
   
2. サーバ機のブラウザで上記の3行目のURLでアクセスし、下記のようにメールフォルダ画面が表示されることを確認する。下記はサーバ機以外の　Windowsクライアントからアクセスした例であるが、実際にアクセスしてメールが読めるかここで確認する。送信も確認しておく。
   
   
   
   
3. 動作確認ができたら、 Ctrl + C を押して一旦、mobileimap を終了しておく。
   
   

■Apache関連の設定

◆Proxy関連の設定と動作確認

1. ＹａＳＴで、Apache起動時に mod_proxy関連モジュールを組み込むように設定する。SuSE以外なら、LoadModuleディレクティブで下記の追加モジュールを組み込む。
   
   
   • YaST コントロールセンタを起動し、「システム」の「/etc/sysconfig エディター」を起動する。
     
     
   • 「設定のオプション」 で 「Network」 -> 「WWW」 -> 「Apache2」 と開き、「APACHE_MODULES」を選択し、「設定」欄の最後に追加モジュール名を追記し、最後に 「完了」 ボタンを押す。
     追加するのは、下記の3〜4モジュールである。
     
     [追加モジュール名]　：　proxy proxy_connect proxy_http (proxy_ftp)
     
     注1：今回は「mod_proxy_ftp」は特に必要はないが、おやじは忘れないように追加しておいた。
     注2：ここには通常は　mod_xxxの　xxxのみを記述するが、おやじのバックアップ環境では、因果関係は不明だが(異なるのはApacheのバージョン)、Proxy関係のモジュールに関しては「mod_」を含めて記述しないと /etc/sysconfig/apache2ファイルには書き込まれないという不具合がでたので、うまくいかない場合は試してみるとよい。
     
2. 続いて Proxy動作 ( Proxyといっているが、実際は外部から内部への proxy動作で ReverseProxyのことなので注意が必要。)の設定を行うが、予め mobileimapを使用するユーザ毎に次の項目と値を決めておく必要がある。
   
   [設定例]
   

   No.	IMAPユーザ名	URIパス名	mobileimap
   			ユーザ名	パスワード	ポート番号
   1	oyaji	mobile1	moyaji	12345678	8143
   2	hoge	mobile2	mhoge	adgjmptw	8144
   ：	：	：	：	：	：

   
   [パラメータ]
   

   名　称		概　要
   IMAPユーザ名		IMAPのユーザ名で mobileimap起動時の　IMAPへのアクセスに使用。当然パスワードも要。
   URIパス名		ユーザ毎に携帯からのアクセス識別として必要。ユーザ数が多くなる場合は専用ドメインを用意するか、/mobile/user1、/mobile/user2のように　mobileimapへのアクセス識別ができる上位のパス(mobile)を付与するようにしないと管理が大変になる。
   mobileimap	ユーザ名	Basic認証用のユーザ名とパスワード。 パスワードは、携帯用なのでワンタッチで押せる数字か英字の組み合わせがよいでしょう。
   	パスワード
   	ポート番号	mobileimapのユーザ毎の待ちうけポート番号。

   
   
3. リバース・プロキシの設定は、今回はセキュリティ上 HTTPSのみに対応するので、既にある /etc/apache2/vhosts.d/vhost_ssl.conf の VirtualHost ディレクティブに追記する。
   但し、この設定はユーザ毎に設定が必要になるので、vhost_ssl.confに記述するとゴチャゴチャするので /etc/apache2/mobileimap.conf としてリバース・プロキシの設定をまとめて、メインの vhost_ssl.confからはInclude(下記の赤字部分)するようにした。
   
   [/etc/apache2/vhosts.d/vhost_ssl.conf]
   

   <IfDefine SSL> <IfDefine !NOSSL> ## ## SSL Virtual Host Context ## <VirtualHost 192.168.1.100:443> # General setup for the virtual host    ServerAdmin webmaster@mail.aconus.com    DocumentRoot "/srv/www/htdocs/acorn"    ServerName www.aconus.com    <Directory "/srv/www/htdocs/acorn">       Options FollowSymLinks Includes ExecCGI       AllowOverride FileInfo AuthConfig Limit       Order allow,deny       Allow from all    </Directory>    Include /etc/apache2/mod_userdir.conf    Include /etc/apache2/my_conf/custom_log.conf    Include /etc/apache2/my_conf/dav.conf    Include /etc/apache2/mod_rewrite_ssl.conf    Include /etc/apache2/mobileimap.conf    ErrorLog /var/log/apache2/error_log    # SSL Engine Switch:    # Enable/Disable SSL for this virtual host.    SSLEngine on    # SSL Cipher Suite:    SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL    # Server Certificate:    SSLCertificateFile /usr/local/certs/server.crt    # Server Private Key:    SSLCertificateKeyFile /usr/local/certs/server.key    # SSL Engine Options:    #SSLOptions +FakeBasicAuth +ExportCertData +CompatEnvVars +StrictRequire    <Files ~ "\.(cgi|shtml|phtml|php3?)$">       SSLOptions +StdEnvVars    </Files>    <Directory "/srv/www/cgi-bin">       SSLOptions +StdEnvVars    </Directory>    # SSL Protocol Adjustments:    SetEnvIf User-Agent ".*MSIE.*" \       nokeepalive ssl-unclean-shutdown \       downgrade-1.0 force-response-1.0    # Per-Server Logging:    CustomLog /var/log/apache2/ssl_request_log ssl_combined    </VirtualHost> </IfDefine> </IfDefine>

   
   実際のリバース・プロキシの設定は下記のようなものであり、先頭の「ProxyRequests Off」（Revers Proxyの設定）を除き、ユーザ毎に ProxyPass と ProxyPassReverseの記述をセットで設定していく。設定内容は以下のとおりである。( [ ]は説明上付与したものであるので設定上は不要。）
   
   ProxyPass           /[URIパス名] http://localhost:[ポート番号]/[URIパス名]
   ProxyPassReverse /[URIパス名] http://localhost:[ポート番号]/[URIパス名]
   
   [/etc/apache2/mobileimap.conf]
   

   # ProxyRevers options ProxyRequests Off # User: oyaji ProxyPass /mobile1 http://localhost:8143/mobile1 ProxyPassReverse /mobile1 http://localhost:8143/mobile1 # User: hoge ProxyPass /mobile2 http://localhost:8144/mobile2 ProxyPassReverse /mobile2 http://localhost:8144/mobile2

   
   
4. Apacheの設定が完了したら 下記で再起動しておく。
   
   

   # /etc/init.d/apache2 restart

   
   
5. ここで、リバース・プロキシが正常に動作するか試験を行うが、複数ユーザ対応なら最低2ユーザ分の mobileimapをコマンドラインで起動する。
   
   ・IMAP認証形式： -a login (平文のlogin認証)
   ・IMAPユーザ名： -u oyaji
   ・HTTPサーバ名： -s localhost
   ・URIパス名： -x mobile1
   ・ポート番号： -p 8143
   ・メール送信時のFrom： -f "oyaji <oyaji@mail.aconus.com>"
   
   

   $ mobileimap -a login -u oyaji -s localhost -x mobile1 -p 8143 -f "oyaji <oyaji@mail.aconus.com>" oyaji@localhost:143[login]: IMAP Password: xxxxxxxx (IMAP用パスワードを入力。エコーなし) http://localhost:8143/mobile1/1

   
   ここの最後の行(実際にはもう一行起動メッセージが表示される)の内容が、リバース・プロキシで設定した内容の最後のパラメータと一致していなければつながらないので確認しておく。続いて、もう一人分を別窓を開いて起動する。
   
   

   $ mobileimap -a login -u hoge -s localhost -x mobile2 -p 8144 -f "hoge <hoge@mail.aconus.com>" hoge@localhost:143[login]: IMAP Password: xxxxxxxx (IMAP用パスワードを入力。エコーなし) http://localhost:8143/mobile2/1

   
   
6. この時点で、既に Webサーバが動作していたならインターネット側からアクセスすると各ユーザの IMAPフォルダにアクセスできるはずである。家庭内でも外部からのアクセスと同じ方法(URLが同じ)でアクセスできるなら家庭内クライアントのブラウザで試験してもよいし、パソコンでの外部からのアクセスや携帯で試験してみる。(おやじのテストはHTTPSには対応していないので使用できません。)
   
   ・oyajiへのアクセス：　https://www.aconus.com/mobile1
   ・hogeへのアクセス： https://www.aconus.com/mobile2
   
   
7. このまま放置するとインターネットから簡単にアクセスできてしまうので、 Ctrl + C を押して一旦、mobileimap を終了しておく。
   
   

◆Basic認証関連の設定と動作確認

1. まずは、Basic認証用の .htpasswd ファイルを作成する。既にあるならそれを用いても良いが、全員が本機能は使用するわけではないし、必ずしもIMAPのユーザ名と一致させる必要もないので、管理対象が増加するが mobileimap専用に新規に作成しても良い。
   .htpasswd ファイルは、Apache のインストール時に同時にインストールされる htpasswd2 (SuSEではhtpasswd ではないので要注意) コマンドで作成する。コマンドプロンプトで、
   
   　　htpasswd2 -c ファイル名　ユーザ名
   
   と入力すると、パスワードを2回聞かれるので入力する。パスワードファイルはドキュメントルート以外に置き、設置フォルダはあらかじめ作成しておかないとエラーとなる。-c オプションは、初回にファイルがないときだけ指定すればよく、二人目からは不要である。パスワード変更は、上書きされるので二人目以降同様、-c オプションなしで入力すればよい。下記は、既存ファイルと別に作成するため .htpasswd2とした。
   
   

   # htpasswd2 -c /etc/apache2/.htpasswd2 moyaji Automatically using MD5 format. New password: ***** Re-type new password: ***** Adding passwd for user oyaji

   
   
2. 次に制御のための設定を先に作成した /etc/apache2/mobileimap.conf ファイルに追加する。設定は、先の例では以下のようにURIのパス毎に行わなければならない。設定を書く場所は、最初か最後にすれば管理しやすいのでは？　各パラメータは、こちらを参考にしてください。
   
   [/etc/apache2/mobileimap.conf]
   

   # ProxyRevers options ProxyRequests Off ProxyPass /mobile1 http://localhost:8143/mobile1 ProxyPassReverse /mobile1 http://localhost:8143/mobile1 ProxyPass /mobile2 http://localhost:8144/mobile2 ProxyPassReverse /mobile2 http://localhost:8144/mobile2 # Basic attestation # User: moyaji <Location /mobile1>    AuthType Basic    AuthName "Enter"    AuthUserFile /etc/apache2/.htpasswd2    AuthGroupFile /dev/null    require user moyaji </Location> # User: mhoge <Location /mobile2>    AuthType Basic    AuthName "Enter"    AuthUserFile /etc/apache2/.htpasswd2    AuthGroupFile /dev/null    require user mhoge </Location>

   
   ここから下の認証に関しては決定的なミスがありますが、自戒を込めて残しておきます。何がまずいかはお分かりになるでしょうか？　この設定では、自分がログインできれば、そのままアクセスを継続して他のユーザ名でアクセスするとアクセスできてしまうという重大な問題があります。バーチャルホストで非公開のURLにするというのは、セキュリティ上好ましいかと思いますが・・。
   但し、携帯端末は、HTTP1.0なので Host: ヘッダがないため、名前ベースのバーチャルホストでは振り分けできないので、IPベースのバーチャルホストでの対応にならざるを得ないので現実的ではないかもしれません。
   
   これでは、ユーザが多いと管理が大変になる。一番簡単な対策は、URIパスに関係なく認証は全てのアクセスにかけてしまう方法であり、以下のようにすればよい。その代わりといっては何だが、mobileimap専用のドメインを取得して名前ベースのバーチャルホストとして動作させる必要がある。
   
   [/etc/apache2/mobileimap.conf]
   

   # ProxyRevers options ProxyRequests Off ProxyPass /mobile1 http://localhost:8143/mobile1 ProxyPassReverse /mobile1 http://localhost:8143/mobile1 ProxyPass /mobile2 http://localhost:8144/mobile2 ProxyPassReverse /mobile2 http://localhost:8144/mobile2 # Basic attestation <Location />    AuthType Basic    AuthName "Enter"    AuthUserFile /etc/apache2/.htpasswd2    AuthGroupFile /dev/null    require valid-user </Location>

   
   新規にバーチャルホストを動かすのはどうも？という方は、mobileimap専用の URIパスをひとつ設けて、そのパス以下でユーザ指定すれば上記と同様の効果が得られる。以下に mobileを専用パスにした例を示す。こちらの方法では URIパスが変わるので、当然 mobileimapの起動方法も変わる(-x オプション。頭の/は省略しないとエラーになるので注意。「-x mobile/1 」)ので注意が必要である。
   
   [/etc/apache2/mobileimap.conf]
   

   # ProxyRevers options ProxyRequests Off ProxyPass /mobile/1 http://localhost:8143/mobile/1 ProxyPassReverse /mobile/1 http://localhost:8143/mobile/1 ProxyPass /mobile/2 http://localhost:8144/mobile/2 ProxyPassReverse /mobile/2 http://localhost:8144/mobile/2 # Basic attestation <Location /mobile>    AuthType Basic    AuthName "Enter"    AuthUserFile /etc/apache2/.htpasswd2    AuthGroupFile /dev/null    require valid-user </Location>

   
   
3. 設定が済んだら Apacheを再起動し、mobileimapを起動してアクセス試験を行う。正常ならば認証画面が表示され、mobileimap用のユーザ名とパスワードを入力すれば IMAPサーバにログインでき、送信もできるはずである。
   ここで、認証画面がでないでアクセスできてしまった場合は、vhost_ssl.confでこのバーチャルホストのドキュメントルートの AllowOverrideディレクティブが「none」もしくは個別指定されていて「AuthConfig」が無い状態になっていないか確認してみる。認証をさせたいディレクトリの AllowOverrideディレクティブの設定で、「all」もしくは「AuthConfig」が指定されていないと認証動作が行われないので注意すること。
   
   [/etc/apache2/vhosts.d/vhost_ssl.conf]
   

   (snip) <VirtualHost 192.168.1.100:443> # General setup for the virtual host    ServerAdmin webmaster@mail.aconus.com    DocumentRoot "/srv/www/htdocs/acorn"    ServerName www.aconus.com    <Directory "/srv/www/htdocs/acorn">       Options FollowSymLinks Includes ExecCGI       AllowOverride FileInfo AuthConfig Limit       Order allow,deny       Allow from all    </Directory> 　(snip)

   
   

■mobileimapの自動起動の設定

Top Pageへ