Dovecot и клиентские сертификаты

Видно, что сейчас на стороне dovecot'а всё работает правильно. Очевидно, есть какие-то проблемы с настройкой SASL-взаимодействия. Проще говоря, нужно посмотреть, о чём всё же договариваются клиент и сервер. В данном случае очевидно, что об EXTERNAL аутентификации они не договорились, а PLAIN и CRAM-MD5 предполагают передачу пароля, которого нет.
Самый простой способ проверить - самому стать клиентом, т.е. подключиться к 143-ему порту и вручную набивать тэги (на самом деле это просто аналог нумерации строк) и команды IMAP-протокола.

Очевидно, есть какие-то проблемы с настройкой SASL-взаимодействия.

Jun 12 07:00:56 mxs dovecot: imap-login: Disconnected (cert required, client didn't start TLS):

Скорее всего похоже на ошибку в dovecote, так как соединение установлено на 993 порту.

dovecot.conf
protocols = imaps pop3s

В данном случае очевидно, что об EXTERNAL аутентификации они не договорились, а PLAIN и CRAM-MD5 предполагают передачу пароля, которого нет.

Пароль передается и логин проходит успешно.

И еще непонятно по какому username будет проходить логин , если

ssl_username_from_cert = no ?

Небольшое продвижение с клиентскими сертификатами.

Все таки непонятно откуда dovecot возьмет имя для логина, если
ssl_username_from_cert = no ?


Изменил на ssl_username_from_cert = yes.

Но dovecot берет из сертификата username= commonName

Jun 13 10:19:21 mxs dovecot: imap-login: Valid certificate: /O=Root CA/OU=http://www.cacert.org/CN=CA Cert Signing Authority/emailAddress=support@cacert.org
Jun 13 10:19:21 mxs dovecot: imap-login: Valid certificate: /CN=CAcert WoT User/emailAddress=asd@xxx.ru
Jun 13 10:19:22 mxs dovecot: auth(default): new auth connection: pid=3995
Jun 13 10:19:51 mxs dovecot: auth(default): client in: AUTH 1 EXTERNAL service=imap secured valid-client-cert cert_username=CAcert WoT User lip=127.0.0.1 rip=127.0.0.1 lport=993 rport=42081 resp=<hidden>
Jun 13 10:19:51 mxs dovecot: auth(default): ldap(CAcert WoT User,127.0.0.1): pass search: base=ou=mail, dc=xxx, dc=ru scope=subtree filter=(&(objectClass=JammMailAccount)(mail=CAcert WoT User)(accountActive=TRUE)) fields=mail,clearPassword
Jun 13 10:19:51 mxs dovecot: auth(default): ldap(CAcert WoT User,127.0.0.1): unknown user
Jun 13 10:19:53 mxs dovecot: auth(default): client out: FAIL 1 user=CAcert WoT User

Значит дело в ssl_cert_username_field
В dovecot.conf советуют ssl_cert_username = commonName или X500UniqueIdentifier

Но это все не то.
И посмотрев на Valid certificate: /CN=CAcert WoT User/emailAddress=asd@xxx.ru

Понял, что в ssl_cert_username_field должна быть запись

ssl_cert_username_field = emailAddress

В логах при этом получил следующее

Jun 13 10:34:49 mxs dovecot: imap-login: Valid certificate: /O=Root CA/OU=http://www.cacert.org/CN=CA Cert Signing Authority/emailAddress=support@cacert.org
Jun 13 10:34:49 mxs dovecot: imap-login: Valid certificate: /CN=CAcert WoT User/emailAddress=asd@xxx.ru
Jun 13 10:34:51 mxs dovecot: auth(default): new auth connection: pid=4586
Jun 13 10:35:15 mxs dovecot: auth(default): client in: AUTH 1 EXTERNAL service=imap secured valid-client-cert cert_username=asd@xxx.ru lip=127.0.0.1 rip=127.0.0.1 lport=993 rport=60492 resp=<hidden>
Jun 13 10:35:15 mxs dovecot: auth(default): ldap(asd@xxx.ru,127.0.0.1): pass search: base=ou=mail, dc=xxx, dc=ru scope=subtree filter=(&(objectClass=JammMailAccount)(mail=asd@xxx.ru)(accountActive=TRUE)) fields=mail,clearPassword
Jun 13 10:35:15 mxs dovecot: auth(default): ldap(asd@xxx.ru,127.0.0.1): result: clearPassword(password)=<hidden> mail(user)=asd@xxx.ru
Jun 13 10:35:15 mxs dovecot: auth(default): ldap(asd@xxx.ru,127.0.0.1): Password mismatch

Это уже лучше.

Изучив
http://www.mail-archive.com/dovecot@dovecot.org/msg26905.html, удалось сделать аутентификацию по сертификатам.

Правда, в выше приведенной ссылке речь идет об использовании аутентификации ТОЛЬКО по клиентским сертификатам, а мне хотелось бы в дополнении к уже существующим.

В dovecot.conf добавил mechanisms = login plain cram-md5 external

passdb passwd-file {
args = /etc/dovecot.crt
}
userdb passwd {
args = /etc/dovecot.crt
}


# cat /etc/dovecot.crt
asd@xxx.ru:::::nopassword=y

Далее

# openssl
OpenSSL> s_client -cert asd.pem -connect localhost:993
.............................
.............................
.............................
01 AUTHENTICATE EXTERNAL =

И получаем успешный логин по сертификату.
Все вроде отлично, но одно но.

Все это работает при наличии в конфиге

ssl_require_client_cert=yes

И получается, что другие методы аутентификации без сертификата не работают.
А убрав эту строку, получим, что клиенты, указанные в dovecot.crt могут логиниться с сертификатом, а могут и без него с пустым паролем.

Получается, что аутентификацию external надо делать в dovecote отдельной секцией.

Можно пример генерации сертификатов (Для сервера и для клиента)?

А в чем проблема?
Есть маcса примеров генерации сертификатов с использованием openssl.
Сейчас я использую бесплатные сертификаты от cacert.org

Да, собственно, я уже и сам разобрался. Но все равно, спасибо за отзыв.