SPF は DNS の設定だけですむので簡単ですが、DKIM についてはなんとなく敷居が高い感じがして手を付けていませんでした。結構有名な上場企業(しかもSIer)でもメールヘッダーを見ると DKIM のシグネチャーが付いてないことが多いです。

今回はメールサーバのお引っ越しにあわせて、DKIM の実装とちょっとだけ DMARC の対応をしてみました。なかなか、仕組みがよく解らなくて時間が掛かりましたが、なんとか動くようになったので設定方法を書いてみます。
※SPFについては既にDNSの設定が終わっている前提で、今回は触れません。

 前提条件・環境

  • Debian GNU/Linux 8.0 Jessie
  • postfix 2.11.3-1
  • sasl2-bin 2.1.26.dfsg1-13+deb8u1
  • opendkim 2.9.2-2

postfix は、chroot モードで動かしていて、saslauthd は既に稼働しているとします。
また DKIM は postfix 単体では動作しないので、インターネット側に公開されている権威 DNS サーバの設定が必要です。また、DMARC の設定も DNS サーバの設定追加が必要です。

今回例としてあげるサーバは、2つのドメインを受け持っていますが、単にドメイン名が違うだけでアカウントは一緒です。つまり、takahashi@lonnie.co.jp と takahashi@it-tutor.jp は同じアカウントとして扱うというちょっと手抜きの構成です。しかし、DKIM のシグネチャーは別々に設定するという方針にしました。

 Tips

DNS の設定変更を行うので、設定に先立って権威 DNS の TTL を600秒程度に変更しておきます。これを忘れると、DKIM の設定終了後のテストを数時間待つ羽目になります。

 opendkim のインストールと設定

aptitude install opendkim opendkim-tools

以上で必要なモジュールは全てインストールされます。

ここで注意することは、一般的な Debian パッケージとは異なり、サービスの起動に必要なコンフィグは最低限のものしか用意されません。もちろん、/usr/share/doc/opendkim/examples/ に置いてある opendkim.conf.sample.gz を解凍すると opendkim.conf のサンプルファイルが出てくるのですが、内容を読んでも初見だとさっぱりです??

ネットで色々調べたり、実際に設定値を入れてみたり、試行錯誤した結果、私が理解している内容を簡単に書いてみます。

1.インストールしただけでは動かない(当たり前)
2.DKIM には opendkim.conf とは別に、設定用のディレクトリと設定ファイルが必要。
3.設定ファイルには DNS サーバで使う TXT ゾーンを記述したファイルがある。
4.複数の設定ファイルを識別する為にセレクターという概念(名称)がある。
5.DKIM がメールヘッダーに署名する時に必要な秘密キー・公開キーの他に、 key.table, signing.table,  trusted.hosts という3つの設定ファイルが必要。

# Sign for example.com with key in /etc/mail/dkim.key using
# selector '2007' (e.g. 2007._domainkey.example.com)

というコメントに従って、/etc/mail というディレクトリを作成し、その中に keys というディレクトリ(この中に秘密キーを入れる)を作成します。次に、key.table, signing.table, trusted.hosts の3つの設定ファイルを作成します。

それでは最初に、秘密キーと公開キーを作成します。

# cd /etc/mail/keys
# opendkim-genkey -b 2048 -s 20161112lny -d lonnie.co.jp
# opendkim-genkey -b 2048 -s 20161112itt -d it-tutor.jp

-b はキーの長さ、-s はセレクター名、-d はドメイン名(@より右側)です。
このコマンドを実行すると、

20161112lny.private
20161112lny.txt
20161112itt.private
20161112itt.txt

このように4つのファイルが出来上がります。
.private は署名する時に使う秘密キー、.txt は DNS サーバに設定する公開キーですが、すぐに使える様に bind のフォーマットで書かれています。

次に3つの設定ファイルの内容です。

# cd /etc/mail
# cat signing.table
*@lonnie.co.jp  lonnie
*@it-tutor.jp   it-tutor

これは見ての通りで、どのようなメールアドレスに対してDKIMが署名をするかという設定です。
設定ファイルの右側には次に設定する key.table を参照するためのインデックスのようなもので、この識別名は1つの単語になっていれば任意に設定できます。

# cat key.table
lonnie          lonnie.co.jp:20161112lny:/etc/mail/keys/20161112lny.private
it-tutor        it-tutor.jp:20161112itt:/etc/mail/keys/20161112itt.private

key.table のフォーマットはこんな感じです。つまり、signing.table の設定行の右側に書いてある識別名と key.table の左側の識別名がペアになる感じです。key.table の右側は見ての通りで、『ドメイン名:セレクター名:秘密キーの場所』です。

# cat trusted.hosts
127.0.0.1
::1
localhsot
comet
comet.lonnie.co.jp
lonnie.co.jp
it-tutor.jp

trusted.hosts にはこのようにメールサーバの名称とドメイン名を記載しておきます。
作成した設定ファイルにパーミッションを設定します。

# cd /etc/mail
# chmod 644 *
# chown -R opendkim:opendkim *
# chmod 700 keys
# cd /etc/mail/keys
# chmod -R 600 *

最後に、/etc/opendkim.conf と /etc/default/opendkim の設定です。

# cat /etc/opendkim.conf
# This is a basic configuration that can easily be adapted to suit a standard
# installation. For more advanced options, see opendkim.conf(5) and/or
# /usr/share/doc/opendkim/examples/opendkim.conf.sample.
# Log to syslog
Syslog                  yes
# Required to use local socket with MTAs that access the socket as a non-
# privileged user (e.g. Postfix)
UMask                   002
# Sign for example.com with key in /etc/mail/dkim.key using
# selector '2007' (e.g. 2007._domainkey.example.com)
#Domain                 lonnie.co.jp
#KeyFile                /etc/mail/keys/20161026lny.private
#Selector               20161026lny
MultipleSignatures      yes
KeyTable                /etc/mail/key.table
SigningTable            refile:/etc/mail/signing.table
ExternalIgnoreList      /etc/mail/trusted.hosts
InternalHosts           /etc/mail/trusted.hosts

# Commonly-used options; the commented-out versions show the defaults.
Canonicalization        relaxed/simple
Mode                    sv
SubDomains              no
#ADSPAction             continue
# Always oversign From (sign using actual From and a null From to prevent
# malicious signatures header fields (From and/or others) between the signer
# and the verifier.  From is oversigned by default in the Debian pacakge
# because it is often the identity key used by reputation systems and thus
# somewhat security sensitive.
#OversignHeaders        From

# List domains to use for RFC 6541 DKIM Authorized Third-Party Signatures
# (ATPS) (experimental)
#ATPSDomains            example.com

今回は1つのサーバで複数のドメインを扱っているので、上記設定ファイルで Domain, KyeFile, Selector はコメントアウトしています。そのかわり、MultipleSignatures を yes として、

KeyTable                /etc/mail/key.table
SigningTable            refile:/etc/mail/signing.table
ExternalIgnoreList      /etc/mail/trusted.hosts
InternalHosts           /etc/mail/trusted.hosts

の設定を入れています。

また、Canonicalization    relaxed/simple は、どの程度メールヘッダーが変わってもOKにするかという大ざっぱな方針を意味するようです。Gmail は relaxed/relaxed と設定してありましたが、IIJ のメールサーバでは relaxed/simple になっていたので、こちらに習いました。

Mode はデフォルトでは v だけで、送られてきたメールの DKIM 署名のチェックだけを行いますが、今回は送信メールに自ら DKIM の署名をするので、 sv という Mode にします。

最後に、/etc/default/opendkim の設定です。

# cat /etc/default/opendkim
# Command-line options specified here will override the contents of
# /etc/opendkim.conf. See opendkim(8) for a complete list of options.
#DAEMON_OPTS=""
#
# Uncomment to specify an alternate socket
# Note that setting this will override any Socket value in opendkim.conf
#SOCKET="local:/var/run/opendkim/opendkim.sock" # default
SOCKET="local:/var/spool/postfix/opendkim/opendkim.sock"
#SOCKET="inet:54321" # listen on all interfaces on port 54321
#SOCKET="inet:12345@localhost" # listen on loopback on port 12345
#SOCKET="inet:12345@192.0.2.1" # listen on 192.0.2.1 on port 12345

Postfix が chroot を使っている時には /var/spool/postfix 内で完結しないといけないので、上記の設定となります。
次に、sasl の設定時と同じように、opendkim を postfix グループへ所属させます。

# adduser postfix opendkim

これまでの設定が終わりましたら、一度 service opendkim restart しておきます。

 DNSサーバの設定

インターネットから参照される権威 DNS サーバのゾーン情報に、DKIM と DMARC 関連の情報を追加します。
今回の例であれば、lonnie.co.jp のゾーン情報には、/etc/mail/keys/20161112lny.txt をそっくり貼付けます。次に、DKIM の署名を認証できなかった時にどうするか?の情報と DMARC のポリシーを書きます。

このような設定で bind を再起動すると、アンダーバーから始まるゾーン名について bind が文句を言ってきます。その場合は、/etc/bind/named.conf.local で、該当のドメイン名に対して、

zone    "lonnie.co.jp"   {
               check-names ignore;
               type master;
               file "lonnie.co.jp";
               };

check-names ignore; という行を追加してください。

_adsp._domainkey IN TXT “dkim=unknown” については、”dkim=unknown” の他に all とか discardable とかあるようですが、unknown にしておくのが安全なようです。
もう一つのゾーン情報(it-tutor.jp)も同様に /etc/mail/keys/20161112itt.txt を使って更新します。

設定を追加・変更した所をもう一度確認してから、service bind9 restart します。

一番最初に $TTL を600秒にしてあれば、約10分程度待てば新しいゾーン情報が参照できる筈なので、下記コマンドで動作チェックを行います。

# cd /etc/mail/keys
# opendkim-testkey -d lonnie.co.jp -s 20161112lny -k 20161112lny.private -vvv
opendkim-testkey: using default configfile /etc/opendkim.conf
opendkim-testkey: key loaded from 20161112lny.private
opendkim-testkey: checking key '20161112lny._domainkey.lonnie.co.jp'
opendkim-testkey: key not secure
opendkim-testkey: key OK

このように最後にOKと表示されると良いのですが、keys do not match とか表示される場合には、今迄の設定内容を見直してください。

 Postfix の設定

やっとここまで来ました。Postfix からは Milter 経由で opendkim と接続します。
Milter についてはこちらを参照してください。今回は詳しい説明は割愛します。
http://www.postfix-jp.info/trans-2.3/jhtml/MILTER_README.html

main.cf の設定を変更します。
smtpd_recipient_restrictions の設定より後ろの行に、以下の設定を追加します。

# Milter configuration
# OpenDKIM
milter_default_action           = accept
milter_protocol                 = 6
smtpd_milters                   = local:/opendkim/opendkim.sock
non_smtpd_milters               = local:/opendkim/opendkim.sock

この設定は、chroot を使っている時の設定です。もし、chroot を使っていない時には、local:/opendkim/opendkim.sock を、local:/var/spool/postfix/opendkim/opendkim.sock へ変更してください。
設定の追加が終わりましたら postfix stop → postfix start して、さぁ動作確認です。

Gmail のアカウントへ何かテストメールを送ってみます。

おっと、その前に Tips です。Gmail は、メールが送られてくる時に送信元のメールサーがTLS接続を使わないと赤い鍵マークが出てきます。もし、SMTP 接続で TLS を使う様に設定していない場合には、main.cf に smtp_tls_security_level = may を追加すると幸せになれます。

Gmail で受信後、メールのソースを表示してみてください。
下記画面のように PASS と表示されればOKです。

gmail_sample同様に、Gmail から何かメールを自アカウントへ送ってみて、メールヘッダーの詳細を確認してください。

Authentication-Results: comet.lonnie.co.jp; dkim=pass
    reason="2048-bit key; unprotected key"
    header.d=gmail.com header.i=@gmail.com header.b=zS3Vb0zz;
    dkim-adsp=pass; dkim-atps=neutral

※unprotected key という部分がちょっと謎ですが、これで dkim のチェックはOKです。

DMARC に関しては、DNS にポリシーを書いただけで、送られてくるメールについてのチェックは出来ません。Debianパッケージには opendmarc がありますので、これをインストールして設定する事になると思います。これは SPF についても同様で、送られてきたメールの SPF チェックもDNS の設定だけでは動作しませんので、次回はこのあたりを検証しようと思っています。