Para contar con el servicio SASL en su servidor (que puede ser usado por diversos programas entre los que está sendmail), instale el paquete cyrus-sasl y cree el archivo /usr/local/lib/sasl2/Sendmail.conf para que contenga:

pwcheck_method: saslauthd

con lo que indica que desde sendmail, Cyrus-SASL debe emplear el servidor saslauthd. Para realizar la autenticación, Cyrus-SASL puede configurarse con diversas fuentes de información (e.g LDAP, bases de datos), puede iniciarlo indicando que desea emplear las funciones estándar de autenticación de OpenBSD con:

# mkdir /var/sasl2
# /usr/local/sbin/saslauthd -a getpwent

Para que este servicio se inicie en cada arranque agregue en /etc/rc.local:

pgrep saslauthd > /dev/null
if [ "$?" != "0" -a X"$saslauthd_flags" != X"NO" -a -x /usr/local/sbin/saslauthd
 ]; then
	echo -n ' saslauthd';
       	mkdir -p /var/sasl2
       	/usr/local/sbin/saslauthd ${saslauthd_flags}
fi

y en /etc/rc.conf.local:

saslauthd_flags="-a getpwent"

Si lo requiere puede iniciar este servicio en modo de depuración (en primer plano y enviando a salida estándar bastante información) con:

# /usr/local/sbin/saslauthd -a getpwent -d

Una vez este funcionado este servicio (al examinarlo con ps se ve que inicia varios procesos) puede probar que esté autenticado usuarios con

$ testsaslauthd -u usuario -p clave

Al agregar a SMTP protocolos como TLS y AUTH-SMTP el nuevo protocolo toma el nombre ESMTP. Para extenderlo en OpenBSD debe recompilar sendmail y debe emplear su propio archivo de configuración.

Dado que TLS requiere un certificado SSL, si tiene uno ya firmado por una autoridad certificadora déjelo en /etc/mail/certs o genere uno autofirmado (como se explica en man starttls):

# mkdir /etc/mail/certs
# openssl dsaparam 1024 -out dsa1024.pem
# openssl req -x509 -nodes -days 3650 -newkey dsa:dsa1024.pem \
  -out /etc/mail/certs/mycert.pem -keyout /etc/mail/certs/mykey.pem
# ln -s /etc/mail/certs/mycert.pem /etc/mail/certs/CAcert.pem
# rm dsa1024.pem
# chmod -R go-rwx /etc/mail/certs
	

Para recompilar sendmail, si aún no lo ha hecho, debe descargar y actualizar a las fuentes más recientes:

# cd /root/tmp
# ftp $PKG_PATH/../../src.tar.gz
# cd /usr
# mkdir src
# cd src
# tar xvfz /root/tmp/src.tar.gz
# for i in `find . -name CVS`; do echo $i; 
> echo "anoncvs@anoncvs1.ca.openbsd.org:/cvs" > $i/Root;
> done
# cvs -z3 update -Pd -rOPENBSD_4_0

Después indique que desea recompilar sendmail con soporte para autenticación creando o editando el archivo /etc/mk.conf para que incluya:

WANT_SMTPAUTH = yes

Recompile e instale sendmail con:

# cd /usr/src/gnu/usr.sbin/sendmail
# make clean
# make
# make install

Finalmente cree un nuevo archivo de configuración a partir del estándar:

# cd /usr/src/gnu/usr.sbin/sendmail/cf/cf
# cp openbsd-proto.mc openbsd-proto-local.mc

En el nuevo openbsd-proto-local.mc después de la línea OSTYPE(openbsd)dnl agregue:

	define(`CERT_DIR',        `MAIL_SETTINGS_DIR`'certs')
	define(`confCACERT_PATH', `CERT_DIR')
	define(`confCACERT',      `CERT_DIR/CAcert.pem')
	define(`confSERVER_CERT', `CERT_DIR/mycert.pem')
	define(`confSERVER_KEY',  `CERT_DIR/mykey.pem')
	define(`confCLIENT_CERT', `CERT_DIR/mycert.pem')
	define(`confCLIENT_KEY',  `CERT_DIR/mykey.pem')

y después de la línea FEATURE(`no_default_msa')dnl:

	define(`confAUTH_MECHANISMS',`PLAIN LOGIN CRAM-MD5 DIGEST-MD5')dnl
	TRUST_AUTH_MECH(`PLAIN LOGIN CRAM-MD5 DIGEST-MD5')dnl
	dnl define(`confAUTH_OPTIONS',`p,y')dnl
	define(`confPRIVACY_FLAGS',`authwarnings,goaway')

Note que esta comentada la línea confAUTH_OPTIONS (pues comienza con dnl), para facilitar hacer pruebas pero debe quitar el comentario posteriormente para que los métodos PLAIN y LOGIN de SMTP-AUTH sólo funcionen con TLS.

Verifique también que estén las siguientes líneas:

DAEMON_OPTIONS(`Family=inet, Address=0.0.0.0, Name=MTA')dnl
DAEMON_OPTIONS(`Family=inet, Address=0.0.0.0, Port=smtps, Name=TLSMTA')dnl 
DAEMON_OPTIONS(`Family=inet6, Address=::, Name=MTA6, M=s')dnl
DAEMON_OPTIONS(`Family=inet6, Address=::, Port=smtps, Name=MTA6, M=s')dnl
	

y en su archivo /etc/services agregue:

smtps           465/tcp    #protocolo smtp sobre TLS/SSL
	

Para habilitar el comando STARTTLS (que inicia encripción) en el servidor estándar del puerto 25 y otro servidor que sólo acepta conexiones encriptadas en el puerto 465.

Finalmente emplee el nuevo archivo de configuración y reinicie sendmail:

# make openbsd-proto-local.cf
# install -c -o root -g wheel -m 644 openbsd-proto-local.cf /etc/mail/sendmail.cf
# pkill sendmail
# . /etc/rc.conf
# sendmail $sendmail_flags
	

Dependiendo de su configuración para compilar fuentes la segunda línea podría ser:

# install -c -o root -g wheel -m 644 obj/openbsd-proto-local.cf /etc/mail/sendmail.cf

Inicie un diálogo con sendmail con:

# sendmail -O LogLevel=20 -bs -Am
220 correo.miescuela.edu.co ESMTP Sendmail 8.13.8/8.13.4; Wed, 13 Jul 2005 15:16:26 -0500 (COT)

EHLO LOCALHOST

250-correo.miescuela.edu.co Hello root@localhost, pleased to meet you
250-ENHANCEDSTATUSCODES
250-PIPELINING
250-8BITMIME
250-SIZE
250-DSN
250-ETRN
250-AUTH PLAIN LOGIN CRAM-MD5 DIGEST-MD5
250-STARTTLS
250-DELIVERBY
250 HELP

	

Note que deben aparecer las líneas STARTTLS y AUTH. Para autenticarse debe dar una identificación y una clave válida en el sistema pero codificadas en base 64. Puede emplear la interfaz CGI disponsible en http://makcoder.sourceforge.net/demo/base64.php o eventualmente el programa disponible en http://www.sendmail.org/~ca/email/prgs/ed64.c que puede compilar y usar así:

# cd /root/tmp
# ftp http://www.sendmail.org/~ca/email/prgs/ed64.c
# cc -o ed64 ed64.c
# ed64 -e
MiUsuario
TWlVc3Vhcmlv
MiClave
TWlDbGF2ZQ==

Retomando la sesion con sendmail y usando estos datos:

AUTH LOGIN
334 VXNlcm5hbWU6
TWlVc3Vhcmlv
334 UGFzc3dvcmQ6
TWlDbGF2ZQ==
235 2.0.0 OK Authenticated

puede intentar el envio de un correo por ejemplo con:

MAIL FROM:<pablo@miescuela.edu.co>
250 OK                                                                          
RCPT TO:<pedro@miescuela.edu.co>
250 Accepted                                                                    
DATA                                                                            
354 Enter message, ending with "." on a line by itself                          
From: "pablo@miescuela.edu.co" <pablo@miescuela.edu.co>
To:  pedro@miescuela.edu.co
Subject: probando

1234                                                                            
.                                                                               
250 OK id=1GZXFP-000540-7J                                                      
QUIT                                                                            

De requerirlo puede rastrear problemas en /var/log/maillog y/o intentar el protocolo descrito de forma remota (o también local) con:

telnet correo.miescuela.edu.co 25
220 correo.miescuela.edu.co ESMTP Sendmail 8.13.8/8.13.4; Wed, 13 Jul 2005 15:16:26 -0500 (COT)

EHLO [200.21.23.4]

y remplazando 200.21.23.4 por la IP desde la inicia la conexión.

Si desea probar el método PLAIN, con ed64 emplee:

MiUsuario\0MiUsuario@pasosdejesus.org\0MiClave
TWlVc3VhcmlvAE1pVXN1YXJpb0BwYXNvc2RlamVzdXMub3JnAE1pQ2xhdmU=
	

y al dialogar en SMTP:

AUTH PLAIN TWlVc3VhcmlvAE1pVXN1YXJpb0BwYXNvc2RlamVzdXMub3JnAE1pQ2xhdmU= 
	

También puede probar el servicio del puerto 465 con la misma secuencia, pero iniciando con:

openssl s_client -connect localhost:465
	

Dependiendo de su cliente de correo será posible emplear los nuevos protocolos. Por ejemplo mozilla-thunderbird lo soporta, basta que en la configuración del servidor SMTP indique que debe emplearse un usuario y que emplee TLS (puede usar tanto el puerto 25 como el 465). Tenga en cuenta que el nombre del usuario con el cual autenticarse debe incluir el dominio (e.g pablo@miescuela.edu.co).

Para iniciar POP3S ejecute:

sudo mkdir -p /var/run/courier
sudo /usr/local/libexec/pop3d-ssl.rc start
      

líneas que se recomienda agregue a /etc/rc.local si planea prestar servicio continuo (y abrir el puerto apropiado del cortafuegos, ver a continuación).

Para detener POP3S:

sudo /usr/local/libexec/pop3d-ssl.rc stop
      

POP3 usa por defecto el puerto 110, al encriptarse sobre SSL es estándar emplear el puerto 995. Para abrir ese puerto en el cortafuegos en /etc/pf.conf podría emplear una línea de la forma:

pass in on $ext_if proto tcp to ($ext_if) port pop3s keep state
      

Puede probar el funcionamiento del servidor con:

$ openssl s_client -connect localhost:995 
      

Una sesión típica puede ser:

+OK Hello there.
user ejem2
+OK Password required.
pass ejem2
+OK logged in.
list
+OK POP3 clients that break here, they violate STD53.
1 17559
2 1128
3 2430
. 
      

Para iniciar IMAPS:

sudo mkdir -p /var/run/courier
sudo /usr/local/libexec/imapd-ssl.rc start
      

y para detenerlo:

sudo /usr/local/libexec/imapd-ssl.rc stop
      

Por esto se recomienda agregar a /etc/rc.conf.local:

imapdssl_flags="start" 
      

en /etc/rc.local:

pgrep couriertcpd > /dev/null
if (test "$?" != "0" -a X"$imapdssl_flags" != X"NO" ) then {
	echo -n ' imapd-ssl';
	mkdir -p /var/run/courier/
	/usr/local/libexec/imapd-ssl.rc $imapdssl_flags
} fi;
      

y en /etc/rc.shutdown:

if [ -f /var/run/courier/imapd-ssl.pid ]; then
	/usr/local/libexec/imapd-ssl.rc stop
	rm /var/run/courier/imapd-ssl.pid
fi
      

En conexiones no encriptadas emplea el puerto 143, y para conexiones sobre SSL el puerto 993 es estándar. Puede probarlo de manera análoga a POP3, aunque el protocolo es diferente:

$ openssl s_client -connect localhost:993
...

AB LOGIN pablo MiClave
AB OK LOGIN Ok.
BC SELECT "Inbox"
* FLAGS (\Draft \Answered \Flagged \Deleted \Seen \Recent)
* OK ![PERMANENTFLAGS (\* ...
* 19 EXISTS
* 19 RECENT
* OK [UIDVALIDITY 1119870003] Ok
* OK [MYRIGHTS "acdilrsw"] ACL
BC OK [READ-WRITE] Ok
ZZZZ LOGOUT
* BYE Courier-IMAP server shutting down
ZZZZ OK LOGOUT completed

Para usar IMAP es indispensable que el correo se almacenado en formato Maildir. Hay diversos métodos para lograr que sendmail guarde en ese formato, una sencilla solución que no requiere mayores cambios es emplear para esto procmail.

Instale el paquete procmail y en la cuenta de cada usuario que vaya a usar POP3S o IMAPS con autenticación LDAP cree los archivos .forward y .procmailrc, análogos a los siguientes (suponemos que se trata del usuario pablo):

De esta forma cada vez que sendmail reciba un correo para el usuario local pablo, ejecutará la línea del archivo /home/pablo/.forward, la cual a su vez ejecutará procmail para procesar el correo que llega por entrada estándar. procmail empleará la configuración de /home/pablo/.procmailrc que le indica guardar todo correo que llegue a la cuenta en /home/pablo/maildir/ (como se trata de un directorio, procmail identifica que debe salvar en formato Maildir, si fuera un archivo agregaría en formato MBOX). El usuario pablo podría probar su archivo de configuración de procmail modificando ~/.procmail para quitar el comentario de la línea

VERBOSE=on
      

y ejecutando:

$ cd /home/pablo
$ procmail 
Mensaje de prueba
Terminelo con Control-D
.
procmail: [21024] Fri Jul  1 18:32:30 2005
procmail: Assigning "PMDIR=/home/pablo/"
procmail: Assigning "MAILDIR=/home/pablo//maildir/"
procmail: Assigning "FORMAIL=/usr/local/bin/formail"
procmail: Assigning "SENDMAIL=/usr/sbin/sendmail"
procmail: Assigning "LOGFILE=/home/pablo/log"

Tras lo cual debe encontrar un nuevo archivo en maildir/new con el mensaje de prueba.

El protocolo POP3 se describe en el RFC 1939 http://www.faqs.org/rfcs/rfc1939.html Puede consultar más sobre la configuración de IMAP con Courier en http://dantams.sdf-eu.org/guides/obsd_courier_imap.html y http://es.tldp.org/Manuales-LuCAS/doc-tutorial-postfix-ldap-courier-spamassassin-amavis-squirrelmail Más sobre procmail en http://pm-doc.sourceforge.net/pm-tips.html y http://structio.sourceforge.net/guias/basico_OpenBSD/correo.html#procmail Más sobre IMAP en http://www.linux-sec.net/Mail/SecurePop3/ y http://talk.trekweb.com/~jasonb/articles/exim_maildir_imap.shtml

/usr/local/share/doc/mailman/README.OpenBSD