cookbooks/exim/recipes/default.rb

   1 #
   2 # Cookbook:: exim
   3 # Recipe:: default
   4 #
   5 # Copyright:: 2011, OpenStreetMap Foundation
   6 #
   7 # Licensed under the Apache License, Version 2.0 (the "License");
   8 # you may not use this file except in compliance with the License.
   9 # You may obtain a copy of the License at
  10 #
  11 #     https://www.apache.org/licenses/LICENSE-2.0
  12 #
  13 # Unless required by applicable law or agreed to in writing, software
  14 # distributed under the License is distributed on an "AS IS" BASIS,
  15 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  16 # See the License for the specific language governing permissions and
  17 # limitations under the License.
  18 #
  19
  20 include_recipe "munin"
  21 include_recipe "networking"
  22 include_recipe "prometheus"
  23
  24 package %w[
  25   exim4
  26   openssl
  27   ssl-cert
  28 ]
  29
  30 package "exim4-daemon-heavy" do
  31   only_if { ::File.exist?("/var/run/clamav/clamd.ctl") }
  32 end
  33
  34 group "ssl-cert" do
  35   action :modify
  36   members "Debian-exim"
  37   append true
  38 end
  39
  40 if node[:exim][:certificate_names]
  41   include_recipe "apache"
  42
  43   apache_site node[:exim][:certificate_names].first do
  44     template "apache.erb"
  45     variables :aliases => node[:exim][:certificate_names].drop(1)
  46   end
  47
  48   ssl_certificate node[:exim][:certificate_names].first do
  49     domains node[:exim][:certificate_names]
  50     notifies :restart, "service[exim4]"
  51   end
  52 else
  53   openssl_x509_certificate "/etc/ssl/certs/exim.pem" do
  54     key_file "/etc/ssl/private/exim.key"
  55     owner "root"
  56     group "ssl-cert"
  57     mode "640"
  58     org "OpenStreetMap"
  59     email "postmaster@openstreetmap.org"
  60     common_name node[:fqdn]
  61     expire 3650
  62     notifies :restart, "service[exim4]"
  63   end
  64 end
  65
  66 service "exim4" do
  67   action [:enable, :start]
  68   supports :status => true, :restart => true, :reload => true
  69 end
  70
  71 relay_to_domains = node[:exim][:relay_to_domains]
  72
  73 node[:exim][:routes].each_value do |route|
  74   relay_to_domains |= route[:domains] if route[:host]
  75 end
  76
  77 relay_from_hosts = node[:exim][:relay_from_hosts]
  78
  79 if node[:exim][:smarthost_name]
  80   search(:node, "exim_smarthost_via:#{node[:exim][:smarthost_name]}\\:*").each do |host|
  81     relay_from_hosts |= host.ipaddresses(:role => :external)
  82   end
  83
  84   domains = node[:exim][:certificate_names].select { |c| c =~ /^a\.mx\./ }.collect { |c| c.sub(/^a\.mx./, "") }
  85   primary_domain = domains.first
  86
  87   directory "/srv/mta-sts.#{primary_domain}" do
  88     owner "root"
  89     group "root"
  90     mode "755"
  91   end
  92
  93   domains.each do |domain|
  94     template "/srv/mta-sts.#{primary_domain}/#{domain}.txt" do
  95       source "mta-sts.erb"
  96       owner "root"
  97       group "root"
  98       mode "644"
  99       variables :domain => domain
 100     end
 101   end
 102
 103   ssl_certificate "mta-sts.#{primary_domain}" do
 104     domains domains.collect { |d| "mta-sts.#{d}" }
 105     notifies :reload, "service[apache2]"
 106   end
 107
 108   apache_site "mta-sts.#{primary_domain}" do
 109     template "apache-mta-sts.erb"
 110     directory "/srv/mta-sts.#{primary_domain}"
 111     variables :domains => domains
 112   end
 113 end
 114
 115 file "/etc/exim4/blocked-senders" do
 116   owner "root"
 117   group "Debian-exim"
 118   mode "644"
 119 end
 120
 121 if node[:exim][:dkim_selectors]
 122   keys = data_bag_item("exim", "dkim")
 123
 124   template "/etc/exim4/dkim-domains" do
 125     owner "root"
 126     source "dkim-domains.erb"
 127     group "Debian-exim"
 128     mode "644"
 129   end
 130
 131   template "/etc/exim4/dkim-selectors" do
 132     owner "root"
 133     source "dkim-selectors.erb"
 134     group "Debian-exim"
 135     mode "644"
 136   end
 137
 138   directory "/etc/exim4/dkim-keys" do
 139     owner "root"
 140     group "Debian-exim"
 141     mode "755"
 142   end
 143
 144   node[:exim][:dkim_selectors].each do |domain, _selector|
 145     file "/etc/exim4/dkim-keys/#{domain}" do
 146       content keys[domain].join("\n")
 147       owner "root"
 148       group "Debian-exim"
 149       mode "640"
 150     end
 151   end
 152 end
 153
 154 template "/etc/default/exim4" do
 155   source "default.erb"
 156   owner "root"
 157   group "root"
 158   mode "044"
 159   notifies :restart, "service[exim4]"
 160 end
 161
 162 template "/etc/exim4/exim4.conf" do
 163   source "exim4.conf.erb"
 164   owner "root"
 165   group "Debian-exim"
 166   mode "644"
 167   variables :relay_to_domains => relay_to_domains.sort,
 168             :relay_from_hosts => relay_from_hosts.sort
 169   notifies :restart, "service[exim4]"
 170 end
 171
 172 search(:accounts, "*:*").each do |account|
 173   name = account["id"]
 174   details = node[:accounts][:users][name] || {}
 175
 176   if details[:status] && account["email"]
 177     node.default[:exim][:aliases][name] = account["email"]
 178   end
 179 end
 180
 181 if node[:exim][:private_aliases]
 182   aliases = data_bag_item("exim", "aliases")
 183
 184   aliases[node[:exim][:private_aliases]].each do |name, address|
 185     node.default[:exim][:aliases][name] = address
 186   end
 187 end
 188
 189 template "/etc/aliases" do
 190   source "aliases.erb"
 191   owner "root"
 192   group "root"
 193   mode "644"
 194 end
 195
 196 remote_directory "/etc/exim4/noreply" do
 197   source "noreply"
 198   owner "root"
 199   group "Debian-exim"
 200   mode "755"
 201   files_owner "root"
 202   files_group "Debian-exim"
 203   files_mode "755"
 204   purge true
 205 end
 206
 207 munin_plugin "exim_mailqueue"
 208 munin_plugin "exim_mailstats"
 209
 210 prometheus_exporter "exim" do
 211   port 9636
 212 end
 213
 214 if node[:exim][:smarthost_name]
 215   node[:exim][:daemon_smtp_ports].each do |port|
 216     firewall_rule "accept-inbound-smtp-#{port}" do
 217       action :accept
 218       source "net"
 219       dest "fw"
 220       proto "tcp:syn"
 221       dest_ports port
 222       source_ports "1024:"
 223     end
 224   end
 225 else
 226   node[:exim][:daemon_smtp_ports].each do |port|
 227     firewall_rule "accept-inbound-smtp-#{port}" do
 228       action :accept
 229       source "bm:mail.openstreetmap.org"
 230       dest "fw"
 231       proto "tcp:syn"
 232       dest_ports port
 233       source_ports "1024:"
 234     end
 235   end
 236 end
 237
 238 if node[:exim][:smarthost_via]
 239   firewall_rule "deny-outbound-smtp" do
 240     action :reject
 241     source "fw"
 242     dest "net"
 243     proto "tcp:syn"
 244     dest_ports "smtp"
 245   end
 246 end