Dovecot в качестве прокси с отправкой

В моей инфраструктуре у меня есть несколько почтовых серверов (mailcow), обслуживающих разные домены для каждого экземпляра. Я хочу создать перед ними почтовый прокси, чтобы уменьшить количество используемых IP-адресов для каждой службы и в любом случае позволить клиентам иметь свои собственные доменные имена в своих клиентских предустановках.

SMTP как MTA обрабатывается по-другому. Входящие сообщения через Postfix обрабатываются центральным сервером (поскольку записи MX не видны клиенту). Так что это не моя проблема.

Итак, я настроил почтовый прокси на основе Dovecot в Debian Buster со следующей конфигурацией:

ssl_cert = </etc/dovecot/ssl/default.pem
ssl_key = </etc/dovecot/ssl/default.key

# just an example for different domains via SNI
local_name mail.domain1.tld {
  ssl_cert = </etc/dovecot/ssl/mail.domain1.tld.pem
  ssl_key = </etc/dovecot/ssl/mail.domain1.tld.key
}

# just an example for different domains via SNI
local_name mail.domain2.tld {
  ssl_cert = </etc/dovecot/ssl/mail.domain2.tld.pem
  ssl_key = </etc/dovecot/ssl/mail.domain2.tld.key
}

auth_cache_size = 4 k
disable_plaintext_auth = no

passdb {
  args = /etc/dovecot/sql.conf
  driver = sql
}
protocols = "imap pop3 submission"
service auth {
  user = root
}
userdb {
  args = static uid=5000 gid=5000 home=/dev/null
  driver = static
}

И sql.conf -

## SQL passdb configuration
driver = mysql

# Database options
connect = host=localhost dbname=dovecot user=dovecot password=dovecot

# Query
password_query = SELECT NULL AS password, NULL AS destuser, host, 'Y' AS nologin, 'Y' AS nodelay, 'Y' AS nopassword, 'Y' AS proxy, 'any-cert' AS `ssl` FROM proxy_domain WHERE domain = '%d'
# eof

База данных содержит:

CREATE TABLE `proxy_domain` (
  `domain` varchar(255) NOT NULL,
  `host` varchar(255) NOT NULL,
  PRIMARY KEY (`domain`)
);

insert into proxy_domain (domain, host) values ('domain1.tld','mailhost1');
insert into proxy_domain (domain, host) values ('domain2.tld','mailhost2');

Это более или менее пример прокси

• : https://wiki1.dovecot.org/HowTo/ImapProxy (последнее обновление 2011 г. с очень старыми параметрами конфигурации)
• SNI: https: //wiki.dovecot.org/SSL/DovecotConfiguration

Службы IMAP и POP3 работают, и с

openssl s_client -connect ac-hcn0002.acoby.net:993

я могу войти в систему, а также SNI работает нормально. Бэкэнд доступен через SSL. Для starttls (110, 143, 587) предоставляется только первый сертификат. Это нормально и приемлемо, потому что я бы не рекомендовал это заказчику.

Но теперь отправка (а позже сито).

Вопрос №1:

Dovecot может открыть 587 для отправки. Это доступно только через STARTTLS. Но затем прокси пытается связаться для отправки в бэкэнд-систему напрямую с SSL на порт 587 (что, я думаю, неверно - он должен запускаться просто и запускать STARTTLS). Я думаю, это происходит, потому что passdb возвращает global SSL = any-cert. Это ошибка? Могу ли я изменить это поведение для 587? И, может быть, есть способ отправить правильный сертификат с помощью STARTTLS (вместо стандартного / первого)?

Вопрос №2:

Тогда порт 465. Dovecot может также открыть порт отправки 465 / SSL в моем случае для пересылка всех аутентифицированных сообщений на порт отправки 465 на бэкэнде. Но как я могу это настроить? Я не смог найти ни одного примера.

Я знаю о Почтовой инфраструктуре с прокси-сервером dovecot и решении с постфиксом - но я не совсем уверен, работает ли ответ с dovecot-socket в в этом сценарии, и я не хочу устанавливать постфикс только для отправки, когда Dovecot может обработать это из коробки.