modules/exim/manifests/init.pp

   1 # our exim class
   2 # @param use_smarthost use the smarthost
   3 # @param smarthost host to relay through (if set and use_smarthost)
   4 # @param is_bugsmx this system handles bugs.debian.org
   5 # @param is_mailrelay this system is a mailrelay, both in and out, for debian hosts
   6 # @param is_rtmaster this system handles rt.debian.org
   7 # @param is_packagesmaster this system handles packages.debian.org
   8 # @param is_packagesqamaster this system handles packages.qa.debian.org
   9 # @param mail_port override the default incoming mailport (only applicable for hosts behind an incoming relay)
  10 # @param smarthost_port the port on which satellites send mail to the smarthost (needs to be the same on both sides)
  11 class exim (
  12   Optional[String] $smarthost,
  13   Boolean $use_smarthost = true,
  14   Boolean $is_bugsmx = false,
  15   Boolean $is_mailrelay = false,
  16   Boolean $is_rtmaster = false,
  17   Boolean $is_packagesmaster = false,
  18   Boolean $is_packagesqamaster = false,
  19   Integer $smarthost_port = 587,
  20   Optional[Integer] $mail_port = undef,
  21 ) {
  22   if $use_smarthost {
  23     $heavy = false
  24
  25     if ! smarthost {
  26       fail('No smarthost set but use_smarthost is true')
  27     }
  28   } else {
  29     $heavy = true
  30     if $mail_port {
  31       fail('Cannot override mail_port in heavy/no-smarthost hosts')
  32     }
  33   }
  34
  35   munin::check { 'ps_exim4': script => 'ps_' }
  36   munin::check { 'exim_mailqueue': }
  37   munin::check { 'exim_mailstats': }
  38
  39   munin::check { 'postfix_mailqueue':  ensure => absent }
  40   munin::check { 'postfix_mailstats':  ensure => absent }
  41   munin::check { 'postfix_mailvolume': ensure => absent }
  42
  43   package { 'exim4-daemon-heavy': ensure => installed }
  44
  45   Package['exim4-daemon-heavy']->Mailalias<| |>
  46
  47   service { 'exim4':
  48     ensure  => running,
  49     require => [
  50       File['/etc/exim4/exim4.conf'],
  51       Package['exim4-daemon-heavy'],
  52     ]
  53   }
  54
  55   file { '/etc/exim4/':
  56     ensure  => directory,
  57     mode    => '0755',
  58     require => Package['exim4-daemon-heavy'],
  59     purge   => true,
  60   }
  61   file { '/etc/exim4/conf.d':
  62     ensure  => directory,
  63     purge   => true,
  64     force   => true,
  65     recurse => true,
  66     source  => 'puppet:///files/empty/',
  67   }
  68   file { '/etc/exim4/ssl':
  69     ensure => directory,
  70     group  => 'Debian-exim',
  71     mode   => '0750',
  72     purge  => true,
  73   }
  74   file { '/etc/exim4/exim4.conf':
  75     content => template('exim/eximconf.erb'),
  76     require => File['/etc/exim4/ssl/thishost.crt'],
  77     notify  => Service['exim4'],
  78   }
  79   file { '/etc/mailname':
  80     content => template('exim/mailname.erb'),
  81   }
  82
  83   concat { '/etc/exim4/virtualdomains': }
  84   concat::fragment { 'virtualdomains_header':
  85     target  => '/etc/exim4/virtualdomains',
  86     content => template('exim/virtualdomains.header.erb'),
  87     order   => '00',
  88   }
  89
  90   file { '/etc/exim4/locals':
  91     content => template('exim/locals.erb')
  92   }
  93
  94   concat { '/etc/exim4/submission-domains':
  95     ensure_newline => true,
  96     warn           => @(EOF),
  97     ## THIS FILE IS UNDER PUPPET CONTROL. DON'T EDIT IT HERE.
  98     | EOF
  99   }
 100
 101   file { '/etc/exim4/host_blacklist':
 102     source => 'puppet:///modules/exim/common/host_blacklist',
 103   }
 104   file { '/etc/exim4/blacklist':
 105     source => 'puppet:///modules/exim/common/blacklist',
 106   }
 107   file { '/etc/exim4/callout_users':
 108     source => 'puppet:///modules/exim/common/callout_users',
 109   }
 110   file { '/etc/exim4/grey_users':
 111     source => 'puppet:///modules/exim/common/grey_users',
 112   }
 113   file { '/etc/exim4/helo-check':
 114     source => 'puppet:///modules/exim/common/helo-check',
 115   }
 116   file { '/etc/exim4/localusers':
 117     source => 'puppet:///modules/exim/common/localusers',
 118   }
 119   file { '/etc/exim4/rbllist':
 120     source => 'puppet:///modules/exim/common/rbllist',
 121   }
 122   file { '/etc/exim4/rhsbllist':
 123     source => 'puppet:///modules/exim/common/rhsbllist',
 124   }
 125   file { '/etc/exim4/whitelist':
 126     source => 'puppet:///modules/exim/common/whitelist',
 127   }
 128   file { '/etc/logrotate.d/exim4-base':
 129     source => 'puppet:///modules/exim/common/logrotate-exim4-base',
 130   }
 131   file { '/etc/logrotate.d/exim4-paniclog':
 132     source => 'puppet:///modules/exim/common/logrotate-exim4-paniclog'
 133   }
 134   file { '/etc/exim4/ssl/thishost.crt':
 135     content => inline_template('<%= File.read(scope().call_function("hiera", ["paths.auto_certs_dir"]) + "/" + @fqdn + ".crt") %>'),
 136     group   => 'Debian-exim',
 137     mode    => '0640',
 138   }
 139   file { '/etc/exim4/ssl/thishost.key':
 140     content => inline_template('<%= File.read(scope().call_function("hiera", ["paths.auto_certs_dir"]) + "/" + @fqdn + ".key") %>'),
 141     group   => 'Debian-exim',
 142     mode    => '0640',
 143   }
 144   file { '/etc/exim4/ssl/ca.crt':
 145     content => inline_template('<%= File.read(scope().call_function("hiera", ["paths.auto_certs_dir"]) + "/ca.crt") %>'),
 146     group   => 'Debian-exim',
 147     mode    => '0640',
 148   }
 149   file { '/etc/exim4/ssl/ca.crl':
 150     content => inline_template('<%= File.read(scope().call_function("hiera", ["paths.auto_certs_dir"]) + "/ca.crl") %>'),
 151     group   => 'Debian-exim',
 152     mode    => '0640',
 153   }
 154   file { '/var/log/exim4':
 155     ensure => directory,
 156     mode   => '2750',
 157     owner  => 'Debian-exim',
 158     group  => maillog,
 159   }
 160
 161   # Do we actually want this?  I'm only doing it because it's harmless
 162   # and makes the logs quiet.  There are better ways of making logs quiet,
 163   # though.
 164   ferm::rule { 'dsa-ident':
 165     domain      => '(ip ip6)',
 166     description => 'Allow ident access',
 167     rule        => '&SERVICE(tcp, 113)'
 168   }
 169
 170   # These only affect the alias @$fqdn, not say, @debian.org
 171
 172   mailalias { [
 173     'postmaster',
 174     'hostmaster',
 175     'usenet',
 176     'webmaster',
 177     'abuse',
 178     'noc',
 179     'security',
 180   ]:
 181     ensure => absent
 182   }
 183 }