<div class="iw_mail" dir="auto" style="font-size: 13px;"><div>Hi Aki,</div><div><br></div><div>> 1.1 If I understand correctly, setting 'nopassword' in the proxy passdb file, authentication is completely up to the destination host. Setting 'nopassword' in no way means the proxy becomes an open relay. Is this correct?</div><div>> You still control where it proxies to.</div><div>> 1.2 Are there any security implications when using 'nopassword' on the proxy?</div><div>> As long as its really a proxy, probably no.</div><div><br></div><div>Ok, so assuming proper authentication is configured on the destination host, the answer to 1.1 is 'yes' and the answer to 1.2 is 'no'.</div><div><br></div><div>> userdb is ignored on proxies. For your usecase try following</div><div>> and into domains.passwd</div><div><br></div><div>Ah, yes, of course. I forgot Dovecot supports multiple passdb backends. I have added the domains.passwd backend as a fallback.</div><div><br>Thanks!</div><div class="iw-signature"><div><br></div><div>Met vriendelijke groeten,</div><div><br></div><div>William Edwards</div>T. 040 - 711 44 96<div>E. wedwards@cyberfusion.nl</div><div><br></div><div><br></div><div><br></div><div><img height="44" width="318" border="0" id="webClient_1573021897598" src="https://cyberfusion.nl/img/CF-Logo-liggend-RGB.png" class="wm_inserted"></div> </div><div><br></div><div style="font-size: 13px;font-family:Roboto, Tahoma, Helvetica, sans-serif;line-height:normal;" dir="LTR" class="iw-reply-block"><div style="margin:0;font-family:Roboto, Tahoma, Helvetica, sans-serif;font-size:13px;font-weight:300;line-height:150%;letter-spacing:normal;color:#333333;"><div style="display:none;margin:0;font-family:Roboto, Tahoma, Helvetica, sans-serif;font-size:13px;font-weight:300;line-height:150%;letter-spacing:normal;color:#333333;">----- Original Message -----</div><hr style="width:100%;padding:0;margin:10px 0;color:#888888;background-color:#888888;border-color:#DDDDDD;" width="100%" size="1">From: Aki Tuomi (<a style="font-family: Helvetica, sans-serif; font-size: 12px; font-weight: 300; line-height: 150%; color: rgb(0, 136, 204); text-decoration: none;" href="mailto:aki.tuomi@open-xchange.com">aki.tuomi@open-xchange.com</a>)<br>Date: 12/27/19 17:42<br>To: William Edwards (<a style="font-family: Helvetica, sans-serif; font-size: 12px; font-weight: 300; line-height: 150%; color: rgb(0, 136, 204); text-decoration: none;" href="mailto:wedwards@cyberfusion.nl">wedwards@cyberfusion.nl</a>), dovecot (<a style="font-family: Helvetica, sans-serif; font-size: 12px; font-weight: 300; line-height: 150%; color: rgb(0, 136, 204); text-decoration: none;" href="mailto:dovecot@dovecot.org">dovecot@dovecot.org</a>)<br>Subject: <span style="font-family:Helvetica, sans-serif;font-size:12px;font-weight:300;line-height:150%;color:#333;text-decoration:none;font-weight:bold;">Re: Dovecot proxy: authentication best practices</span></div><br><div><div><br></div><blockquote type="cite"><div>On 27/12/2019 16:02 William Edwards <<a href="mailto:wedwards@cyberfusion.nl">wedwards@cyberfusion.nl</a>> wrote:</div><div><br></div><div><br></div><div style="font-size: 13px;" dir="auto" class="iw_mail"><div>Hi!</div><div><br></div><div>I have a few questions regarding Dovecot proxy:</div><div><br></div><div>1.</div><div>1.1 If I understand correctly, setting 'nopassword' in the proxy passdb file, authentication is completely up to the destination host. Setting 'nopassword' in no way means the proxy becomes an open relay. Is this correct?</div></div></blockquote><div><br></div><div>You still control where it proxies to.</div><blockquote type="cite"><div style="font-size: 13px;" dir="auto" class="iw_mail"><div>1.2 Are there any security implications when using 'nopassword' on the proxy?</div></div></blockquote><div><br></div><div>As long as its really a proxy, probably no.</div><blockquote type="cite"><div style="font-size: 13px;" dir="auto" class="iw_mail"><div>2.</div><div>2.1 I would like to avoid having to store all users in a passdb file on the proxy. I would much rather specify a domain for which Dovecot proxy will route all users to a specific host. Is there a way to let Dovecot proxy route to a destination host based on domain, so individual users don't have to be specified in the proxy passdb?</div><div>2.2 Is it correct that userdb does not have any effect on proxying and it can be left out of the config? Source: <a href="https://dovecot.org/pipermail/dovecot/2013-October/093138.html">https://dovecot.org/pipermail/dovecot/2013-October/093138.html</a> (point 2)</div></div></blockquote><div>userdb is ignored on proxies. For your usecase try following</div><div><br></div><div>passdb {</div><div>  driver = passwd-file</div><div>  args = username_format=%Ld /etc/dovecot/domains.passwd</div><div>}</div><div><br></div><div>and into domains.passwd</div><div><br></div><div>domain.com::::::: nopassword proxy host=host1</div><div><br></div><div>colon count might be wrong</div><blockquote type="cite"><div style="font-size: 13px;" dir="auto" class="iw_mail"><div><div>Met vriendelijke groeten,</div><div><br></div><div>William Edwards</div>T. 040 - 711 44 96<div>E. <a href="mailto:wedwards@cyberfusion.nl">wedwards@cyberfusion.nl</a></div></div></div></blockquote><div class="io-ox-signature"><pre>---<br>Aki Tuomi</pre></div></div></div></div>