Si cuenta con una LAN conectada a Internet por medio de un cortafuegos con OpenBSD que maneja el DNS de su organización y si además cuenta con una DMZ tal que las peticiones a algunos puertos del cortafuegos son redirigidas a uno o más servidores, seguramente tendrá inconvenientes al resolver nombres de su dominio en la LAN, pues el nombre de su organización (digamos miong.org) será resulto a la dirección externa, la cual conectará al cortafuegos por el puerto pedido y tratará de redirigir la conexión al servidor en la DMZ (i.e se reflejará). Por este motivo desde su LAN en general no resolverá nombres de su dominio.

Una solución (ver /var/named/etc/named-dual.conf) es configurar bind para que tenga dos vistas, una para computadores fuera de la LAN y otra para computadores dentro de la LAN. Un posible archivo de configuración (basado en los distribuidos con OpenBSD) es:

    acl clients {
        localnets;
        ::1;
    };
    options {
        version "";     
        listen-on    { any; };
        listen-on-v6 { any; };
        allow-recursion { clients; };
    };
    logging {
        category lame-servers { null; };
    };
    
    view "internal" {  // Para la red interna
        match-clients { clients; };
        match-recursive-only yes;
        recursion yes;
    
        zone "." {
            type hint;
            file "standard/root.hint";
        };
        zone "localhost" {
            type master;
        file "standard/localhost";
        allow-transfer { localhost; };
        }
        zone "127.in-addr.arpa" {
            type master;
            file "standard/loopback";
            allow-transfer { localhost; };
        };
        zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" {
            type master;
            file "standard/loopback6.arpa";
            allow-transfer { localhost; };
        };
        zone "com" {
            type delegation-only;
        };
        zone "net" {
            type delegation-only;
        };
    
        zone "miong.org" {
            type master;
            file "refleja/miong.org.org";
        };
    };
    view "external" { // Para Internet
        recursion no;
        additional-from-auth no;
        additional-from-cache no;
        zone "miong.org" {
            type master;
        file "master/miong.org";
        };
        zone "168.74.245.200.IN-ADDR.ARPA" { // Para resolución inversa
            type master;
        file "master/db.168.74.245.200";
        };
    };

El archivo master/miong.org sería el típico para resolver externamente, mientras que en refleja/miong.org tendría los mismo nombres del anterior pero con las direcciones de la red local. master/db.167.74.245.200 tendría datos para resolución de nombres inversa desde fuera de la organización, por ejemplo:

    $TTL 1D
    @ IN  SOA  @  root.localhost. (
      49   ; Serial de Zona
      1D   ; Refresco secundario
      6H   ; Reintento secundario
      2D   ; Expiración secundaria
      1D ) ; Cache de registros de recurso
    
    @       IN      NS      cortafuegos.miong.org.
        IN      PTR     www.miong.org.
        IN      PTR     correo.miong.org
        IN      PTR     ns1.miong.org

Se trata de un MTA desarrollado principalmente para OpenBSD por desarrolladores de OpenBSD. Aunque aún se considera experimental hemos comprobado su estabilidad para dominios virtuales que manejan menos de 1000 correos diarios.

Antes de iniciar el servicio es importante detener sendmail con:

    /etc/rc.d/sendmail stop

y deshabilitarlo dejando en /etc/rc.conf.local la línea:

    sendmail_flags=NO

El servicio se inicia con:

    doas /etc/rc.d/smtpd start

y se detiene con:

    doas /etc/rc.d/smtpd stop

Para que inicie en cada arranque y se reinicie fácil ejecutando /etc/rc.local agregue smtpd a la variable pkg_scripts de /etc/rc.conf.local y en ese mismo archivo agregue:

    smtdp_flags=""

También modifique /etc/mailer.conf y cambie algunas líneas para que sean:

    sendmail        /usr/sbin/smtpctl
    send-mail       /usr/sbin/smtpctl
    mailq           /usr/sbin/smtpctl
    makemap         /usr/libexec/smtpd/makemap
    newaliases      /usr/libexec/smtpd/makemap

Una vez en operación pueden examinarse diversos aspectos (como bitácoras, examinar cola de correos, estadísticas) con smtpctl.

La configuración se define en el archivo /etc/mail/smtpd.conf. La configuración más simple que sólo aceptará correo local con aliases definidos en /etc/mail/aliases y lo dejará en formato mbox en /var/mail o hará relevo es:

    listen on lo0

    table aliases file:/etc/mail/aliases

action "local" mbox alias <aliases>
action "relay" relay

match for local action "local"
match for any action "relay"

Para que permita enviar y recibir de otros computadores debe cambiarse la interfaz donde escucha y el nombre de quien acepta correos, por ejemplo:

    listen on all

    table aliases file:/etc/mail/aliases

action "local" mbox alias <aliases>
action "relay" relay

match from any for domain "miong.org" action "local"
match for local action "local"
match for any action "relay"

Si prefiere recibir en formato maildir (por defecto en ~/Maildir de cada usuario) y tener opción de procesar usuario a usuario con procmail vía el archivo ~/.forward es mejor cambiar action "local" mbox alias <aliases> por:

action "local" maildir alias <aliases>

La tabla de alias que usa esta configuración es el archivo plano /etc/mail/aliases. Si prefiere usar base de datos DB en lugar de archivo plano genere la base a partir del archivo plano con:

    doas newaliases

Y en el archivo de configuración cambie table aliases file:/etc/mail/aliases por:

    table aliases db:/etc/mail/aliases.db

Para asegurar el relevo de correos provenientes de miong.org o de la IP 192.168.1.2, basta agregar al mismo archivo de configuración:

    match for miong.org action "relay"
    match for 192.168.1.2 action "relay"

Para agregar autenticación y TLS basta generar certificado SSL y dejar miong.org.crt en /etc/ssl/ y miong.org.key en /etc/ssl/private para después cambiar en el archivo de configuración la línea con listen por:

pki miong.org cert "/etc/ssl/miong.org.crt"
pki miong.org key "/etc/ssl/private/miong.org.key"

listen on all port 465 smtps pki miong.org auth-optional
listen on all port 587 tls pki miong.org auth
listen on all port 25 tls pki miong.org auth-optional

Así quedará:

    smtpd -d

Desde el mismo computador inicie un diálogo con:

$ telnet localhost 25

O desde otro computador con:

    $ telnet correo.miong.org 25
Trying 1.2.3.4
Connected to correo.miong.org
Escape character is '^]'
    220 correo.miong.org ESMTP OpenSMTPD

Inicie dialogo con:

    EHLO [200.21.23.4]

remplazando 200.21.23.4 por la IP desde la que inicia la conexión.

Verá algo como:

250-correo.miong.org Hello [200.21.23.4] [200.21.23.4], pleased to meet you
250-8BITMIME
250-ENHANCEDSTATUSCODES
250-DSN
250-STARTTLS
250 HELP

Note que debe aparecer la línea STARTTLS.

Para probar la autenticación es mejor emplear el puerto 465 y openssl:

    openssl s_client -connect correo.miong.org:465
...
    Start Time: 1578243911
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)
---
220 correo.miong.org ESMTP OpenSMTPD
    EHLO [200.21.23.4]
250-kadosh.pasosdeJesus.org Hello [200.21.23.4] [200.21.23.4], pleased to meet you
250-8BITMIME
250-ENHANCEDSTATUSCODES
250-SIZE 134217728
250-DSN
250-AUTH PLAIN LOGIN
250 HELP

Note que ya está disponible autenticación AUTH con métodos PLAIN y LOGIN. Para autenticarse debe dar una identificación y una clave válida en el sistema pero codificadas en base 64. Puede emplear la interfaz CGI disponible en http://www.motobit.com/util/base64-decoder-encoder.asp o eventualmente el programa disponible en http://www.sendmail.org/~ca/email/prgs/ed64.c que puede compilar y usar como root así:

    cd /root/tmp
    ftp http://www.sendmail.org/~ca/email/prgs/ed64.c
    cc -o ed64 ed64.c
    ./ed64 -e
    MiUsuario
    TWlVc3Vhcmlv
    MiClave
    TWlDbGF2ZQ==

Retomando la sesión y usando estos datos:

    AUTH LOGIN
    334 VXNlcm5hbWU6
    TWlVc3Vhcmlv
    334 UGFzc3dvcmQ6
    TWlDbGF2ZQ==
235 2.0.0: Authentication succeeded

puede intentar el envío de un correo por ejemplo con:

    MAIL FROM:<pablo@miong.org>
    250 OK                                                                          
    RCPT TO:<rodrigo@miong.org>
    250 Accepted                                                                    
    DATA                                                                            
    354 Enter message, ending with "." on a line by itself                          
    From: "pablo@miong.org" <pablo@miong.org>
    To:  rodrigo@miong.org
    Subject: probando
    1234                                                                            
    .                                                                               
    250 OK id=1GZXFP-000540-7J                                                      
    QUIT

De requerirlo puede rastrear problemas en /var/log/maillog. Si desea probar el método PLAIN, con ed64 emplee:

    MiUsuario\0MiUsuario@pasosdeJesus.org\0MiClave
    TWlVc3VhcmlvAE1pVXN1YXJpb0BwYXNvc2RlamVzdXMub3JnAE1pQ2xhdmU=

y al dialogar en SMTP:

    AUTH PLAIN TWlVc3VhcmlvAE1pVXN1YXJpb0BwYXNvc2RlamVzdXMub3JnAE1pQ2xhdmU= 

También puede probar el servicio del puerto 465 con la misma secuencia, pero iniciando con:

Instale el paquete dovecot-2.3.11.3p0v0 y asegúrese de dejar dovecot en la variable pkg_scripts de /etc/rc.conf.local para que se inicie en cada arranque.

Puede generar un certificado autofirmado editando los datos para el certificado en el archivo /etc/ssl/dovecot-openssl.cnf y generandolo con

    /usr/local/sbin/dovecot-mkcert.sh

que lo dejará en /etc/ssl/dovecotcert.pem y /etc/ssl/private/dovecot.pem.

Edite el archivo /etc/dovecot/conf.d/auth-system.conf.ext y asegurse de que queden sin comentario las siguientes partes:

    passdb {                                                                        
        driver = bsdauth    
    }
    userdb {                                                                        
        driver = passwd                                                               
    }

Inicie el servicio con

    /etc/rc.d/dovecot start

y pruébelo en los puertos 143 (IAMP sin cifrar), 993 (IMAP sobre SSL), 110 (POP3 sin cifrar) y 995 (POP3 sobre SSL). Por defecto dovecot intentará recuperar correos en formato maildir de la carpeta Maildir de cada usuario.

Una vez confirme la operación recomendamos que sólo abra el puerto 993 del cortafuegos para permitir conexiones IMAP remotas sobre SSL.

Esta implementación requiere que se cambie la forma de almacenar correos recibidos por sendmail de formato mbox a formato maildir. Esto y la autenticación que requiere courier exigen una configuración especial que se describe a continuación.

    VERBOSE=on
      

    cd /home/pablo
    procmail 
    Mensaje de prueba
    Termínelo con Control-D
    .
    procmail: [21024] Fri Jul  1 18:32:30 2005
    procmail: Assigning "PMDIR=/home/pablo/"
    procmail: Assigning "MAILDIR=/home/pablo/Maildir/"
    procmail: Assigning "FORMAIL=/usr/local/bin/formail"
    procmail: Assigning "SENDMAIL=/usr/sbin/sendmail"
    procmail: Assigning "LOGFILE=/home/pablo/log"

Dec 19 18:31:59 servidor sendmail[22209]: kBJNVwMt022209: to=test@localhost, ctladdr=pablo (1000/1000), delay=00:00:01, xdelay=00:00:01, mailer=relay, pri=30061, relay=[127.0.0.1] [127.0.0.1], dsn=2.0.0, stat=Sent (kBJNVw3t021322 Message accepted for delivery)
Dec 19 18:31:59 servidor sm-mta[21454]: kBJNVw3t021322: to="| exec /usr/local/bin/procmail", ctladdr=<test@miong.org> (1008/10), delay=00:00:00, xdelay=00:00:00, mailer=prog, pri=30756, dsn=2.0.0, stat=Sent
        

    POP3DSTART=YES
    MAILDIRPATH=Maildir
      

    MAILDIRPATH=Maildir
      

    doas mkpop3dcert
      

    cd /etc/ssl/private
    cat server.key ../server.crt > pop3d.pem
          

    doas mkdir -p /var/run/courier
    doas /usr/local/libexec/pop3d-ssl.rc start
      

    doas /usr/local/libexec/pop3d-ssl.rc stop
      

    pass in on $ext_if proto tcp to ($ext_if) port pop3s keep state
      

    openssl s_client -connect localhost:995 

    +OK Hello there.
    user pablo
    +OK Password required.
    pass ejem
    +OK logged in.
    list
    +OK POP3 clients that break here, they violate STD53.
    1 17559
    2 1128
    3 2430
    . 

    IMAPDSTART=YES
    MAILDIRPATH=Maildir

    MAILDIRPATH=Maildir

    TLS_PROTOCOL=SSL23

    mkimapdcert

    cd /etc/ssl/private
    cat server.key ../server.crt > imapd.pem

    doas /etc/rc.d/courier_imap_ssl start

    doas /etc/rc.d/courier_imap_ssl stop

    DEBUG_LOGIN=1

    doas /usr/local/libexec/imapd-ssl.rc stop
    rm /var/run/courier/imapd-ssl.pid

    pass in on $ext_if proto tcp to ($ext_if) port 993 keep state
        

    $ openssl s_client -connect localhost:993
    ...
    AB LOGIN pablo MiClave
    AB OK LOGIN Ok.
    BC SELECT "Inbox"
    BC NO Unable to open this mailbox.
    ZZZZ LOGOUT
    * BYE Courier-IMAP server shutting down
    ZZZZ OK LOGOUT completed

set spoolfile=imaps://localhost/INBOX
set folder=imaps://localhost/
        

cd /etc/skel
cp -rf Maildir .forward .procmailrc .muttrc /home/cuenta/ 
chown -R cuenta:cuenta /home/cuenta/{.forward,.procmailrc,.muttrc,Maildir}
touch /var/mail/cuenta
chown -R cuenta:cuenta /var/mail/cuenta
chmod og-r /var/mail/cuenta

Para iniciar el servicio ejecute:

    /usr/local/bin/spamd -u _spamdaemon -d      

y para que inicie automáticamente en cada arranque, agregue spamassassin en la variable pkg_scripts de /etc/rc.local.

La configuración por defecto de SpamAssassin es bastante buena, pero puede personalizarse en el archivo /etc/mail/spamassassin/local.cf.

Cada usuario que requiera el uso de SpamAssassin para clasificar automáticamente los no solicitados en el buzón spamagarrado, debe tener configurado procmail, esto puede hacerse modificando o creando el archivo ~/.procmailrc para que incluya líneas como las siguientes (en caso de que el usuario maneje su correo en formato mbox como ocurre por defecto en OpenBSD):

    :0fw                                                                            
    * < 256000
    | spamc                                                                         
    
    :0e                                                                             
    {
        EXITCODE=$?
    }
    
    :0:                                                                             
    * ^X-Spam-Status: Yes
    spamagarrado # buzón donde va todo el spam

O como las siguientes que suponen que el usuario pablo maneja su correo en formato maildir (para permitir consulta con IMAPS –ver Implementación Courier de POP3S e IMAPS):

    :0fw: spamassassin.lock
    * < 512000
    | spamc
    
    # Los correos con puntaje de 15 o superior casi que con seguridad son spam (con
    # 0.05% de falsos positivos de acuerdo a rules/STATISTICS.txt). Pongamolos
    # en un mbox diferente llamado .Spam.
    :0:
    * ^X-Spam-Level: \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*
    /home/pablo/Maildir/.Spam/
    
    # Todo correo marcado como spam (e.g. con puntaje mayor que el umbral puesto)
    # se mueve a "PosibleSpam".
    :0:
    * ^X-Spam-Status: Yes
    /home/pablo/Maildir/.PosibleSpam/
    
    :0
    * .*
    /home/pablo/Maildir/

Envíe al usuario al cual le configuró procmail un archivo cuyo cuerpo sea el mensaje del archivo /usr/local/share/doc/SpamAssassin/sample-spam.txt. Debe quedar en la carpeta de correos no solicitados.

/usr/local/share/doc/SpamAssassin/OpenBSD-SpamAssassin-mini-howto.html

Este cliente de correo para el web tiene una interfaz bastante agradable para el usuario final, con buen rango de posibilidades (libreta de direcciones LDAP, búsquedas, corrección ortográfica) y facilidad de configuración e instalación.

Requiere una base de datos para almacenar parte de la información, puede obtener correo de servidores IMAP e IMAPS.

Basta instalar el paquete roundcubemail o descargar ls fuentes más recientes de http://sourceforge.net/projects/roundcubemail/ e instalarlas en /var/www/roundcubemail, y seguir instrucciones del archivo INSTALL que resumimos a continuación junto con instrucciones de módulos, suponiendo que en el mismo servidor (correo.miong.org) están los servicios IMAPS y SMTP y que se empleará el motor de bases de datos PostgreSQL:

Roundcubemail incluye plugins para diversas labores, por ejemplo si desea añadir la posibilidad de cambiar la clave a los usuarios desde este programa debe activar el plugin password, para esto:

Si además desea permitir que los usuarios puedan cambiar su clave desde este webmail active el plugin password como se presenta a continuación:

Instalar paquete de mailman pkg_add $PKG_PATH/mailman.tgz que requiere `se crean automáticamente el grupo_mailmany el usuario_mailman`

Leer /usr/local/share/doc/mailman/README.OpenBSD

Editar /var/www/conf/httpd.conf agregando la linea:

    ScriptAlias /mailman/ "$mailmandir/cgi-bin/"

donde $mailmandir es /usr/local/lib/mailman/ agregar también:

    <Directory "/usr/local/lib/mailman/cgi-bin">
        AllowOverride None
        Options None
        Order allow,deny
        Allow from all
    </Directory>

además agregar las lineas:

    Alias /pipermail/ "/var/spool/mailman/archives/public/"
    
    <Directory "/var/spool/mailman/archives/public/">
            Options FollowSymLinks
            AddDefaultCharset Off
    </Directory>

al mismo archivo.

Copiar los iconos: cp /usr/local/lib/mailman/icons/* /var/www/icons/ Reiniciar el apache para que cargue los cambios.

    apachectl stop
    . /etc/rc.conf.local
    httpd $httpd_flags

editar el archivo /usr/local/lib/mailman/Mailman/mm_cfg.py agregando las lineas

    DEFAULT_EMAIL_HOST = 'dominio.net'
    DEFAULT_URL_HOST = 'www.dominio.net'
    DEFAULT_URL_PATTERN = 'http://%s/mailman/'
    add_virtualhost(DEFAULT_URL_HOST, DEFAULT_EMAIL_HOST)

Crear primera lista llamada mailman

    /usr/local/lib/mailman/bin/newlist mailman

agregar a /etc/mail/aliases las lineas:

    ## mailman mailing list
    mailman:              "|/usr/local/lib/mailman/mail/mailman post mailman"
    mailman-admin:        "|/usr/local/lib/mailman/mail/mailman admin mailman"
    mailman-bounces:      "|/usr/local/lib/mailman/mail/mailman bounces mailman"
    mailman-confirm:      "|/usr/local/lib/mailman/mail/mailman confirm mailman"
    mailman-join:         "|/usr/local/lib/mailman/mail/mailman join mailman"
    mailman-leave:        "|/usr/local/lib/mailman/mail/mailman leave mailman"
    mailman-owner:        "|/usr/local/lib/mailman/mail/mailman owner mailman"
    mailman-request:      "|/usr/local/lib/mailman/mail/mailman request mailman"
    mailman-subscribe:    "|/usr/local/lib/mailman/mail/mailman subscribe mailman"
    mailman-unsubscribe:  "|/usr/local/lib/mailman/mail/mailman unsubscribe mailman"

Regenerar alias con newaliases

Poner en el crontab algunas lineas:

    crontab -u _mailman  /usr/local/lib/mailman/cron/crontab.in

Reiniciar mailman:

    /usr/local/lib/mailman/bin/mailmanctl start

Hacer que cada vez que se inicie el equipo corra mailman, agregando al archivo /etc/rc.local las lineas:

    if [ X"$mailmanctl_flags" != X"NO" -a  \
        -x /usr/local/lib/mailman/bin/mailmanctl ]; then
              echo -n ' mailman'
              /usr/local/lib/mailman/bin/mailmanctl $mailmanctl_flags
    fi

y en /etc/rc.conf.local:

    mailmanctl_flags="-s -q start"

Asignar password al sitio de mailman con

    /usr/local/lib/mailman/bin/mmsitepass

El archivo de configuración consta de directivas que le indican a nginx como responder a solicitudes http.

Pueden ponerse comentarios a la derecha del símbolo # en cualquier línea (el resto de la línea después del # es comentario).

El siguiente es un archivo de configuración mínimo para que nginx sirva páginas estáticas HTML, CSS y Javascript alojadas en el sistema de archivos en /var/www/htdocs/, iniciando por omisión con index.html requiriendo que el usuario final acceda desde el mismo servidor con un navegador empleando una dirección de la forma http://127.0.0.1

http {
  include mime.types;
  default_type application/octet-stream;
  index index.html;
  server {
    server_name 127.0.0.1;
    listen 80:
    root htdocs;
  }
}

Dentro del bloque de la directiva http debe ponerse una directiva server por cada sitio web que sea servido por nginx.

La directiva server tiene un bloque dentro del cual deben ponerse, entre otras, las directivas server_name (con nombre de servidor) y listen (con puerto) acordes a los URLs que se esperan sean usados por los usuarios y otras directivas de acuerdo al contenido que se desea servir.

En el ejemplo anterior la directiva root indica que se servirán contenido alojado en el sistema de archivos en la ruta /var/www/htdocs (como nginx correo en la jaula /var/www basta indicar la ruta dentro de esa). La directiva index index.html indica que si el usuario no especifica una ruta particular en el URL se servirá el archivo /var/www/htdocs/index.html que si desea probar puede iniciar con el contenido:

<h1>Bienvenido a servir contenido web con nginx</h1>

Los URLs que usen que incluyen el protocolo (http sin cifrar o https con cifrado) el nombre del servidor (o dirección IP si no tiene dominos DNS configurados) y el puerto (si el usuario no emplea un puerto y el URL comienza con http se usa el puerto 80, o si comienza con https se emplea por omisión el puerto 443).

Otro caso sencillo de configurar es servir contenido estático HTML, CSS y Javascript a usuarios ubicados en computadores en una red local en la que el servidor tiene una IP estática asignada (digamos 192.168.20.20) o si ha contratado una IP pública con su proveedor de Internet digamos 125.125.123.1

http {
  include mime.types;
  default_type application/octet-stream;
  index index.html;
  server {
    server_name 125.125.123.1;
    listen 80:
    root htdocs;
  }
}

Si prefiere usar un nombre en lugar de una IP (digamos miong.org) deberá tramitar el registro del dominio ante un registrador y pagar la anualidad. En tal caso la sección server para el puerto 80 sería (cambiando www por el registro que hay configurado en su dominio y minombre.org por el dominio que haya contratado):

  server {
    server_name www.minombre.org;
    listen 80:
    root htdocs;
  }

Claro que es posible configurar a manera de prueba resolución local en un computador para que el nombre se asocie a la IP esperada o incluso si tiene control de un resolvedor de una red local para que en la red local el nombre resuelva al servidor donde corre el nginx.

192.168.10.2 www.midominio.org

interface: 127.0.0.1
interface: 192.168.10.2

access-control: 192.168.10.0/24 allow

local-zone: "midominio.org" static
local-data: "midominio.org IN A 192.168.10.2"
local-data: "www.midominio.org IN A 192.168.10.2"

doas rcctl -d restart unbound

midominio.org.  A   125.125.121.1;
www.midominio.org.  A   125.125.121.1;

Hay varias posibilidades:

doas mkdir /var/www/htdocs/miproyecto1
doas chown $USER:$USER /var/www/htdocs/miproyecto1
cat > /var/www/htdocs/miproyecto1/index.html << EOF
A Dios sea la gloria
EOF

server { 
  listen 8080;
  server_name 192.168.10.50;
  root /var/www/htdocs/miproyecto1;
  index index.html;

  error_log logs/miproyecto1-error.log;
  access_log logs/miproyecto1-access.log ;
} 

location ~ ^(.+\.php)$ {
  try_files $uri =404;
  fastcgi_intercept_errors on;
  include fastcgi_params;
  fastcgi_param SERVER_NAME $host;
  fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
  fastcgi_index index.php;
  fastcgi_pass unix:/var/run/php-fpm.sock;
}

index index.php index.html; 

Otra posibilidad es que emplee los certificados gratuitos generados por Let’s Encrypt como se describe más adelante.

Supongamos que tiene un certificado con parte pública en /etc/ssl/midominio.org.crt y para privada en /etc/ssl/private/midominio.org.key.

Como se ha mencionado el bloque de la directiva server posiblemente tendrá listen 443; (si escucha en puerto estándar), el mismo bloque debe tener:

  ssl on;
  ssl_certificate /etc/ssl/midominio.org.crt;
  ssl_certificate_key /etc/ssl/private/midominio.org.key;

En el archivo /etc/rc.conf.local agregue:

    httpd_flags=""

y en adJ agregue httpd a la variable pkg_scripts.

Se configura en el archivo /etc/httpd.conf cuya sintaxis tiene algunas similitudes con la de nginx y con la de relayd. Puede constar de 4 secciones: macros, configuraciones globales, uno o más servidores y tipos.

La sintaxis de la sección de tipos es idéntica a la de nginx y como puede usarse include para incluir otro archivo de configuración, el siguiente es un ejemplo mínimo (incluyendo el macro ext_ip):

    ext_ip="200.201.202.203"
    server "default" {
        listen on $ext_ip port 80
    }
    include "/etc/nginx/mime.types"

Podría probarlo iniciando en modo de depuración con:

    doas httpd -vn

Y examinando con un navegador la URL http://200.201.202.203, con lo que vería el archivo /var/www/htdocs/index.html y notaría que:

Al ejemplo de configuración mínima anterior bastaría agregarle ssl a la opción listen e indicar el puerto 443, que es el asignado por defecto para HTTPS:

    ext_ip="200.201.202.203"
    server "default" {
        listen on $ext_ip ssl port 443
    }
    include "/etc/nginx/mime.types"

El certificado que emplea por defecto es el par /etc/ssl/server.crt y /etc/ssl/private/server.key. Podría especificarse otro par con las opciones ssl certificate archivo y ssl key archivo dentro de la sección server.

Si la misma IP debe servir diversos dominios, cree una sección server por cada dominio con el nombre del dominio y emplee la misma opción listen para todos y si es el caso directorios raices diferentes.

Si se configuraran los dominios www.miescuela.edu.co y www.otrodominio.co apuntando a la misma IP de los ejemplos anteriores y tiene las páginas de cada dominio en /var/www/htdocs/miescuela y /var/www/htdocs/otrodominio:

    ext_ip="200.201.202.203"
    server "www.miescuela.edu.co" {
        listen on $ext_ip port 80
        root /htdocs/miescuela
    }

    server "www.otrodominio.co" {
        listen on $ext_ip port 80
        root /htdocs/otrodominio
    }

    include "/etc/nginx/mime.types"

Es posible que sirva contenidos PHP usando php-fpm como FastCGI. Sin embargo debe asegurar haber aplicado los parches más recientes para 5.6 (ya incluidos en binarios de adJ) y tener en cuenta que no soporta, y posiblemente no soportará reescritura de URLs.

Una configuración mínima para SIVeL 1.2 que opere en 192.168.1.1, con archivos en /var/www/htdcos/sivel y con SSL es:

    server "192.168.1.1" {
        listen on egress ssl port 443

        location "*.php" {
            fastcgi socket "/run/php-fpm.sock"
        }
        root "/htdocs/sivel/"
        include "/etc/nginx/mime.types"
    }

Operará bien con la configuración por defecto de php-fpm, que puede instalar con:

    doas pkg_add php-fpm
    doas cp /usr/local/share/examples/php-5.4/php-fpm.conf /etc/

e iniciar con:

    doas sh /etc/rc.d/php-fpm start

o mejor en cada arranque de su sistema editando /etc/rc.conf.local y agregando

Si requiere volver a leer archivo de configuración, en lugar de reiniciar httpd puede ejecutar:

                        pkill -HUP httpd

El formato de las bitácoras por defecto es similar al de nginx