postfix - メール受信時の TLS/SSL エラー

Question 1

問題は次のログ行に明らかです:

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org は SSL/TLS 接続をセットアップしようとしましたが、サーバーが受け入れない SSL/TLS プロトコルを話そうとしたために失敗しました。

postconf -nデフォルトと異なる構成パラメータのみが表示されるように、出力を投稿する必要があります。postconf出力にはノイズが多すぎて、あまり役に立ちません。

そうは言っても713行目あなたのpostconfgist では、TLSv1.2 を除くすべての TLS プロトコルを禁止しているようです。これは非常に制限的であり、受信メールを受け入れる必要があるメールサーバーにとってはおそらく厳しすぎます。関連する TLS 構成パラメータを次のように設定します。

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

この方法では、壊れていて安全でない SSLv2 と SSLv3 を無効にし、TLSv1、TLSv1.1、TLSv1.2 を利用できるようにしておきます。でこれらのパラメータを追加または変更した後は、Postfix を再起動してください/etc/postfix/main.cf。

Answer

問題は次のログ行に明らかです:

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org は SSL/TLS 接続をセットアップしようとしましたが、サーバーが受け入れない SSL/TLS プロトコルを話そうとしたために失敗しました。

postconf -nデフォルトと異なる構成パラメータのみが表示されるように、出力を投稿する必要があります。postconf出力にはノイズが多すぎて、あまり役に立ちません。

そうは言っても713行目あなたのpostconfgist では、TLSv1.2 を除くすべての TLS プロトコルを禁止しているようです。これは非常に制限的であり、受信メールを受け入れる必要があるメールサーバーにとってはおそらく厳しすぎます。関連する TLS 構成パラメータを次のように設定します。

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

この方法では、壊れていて安全でない SSLv2 と SSLv3 を無効にし、TLSv1、TLSv1.1、TLSv1.2 を利用できるようにしておきます。でこれらのパラメータを追加または変更した後は、Postfix を再起動してください/etc/postfix/main.cf。

Question 2

Gmail を postfix サーバーに接続したときにもまったく同じ状況が発生し、同じエラーメッセージが表示されました。証明書とキーの権限と SELinux コンテキストが正しくないことが判明しました。

私の場合は、証明書をサーバーに取得するために sftp put を実行し、証明書を含むディレクトリ全体を最終的な場所にコピーしました。

restorecon -rv [directory]

ディレクトリを別の場所から移動した場合 (または -Z フラグを使用した場合)、正しい SELinux コンテキストを復元します。

権限と所有権 (root:root & 640) を修正するときは、ディレクトリ内のファイルだけでなく、ディレクトリ全体に対して再帰的に修正するようにしてください。

/etc/postfix/main.cfg (関連部分のみ)

smtp_tls_security_level = may
smtpd_tls_security_level = may
smtp_tls_note_starttls_offer = yes

#Do not forget that the directory and contents have to be owned by root
smtpd_tls_cert_file = /etc/letsencrypt/live/mydomain.com-0001/fullchain7.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mydomain.com-0001/privkey7.pem

Answer