TLS を使用した Postfix 2.6.6 - GMail (および他のいくつかの MTA) からのメールを受信できませんが、他のメールは正常に受信できます。なぜでしょうか?

Question

結局のところ、この問題は、一部の送信者がまだ SSLv3 のみをネゴシエートできることが原因であるようです。これは悪いことですが、電子メールを受信できないのも良くありません。

それは本当に単純なことです。私はこれに満足していませんが、送信側の MTA が TLS への再ネゴシエーションを拒否し、SSLv3 で永遠に再試行するだけであれば、現時点で私たちにできることはあまりありません。

そのため、当面は、受信メールを SSLv3 で暗号化することを許可しながらも、サーバー上のすべてのクライアントが TLS 経由で認証する必要があるようにすることにしました。

私は、以下のプロトコル否定子を緩和することでこれを達成しましたmain.cf。

smtpd_tls_mandatory_protocols = !TLSv1, !SSLv2
smtpd_tls_protocols = !TLSv1, !SSLv2

注意: これらのsmtp_tls_定義は、このサーバーから送信されるメールに関するものであり、クライアント接続に関係するため、必要に応じて厳密にすることができます (電子メールクライアントの設定方法を全員に説明する意思がある限り)。

smtp_tls_mandatory_protocols = !TLSv1, !SSLv2, !SSLv3
smtp_tls_protocols = !TLSv1, !SSLv2, !SSLv3

送信側 MTA が TLS をネゴシエートできず、SSLv3 を期待している場合、通常、メールログには次の内容が表示されます。

warning: TLS library problem: 364:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

ログレベルを上げると、TLSネゴシエーションが失敗し、次のようなメッセージが表示されるようになります。

postfix/smtpd[26234]: SSL_accept:before/accept initialization
postfix/smtpd[26234]: SSL_accept:error in SSLv2/v3 read client hello A
postfix/smtpd[26234]: SSL_accept error from 201-62-89-201.life.com.br[201.62.89.201]: -1

私は定期的に SSLv3 接続を禁止するテストを行ってきました (必然的に MTA は何日も再試行します)。そのため、ログにいくつかの失敗が蓄積されてから分析することができます。

この bash スクリプトは、どのサーバーが SSLv3 を使用しようとしているかを分析するのに役立ちます。

#!/bin/sh
egrep "SSL_accept error" /var/log/maillog | awk '{printf("%s %s %s\n", $9, $10, $11)}' | sort | uniq -c | sort -`

このバリエーションはネゴシエートされた暗号を示しています。したがって、SSLv3 を再度有効にしたら、しばらくそのままにして、MTA が SSLv3 を使用していることを確認できます。

#!/bin/sh
egrep "TLS connection established from.*with cipher" /var/log/maillog | awk '{printf("%s %s %s %s\n", $12, $13, $14, $15)}' | sort | uniq -c | sort -

より良い答えはまだ見つかっていません。より微妙なアプローチを取り、接続試行が特定のエラーで失敗するかどうかに応じて、特定の MTA に対して SSLv3 を選択的に許可できるようにしたいと思いますmaillog。すべてのコメント/提案を歓迎します。

Answer 1