postfix - TLS/SSL-Fehler beim Empfangen von E-Mails

Question 1

Das Problem wird in diesen Protokollzeilen deutlich:

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org versucht, eine SSL/TLS-Verbindung herzustellen, scheitert jedoch, wahrscheinlich weil es versucht, ein SSL/TLS-Protokoll zu sprechen, das Ihr Server nicht akzeptiert.

Sie sollten wirklich nur die Ausgabe posten, postconf -ndamit nur die Konfigurationsparameter angezeigt werden, die von den Standardeinstellungen abweichen. Ihre postconfAusgabe enthält zu viel Rauschen, um wirklich nützlich zu sein.

Das sagte inLinie 713Ihrer postconfAussage nach scheinen Sie jedes TLS-Protokoll außer TLSv1.2 zu verbieten. Das ist sehr restriktiv und wahrscheinlich zu viel für einen Mailserver, der eingehende E-Mails annehmen können soll. Ich würde die relevanten TLS-Konfigurationsparameter wie folgt einstellen:

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

Auf diese Weise deaktivieren Sie SSLv2 und SSLv3, die beide fehlerhaft und unsicher sind, und lassen TLSv1, TLSv1.1 und TLSv1.2 verfügbar. Starten Sie Postfix neu, nachdem Sie diese Parameter hinzugefügt oder geändert haben /etc/postfix/main.cf.

Answer

Das Problem wird in diesen Protokollzeilen deutlich:

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org versucht, eine SSL/TLS-Verbindung herzustellen, scheitert jedoch, wahrscheinlich weil es versucht, ein SSL/TLS-Protokoll zu sprechen, das Ihr Server nicht akzeptiert.

Sie sollten wirklich nur die Ausgabe posten, postconf -ndamit nur die Konfigurationsparameter angezeigt werden, die von den Standardeinstellungen abweichen. Ihre postconfAusgabe enthält zu viel Rauschen, um wirklich nützlich zu sein.

Das sagte inLinie 713Ihrer postconfAussage nach scheinen Sie jedes TLS-Protokoll außer TLSv1.2 zu verbieten. Das ist sehr restriktiv und wahrscheinlich zu viel für einen Mailserver, der eingehende E-Mails annehmen können soll. Ich würde die relevanten TLS-Konfigurationsparameter wie folgt einstellen:

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

Auf diese Weise deaktivieren Sie SSLv2 und SSLv3, die beide fehlerhaft und unsicher sind, und lassen TLSv1, TLSv1.1 und TLSv1.2 verfügbar. Starten Sie Postfix neu, nachdem Sie diese Parameter hinzugefügt oder geändert haben /etc/postfix/main.cf.

Question 2

Ich hatte genau dieselbe Situation beim Verbinden von Gmail mit meinem Postfix-Server und dieselbe Fehlermeldung. Es stellte sich heraus, dass die Berechtigungen und der SELinux-Kontext für mein Zertifikat und meinen Schlüssel falsch waren.

In meinem Fall habe ich einen SFTP-Put ausgeführt, um die Zertifikate auf den Server zu bekommen, dann habe ich das gesamte Verzeichnis inklusive der Zertifikate an den endgültigen Speicherort kopiert.

restorecon -rv [directory]

um den richtigen SELinux-Kontext wiederherzustellen, wenn Sie das Verzeichnis von woanders her verschoben haben (oder mit dem Flag -Z).

Stellen Sie sicher, dass Sie beim Korrigieren der Berechtigungen und Eigentümer (root:root & 640) dies rekursiv für das gesamte Verzeichnis tun und nicht nur für die Dateien im Verzeichnis.

/etc/postfix/main.cfg (nur der relevante Teil)

smtp_tls_security_level = may
smtpd_tls_security_level = may
smtp_tls_note_starttls_offer = yes

#Do not forget that the directory and contents have to be owned by root
smtpd_tls_cert_file = /etc/letsencrypt/live/mydomain.com-0001/fullchain7.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mydomain.com-0001/privkey7.pem

Answer

Ich hatte genau dieselbe Situation beim Verbinden von Gmail mit meinem Postfix-Server und dieselbe Fehlermeldung. Es stellte sich heraus, dass die Berechtigungen und der SELinux-Kontext für mein Zertifikat und meinen Schlüssel falsch waren.

In meinem Fall habe ich einen SFTP-Put ausgeführt, um die Zertifikate auf den Server zu bekommen, dann habe ich das gesamte Verzeichnis inklusive der Zertifikate an den endgültigen Speicherort kopiert.

restorecon -rv [directory]

um den richtigen SELinux-Kontext wiederherzustellen, wenn Sie das Verzeichnis von woanders her verschoben haben (oder mit dem Flag -Z).

Stellen Sie sicher, dass Sie beim Korrigieren der Berechtigungen und Eigentümer (root:root & 640) dies rekursiv für das gesamte Verzeichnis tun und nicht nur für die Dateien im Verzeichnis.

/etc/postfix/main.cfg (nur der relevante Teil)

smtp_tls_security_level = may
smtpd_tls_security_level = may
smtp_tls_note_starttls_offer = yes

#Do not forget that the directory and contents have to be owned by root
smtpd_tls_cert_file = /etc/letsencrypt/live/mydomain.com-0001/fullchain7.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mydomain.com-0001/privkey7.pem

postfix - TLS/SSL-Fehler beim Empfangen von E-Mails

Antwort1

Antwort2

verwandte Informationen