Postfix 2.6.6 mit TLS – kann keine E-Mails von GMail (und einigen anderen MTAs) empfangen, von anderen aber ok. Warum?

Question

Letztendlich scheint dieses Problem darauf zurückzuführen zu sein, dass einige Absender immer noch nur SSLv3 aushandeln können. Das ist eine schlechte Sache, aber keine E-Mails zu erhalten ist auch nicht so toll.

So einfach ist das eigentlich. Ich bin damit nicht zufrieden, aber wenn sendende MTAs sich weigern, erneut auf TLS zu verhandeln und es immer wieder mit SSLv3 versuchen, können wir im Moment nicht viel tun.

Daher habe ich vorerst die Verschlüsselung eingehender E-Mails mit SSLv3 zugelassen, von allen Clients auf dem Server jedoch weiterhin eine Authentifizierung über TLS verlangt.

Dies habe ich erreicht, indem ich die Protokollnegatoren in Folgendem verringert habe main.cf:

smtpd_tls_mandatory_protocols = !TLSv1, !SSLv2
smtpd_tls_protocols = !TLSv1, !SSLv2

Beachten Sie, dass die smtp_tls_Definitionen für E-Mails gelten, die von diesem Server gesendet werden. Sie beziehen sich also auf Client-Verbindungen. Sie können diese also so streng festlegen, wie Sie möchten (solange Sie bereit sind, jedem zu erklären, wie er seinen E-Mail-Client einrichtet):

smtp_tls_mandatory_protocols = !TLSv1, !SSLv2, !SSLv3
smtp_tls_protocols = !TLSv1, !SSLv2, !SSLv3

Wenn sendende MTAs TLS nicht aushandeln können und SSLv3 erwartet wird, sehen Sie normalerweise Folgendes im Mailprotokoll:

warning: TLS library problem: 364:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

Wenn Sie die Protokollierungsebene erhöhen, sehen Sie, dass die TLS-Aushandlung fehlschlägt, und es werden weitere Meldungen wie

postfix/smtpd[26234]: SSL_accept:before/accept initialization
postfix/smtpd[26234]: SSL_accept:error in SSLv2/v3 read client hello A
postfix/smtpd[26234]: SSL_accept error from 201-62-89-201.life.com.br[201.62.89.201]: -1

Ich habe das regelmäßige Sperren von SSLv3-Verbindungen getestet (die MTAs versuchen es zwangsläufig viele Tage lang erneut), sodass Sie in den Protokollen einige Fehler zulassen und diese dann analysieren können.

Dieses Bash-Skript hilft mir bei der Analyse, welche Server versuchen, SSLv3 zu verwenden:

#!/bin/sh
egrep "SSL_accept error" /var/log/maillog | awk '{printf("%s %s %s\n", $9, $10, $11)}' | sort | uniq -c | sort -`

Und diese Variante zeigt ausgehandelte Chiffren. Wenn Sie SSLv3 also wieder aktivieren, können Sie es eine Weile so lassen und dann bestätigen, dass MTAs SSLv3 verwenden:

#!/bin/sh
egrep "TLS connection established from.*with cipher" /var/log/maillog | awk '{printf("%s %s %s %s\n", $12, $13, $14, $15)}' | sort | uniq -c | sort -

Ich habe noch keine bessere Antwort gefunden. Ich würde gerne einen differenzierteren Ansatz verfolgen und SSLv3 selektiv für bestimmte MTAs zulassen können, je nachdem, ob ihre Verbindungsversuche mit bestimmten Fehlern fehlschlagen maillog. Alle Kommentare/Vorschläge sind willkommen.

Answer 1