☰

Postfix 3.3.1 auf Centos 8 kann TLSv1 oder TLSv1.1 nicht aktivieren

tag-icon • tag-icon ssl postfix centos8 starttls
Postfix 3.3.1 auf Centos 8 kann TLSv1 oder TLSv1.1 nicht aktivieren

Ich habe vor Kurzem meinen Hauptmailserver auf einen neuen migriert. Der alte lief fast 10 Jahre lang und war der Produktionsserver für rund 20 Domänen und über 40 Postfächer.

Alles hat gut geklappt und die Konfiguration unterscheidet sich nicht groß von der alten, Postfix und Dovecot sind allerdings neuer.

Ein Problem, das ich jedoch habe, ist, aus Kompatibilitätsgründen mindestens TLSv1.1 zu aktivieren. In den Protokollen sehe ich viele TLS-bezogene Verbindungsfehler und ich habe einen störrischen Client, der Apple Mail in El Capitain verwendet, das TLSv1.2 nicht unterstützt.

Ich muss dies mindestens ein Jahr lang aktiviert haben, um Zeit für Upgrades zu haben. Das Problem ist, dass unabhängig davon, was ich in der Postfix-Datei main.cf angebe, nur TLSv1.2 und höher unterstützt wird.

    smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3
    smtpd_tls_protocols = !SSLv2, !SSLv3

Und

    smtp_tls_mandatory_protocols = !SSLv2, !SSLv3
    smtp_tls_protocols = !SSLv2, !SSLv3

aber wenn ich mit testssl.sh teste, bekomme ich immer

     Testing protocols via sockets 
    
     SSLv2      not offered (OK)
     SSLv3      not offered (OK)
     TLS 1      not offered
     TLS 1.1    not offered
     TLS 1.2    offered (OK)
     TLS 1.3    offered (OK): final

auf Port 25, Übermittlung oder SMTP. Habe ich bei CentOS8 etwas vergessen, um TLSv1.1 zu aktivieren?

Bearbeiten: Wenn ich dies für den smptd spezifiziere

smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1
smtpd_tls_protocols = !SSLv2, !SSLv3, TLSv1, TLSv1.1

Das Testergebnis ist:

 Testing protocols via sockets 

 SSLv2      not offered (OK)
 SSLv3      not offered (OK)
 TLS 1      not offered
 TLS 1.1    not offered
 TLS 1.2    not offered
 TLS 1.3    offered (OK): final

Also wird TLSv2 jetzt deaktiviert? Mache ich in der Konfigurationsdatei etwas falsch? Ich weiß, dass sich die Syntax in 3.6 geändert hat, aber das hier sollte auch funktionieren.

Antwort1

@moray, versuchen Sie, Ihre CentOS-Kryptorichtlinie auf LEGACY zu setzen:

update-crypto-policies --set LEGACY

https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/8/html/security_hardening/using-the-system-wide-cryptographic-policies_security-hardening

Laut RedHat-Artikel aktiviert dies TLSv1.0 / TLSv1.1. Starten Sie nach der Einstellung einfach Ihr Postfix neu und Ihre E-Mails werden zugestellt.

verwandte Informationen