☰

Deaktivieren Sie Postfix-Server-TLS für bestimmte Clients

tag-icon • tag-icon ssl postfix
Deaktivieren Sie Postfix-Server-TLS für bestimmte Clients

Ich hatte Probleme mit einem fehlerhaften Server, als er versuchte, mir einige E-Mails zu senden, die ich dringend benötigte.

Der Absender fordert immer STARTTLS an, kann aber anschließend keine TLS-Verbindung (v1.2+, wie von meinem Server unterstützt) herstellen. Vermutlich würde er E-Mails unverschlüsselt an Mailserver zustellen, die diese Funktion nicht bekannt geben.

Ich kann TLS global deaktivieren smtpd_tls_security_level, aber das ist wirklich schlecht, daher würde ich gerne eine Einstellung finden, um es nur für eine bestimmte Liste von Remote-Servern zu deaktivieren, die versuchen, mich zu kontaktieren.

Ist es überhaupt möglich?

BEARBEITEN: Hier ist das Protokoll von Postfix mit smtpd_tls_loglevel = 2:

belette64 postfix/smtpd[145475]: connect from smtp.misconfigured.fr[XX.XX.XX.XX]
belette64 postfix/smtpd[145475]: setting up TLS connection from smtp.misconfigured.fr[XX.XX.XX.XX]
belette64 postfix/smtpd[145475]: smtp.misconfigured.fr[XX.XX.XX.XX]: TLS cipher list "aNULL:-aNULL:HIGH:MEDIUM:+RC4:@STRENGTH"
belette64 postfix/smtpd[145475]: SSL_accept:before SSL initialization
belette64 postfix/smtpd[145475]: SSL_accept:before SSL initialization
belette64 postfix/smtpd[145475]: SSL3 alert write:fatal:handshake failure
belette64 postfix/smtpd[145475]: SSL_accept:error in error
belette64 postfix/smtpd[145475]: SSL_accept error from smtp.misconfigured.fr[XX.XX.XX.XX]: -1
belette64 postfix/smtpd[145475]: warning: TLS library problem: error:1417A0C1:SSL routines:tls_post_process_client_hello:no shared cipher:../ssl/statem/statem_srvr.c:2282:
belette64 postfix/smtpd[145475]: lost connection after STARTTLS from smtp.misconfigured.fr[XX.XX.XX.XX]

Antwort1

Wenn Sie ihre Nachlässigkeit wirklich umgehen möchten, könnten Sie hinzufügenein separater TLS-ignoranter Server. Habe esSprechen Sie nur mit einer Liste bekanntermaßen schlechter Kunden(angegeben durch ehlo oder Adresse) und machen Sie es nur über einen MX-Eintrag mit höherer Priorität oder über eine Firewall zugänglich, um die Sicherheit anderer Clients nicht zu beeinträchtigen.

Worin besteht der Unterschied zu nur smtp_tls_security_level=may?Dadurch erhält ein Client, dem es nicht gelingt, einen sicheren Kanal herzustellen (nachdem er dies beim Haupt-MX angefordert hat), eine zweite Chance, bei der er seinen Fehler nicht wiederholen kann, weil der zweite Server keine STARTTLSentsprechende Fähigkeit ankündigt.

Wie es geht?DerVeröffentlichen über separaten MX-EintragRoute ist sicherer, da siemehr oder wenigergreift auf den allgemeinen Fall zurück, wenn Ihre Sonderkonfiguration unweigerlich veraltet, aber die bloße Port-Umleitung auf Ihrer Seite weniger Einrichtungsschritte erfordert:

  1. Duplizieren Sie Ihre SMTP-Zeile master.cfmit einem anderen Port und zusätzlichen Optionen (markieren Sie die Protokollzeilen und fügen Sie einen Kommentar hinzu, damit ein zukünftiger Administrator versteht, warum um Himmels willen dies getan wurde):
smtp       inet  n       -       y       -       -       smtpd
10025      inet  n       -       y       -       -       smtpd
 -o syslog_name=postfix/smtpd/badstarttls
 -o smtpd_tls_security_level=none
 -o smtpd_helo_required=yes
 -o smtpd_helo_restrictions=pcre:/etc/postfix/helo_badstarttls_allow.pcre,reject
  1. Die Umleitung auf einen anderen Port funktioniert -A PREROUTING .. -j REDIRECT --to-port ..in iptables oder in nftables:
tcp dport 25 ip protocol tcp ip saddr { XX.XX.XX.XX } redirect to :10025

Doch das ist vermutlich weder die einfachste noch die richtige Wahl.So ziemlich jeder, der E-Mails verschickt, verschickt E-Mails, diesollensicher transportiert werden. Wer sich für den Bruch bewährter Verfahren Sondergenehmigungen ausstellt, macht sich mitschuldig daran.Lassen Sie es stattdessen von ihnen reparieren.

Wenn sie in der EU ansässig sind, haben sie sogar eine bevorzugte Kontaktmethode für eine Rolle veröffentlicht, dieDatenschutzbeauftragterEs ist also nicht Ihre Aufgabe, ihnen zu erklären, warum die Behebung ihres Setups Priorität hat. Sie müssen sie lediglich darüber informieren, dass der nicht gewartete Server personenbezogene Daten verarbeitet.

Antwort2

Dies sollte nur auf eingestellt werden may. Opportunistisches TLS ist für lange Zeit das Beste, was wir für E-Mails bekommen werden.

verwandte Informationen