postfix - Error TLS/SSL al recibir correos electrónicos

Question 1

El problema es evidente en estas líneas de registro:

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org intenta configurar una conexión SSL/TLS pero falla, probablemente porque intenta hablar un protocolo SSL/TLS que su servidor no acepta.

Realmente deberías publicar el resultado de just postconf -npara que muestre solo los parámetros de configuración que sean diferentes de los predeterminados. Su postconfsalida contiene demasiado ruido para ser realmente útil.

eso dicho enlínea 713Según su postconfesencia, parece prohibir todos los protocolos TLS excepto TLSv1.2. Esto es muy restrictivo y probablemente demasiado para un servidor de correo que debería poder aceptar correo entrante. Establecería los parámetros de configuración TLS relevantes de esta manera:

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

De esa manera, deshabilita SSLv2 y SSLv3, los cuales están rotos y son inseguros, y deja TLSv1, TLSv1.1 y TLSv1.2 disponibles. Reinicie Postfix después de agregar o cambiar estos parámetros en /etc/postfix/main.cf.

Answer

El problema es evidente en estas líneas de registro:

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org intenta configurar una conexión SSL/TLS pero falla, probablemente porque intenta hablar un protocolo SSL/TLS que su servidor no acepta.

Realmente deberías publicar el resultado de just postconf -npara que muestre solo los parámetros de configuración que sean diferentes de los predeterminados. Su postconfsalida contiene demasiado ruido para ser realmente útil.

eso dicho enlínea 713Según su postconfesencia, parece prohibir todos los protocolos TLS excepto TLSv1.2. Esto es muy restrictivo y probablemente demasiado para un servidor de correo que debería poder aceptar correo entrante. Establecería los parámetros de configuración TLS relevantes de esta manera:

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

De esa manera, deshabilita SSLv2 y SSLv3, los cuales están rotos y son inseguros, y deja TLSv1, TLSv1.1 y TLSv1.2 disponibles. Reinicie Postfix después de agregar o cambiar estos parámetros en /etc/postfix/main.cf.

Question 2

Tuve exactamente la misma situación al conectar Gmail a mi servidor Postfix y el mismo mensaje de error. Resultó que los permisos y el contexto SELinux en mi certificado y clave eran incorrectos.

En mi caso, hice una transferencia sftp para obtener los certificados en el servidor, luego copié todo el directorio, incluidos los certificados, en la ubicación final.

restorecon -rv [directory]

para restaurar el contexto SELinux correcto, si movió el directorio desde otro lugar (o con el indicador -Z).

Asegúrese de que cuando corrija el permiso y la propiedad (raíz: raíz y 640), lo haga en todo el directorio, de forma recursiva, no solo en los archivos dentro del directorio.

/etc/postfix/main.cfg (solo la parte relevante)

smtp_tls_security_level = may
smtpd_tls_security_level = may
smtp_tls_note_starttls_offer = yes

#Do not forget that the directory and contents have to be owned by root
smtpd_tls_cert_file = /etc/letsencrypt/live/mydomain.com-0001/fullchain7.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mydomain.com-0001/privkey7.pem

Answer

Tuve exactamente la misma situación al conectar Gmail a mi servidor Postfix y el mismo mensaje de error. Resultó que los permisos y el contexto SELinux en mi certificado y clave eran incorrectos.

En mi caso, hice una transferencia sftp para obtener los certificados en el servidor, luego copié todo el directorio, incluidos los certificados, en la ubicación final.

restorecon -rv [directory]

para restaurar el contexto SELinux correcto, si movió el directorio desde otro lugar (o con el indicador -Z).

Asegúrese de que cuando corrija el permiso y la propiedad (raíz: raíz y 640), lo haga en todo el directorio, de forma recursiva, no solo en los archivos dentro del directorio.

/etc/postfix/main.cfg (solo la parte relevante)

smtp_tls_security_level = may
smtpd_tls_security_level = may
smtp_tls_note_starttls_offer = yes

#Do not forget that the directory and contents have to be owned by root
smtpd_tls_cert_file = /etc/letsencrypt/live/mydomain.com-0001/fullchain7.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mydomain.com-0001/privkey7.pem

postfix - Error TLS/SSL al recibir correos electrónicos

Respuesta1

Respuesta2

información relacionada