Postfix 2.6.6 con TLS: no se pueden recibir correos electrónicos de GMail (y un par de otros MTA), pero otros están bien, ¿por qué?

Question

En última instancia, este problema parece deberse a que algunos remitentes todavía solo pueden negociar SSLv3. Esto es algo malo, pero no recibir correos electrónicos tampoco es bueno.

Realmente es tan simple como eso. No estoy contento con esto, pero si los MTA de envío se niegan a renegociar con TLS y simplemente vuelven a intentarlo eternamente con SSLv3, no hay mucho que podamos hacer por ahora.

Entonces, por el momento, he recurrido a permitir que los correos electrónicos entrantes se cifren con SSLv3, pero requiriendo que todos los clientes en el servidor aún tengan que autenticarse a través de TLS.

Logré esto eliminando los negativos del protocolo en main.cf:

smtpd_tls_mandatory_protocols = !TLSv1, !SSLv2
smtpd_tls_protocols = !TLSv1, !SSLv2

Tenga en cuenta que las smtp_tls_definiciones son para el correo que se envía desde este servidor, así que tenga en cuenta las conexiones de los clientes, para que pueda hacerlas tan estrictas como desee (siempre que esté dispuesto a explicar a todos cómo configurar sus clientes de correo electrónico):

smtp_tls_mandatory_protocols = !TLSv1, !SSLv2, !SSLv3
smtp_tls_protocols = !TLSv1, !SSLv2, !SSLv3

Si los MTA emisores no pueden negociar TLS, esperando SSLv3, esto es lo que normalmente verá en el registro de correo:

warning: TLS library problem: 364:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

Si marca el nivel de registro, verá que la negociación TLS falla, con más mensajes como

postfix/smtpd[26234]: SSL_accept:before/accept initialization
postfix/smtpd[26234]: SSL_accept:error in SSLv2/v3 read client hello A
postfix/smtpd[26234]: SSL_accept error from 201-62-89-201.life.com.br[201.62.89.201]: -1

He estado probando periódicamente no permitir conexiones SSLv3 (inevitablemente los MTA reintentan durante muchos días), por lo que puede permitir que se acumulen algunas fallas en los registros y luego analizarlas.

Este script bash me ayuda a analizar qué servidores están intentando utilizar SSLv3:

#!/bin/sh
egrep "SSL_accept error" /var/log/maillog | awk '{printf("%s %s %s\n", $9, $10, $11)}' | sort | uniq -c | sort -`

Y esta variación muestra cifrados negociados, por lo que una vez que vuelva a habilitar SSLv3, puede dejarlo por un tiempo y luego confirmar que los MTA están usando SSLv3:

#!/bin/sh
egrep "TLS connection established from.*with cipher" /var/log/maillog | awk '{printf("%s %s %s %s\n", $12, $13, $14, $15)}' | sort | uniq -c | sort -

Todavía tengo que encontrar una mejor respuesta; Me gustaría adoptar un enfoque más matizado y poder permitir SSLv3 de forma selectiva para ciertos MTA dependiendo de si sus intentos de conexión fallan con ciertos errores en maillog. Todos los comentarios/sugerencias son bienvenidos.

Answer 1