Desde el 30 de abril, veo errores como ese en mi registro de correo:
May 1 02:27:27 afaron postfix/smtpd[2644268]: connect from r137.info.hofer.at[66.117.17.137]
May 1 02:27:27 afaron postfix/smtpd[2644268]: SSL_accept error from r137.info.hofer.at[66.117.17.137]: -1
May 1 02:27:27 afaron postfix/smtpd[2644268]: warning: TLS library problem: error:14094415:SSL routines:ssl3_read_bytes:sslv3 alert certificate expired:../ssl/record/rec_layer_s3.c:1543:SSL alert number 45:
May 1 02:27:27 afaron postfix/smtpd[2644268]: lost connection after STARTTLS from r137.info.hofer.at[66.117.17.137]
May 1 02:27:27 afaron postfix/smtpd[2644268]: disconnect from r137.info.hofer.at[66.117.17.137] ehlo=1 starttls=0/1 commands=1/2
Hasta donde puedo entender, r137.info.hofer.at[66.117.17.137] se niega a enviar correo a mi servidor porque afirma que mi certificado SSL estaría caducado.
Utilizo un certificado letsencrypt. Verifiqué dos veces si postfix realmente usa el último, y así es. No está caducado. Incluso intenté forzar la actualización del certificado, pero los errores volvieron a aparecer. Cuando ejecuto openssl s_client -starttls smtp -showcerts -connect mail.l3u.de:25 -servername mail.l3u.de, obtengo un ticket de sesión TLS válido.
Hasta ahora, r137.info.hofer.at[66.117.17.137] es el único servidor de correo que presenta quejas. Intenté enviar correo desde y hacia gmx.de, web.de, t-online.de, gmail.com, yahoo.com y outlook.de. Todo sin problema, tanto en envío como en recepción.
¿Cómo puedo rastrear esto? ¿Puede ser algún problema local debido a algún certificado desactualizado en la cadena de confianza de mi certificado en mi servidor? ¿Y cómo puedo encontrarlo? ¿O es un problema remoto?
Respuesta1
No estoy completamente seguro, pero creo que sé lo que está pasando ahora.
El lado remoto parece utilizar una versión obsoleta de OpenSSL, que se ahoga con la firma cruzada de letsencrypt del certificado DST Root CA X3 (caducado).
Solicité un nuevo certificado usando certbot con --preferred-chain "ISRG Root X1"set (por supuesto, también reinicié postfix ;-) y luego de eso, el servidor en cuestión volvió a hablar con mi servidor.