TLS가 포함된 Postfix 2.6.6 - GMail(및 다른 MTA 몇 개)로부터 이메일을 받을 수 없지만 다른 것들은 괜찮습니다. 이유는 무엇입니까?

Question

궁극적으로 이 문제는 일부 발신자가 여전히 SSLv3만 협상할 수 있기 때문에 발생하는 것 같습니다. 이것은 나쁜 일이지만 이메일을 받지 못하는 것도 좋지 않습니다.

정말 그렇게 간단합니다. 만족스럽지는 않지만 MTA 전송이 TLS에 대한 재협상을 거부하고 SSLv3을 사용하여 영원히 재시도한다면 지금으로서는 할 수 있는 일이 많지 않습니다.

그래서 당분간은 수신 이메일이 SSLv3로 암호화되도록 허용했지만 서버의 모든 클라이언트는 여전히 TLS를 통해 인증해야 했습니다.

나는 다음에서 프로토콜 부정자를 완화하여 이를 달성했습니다 main.cf.

smtpd_tls_mandatory_protocols = !TLSv1, !SSLv2
smtpd_tls_protocols = !TLSv1, !SSLv2

정의는 smtp_tls_이 서버에서 전송되는 메일에 대한 것이므로 클라이언트 연결과 관련되므로 원하는 만큼 엄격하게 정의할 수 있습니다(모든 사람에게 이메일 클라이언트 설정 방법을 기꺼이 설명하려는 경우).

smtp_tls_mandatory_protocols = !TLSv1, !SSLv2, !SSLv3
smtp_tls_protocols = !TLSv1, !SSLv2, !SSLv3

보내는 MTA가 TLS를 협상할 수 없고 SSLv3를 예상하는 경우 일반적으로 메일 로그에 다음과 같은 내용이 표시됩니다.

warning: TLS library problem: 364:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

로깅 수준을 높이면 다음과 같은 추가 메시지와 함께 TLS 협상이 실패하는 것을 볼 수 있습니다.

postfix/smtpd[26234]: SSL_accept:before/accept initialization
postfix/smtpd[26234]: SSL_accept:error in SSLv2/v3 read client hello A
postfix/smtpd[26234]: SSL_accept error from 201-62-89-201.life.com.br[201.62.89.201]: -1

저는 SSLv3 연결을 허용하지 않는 것을 주기적으로 테스트해왔으므로(필연적으로 MTA는 여러 날 동안 재시도함) 로그에 몇 가지 오류가 발생하도록 허용한 다음 이를 분석할 수 있습니다.

이 bash 스크립트는 어떤 서버가 SSLv3을 사용하려고 하는지 분석하는 데 도움이 됩니다.

#!/bin/sh
egrep "SSL_accept error" /var/log/maillog | awk '{printf("%s %s %s\n", $9, $10, $11)}' | sort | uniq -c | sort -`

이 변형은 협상된 암호를 보여줍니다. 따라서 SSLv3을 다시 활성화한 후에는 잠시 그대로 둔 다음 MTA가 SSLv3을 사용하고 있는지 확인할 수 있습니다.

#!/bin/sh
egrep "TLS connection established from.*with cipher" /var/log/maillog | awk '{printf("%s %s %s %s\n", $12, $13, $14, $15)}' | sort | uniq -c | sort -

아직 더 나은 답변을 찾지 못했습니다. 저는 좀 더 미묘한 접근 방식을 취하고 싶습니다. maillog. 모든 의견/제안을 환영합니다.

Answer 1