postfix - erro TLS/SSL ao receber e-mails

Question 1

O problema é evidente nestas linhas de log:

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org tenta configurar uma conexão SSL/TLS, mas falha, provavelmente porque tenta falar um protocolo SSL/TLS que seu servidor não aceita.

Você realmente deveria postar a saída apenas postconf -npara que ela mostre apenas os parâmetros de configuração que são diferentes dos padrões. Sua postconfsaída contém muito ruído para ser realmente útil.

Isso dito emlinha 713da sua postconfessência, você parece proibir todos os protocolos TLS, exceto TLSv1.2. Isto é muito restritivo e provavelmente demais para um servidor de e-mail que deveria ser capaz de aceitar e-mails recebidos. Eu definiria os parâmetros de configuração TLS relevantes assim:

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

Dessa forma, você desabilita SSLv2 e SSLv3, ambos quebrados e inseguros, e deixa TLSv1, TLSv1.1 e TLSv1.2 disponíveis. Reinicie o Postfix após adicionar ou alterar esses parâmetros no arquivo /etc/postfix/main.cf.

Answer

O problema é evidente nestas linhas de log:

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org tenta configurar uma conexão SSL/TLS, mas falha, provavelmente porque tenta falar um protocolo SSL/TLS que seu servidor não aceita.

Você realmente deveria postar a saída apenas postconf -npara que ela mostre apenas os parâmetros de configuração que são diferentes dos padrões. Sua postconfsaída contém muito ruído para ser realmente útil.

Isso dito emlinha 713da sua postconfessência, você parece proibir todos os protocolos TLS, exceto TLSv1.2. Isto é muito restritivo e provavelmente demais para um servidor de e-mail que deveria ser capaz de aceitar e-mails recebidos. Eu definiria os parâmetros de configuração TLS relevantes assim:

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

Dessa forma, você desabilita SSLv2 e SSLv3, ambos quebrados e inseguros, e deixa TLSv1, TLSv1.1 e TLSv1.2 disponíveis. Reinicie o Postfix após adicionar ou alterar esses parâmetros no arquivo /etc/postfix/main.cf.

Question 2

Eu tive exatamente a mesma situação ao conectar o Gmail ao meu servidor postfix e a mesma mensagem de erro. Acontece que as permissões e o contexto SELinux no meu certificado e chave estavam incorretos.

No meu caso, fiz um sftp colocado para colocar os certificados no servidor e copiei o diretório inteiro, incluindo os certificados, para o local final.

restorecon -rv [directory]

para restaurar o contexto SELinux correto, se você moveu o diretório de outro lugar (ou com o sinalizador -Z).

Certifique-se de que, ao corrigir a permissão e a propriedade (root:root & 640), faça isso em todo o diretório, recursivamente, não apenas nos arquivos dentro do diretório.

/etc/postfix/main.cfg (apenas a parte relevante)

smtp_tls_security_level = may
smtpd_tls_security_level = may
smtp_tls_note_starttls_offer = yes

#Do not forget that the directory and contents have to be owned by root
smtpd_tls_cert_file = /etc/letsencrypt/live/mydomain.com-0001/fullchain7.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mydomain.com-0001/privkey7.pem

Answer

Eu tive exatamente a mesma situação ao conectar o Gmail ao meu servidor postfix e a mesma mensagem de erro. Acontece que as permissões e o contexto SELinux no meu certificado e chave estavam incorretos.

No meu caso, fiz um sftp colocado para colocar os certificados no servidor e copiei o diretório inteiro, incluindo os certificados, para o local final.

restorecon -rv [directory]

para restaurar o contexto SELinux correto, se você moveu o diretório de outro lugar (ou com o sinalizador -Z).

Certifique-se de que, ao corrigir a permissão e a propriedade (root:root & 640), faça isso em todo o diretório, recursivamente, não apenas nos arquivos dentro do diretório.

/etc/postfix/main.cfg (apenas a parte relevante)

smtp_tls_security_level = may
smtpd_tls_security_level = may
smtp_tls_note_starttls_offer = yes

#Do not forget that the directory and contents have to be owned by root
smtpd_tls_cert_file = /etc/letsencrypt/live/mydomain.com-0001/fullchain7.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mydomain.com-0001/privkey7.pem

postfix - erro TLS/SSL ao receber e-mails

Responder1

Responder2

informação relacionada