Postfix 2.6.6 com TLS - não é possível receber e-mails do GMail (e de alguns outros MTAs), mas outros estão OK, por quê?

Question

Em última análise, este problema parece dever-se ao facto de alguns remetentes ainda só conseguirem negociar SSLv3. Isso é uma coisa ruim, mas não receber e-mails também não é bom.

É tão simples assim. Não estou satisfeito com isso, mas se o envio de MTAs se recusar a renegociar para TLS e tentar novamente eternamente com SSLv3, não há muito que possamos fazer por enquanto.

Então, por enquanto, resolvi permitir que os e-mails recebidos fossem criptografados com SSLv3, mas exigindo que todos os clientes no servidor ainda precisassem se autenticar via TLS.

Consegui isso aliviando os negadores do protocolo em main.cf:

smtpd_tls_mandatory_protocols = !TLSv1, !SSLv2
smtpd_tls_protocols = !TLSv1, !SSLv2

Observe que as smtp_tls_definições são para e-mails enviados deste servidor, portanto, relacione-se às conexões do cliente, para que você possa torná-las tão rigorosas quanto desejar (desde que esteja disposto a explicar a todos como configurar seus clientes de e-mail):

smtp_tls_mandatory_protocols = !TLSv1, !SSLv2, !SSLv3
smtp_tls_protocols = !TLSv1, !SSLv2, !SSLv3

Se os MTAs de envio não conseguirem negociar TLS, esperando SSLv3, isto é o que você normalmente verá no maillog:

warning: TLS library problem: 364:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

Se você aumentar o nível de registro, verá a negociação TLS falhando, com mais mensagens como

postfix/smtpd[26234]: SSL_accept:before/accept initialization
postfix/smtpd[26234]: SSL_accept:error in SSLv2/v3 read client hello A
postfix/smtpd[26234]: SSL_accept error from 201-62-89-201.life.com.br[201.62.89.201]: -1

Tenho testado periodicamente a proibição de conexões SSLv3 (inevitavelmente os MTAs tentam novamente por muitos dias), para que você possa permitir que algumas falhas se acumulem nos logs e depois analisá-las.

Este script bash me ajuda a analisar quais servidores estão tentando usar SSLv3:

#!/bin/sh
egrep "SSL_accept error" /var/log/maillog | awk '{printf("%s %s %s\n", $9, $10, $11)}' | sort | uniq -c | sort -`

E esta variação mostra cifras negociadas - então, depois de reativar o SSLv3, você pode esperar um pouco e depois confirmar se os MTAs estão usando SSLv3:

#!/bin/sh
egrep "TLS connection established from.*with cipher" /var/log/maillog | awk '{printf("%s %s %s %s\n", $12, $13, $14, $15)}' | sort | uniq -c | sort -

Ainda estou para encontrar uma resposta melhor; Eu gostaria de adotar uma abordagem mais sutil e poder permitir seletivamente o SSLv3 para determinados MTAs, dependendo se as tentativas de conexão falharam com determinados erros no maillog. Todos os comentários/sugestões são bem-vindos.

Answer 1