ObservaçãoEmbora tudo isso abaixo possa ser educativo, descobri que todo o meu problema não era com o postfix, mas com meu ISP. Na verdade, troquei de ISP no período em questão, e meu novo é interceptar e reescrever o tráfego SMTP não criptografado de uma forma que quebra explicitamente o STARTTLS. Resolvi o problema configurando uma conexão somente TLS na porta 465.
STARTTLS estava trabalhando com meu sistema hoje cedo. Sem que eu alterasse o sistema de forma alguma, ele quebrou espontaneamente. Estou tentando consertar isso há algumas horas, sem sucesso.
Quando me conecto ao servidor, é isso que recebo:
savanni@Orolo:~$ telnet apps.savannidgerinel.com 25
Trying 129.121.182.135...
Connected to apps.sasavanni@Orolo:~$ telnet apps.savannidgerinel.com 25
Trying 129.121.182.135...
Connected to apps.savannidgerinel.com.
Escape character is '^]'.
220 ***********************************************
ehlo dude
250-apps.savannidgerinel.com
250-PIPELINING
250-SIZE 10240000
250-VRFY
250-ETRN
250-XXXXXXXA
250-AUTH PLAIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
^]close
telnet> close
Connection closed.
Ok, obviamente STARTTLS não está presente nesta lista. Então, estive vasculhando meus arquivos de configuração e trabalhando nos tutoriais novamente, e isso não me ajudou em nada. Aqui está minha configuração relacionada ao tls:
smtp_tls_CAfile = /etc/ssl/certs/savannidgerinel_com_CA.pem
smtp_tls_cert_file = /etc/ssl/certs/apps.savannidgerinel.com.pem
smtp_tls_key_file = /etc/ssl/private/apps.savannidgerinel.com.key.pem
smtp_tls_security_level = may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_tls_CAfile = /etc/ssl/certs/savannidgerinel_com_CA.pem
smtpd_tls_cert_file = /etc/ssl/certs/apps.savannidgerinel.com.pem
smtpd_tls_key_file = /etc/ssl/private/apps.savannidgerinel.com.key.pem
smtpd_tls_loglevel = 3
smtpd_tls_received_header = yes
smtpd_tls_security_level = may
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
tls_random_source = dev:/dev/urandom
Todos os arquivos de certificado estão presentes, a chave privada do servidor está presente, a CA do servidor está presente e os arquivos smtpd_scache.db e smtp_scache.db estão ambos presentes. Todos são acessíveis ao usuário do postfix. Falando nisso, aqui estão os processos em execução:
savanni@apps:/var/lib/postfix$ ps aux | grep postfix
root 3525 0.0 0.1 25112 1680 ? Ss 20:19 0:00 /usr/lib/postfix/master
postfix 3526 0.0 0.1 27176 1524 ? S 20:19 0:00 pickup -l -t fifo -u -c -o content_filter= -o receive_override_options=no_header_body_checks
postfix 3527 0.0 0.1 27228 1552 ? S 20:19 0:00 qmgr -l -t fifo -u
postfix 3528 0.0 0.4 46948 4144 ? S 20:19 0:00 smtpd -n smtp -t inet -u -c -o stress= -s 2
postfix 3529 0.0 0.1 27176 1628 ? S 20:19 0:00 proxymap -t unix -u
postfix 3530 0.0 0.3 38212 3176 ? S 20:19 0:00 tlsmgr -l -t unix -u -c
postfix 3531 0.0 0.1 27176 1516 ? S 20:19 0:00 anvil -l -t unix -u -c
postfix 3535 0.0 0.1 27188 1544 ? S 20:20 0:00 trivial-rewrite -n rewrite -t unix -u -c
Os arquivos de log não dizem absolutamente nada relacionado ao TLS, exceto isto:
Nov 6 02:19:45 apps postfix/master[3525]: daemon started -- version 2.9.6, configuration /etc/postfix
Nov 6 02:19:49 apps postfix/smtpd[3528]: initializing the server-side TLS engine
Nov 6 02:19:49 apps postfix/tlsmgr[3530]: open smtpd TLS cache btree:/var/lib/postfix/smtpd_scache
Nov 6 02:19:49 apps postfix/tlsmgr[3530]: tlsmgr_cache_run_event: start TLS smtpd session cache cleanup
Nov 6 02:19:49 apps postfix/smtpd[3528]: connect from unknown[204.16.68.108]
Nem o syslog nem o mail.err mostram qualquer indicação de problema. No que diz respeito a todo o sistema, está tudo bem. Mas não há STARTTLS e de repente não consigo enviarqualquere-mail.
Ajuda???
Responder1
de main.cf
Para mais registros de tls:
smtp_tls_note_starttls_offer = yes
comente ou remova:
smtp_tls_CAfile = /etc/ssl/certs/savannidgerinel_com_CA.pem
smtp_tls_cert_file = /etc/ssl/certs/apps.savannidgerinel.com.pem
smtp_tls_key_file = /etc/ssl/private/apps.savannidgerinel.com.key.pem
"Não configure certificados de cliente, a menos que você deva apresentar certificados TLS de cliente a um ou mais servidores. Os certificados de cliente geralmente não são necessários e podem causar problemas em configurações que funcionam bem sem eles. A configuração recomendada é deixar os padrões permanecerem."
Recarregue a configuração ou reinicie o postfix.
Testei seu servidor:
EHLO apps.savannidgerinel.com
250-apps.savannidgerinel.com
250-PIPELINING
250-SIZE 10240000
250-VRFY 250-ETRN
250-STARTTLS
250-AUTH PLAIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
Ele oferece 250-STARTTLS. Então algo está interceptando seu tráfego na porta 25 como um proxy. Pode ser qualquer tipo de firewall ou roteador avançado, com funcionalidade estendida pela qual seu computador local se conecta. Se você não possui firewall ou roteador avançado, é mais provável que haja uma política antispam do seu ISP para evitar que o spam seja originado de seus intervalos de IP. Na pior das hipóteses, alguém está fazendo umahomem no meio do ataque.