postfix - ошибка TLS/SSL при получении писем

Question 1

Проблема очевидна в этих строках журнала:

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org пытается установить соединение SSL/TLS, но ему это не удается, вероятно, потому, что он пытается использовать протокол SSL/TLS, который ваш сервер не принимает.

Вам действительно следует разместить вывод, postconf -nчтобы он показывал только параметры конфигурации, которые отличаются от значений по умолчанию. Ваш postconfвывод содержит слишком много шума, чтобы быть действительно полезным.

Это сказано встрока 713из вашего postconfgist вы, кажется, запрещаете все протоколы TLS, кроме TLSv1.2. Это очень ограничительно и, вероятно, слишком много для почтового сервера, который должен иметь возможность принимать входящую почту. Я бы установил соответствующие параметры конфигурации TLS следующим образом:

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

Таким образом вы отключите SSLv2 и SSLv3, оба из которых сломаны и небезопасны, и оставите доступными TLSv1, TLSv1.1 и TLSv1.2. Перезапустите Postfix после добавления или изменения этих параметров в /etc/postfix/main.cf.

Answer

Проблема очевидна в этих строках журнала:

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org пытается установить соединение SSL/TLS, но ему это не удается, вероятно, потому, что он пытается использовать протокол SSL/TLS, который ваш сервер не принимает.

Вам действительно следует разместить вывод, postconf -nчтобы он показывал только параметры конфигурации, которые отличаются от значений по умолчанию. Ваш postconfвывод содержит слишком много шума, чтобы быть действительно полезным.

Это сказано встрока 713из вашего postconfgist вы, кажется, запрещаете все протоколы TLS, кроме TLSv1.2. Это очень ограничительно и, вероятно, слишком много для почтового сервера, который должен иметь возможность принимать входящую почту. Я бы установил соответствующие параметры конфигурации TLS следующим образом:

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

Таким образом вы отключите SSLv2 и SSLv3, оба из которых сломаны и небезопасны, и оставите доступными TLSv1, TLSv1.1 и TLSv1.2. Перезапустите Postfix после добавления или изменения этих параметров в /etc/postfix/main.cf.

Question 2

У меня была точно такая же ситуация с подключением gmail к моему postfix серверу, и то же сообщение об ошибке. Оказалось, что разрешения и контекст SELinux на моем сертификате и ключе были неверными.

В моем случае я выполнил sftp-загрузку, чтобы загрузить сертификаты на сервер, затем скопировал весь каталог, включая сертификаты, в конечное местоположение.

restorecon -rv [directory]

для восстановления правильного контекста SELinux, если вы переместили каталог откуда-то еще (или с помощью флага -Z).

Убедитесь, что при исправлении прав доступа и владельца (root:root и 640) вы делаете это рекурсивно для всего каталога, а не только для файлов внутри каталога.

/etc/postfix/main.cfg (только соответствующая часть)

smtp_tls_security_level = may
smtpd_tls_security_level = may
smtp_tls_note_starttls_offer = yes

#Do not forget that the directory and contents have to be owned by root
smtpd_tls_cert_file = /etc/letsencrypt/live/mydomain.com-0001/fullchain7.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mydomain.com-0001/privkey7.pem

Answer

У меня была точно такая же ситуация с подключением gmail к моему postfix серверу, и то же сообщение об ошибке. Оказалось, что разрешения и контекст SELinux на моем сертификате и ключе были неверными.

В моем случае я выполнил sftp-загрузку, чтобы загрузить сертификаты на сервер, затем скопировал весь каталог, включая сертификаты, в конечное местоположение.

restorecon -rv [directory]

для восстановления правильного контекста SELinux, если вы переместили каталог откуда-то еще (или с помощью флага -Z).

Убедитесь, что при исправлении прав доступа и владельца (root:root и 640) вы делаете это рекурсивно для всего каталога, а не только для файлов внутри каталога.

/etc/postfix/main.cfg (только соответствующая часть)

smtp_tls_security_level = may
smtpd_tls_security_level = may
smtp_tls_note_starttls_offer = yes

#Do not forget that the directory and contents have to be owned by root
smtpd_tls_cert_file = /etc/letsencrypt/live/mydomain.com-0001/fullchain7.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mydomain.com-0001/privkey7.pem

postfix - ошибка TLS/SSL при получении писем

решение1

решение2

Связанный контент