Postfix 2.6.6 с TLS — не могу получать письма от GMail (и нескольких других MTA), но с другими все в порядке. Почему?

Question

В конечном счете, эта проблема, похоже, связана с тем, что некоторые отправители все еще могут согласовывать только SSLv3. Это Плохо, но не получать письма тоже Не Хорошо.

На самом деле, все так просто. Я этим не доволен, но если отправляющие MTA отказываются переходить на TLS и просто вечно повторяют попытки с SSLv3, то сейчас мы мало что можем сделать.

Поэтому на данный момент я прибегнул к разрешению шифрования входящих писем с помощью SSLv3, но при этом потребовал, чтобы все клиенты на сервере по-прежнему проходили аутентификацию через TLS.

Я добился этого, ослабив отрицатели протокола в main.cf:

smtpd_tls_mandatory_protocols = !TLSv1, !SSLv2
smtpd_tls_protocols = !TLSv1, !SSLv2

Обратите внимание, что smtp_tls_определения относятся к почте, отправляемой с этого сервера, поэтому они соотносятся с клиентскими подключениями, поэтому вы можете сделать их настолько строгими, насколько захотите (при условии, что вы готовы объяснить всем, как настраивать их почтовые клиенты):

smtp_tls_mandatory_protocols = !TLSv1, !SSLv2, !SSLv3
smtp_tls_protocols = !TLSv1, !SSLv2, !SSLv3

Если отправляющие MTA не могут согласовать TLS, ожидая SSLv3, вот что вы обычно увидите в почтовом журнале:

warning: TLS library problem: 364:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

Если вы повысите уровень ведения журнала, вы увидите сбой согласования TLS и больше сообщений типа

postfix/smtpd[26234]: SSL_accept:before/accept initialization
postfix/smtpd[26234]: SSL_accept:error in SSLv2/v3 read client hello A
postfix/smtpd[26234]: SSL_accept error from 201-62-89-201.life.com.br[201.62.89.201]: -1

Я тестировал периодический запрет соединений SSLv3 (в этом случае MTA неизбежно будут повторять попытки в течение многих дней), чтобы можно было допустить накопление нескольких сбоев в журналах, а затем проанализировать их.

Этот bash-скрипт помогает мне анализировать, какие серверы пытаются использовать SSLv3:

#!/bin/sh
egrep "SSL_accept error" /var/log/maillog | awk '{printf("%s %s %s\n", $9, $10, $11)}' | sort | uniq -c | sort -`

А этот вариант показывает согласованные шифры — поэтому, как только вы снова включите SSLv3, вы можете оставить его на некоторое время, а затем убедиться, что MTA используют SSLv3:

#!/bin/sh
egrep "TLS connection established from.*with cipher" /var/log/maillog | awk '{printf("%s %s %s %s\n", $12, $13, $14, $15)}' | sort | uniq -c | sort -

Мне еще предстоит найти лучший ответ; я хотел бы использовать более тонкий подход и иметь возможность выборочно разрешать SSLv3 для определенных MTA в зависимости от того, завершаются ли их попытки подключения с определенными ошибками в maillog. Приветствуются все комментарии и предложения.

Answer 1