☰

Почтовый сервер отправляет сообщение Postfix, отклоняя TLS-соединение с сообщением «срок действия сертификата истек», но это не так

tag-icon • tag-icon ubuntu postfix lets-encrypt starttls
Почтовый сервер отправляет сообщение Postfix, отклоняя TLS-соединение с сообщением «срок действия сертификата истек», но это не так

С 30 апреля я вижу в своем почтовом журнале такие ошибки:

May  1 02:27:27 afaron postfix/smtpd[2644268]: connect from r137.info.hofer.at[66.117.17.137]
May  1 02:27:27 afaron postfix/smtpd[2644268]: SSL_accept error from r137.info.hofer.at[66.117.17.137]: -1
May  1 02:27:27 afaron postfix/smtpd[2644268]: warning: TLS library problem: error:14094415:SSL routines:ssl3_read_bytes:sslv3 alert certificate expired:../ssl/record/rec_layer_s3.c:1543:SSL alert number 45:
May  1 02:27:27 afaron postfix/smtpd[2644268]: lost connection after STARTTLS from r137.info.hofer.at[66.117.17.137]
May  1 02:27:27 afaron postfix/smtpd[2644268]: disconnect from r137.info.hofer.at[66.117.17.137] ehlo=1 starttls=0/1 commands=1/2

Насколько я понимаю, r137.info.hofer.at[66.117.17.137] отказывается отправлять почту на мой сервер, поскольку утверждает, что срок действия моего SSL-сертификата истек.

Я использую сертификат letsencrypt. Я дважды проверил, используется ли последний сертификат postfix, и он используется. Он не просрочен. Я даже пытался принудительно обновить сертификат, но ошибки снова появились. Когда я запускаю openssl s_client -starttls smtp -showcerts -connect mail.l3u.de:25 -servername mail.l3u.de, я получаю действительный билет сеанса TLS.

До сих пор r137.info.hofer.at[66.117.17.137] был единственным почтовым сервером, который жаловался. Я пробовал отправлять почту с и на gmx.de, web.de, t-online.de, gmail.com, yahoo.com и outlook.de. Все без проблем, как отправка, так и получение.

Как мне это отследить? Может ли это быть какая-то локальная проблема из-за устаревшего сертификата в цепочке доверия для моего сертификата на моем сервере? И как мне это найти? Или это удаленная проблема?

решение1

Я не совсем уверен, но мне кажется, я знаю, что сейчас происходит.

Похоже, что удаленная сторона использует устаревшую версию OpenSSL, которая блокирует перекрестную подпись letsencrypt (просроченного) сертификата DST Root CA X3.

Я запросил новый сертификат с помощью certbot с --preferred-chain "ISRG Root X1"set (конечно, также перезапустив postfix ;-), и после этого сервер, о котором идет речь, снова связался с моим сервером.

Связанный контент