У меня postfix работает mail.myserver.comуже более 15 лет, успешно получает и отправляет почту. Все сертификаты полностью действительны с использованием Let's Encrypt. Я могу подтвердить, что они в порядке, используя openssl s_client -connect mail.myserver.com:25 -starttls smtpдля проверки STARTTLS и аналогичные тесты для SSL на порту 465.
Я говорю это для того, чтобы показать, что это не новая установка, и за исключением этого одного отдельного случая, все, похоже, настроено правильно и работает гладко.
Учитывая все это, я не могу получать электронную почту от определенного поставщика (моего поставщика медицинских услуг!). Просматривая логи postfix, я вижу такие строки:
postfix/smtpd[2016]: connect from mail1.static.mydoctor.com[xxx.xx.xx.xxx]
postfix/smtpd[2016]: SSL_accept error from mail1.static.mydoctor.com[xxx.xx.xx.xxx]: 0
postfix/smtpd[2016]: warning: TLS library problem: 2016:error:14094412:SSL routines:ssl3_read_bytes:sslv3 alert bad certificate:s3_pkt.c:1493:SSL alert number 42:
postfix/smtpd[2016]: lost connection after STARTTLS from mail1.static.mydoctor.com[xxx.xx.xx.xxx]
postfix/smtpd[2016]: disconnect from mail1.static.mydoctor.com[xxx.xx.xx.xxx]
Это говорит мне, что mail1.static.mydoctor.comпочтовый сервер пытается подключиться к моему mail.myserver.comчерез STARTTLS, но предлагает плохой сертификат, и поэтому мой postfix отклоняет соединение. Дайте мне знать, если моя интерпретация этого неверна!
Мне действительно нужно получать эти конкретные письма, даже если отправитель делает это неправильно. Какой обходной путь может сработать в этом случае? Есть ли способ ослабить проверку сертификата, чтобы разрешить плохой сертификат в любом случае? Или, может быть, добавить этот конкретный удаленный сервер в белый список, чтобы все, что он отправляет, принималось? Что-то еще?
решение1
... sslv3 alert bad certificate:s3_pkt.c:1493:SSL alert number 42:Это говорит мне о том, что почтовый сервер mail1.static.mydoctor.com пытается подключиться к моему mail.myserver.com через STARTTLS, но предлагает неверный сертификат, и поэтому мой postfix отклоняет соединение.
Это неправильная интерпретация. "Оповещение о плохом сертификате" в вашем журнале означает, что ваш сервер получил это оповещение от MTA отправителя, поскольку MTA отправителя не смог проверить ваш сертификат. То есть, дело не в отправителе, предоставляющем неправильный сертификат, а в вашем сервере, предоставляющем сертификат, который отправитель не примет.
Неясно, почему MTA отправителя не смог проверить ваш сертификат. Это может быть проблема настройки с вашей стороны или проблема настройки у отправителя.