postfix - 接收電子郵件時出現 TLS/SSL 錯誤

Question 1

這些日誌行中的問題很明顯：

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org 嘗試建立 SSL/TLS 連線但失敗，可能是因為它嘗試使用您的伺服器不接受的 SSL/TLS 協定。

您確實應該發布 just 的輸出postconf -n，以便它僅顯示與預設值不同的配置參數。您的postconf輸出包含太多噪音，沒有真正的用處。

那是在713線根據您的postconf要點，您似乎禁止除 TLSv1.2 之外的所有 TLS 協定。這是非常嚴格的，對於應該能夠接受傳入郵件的郵件伺服器來說可能太多了。我會像這樣設定相關的 TLS 配置參數：

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

這樣，您就可以停用 SSLv2 和 SSLv3（兩者都已損壞且不安全），並保留 TLSv1、TLSv1.1 和 TLSv1.2 可用。在中新增或變更這些參數後重新啟動 Postfix /etc/postfix/main.cf。

Answer

這些日誌行中的問題很明顯：

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org 嘗試建立 SSL/TLS 連線但失敗，可能是因為它嘗試使用您的伺服器不接受的 SSL/TLS 協定。

您確實應該發布 just 的輸出postconf -n，以便它僅顯示與預設值不同的配置參數。您的postconf輸出包含太多噪音，沒有真正的用處。

那是在713線根據您的postconf要點，您似乎禁止除 TLSv1.2 之外的所有 TLS 協定。這是非常嚴格的，對於應該能夠接受傳入郵件的郵件伺服器來說可能太多了。我會像這樣設定相關的 TLS 配置參數：

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

這樣，您就可以停用 SSLv2 和 SSLv3（兩者都已損壞且不安全），並保留 TLSv1、TLSv1.1 和 TLSv1.2 可用。在中新增或變更這些參數後重新啟動 Postfix /etc/postfix/main.cf。

Question 2

我在將 gmail 連接到我的 postfix 伺服器時遇到了完全相同的情況，並且出現了相同的錯誤訊息。事實證明，我的憑證和金鑰上的權限和 SELinux 上下文不正確。

就我而言，我執行了 sftp put 將憑證取得到伺服器上，然後將包含憑證的整個目錄複製到最終位置。

restorecon -rv [directory]

如果您從其他地方移動了目錄（或使用 -Z 標誌），則恢復正確的 SELinux 上下文。

確保在更正權限和擁有權（root:root & 640）時，遞歸地對整個目錄執行此操作，而不僅僅是目錄內的檔案。

/etc/postfix/main.cfg （只是相關部分）

smtp_tls_security_level = may
smtpd_tls_security_level = may
smtp_tls_note_starttls_offer = yes

#Do not forget that the directory and contents have to be owned by root
smtpd_tls_cert_file = /etc/letsencrypt/live/mydomain.com-0001/fullchain7.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mydomain.com-0001/privkey7.pem

Answer