使用 TLS 的 Postfix 2.6.6 - 無法接收來自 GMail（和其他幾個 MTA）的電子郵件，但其他都可以，為什麼？

Question

最終，這個問題似乎是由於某些寄件者仍然只能協商 SSLv3 造成的。這是一件壞事，但收不到電子郵件也不好。

確實就是這麼簡單。我對此並不滿意，但如果發送 MTA 拒絕與 TLS 重新協商，而只是不斷地使用 SSLv3 重試，那麼我們現在無能為力。

因此，目前我已採取允許使用 SSLv3 加密傳入電子郵件的方法，但要求伺服器上的所有用戶端仍必須透過 TLS 進行身份驗證。

我透過減輕協議否定來實現這一點main.cf：

smtpd_tls_mandatory_protocols = !TLSv1, !SSLv2
smtpd_tls_protocols = !TLSv1, !SSLv2

請注意，這些smtp_tls_定義適用於從該伺服器發送的郵件，因此與用戶端連線相關，因此您可以根據自己的喜好進行嚴格設定（只要您願意向每個人解釋如何設定其電子郵件用戶端）：

smtp_tls_mandatory_protocols = !TLSv1, !SSLv2, !SSLv3
smtp_tls_protocols = !TLSv1, !SSLv2, !SSLv3

如果傳送 MTA 無法協商 TLS（需要 SSLv3），那麼您通常會在郵件日誌中看到以下內容：

warning: TLS library problem: 364:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

如果您調高日誌記錄級別，您將看到 TLS 協商失敗，並顯示更多訊息，例如

postfix/smtpd[26234]: SSL_accept:before/accept initialization
postfix/smtpd[26234]: SSL_accept:error in SSLv2/v3 read client hello A
postfix/smtpd[26234]: SSL_accept error from 201-62-89-201.life.com.br[201.62.89.201]: -1

我一直在定期測試禁止 SSLv3 連線（MTA 不可避免地會重試很多天），因此您可以允許日誌中出現一些故障，然後對其進行分析。

這個 bash 腳本幫助我分析哪些伺服器正在嘗試使用 SSLv3：

#!/bin/sh
egrep "SSL_accept error" /var/log/maillog | awk '{printf("%s %s %s\n", $9, $10, $11)}' | sort | uniq -c | sort -`

此變體顯示協商密碼 - 因此，一旦您重新啟用 SSLv3，您可以將其保留一段時間，然後確認 MTA 正在使用 SSLv3：

#!/bin/sh
egrep "TLS connection established from.*with cipher" /var/log/maillog | awk '{printf("%s %s %s %s\n", $12, $13, $14, $15)}' | sort | uniq -c | sort -

我還沒有找到更好的答案；我想採取更細緻的方法，並能夠選擇性地允許某些 MTA 的 SSLv3，具體取決於它們的連接嘗試是否因maillog.歡迎所有意見/建議。

Answer 1