Postfix / Dovecot / Let'sEncrypt - os clientes do Gmail / E-mail dizem que os e-mails do meu servidor não estão criptografados corretamente (cadeado vermelho)

Question

Postfix / Dovecot / Let'sEncrypt - os clientes do Gmail / E-mail dizem que os e-mails do meu servidor não estão criptografados corretamente (cadeado vermelho)

#1 resposta do (3 votos)

1

Não sou especialista em configuração de servidores de e-mail e não estou familiarizado com tudo o que preciso fazer para que os e-mails funcionem (configurando registros DNS para trabalhar principalmente com entrega de e-mails) como um recurso sem problemas. Portanto, eu ficaria feliz em receber alguns links para ótimos vídeos explicando como funciona, quais etapas eu preciso seguir para configurar tudo de acordo com algumas diretrizes ou informações comuns sobre o que há de errado com a minha configuração, porque eu tentei coisas diferentes e não tive sorte em resolver meu problema.

Eu tenho meu próprio servidor Linux executando o Ubuntu 17.04 e tenho o postfix e o dovecot configurados para os e-mails da minha empresa.

A questão é que, sempre que eu enviar e-mails para uma conta do Gmail, na informação, você pode ver o ícone vermelho ( link ) e diz "bisart.eu não criptografou esta mensagem".

Mensagem original:

Received-SPF: pass (google.com: domain of [email protected] designates 185.160.111.248 as permitted sender) client-ip=185.160.111.248;
To: [email protected]
From: Dominik Dancs <[email protected]>
Subject: dsadas
Message-ID: <[email protected]>
Date: Sat, 12 Aug 2017 22:07:10 +0200
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Thunderbird/52.2.1
MIME-Version: 1.0
Content-Type: text/plain; charset=utf-8; format=flowed
Content-Transfer-Encoding: 7bit
Content-Language: en-US

O problema é que eu tenho vários domínios apontando para o mesmo host e o mesmo servidor de e-mail é usado (moowdesign.eu, moow.info, fenixportal.eu, etc.) e eu preciso todos eles para ter criptografia de e-mail SSL.

Cada domínio aponta para o IP e mail.domain.tld é definido como o registro MX DNS (que também aponta para o IP do servidor).

Minhas portas são encaminhadas, portanto, todo o tráfego de e-mail pode passar para o servidor.

Eu uso o cliente acme.sh da Let'sEncrypt ( link ) para criar o certificado curinga para todos os domínios em um certificado e depois usá-lo no dovecot e no postfix.

A questão:

Assim, o cliente do Gmail solicita que os e-mails sejam assinados pelo "bisart.eu" , mas esse domínio não tem nada a ver com o meu servidor, exceto o moowdesign.bisart. eu aponta para o meu servidor e tem registros reversos para ele . Não consigo assinar o certificado usando esse domínio / servidor.

O que devo fazer? Eu sei que isso não é melhor deixar como é, porque as pessoas iriam ver o ícone vermelho e pensar que é e-mail fraudulento ou algo assim e, muito provavelmente, todos os e-mails iriam direto para o spam. Espero que haja algum tipo de solução.

Além disso, meus registros de DNS para todos os domínios são (respectivamente):

               3600 IN MX  10 mail
@              3600 IN A   185.160.111.248
moow.info.     3600 IN TXT "v=spf1 mx a ptr ip4:185.160.111.248/32 a:mail.moow.info a:moowdesign.bisart.eu ~all"
mail           3600 IN A   185.160.111.248

Meu main.cf (arquivo de configuração Postfix)

compatibility_level = 2
debug_peer_level = 2

smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no

queue_directory = /var/spool/postfix
command_directory = /usr/sbin
#daemon_directory = /usr/libexec/postfix
data_directory = /var/lib/postfix

mail_owner = postfix

default_privs = nobody

myhostname = mail.moowdesign.eu
mydomain = moowdesign.eu
myorigin = $mydomain
mydestination = localhost

append_dot_mydomain = no

unknown_local_recipient_reject_code = 550

mynetworks_style = host

relay_domains = *

alias_maps = hash:/etc/aliases

debugger_command =
         PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin
         ddd $daemon_directory/$process_name $process_id & sleep 5

sendmail_path = /usr/sbin/sendmail
newaliases_path = /usr/bin/newaliases
mailq_path = /usr/bin/mailq

setgid_group = vmail

inet_protocols = ipv4
inet_interfaces = all

meta_directory = /etc/postfix
shlib_directory = /usr/lib/postfix
html_directory = /usr/doc/postfix-3.1.2/html
manpage_directory = /usr/man
sample_directory = /etc/postfix
readme_directory = no

smtpd_tls_cert_file = /etc/dovecot/letsencrypt.crt
smtpd_tls_CAfile = /etc/dovecot/letsencrypt.chain
smtpd_tls_key_file = /etc/dovecot/letsencrypt.key
#smtpd_tls_cert_file = /etc/dovecot/private/mail.crt
#smtpd_tls_key_file = /etc/dovecot/private/mail.key

smtpd_use_tls = yes
smtpd_tls_auth_only = yes
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes

smtpd_recipient_restrictions =
        permit_sasl_authenticated,
        permit_mynetworks,
        reject_unauth_destination,
        reject_unknown_reverse_client_hostname,
        reject_invalid_helo_hostname,
        reject_non_fqdn_helo_hostname,
        reject_non_fqdn_sender,
        reject_non_fqdn_recipient,
        reject_unknown_sender_domain,
        reject_unknown_recipient_domain,
        reject_invalid_hostname,
        reject_rbl_client zen.spamhaus.org,
        reject_rbl_client sbl.spamhaus.org,
        reject_rbl_client barracudacentral.org

smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination

virtual_mailbox_domains = mysql:/etc/postfix/mysql/virtual_domains_maps.cf
virtual_alias_maps =
   mysql:/etc/postfix/mysql/virtual_alias_maps.cf,
   mysql:/etc/postfix/mysql/virtual_alias_domain_maps.cf,
   mysql:/etc/postfix/mysql/virtual_alias_domain_catchall_maps.cf
virtual_mailbox_maps =
   mysql:/etc/postfix/mysql/virtual_mailbox_maps.cf,
   mysql:/etc/postfix/mysql/virtual_alias_domain_mailbox_maps.cf

virtual_transport = lmtp:unix:/var/spool/postfix/private/dovecot-lmtp
alias_database = hash:/etc/aliases

Inscreva-se para enviar um email:

Aug 13 13:03:26 production postfix/smtps/smtpd[8768]: warning: hostname 84-245-121-111.dynamic.swanmobile.sk does not resolve to address 84.245.121.111: Name or service not known
Aug 13 13:03:26 production postfix/smtps/smtpd[8768]: connect from unknown[84.245.121.111]
Aug 13 13:03:27 production postfix/smtps/smtpd[8768]: 472971201BC: client=unknown[84.245.121.111], sasl_method=PLAIN, [email protected]
Aug 13 13:03:27 production postfix/cleanup[8772]: 472971201BC: message-id=<[email protected]>
Aug 13 13:03:27 production postfix/qmgr[29192]: 472971201BC: from=<[email protected]>, size=627, nrcpt=1 (queue active)
Aug 13 13:03:27 production postfix/smtps/smtpd[8768]: disconnect from unknown[84.245.121.111] ehlo=1 auth=1 mail=1 rcpt=1 data=1 quit=1 commands=6
Aug 13 13:03:29 production postfix/smtp[8775]: 472971201BC: to=<[email protected]>, relay=gmail-smtp-in.l.google.com[64.233.167.27]:25, delay=1.9, delays=0.17/0/0.87/0.89, dsn=2.0.0, status=sent (250 2.0.0 OK 1502622209 y42si3780413wrd.170 - gsmtp)
Aug 13 13:03:29 production postfix/qmgr[29192]: 472971201BC: removed

Há mais alguma coisa que eu precise fornecer informações para poder resolver esse problema?

Eu tentei:

Criando um certificado autoassinado no servidor bisart.eu e, em seguida, usando-o no meu servidor com dovecot e postfix (não ajudou, ainda diz: "bisart.eu não criptografou esta mensagem")
Criando auto-assinado certificado no meu servidor (não ajudou)
Alterando meu nome de host e Propriedades mydomain em main.cf na configuração do postfix
Adicionando spf gravar para o meu DNS

Obrigado antecipadamente.

ssl encryption postfix dovecot linux

por Sonic656 13.08.2017 / 12:20

1 resposta

Tags ssl encryption postfix dovecot linux

Remova todas as margens próximas em um pdf Excel - Por que essa verificação de igualdade está falhando?

score 3 · Accepted Answer

A criptografia do tráfego de saída não tem muito a ver com os itens acima.

Quando envia e-mails, o seu postfix conecta ao Gmail (não envolvem nem encaminhamento de porta nem registros MX) e age como um cliente TLS (ou seja, como um navegador da web , não um servidor web); pode fornecer seu próprio certificado, mas não precisa.

Além disso, o Postfix tem configurações separadas para o TLS nos modos servidor e cliente, em smtpd_tls_* e smtp_tls_* , respectivamente. Não misture os dois.

Verifique se você tem essas configurações ativadas:

smtp_tls_security_level = may
smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
smtp_tls_loglevel = 1

Ajuste smtp_tls_CAfile para se adequar ao seu sistema operacional. A configuração smtp_tls_loglevel não é obrigatória, mas pode se tornar útil ao ler registros.

A configuração de smtp_tls_cert_file e smtp_tls_key_file não é necessária (muitos servidores de e-mail ignoram o certificado de cliente ou apenas o usam para fins de registro).