Ok, então estou comparando isso com a solução Postfix + Dovecot que está usando o TLS bem neste momento. A versão é mais recente do que você está relatando, pois está sendo executado no Ubuntu 12.04 LTS.
# postconf mail_version
mail_version = 2.9.3
Agora, se eu verificar apenas minhas configurações smtpd_* não padrão, tenho o seguinte:
# postconf -n |grep ^smtpd_
smtpd_banner = $myhostname ESMTP $mail_name
smtpd_client_restrictions = reject_rbl_client sbl.spamhaus.org, reject_rbl_client blackholes.easynet.nl, reject_rbl_client dnsbl.njabl.org
smtpd_data_restrictions = reject_unauth_pipelining
smtpd_delay_reject = yes
smtpd_hard_error_limit = 12
smtpd_helo_required = yes
smtpd_helo_restrictions = permit_mynetworks, warn_if_reject reject_non_fqdn_hostname, reject_invalid_hostname, permit
smtpd_recipient_limit = 16
smtpd_recipient_restrictions = reject_unauth_pipelining, permit_mynetworks, permit_sasl_authenticated, reject_non_fqdn_recipient, reject_unknown_recipient_domain, reject_unauth_destination, check_policy_service inet:127.0.0.1:10023, permit
smtpd_sasl_auth_enable = yes
smtpd_sasl_authenticated_header = yes
smtpd_sasl_local_domain =
smtpd_sasl_path = private/auth
smtpd_sasl_security_options = noanonymous
smtpd_sasl_type = dovecot
smtpd_sender_restrictions = permit_sasl_authenticated, permit_mynetworks, warn_if_reject reject_non_fqdn_sender, reject_unknown_sender_domain, reject_unauth_pipelining, permit
smtpd_soft_error_limit = 3
smtpd_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
smtpd_tls_cert_file = /etc/ssl/certs/server.example.net.crt
smtpd_tls_key_file = /etc/ssl/private/server.example.net.key
smtpd_tls_loglevel = 1
smtpd_tls_received_header = yes
smtpd_tls_security_level = may
smtpd_tls_session_cache_timeout = 3600s
smtpd_use_tls = yes
Outra diferença entre o meu sistema e o seu é que estou executando em um chroot, então meu master.cf tem o seguinte para comparação:
smtp inet n - - - - smtpd
#smtp inet n - - - 1 postscreen
#smtpd pass - - - - - smtpd
#dnsblog unix - - - - 0 dnsblog
#tlsproxy unix - - - - 0 tlsproxy
submission inet n - - - - smtpd
-o syslog_name=postfix/submission
-o smtpd_tls_security_level=encrypt
-o smtpd_sasl_auth_enable=yes
-o smtpd_client_restrictions=permit_sasl_authenticated,reject
-o milter_macro_daemon_name=ORIGINATING
#smtps inet n - - - - smtpd
# -o syslog_name=postfix/smtps
# -o smtpd_tls_wrappermode=yes
# -o smtpd_sasl_auth_enable=yes
# -o smtpd_client_restrictions=permit_sasl_authenticated,reject
# -o milter_macro_daemon_name=ORIGINATING
Como você pode perceber lendo que eu estou ouvindo apenas 25 / tcp (smtp) e 587 / tcp (submissão) já que não há necessidade de 465 / tcp (smtps) como 25 / tcp suportará STARTTLS e 587 / tcp requer STARTTLS.
Sobre a única diferença significativa que eu poderia dizer do meu master.cf e o seu era que você tem o smtp começando com smtpd -v e eu simplesmente tenho smtpd
Eu questiono o que causou as entradas de log para o postfix / tlsmgr, pois simplesmente fazer telnet para a porta 25 não deveria ter iniciado a conexão TLS, a menos que o comando STARTTLS tenha sido conectado uma vez e testado adequadamente.
openssl s_client -connect localhost:25 -starttls smtp -CApath /etc/ssl/certs
Observações para minha configuração de SSL: Instalei o pacote ca-certificates e, em seguida, coloquei meu certificado em /etc/ssl/certs e minha chave em /etc/ssl/private . Em seguida, insiro o CA intermediário em /usr/local/share/ca-certificates e execute update-ca-certificates. This re-generates the ca-certificates.crt and creates the proper symlinks under / etc / ssl / certs '.