Problema de configuração do postfix com fips no centos 7; revezamento de mailgun

Question

Estou tentando configurar o postfix para retransmitir todos os emails gerados na máquina local via SMTP para um relay de correspondência. Eu usei o relay mailgun antes com sucesso em um servidor Ubuntu, mas estou migrando para um servidor Centos 7 que eu vou rodar no modo FIPS. Há log de erro abaixo, ligeiramente higienizado. Eu tenho uma rede pequena o suficiente que eu escolho para que cada máquina chegue a mailgun individualmente (isto é, as restrições 127.0.0.0/8 somente para loopback) e nenhuma porta aberta do firewall permitindo smtp na máquina.

Eu assumo que o modo FIPS (e com ele desabilitando o MD5) está causando problemas, mas eu não sei como superá-lo ou se é possível que tls_fprint use algum hash suportado, como sha256 ou sha512. No entanto, o relay = none é um pouco preocupante, pois tenho o relayhost set, mas talvez seja porque o processo smtp está falhando?

Qualquer ajuda seria apreciada!

postconf -n:

alias_database = hash:/etc/aliases
alias_maps = hash:/etc/aliases
command_directory = /usr/sbin
config_directory = /etc/postfix
daemon_directory = /usr/libexec/postfix
data_directory = /var/lib/postfix
debug_peer_level = 2
debugger_command = PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin ddd $daemon_directory/$process_name $process_id & sleep 5
html_directory = no
inet_interfaces = loopback-only
inet_protocols = ipv4
local_recipient_maps =
mail_owner = postfix
mailq_path = /usr/bin/mailq.postfix
manpage_directory = /usr/share/man
mydestination =
mynetworks = 127.0.0.0/8
newaliases_path = /usr/bin/newaliases.postfix
queue_directory = /var/spool/postfix
readme_directory = /usr/share/doc/postfix-2.10.1/README_FILES
relayhost = [smtp.mailgun.org]:587
sample_directory = /usr/share/doc/postfix-2.10.1/samples
sender_canonical_classes = envelope_sender, header_sender
sender_canonical_maps = regexp:/etc/postfix/sender_canonical_maps
sendmail_path = /usr/sbin/sendmail.postfix
setgid_group = postdrop
smtp_generic_maps = hash:/etc/postfix/generic
smtp_header_checks = regexp:/etc/postfix/header_check
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
smtp_tls_mandatory_ciphers = high
smtp_tls_note_starttls_offer = yes
smtp_tls_security_level = encrypt
smtpd_tls_security_level = encrypt
unknown_local_recipient_reject_code = 550

/ var / log / maillog:

Apr 28 20:04:15 HOSTNAME postfix/pickup[85556]: SOME_ID_NUMBER: uid=0 from=<root>
Apr 28 20:04:15 HOSTNAME postfix/cleanup[85583]: SOME_ID_NUMBER: message-id=<20180429000415.SOME_ID_NUMBER@FQDN>
Apr 28 20:04:15 HOSTNAME postfix/qmgr[85557]: SOME_ID_NUMBER: from=<root@FQDN>, size=2261, nrcpt=1 (queue active)
Apr 28 20:04:16 HOSTNAME postfix/smtp[85585]: fatal: tls_fprint: error computing md5 message digest
Apr 28 20:04:17 HOSTNAME postfix/qmgr[85557]: warning: private/smtp socket: malformed response
Apr 28 20:04:17 HOSTNAME postfix/qmgr[85557]: warning: transport smtp failure -- see a previous warning/fatal/panic logfile record for the problem description
Apr 28 20:04:17 HOSTNAME postfix/master[85555]: warning: process /usr/libexec/postfix/smtp pid 85585 exit status 1
Apr 28 20:04:17 HOSTNAME postfix/master[85555]: warning: /usr/libexec/postfix/smtp: bad command startup -- throttling
Apr 28 20:04:17 HOSTNAME postfix/error[85587]: SOME_ID_NUMBER: to=<[email protected]>, relay=none, delay=1.7, delays=0.05/1.6/0/0.02, dsn=4.3.0, status=deferred (unknown mail transport error)

    

Answer 1

Depois de muitas horas tentando entender, incluindo a depuração nos processos smtp e tlsmgr no master.cf, consegui determinar que o FIPS desabilitando o md5 era realmente o problema. Adicionando o seguinte ao master.cf corrigiu o problema:

smtp_tls_fingerprint_digest=sha256

A configuração para sha1 e sha512 também funcionou. Observe que a documentação do postfix avisa sobre a configuração de algo diferente de sha1 ou md5 (sendo o padrão md5). Da documentação:

While additional digest algorithms are often available with OpenSSL's libcrypto, only those used by libssl in SSL cipher suites are available to Postfix. For now this means just md5 or sha1.

No entanto, para minhas necessidades, o sha256 parece estar funcionando bem.

    

Answer 2

Se você quiser configurar somente o host de retransmissão, terá que alterar a entrada padrão de /etc/postfix/postfix.conf para o host de retransmissão desejado. Espero que este link seja útil para você

link