Como eu corrijo o TLS do postfix?

1

Nota Embora tudo isso abaixo possa ser educativo, todo meu problema não foi com postfix, mas com meu ISP. Eu realmente troquei ISPs no tempo em questão, e o meu novo é interceptar e reescrever o tráfego SMTP não criptografado de uma maneira que quebra explicitamente STARTTLS. Eu trabalhei em torno do problema, configurando uma conexão somente TLS na porta 465.

O STARTTLS estava trabalhando com o meu sistema hoje cedo. Sem eu alterar o sistema de qualquer forma, ele quebrou espontaneamente. Eu agora tenho tentado consertá-lo por algumas horas, sem sucesso.

Quando me conecto ao servidor, é isso que recebo:

savanni@Orolo:~$ telnet apps.savannidgerinel.com 25
Trying 129.121.182.135...
Connected to apps.sasavanni@Orolo:~$ telnet apps.savannidgerinel.com 25
Trying 129.121.182.135...
Connected to apps.savannidgerinel.com.
Escape character is '^]'.
220 ***********************************************
ehlo dude
250-apps.savannidgerinel.com
250-PIPELINING
250-SIZE 10240000
250-VRFY
250-ETRN
250-XXXXXXXA
250-AUTH PLAIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
^]close

telnet> close
Connection closed.

Ok, obviamente STARTTLS não está presente nesta lista. Então eu tenho cavado meus arquivos de configuração e trabalhado nos tutoriais novamente, e isso não me fez bem nenhum. Aqui está minha configuração relacionada ao tls:

smtp_tls_CAfile = /etc/ssl/certs/savannidgerinel_com_CA.pem
smtp_tls_cert_file = /etc/ssl/certs/apps.savannidgerinel.com.pem
smtp_tls_key_file = /etc/ssl/private/apps.savannidgerinel.com.key.pem
smtp_tls_security_level = may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

smtpd_tls_CAfile = /etc/ssl/certs/savannidgerinel_com_CA.pem
smtpd_tls_cert_file = /etc/ssl/certs/apps.savannidgerinel.com.pem
smtpd_tls_key_file = /etc/ssl/private/apps.savannidgerinel.com.key.pem
smtpd_tls_loglevel = 3
smtpd_tls_received_header = yes
smtpd_tls_security_level = may
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache

tls_random_source = dev:/dev/urandom

Todos os arquivos de certificado estão presentes, a chave privada do servidor está presente, a CA do servidor está presente e os arquivos smtpd_scache.db e smtp_scache.db estão presentes. Todos são acessíveis ao usuário postfix. Falando nisso, aqui estão os processos em execução:

savanni@apps:/var/lib/postfix$ ps aux | grep postfix
root      3525  0.0  0.1  25112  1680 ?        Ss   20:19   0:00 /usr/lib/postfix/master
postfix   3526  0.0  0.1  27176  1524 ?        S    20:19   0:00 pickup -l -t fifo -u -c -o content_filter= -o receive_override_options=no_header_body_checks
postfix   3527  0.0  0.1  27228  1552 ?        S    20:19   0:00 qmgr -l -t fifo -u
postfix   3528  0.0  0.4  46948  4144 ?        S    20:19   0:00 smtpd -n smtp -t inet -u -c -o stress= -s 2
postfix   3529  0.0  0.1  27176  1628 ?        S    20:19   0:00 proxymap -t unix -u
postfix   3530  0.0  0.3  38212  3176 ?        S    20:19   0:00 tlsmgr -l -t unix -u -c
postfix   3531  0.0  0.1  27176  1516 ?        S    20:19   0:00 anvil -l -t unix -u -c
postfix   3535  0.0  0.1  27188  1544 ?        S    20:20   0:00 trivial-rewrite -n rewrite -t unix -u -c

Os arquivos de log dizem absolutamente nada relacionado ao TLS, exceto por isso:

Nov  6 02:19:45 apps postfix/master[3525]: daemon started -- version 2.9.6, configuration /etc/postfix
Nov  6 02:19:49 apps postfix/smtpd[3528]: initializing the server-side TLS engine
Nov  6 02:19:49 apps postfix/tlsmgr[3530]: open smtpd TLS cache btree:/var/lib/postfix/smtpd_scache
Nov  6 02:19:49 apps postfix/tlsmgr[3530]: tlsmgr_cache_run_event: start TLS smtpd session cache cleanup
Nov  6 02:19:49 apps postfix/smtpd[3528]: connect from unknown[204.16.68.108]

Nem o syslog nem o mail.err mostram qualquer indicação de um problema. No que diz respeito a todo o sistema, tudo está bem. Mas não há STARTTLS e, de repente, não consigo enviar nenhum e-mail .

Ajuda ???

    
por Savanni D'Gerinel 06.11.2013 / 03:25

1 resposta

3

de main.cf

Para mais logs de tls: smtp_tls_note_starttls_offer = yes

comente ou remova:

smtp_tls_CAfile = /etc/ssl/certs/savannidgerinel_com_CA.pem
smtp_tls_cert_file = /etc/ssl/certs/apps.savannidgerinel.com.pem
smtp_tls_key_file = /etc/ssl/private/apps.savannidgerinel.com.key.pem

"Não configure certificados de clientes, a menos que você precise apresentar certificados TLS de cliente a um ou mais servidores. Os certificados de cliente geralmente não são necessários e podem causar problemas em configurações que funcionam bem sem eles. A configuração recomendada é deixar os padrões "

Recarregar config ou reiniciar o postfix.

Eu testei seu servidor:

EHLO apps.savannidgerinel.com
250-apps.savannidgerinel.com
250-PIPELINING
250-SIZE 10240000
250-VRFY 250-ETRN
250-STARTTLS
250-AUTH PLAIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN

Oferece 250-STARTTLS . Então, algo está interceptando seu tráfego na porta 25 como um proxy. Pode ser qualquer tipo de firewall ou roteador avançado, com essa funcionalidade estendida que o seu computador local conecta. Se você não tem um firewall ou um roteador avançado, é mais provável que seja uma política antispam do seu ISP para impedir que o spam se origine de seus intervalos de IP. No pior dos casos, alguém está fazendo um homem no ataque do meio.

    
por Anders F. U. Kiær 06.11.2013 / 04:40