Comment réparer postfix TLS?
Note Bien que tout ce qui précède puisse être éducatif, il s’avère que tout mon problème ne concernait pas postfix, mais mon fournisseur d’accès Internet. En fait, j’ai changé de fournisseur d’accès à l’époque en question, et mon nouveau fournisseur intercepte et réécrit le trafic SMTP non chiffré d’une manière qui rompt explicitement STARTTLS. J'ai résolu le problème en configurant une connexion TLS uniquement sur le port 465.
STARTTLS travaillait avec mon système plus tôt dans la journée. Sans que je modifie le système de quelque manière que ce soit, il s'est brisé spontanément. Cela fait deux heures que j'essaye de résoudre ce problème, sans succès.
Lorsque je me connecte au serveur, voici ce que je reçois:
savanni@Orolo:~$ telnet apps.savannidgerinel.com 25
Trying 129.121.182.135...
Connected to apps.sasavanni@Orolo:~$ telnet apps.savannidgerinel.com 25
Trying 129.121.182.135...
Connected to apps.savannidgerinel.com.
Escape character is '^]'.
220 ***********************************************
ehlo dude
250-apps.savannidgerinel.com
250-PIPELINING
250-SIZE 10240000
250-VRFY
250-ETRN
250-XXXXXXXA
250-AUTH PLAIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
^]close
telnet> close
Connection closed.
D'accord, STARTTLS n'est évidemment pas présent dans cette liste. J'ai donc fouillé dans mes fichiers de configuration et retravaillé dans les didacticiels, ce qui ne m'a fait aucun bien. Voici ma configuration liée à tls:
smtp_tls_CAfile = /etc/ssl/certs/savannidgerinel_com_CA.pem
smtp_tls_cert_file = /etc/ssl/certs/apps.savannidgerinel.com.pem
smtp_tls_key_file = /etc/ssl/private/apps.savannidgerinel.com.key.pem
smtp_tls_security_level = may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_tls_CAfile = /etc/ssl/certs/savannidgerinel_com_CA.pem
smtpd_tls_cert_file = /etc/ssl/certs/apps.savannidgerinel.com.pem
smtpd_tls_key_file = /etc/ssl/private/apps.savannidgerinel.com.key.pem
smtpd_tls_loglevel = 3
smtpd_tls_received_header = yes
smtpd_tls_security_level = may
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
tls_random_source = dev:/dev/urandom
Tous les fichiers de certificat sont présents, la clé privée du serveur est présente, l'autorité de certification du serveur est présente et les fichiers smtpd_scache.db et smtp_scache.db sont tous deux présents. Tous sont accessibles à l'utilisateur postfix. En parlant de cela, voici les processus en cours d'exécution:
savanni@apps:/var/lib/postfix$ ps aux | grep postfix
root 3525 0.0 0.1 25112 1680 ? Ss 20:19 0:00 /usr/lib/postfix/master
postfix 3526 0.0 0.1 27176 1524 ? S 20:19 0:00 pickup -l -t fifo -u -c -o content_filter= -o receive_override_options=no_header_body_checks
postfix 3527 0.0 0.1 27228 1552 ? S 20:19 0:00 qmgr -l -t fifo -u
postfix 3528 0.0 0.4 46948 4144 ? S 20:19 0:00 smtpd -n smtp -t inet -u -c -o stress= -s 2
postfix 3529 0.0 0.1 27176 1628 ? S 20:19 0:00 proxymap -t unix -u
postfix 3530 0.0 0.3 38212 3176 ? S 20:19 0:00 tlsmgr -l -t unix -u -c
postfix 3531 0.0 0.1 27176 1516 ? S 20:19 0:00 anvil -l -t unix -u -c
postfix 3535 0.0 0.1 27188 1544 ? S 20:20 0:00 trivial-rewrite -n rewrite -t unix -u -c
Les fichiers journaux ne disent absolument rien sur TLS sauf pour ceci:
Nov 6 02:19:45 apps postfix/master[3525]: daemon started -- version 2.9.6, configuration /etc/postfix
Nov 6 02:19:49 apps postfix/smtpd[3528]: initializing the server-side TLS engine
Nov 6 02:19:49 apps postfix/tlsmgr[3530]: open smtpd TLS cache btree:/var/lib/postfix/smtpd_scache
Nov 6 02:19:49 apps postfix/tlsmgr[3530]: tlsmgr_cache_run_event: start TLS smtpd session cache cleanup
Nov 6 02:19:49 apps postfix/smtpd[3528]: connect from unknown[204.16.68.108]
Ni syslog ni mail.err ne montrent aucune indication d'un problème. En ce qui concerne l'ensemble du système, tout va bien. Mais il n’ya pas de STARTTLS et je ne peux donc plus envoyer d’email du tout .
Aidez-moi???
de main.cf
Pour plus de journalisation: smtp_tls_note_starttls_offer = yes
commenter ou supprimer:
smtp_tls_CAfile = /etc/ssl/certs/savannidgerinel_com_CA.pem
smtp_tls_cert_file = /etc/ssl/certs/apps.savannidgerinel.com.pem
smtp_tls_key_file = /etc/ssl/private/apps.savannidgerinel.com.key.pem
"Ne configurez pas les certificats clients à moins que vous ne deviez présenter les certificats TLS des clients à un ou plusieurs serveurs. Les certificats clients ne sont généralement pas nécessaires et peuvent poser problème dans les configurations qui fonctionnent bien sans eux. Le paramètre recommandé consiste à laisser les valeurs par défaut."
Rechargez la configuration ou redémarrez Postfix.
J'ai testé votre serveur:
EHLO apps.savannidgerinel.com
250-apps.savannidgerinel.com
250-PIPELINING
250-SIZE 10240000
250-VRFY 250-ETRN
250-STARTTLS
250-AUTH PLAIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
Il offre 250-STARTTLS. Donc, quelque chose intercepte votre trafic sur le port 25 comme un proxy. Il peut s'agir de n'importe quel type de pare-feu ou de routeur avancé, avec des fonctionnalités étendues permettant à votre ordinateur local de se connecter. Si vous n'avez pas de pare-feu ou de routeur avancé, est-il probable qu'une stratégie antispam de votre fournisseur de services Internet empêche les spams de provenir de leurs plages d'adresses IP? Dans le pire des cas, quelqu'un fait une attaque homme au centre de l'attaque.