Postfix TLS 问题

Question 1

smtp_tls_session_cache_database = btree:/var/lib/postfix/smtpd_tls_cache.db

请注意 smtp != smtp***d***。

您尚未设置 smtpD_tls_session_cache_database，并且此设置没有默认值。

添加并重新加载。

编辑：嗯，其实这不是必需的。哦，也许更多的日志记录会给我们一些线索。

重新编辑：请执行以下操作：

停止后缀：postfix stop
mv /var/log/mail.log ~/mail.log.bak使用和清除日志重新启动 syslog 服务
显示输出{ postconf -d; postconf -d; postconf -n; } | sort | uniq -u，因为这将向我们展示 main.cf 中设置的内容，即不是默认的
显示输出postconf mail_version
编辑 main.cf 并inet_interfaces = 127.0.0.1设置debug_peer_list = 127.0.0.1
启动后缀：postfix start
使用 telnet 连接到本地服务器：telnet 127.0.0.1 25
观察发生的情况并从头开始发布干净的日志。

Answer

smtp_tls_session_cache_database = btree:/var/lib/postfix/smtpd_tls_cache.db

请注意 smtp != smtp***d***。

您尚未设置 smtpD_tls_session_cache_database，并且此设置没有默认值。

添加并重新加载。

编辑：嗯，其实这不是必需的。哦，也许更多的日志记录会给我们一些线索。

重新编辑：请执行以下操作：

停止后缀：postfix stop
mv /var/log/mail.log ~/mail.log.bak使用和清除日志重新启动 syslog 服务
显示输出{ postconf -d; postconf -d; postconf -n; } | sort | uniq -u，因为这将向我们展示 main.cf 中设置的内容，即不是默认的
显示输出postconf mail_version
编辑 main.cf 并inet_interfaces = 127.0.0.1设置debug_peer_list = 127.0.0.1
启动后缀：postfix start
使用 telnet 连接到本地服务器：telnet 127.0.0.1 25
观察发生的情况并从头开始发布干净的日志。

Question 2

好的，我将其与我目前使用 TLS 的 Postfix+Dovecot 解决方案进行比较。该版本比您报告的版本新，因为它在 Ubuntu 12.04 LTS 上运行。

# postconf mail_version
mail_version = 2.9.3

现在，如果我仅检查非默认smtpd_*设置，则会出现以下情况：

# postconf -n |grep ^smtpd_
smtpd_banner = $myhostname ESMTP $mail_name
smtpd_client_restrictions = reject_rbl_client sbl.spamhaus.org, reject_rbl_client blackholes.easynet.nl, reject_rbl_client dnsbl.njabl.org
smtpd_data_restrictions = reject_unauth_pipelining
smtpd_delay_reject = yes
smtpd_hard_error_limit = 12
smtpd_helo_required = yes
smtpd_helo_restrictions = permit_mynetworks, warn_if_reject reject_non_fqdn_hostname, reject_invalid_hostname, permit
smtpd_recipient_limit = 16
smtpd_recipient_restrictions = reject_unauth_pipelining, permit_mynetworks, permit_sasl_authenticated, reject_non_fqdn_recipient, reject_unknown_recipient_domain, reject_unauth_destination, check_policy_service inet:127.0.0.1:10023, permit
smtpd_sasl_auth_enable = yes
smtpd_sasl_authenticated_header = yes
smtpd_sasl_local_domain =
smtpd_sasl_path = private/auth
smtpd_sasl_security_options = noanonymous
smtpd_sasl_type = dovecot
smtpd_sender_restrictions = permit_sasl_authenticated, permit_mynetworks, warn_if_reject reject_non_fqdn_sender, reject_unknown_sender_domain, reject_unauth_pipelining, permit
smtpd_soft_error_limit = 3
smtpd_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
smtpd_tls_cert_file = /etc/ssl/certs/server.example.net.crt
smtpd_tls_key_file = /etc/ssl/private/server.example.net.key
smtpd_tls_loglevel = 1
smtpd_tls_received_header = yes
smtpd_tls_security_level = may
smtpd_tls_session_cache_timeout = 3600s
smtpd_use_tls = yes

我的系统与您的系统之间的另一个区别是，我在 chroot 中运行，因此我的系统master.cf有以下内容可供比较：

smtp      inet  n       -       -       -       -       smtpd
#smtp      inet  n       -       -       -       1       postscreen
#smtpd     pass  -       -       -       -       -       smtpd
#dnsblog   unix  -       -       -       -       0       dnsblog
#tlsproxy  unix  -       -       -       -       0       tlsproxy
submission inet n       -       -       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
  -o milter_macro_daemon_name=ORIGINATING
#smtps     inet  n       -       -       -       -       smtpd
#  -o syslog_name=postfix/smtps
#  -o smtpd_tls_wrappermode=yes
#  -o smtpd_sasl_auth_enable=yes
#  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
#  -o milter_macro_daemon_name=ORIGINATING

通过阅读您可以发现，我只在 25/tcp（smtp）和 587/tcp（提交）上监听，因为不需要 465/tcp（smtps），因为 25/tcp 将支持 STARTTLS 而 587/tcp 需要 STARTTLS。

我能看出我和你之间唯一真正重要的区别master.cf是，你的 smtp 以开头smtpd -v，而我只需要smtpd

我质疑是什么导致了 postfix/tlsmgr 的日志条目，因为简单地 telnet 到端口 25 甚至不应该启动 TLS 连接，除非在连接后发出 STARTTLS 命令，然后正确测试，您最好使用以下方法进行测试：

openssl s_client -connect localhost:25 -starttls smtp -CApath /etc/ssl/certs

关于我的 SSL 设置的说明：我安装了ca-certificates软件包，然后将我的证书放在下面/etc/ssl/certs，将我的密钥放在下面/etc/ssl/private。然后我将我的中间 CA 放在下面/usr/local/share/ca-certificates并运行update-ca-certificates. This re-generates theca-certificates.crt and creates the proper symlinks under/etc/ssl/certs`。

Answer