Roundcube 和 Postfix SMTP：SSL 例程：SSL3_READ_BYTES：tlsv1 警报未知 ca：s3_pkt.c

Question 1

上面的错误消息看起来像一个客户端（roundcube 调用的 PHP 脚本）由于未知 CA，无法验证对等证书. 发生此错误的原因有很多。

关于 openssl，Roundcube 1.0-RC 及更高版本附带了 SSL 连接选项。参数smtp_conn_options和imap_conn_options分别在 1.0-RC 和 1.0.3 版本中添加。默认情况下，这两个参数的值都是空的。以下代码片段取自 roundcube 文件config/defaults.inc.php。您可以参考PHP 手册获取此参数的完整描述。

// SMTP socket context options
// See http://php.net/manual/en/context.ssl.php
// The example below enables server certificate validation, and
// requires 'smtp_timeout' to be non zero.
// $config['smtp_conn_options'] = array(
//   'ssl'         => array(
//     'verify_peer'  => true,
//     'verify_depth' => 3,
//     'cafile'       => '/etc/openssl/certs/ca.crt',
//   ),
// );
$config['smtp_conn_options'] = null;

在许多使用自签名证书的系统中，默认值适用于 PHP 5.5 及更早版本。默认情况下，PHP 5.6 将根据已安装的 CA 验证对等证书并验证对等名称。

现在，看起来 Debian jessie 也默认搭载 PHP 5.6 版本。显然 PHP 无法验证 postfix 证书。可能的原因是，PHP 在 verify_peer_name 中失败（因为您在 hostname 中指定了 localhost）或在 verify_peer 中失败（因为 CA 未知）

类似情况也发生过致 Arch Linux 用户解决方案是：

在 openssl cert 目录中安装 CA 证书
在 roundcube smtp_server 选项中，将 localhost 更改为 Postfix FQDN (来自 OP 的解决方案)
在 smtp_conn_options 中禁用 verify_peer 和/或 verify_peer_name

Answer

上面的错误消息看起来像一个客户端（roundcube 调用的 PHP 脚本）由于未知 CA，无法验证对等证书. 发生此错误的原因有很多。

关于 openssl，Roundcube 1.0-RC 及更高版本附带了 SSL 连接选项。参数smtp_conn_options和imap_conn_options分别在 1.0-RC 和 1.0.3 版本中添加。默认情况下，这两个参数的值都是空的。以下代码片段取自 roundcube 文件config/defaults.inc.php。您可以参考PHP 手册获取此参数的完整描述。

// SMTP socket context options
// See http://php.net/manual/en/context.ssl.php
// The example below enables server certificate validation, and
// requires 'smtp_timeout' to be non zero.
// $config['smtp_conn_options'] = array(
//   'ssl'         => array(
//     'verify_peer'  => true,
//     'verify_depth' => 3,
//     'cafile'       => '/etc/openssl/certs/ca.crt',
//   ),
// );
$config['smtp_conn_options'] = null;

在许多使用自签名证书的系统中，默认值适用于 PHP 5.5 及更早版本。默认情况下，PHP 5.6 将根据已安装的 CA 验证对等证书并验证对等名称。

现在，看起来 Debian jessie 也默认搭载 PHP 5.6 版本。显然 PHP 无法验证 postfix 证书。可能的原因是，PHP 在 verify_peer_name 中失败（因为您在 hostname 中指定了 localhost）或在 verify_peer 中失败（因为 CA 未知）

类似情况也发生过致 Arch Linux 用户解决方案是：

在 openssl cert 目录中安装 CA 证书
在 roundcube smtp_server 选项中，将 localhost 更改为 Postfix FQDN (来自 OP 的解决方案)
在 smtp_conn_options 中禁用 verify_peer 和/或 verify_peer_name

Question 2

PHP 5.6 执行 SSL 对等验证，这意味着它会检查 SMTP 服务器的证书是否是已知的 CA。

smtp_server 选项必须与证书的 CN 字段匹配！（通用名称）

因此，不要将 localhost 放入其中，而应将与您的证书匹配的完整合格域名放入其中。

致谢：https://www.blogobramje.nl/posts/Roundcube_sending_mail_broken_with_PHP_5.6_-_STARTTLS_failed/

Answer

PHP 5.6 执行 SSL 对等验证，这意味着它会检查 SMTP 服务器的证书是否是已知的 CA。

smtp_server 选项必须与证书的 CN 字段匹配！（通用名称）

因此，不要将 localhost 放入其中，而应将与您的证书匹配的完整合格域名放入其中。

致谢：https://www.blogobramje.nl/posts/Roundcube_sending_mail_broken_with_PHP_5.6_-_STARTTLS_failed/

Question 3

因为我使用 dovecot，所以我的解决方案是将 ca 添加到/etc/dovecot/dovecot.conf

ssl_ca = </etc/ssl/ca.pem

Answer

因为我使用 dovecot，所以我的解决方案是将 ca 添加到/etc/dovecot/dovecot.conf

ssl_ca = </etc/ssl/ca.pem

Question 4

同样的问题！快速解决一个棘手的问题：将 config/defaults.inc.php 中的 verify_peer 更改为 false。

$config['smtp_conn_options'] = array(
   'ssl'         => array(
     'verify_peer'  => false,
     'verify_depth' => 3,
     'cafile'       => '/etc/openssl/certs/ca.crt',
   ),
);

警告仅适用于测试；不适用于生产环境

Answer

同样的问题！快速解决一个棘手的问题：将 config/defaults.inc.php 中的 verify_peer 更改为 false。

$config['smtp_conn_options'] = array(
   'ssl'         => array(
     'verify_peer'  => false,
     'verify_depth' => 3,
     'cafile'       => '/etc/openssl/certs/ca.crt',
   ),
);

警告仅适用于测试；不适用于生产环境

Roundcube 和 Postfix SMTP：SSL 例程：SSL3_READ_BYTES：tlsv1 警报未知 ca：s3_pkt.c

答案1

答案2

答案3

答案4

相关内容