postfix - 接收电子邮件时出现 TLS/SSL 错误

Question 1

这些日志行中明显存在该问题：

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org 尝试建立 SSL/TLS 连接但失败，可能是因为它尝试使用您的服务器不接受的 SSL/TLS 协议。

您确实应该发布输出，postconf -n以便它仅显示与默认值不同的配置参数。您的postconf输出包含太多噪音，因此不太有用。

这就是说713 行您的postconf要点似乎是禁止除 TLSv1.2 之外的所有 TLS 协议。这非常严格，对于应该能够接受传入邮件的邮件服务器来说可能太过分了。我将设置相关的 TLS 配置参数，如下所示：

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

这样，您便可以禁用 SSLv2 和 SSLv3（它们都是有问题且不安全的），而保留 TLSv1、TLSv1.1 和 TLSv1.2 可用。在中添加或更改这些参数后，重新启动 Postfix /etc/postfix/main.cf。

Answer

这些日志行中明显存在该问题：

Oct 12 17:29:01 snw postfix/smtpd[3682]: SSL_accept error from apache-7.startcom.org[192.116.242.7]: -1
Oct 12 17:29:01 snw postfix/smtpd[3682]: warning: TLS library problem: 3682:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

apache7-startcom.org 尝试建立 SSL/TLS 连接但失败，可能是因为它尝试使用您的服务器不接受的 SSL/TLS 协议。

您确实应该发布输出，postconf -n以便它仅显示与默认值不同的配置参数。您的postconf输出包含太多噪音，因此不太有用。

这就是说713 行您的postconf要点似乎是禁止除 TLSv1.2 之外的所有 TLS 协议。这非常严格，对于应该能够接受传入邮件的邮件服务器来说可能太过分了。我将设置相关的 TLS 配置参数，如下所示：

smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

这样，您便可以禁用 SSLv2 和 SSLv3（它们都是有问题且不安全的），而保留 TLSv1、TLSv1.1 和 TLSv1.2 可用。在中添加或更改这些参数后，重新启动 Postfix /etc/postfix/main.cf。

Question 2

我在将 gmail 连接到我的 postfix 服务器时遇到了完全相同的情况，并出现了相同的错误消息。结果发现我的证书和密钥上的权限和 SELinux 上下文不正确。

就我而言，我执行了 sftp 将证书放到服务器上，然后将包括证书在内的整个目录复制到最终位置。

restorecon -rv [directory]

如果您将目录从其他地方移动（或使用 -Z 标志），则恢复正确的 SELinux 上下文。

确保在更正权限和所有权（root：root & 640）时，对整个目录进行递归操作，而不仅仅是目录内的文件。

/etc/postfix/main.cfg（仅相关部分）

smtp_tls_security_level = may
smtpd_tls_security_level = may
smtp_tls_note_starttls_offer = yes

#Do not forget that the directory and contents have to be owned by root
smtpd_tls_cert_file = /etc/letsencrypt/live/mydomain.com-0001/fullchain7.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mydomain.com-0001/privkey7.pem

Answer