后缀：SSL_accept：SSLv2/v3 读取客户端 hello A 时出错

Question 1

smtpd_tls_mandatory_protocols = !SSLv2,!SSLv3,!TLSv1,!TLSv1.1
smtpd_tls_protocols = !SSLv2,!SSLv3,!TLSv1,!TLSv1.1
...
tls_medium_cipherlist = AES128+EECDH:AES128+EDH

通过将协议限制为仅 TLS 1.2，您的设置过于严格。大部分邮件服务器使用某种 UNIX，其中 OpenSSL 作为 TLS 库。仅在 4 年前发布的 1.0.1 版本中才添加对 TLS 1.2 的支持。这意味着有很多服务器使用旧版本的 OpenSSL，因此无法使用 TLS 连接到您的服务器。根据对等服务器设置和软件，这意味着向您的系统发送邮件要么永久失败，要么将在没有 TLS 的情况下重试。

因此，在邮件传输的情况下，您应该减少限制并至少接受 TLS 1.0，甚至接受 SSL 3.0，因为在大多数情况下，糟糕的加密比没有加密甚至没有投递要好。密码集也是如此：虽然偏好更强的密码是可以的，但您还应该将一些非 DH 密码和一些足够强大的密码（如 DES-CBC3-SHA）纳入您的密码集。

Answer

smtpd_tls_mandatory_protocols = !SSLv2,!SSLv3,!TLSv1,!TLSv1.1
smtpd_tls_protocols = !SSLv2,!SSLv3,!TLSv1,!TLSv1.1
...
tls_medium_cipherlist = AES128+EECDH:AES128+EDH

通过将协议限制为仅 TLS 1.2，您的设置过于严格。大部分邮件服务器使用某种 UNIX，其中 OpenSSL 作为 TLS 库。仅在 4 年前发布的 1.0.1 版本中才添加对 TLS 1.2 的支持。这意味着有很多服务器使用旧版本的 OpenSSL，因此无法使用 TLS 连接到您的服务器。根据对等服务器设置和软件，这意味着向您的系统发送邮件要么永久失败，要么将在没有 TLS 的情况下重试。

因此，在邮件传输的情况下，您应该减少限制并至少接受 TLS 1.0，甚至接受 SSL 3.0，因为在大多数情况下，糟糕的加密比没有加密甚至没有投递要好。密码集也是如此：虽然偏好更强的密码是可以的，但您还应该将一些非 DH 密码和一些足够强大的密码（如 DES-CBC3-SHA）纳入您的密码集。

Question 2

您已将 Postfix 配置为使用强加密，并采用推荐的 TLS 安全设置，例如https://cipherli.st/

通过仅接受具有安全设置的两个强密码smtpd_tls_mandatory_ciphers = medium并且 tls_medium_cipherlist = AES128+EECDH:AES128+EDH仅允许 TLS 1.2，您在安全性和兼容性之间进行了权衡。

Relay2.uni-heidelberg.de 愿意协商并切换到加密连接，但无法协商合适的密码。尽管设置smtpd_tls_security_level = may允许您的服务器回退到未加密的明文连接，显然relay2不愿意回退。

您要么需要支持一些较弱的密码，要么需要升级 Relay2 以支持现代强密码。

Answer