带有 TLS 的 Postfix 2.6.6 - 无法接收来自 GMail（和其他几个 MTA）的电子邮件，但其他的都可以，为什么？

Question

归根结底，这个问题似乎是由于一些发件人仍然只能协商 SSLv3。这是一件坏事，但收不到电子邮件也不是一件好事。

其实就是这么简单。我对此并不满意，但如果发送 MTA 拒绝重新协商 TLS，而是一直使用 SSLv3 重试，那么我们目前能做的事情不多。

因此，暂时，我已采取允许使用 SSLv3 加密传入电子邮件的做法，但要求服务器上的所有客户端仍然必须通过 TLS 进行身份验证。

我通过放松协议否定器来实现这一点main.cf：

smtpd_tls_mandatory_protocols = !TLSv1, !SSLv2
smtpd_tls_protocols = !TLSv1, !SSLv2

注意：这些smtp_tls_定义是针对从该服务器发送的邮件的，因此与客户端连接有关，因此您可以根据需要使这些定义尽可能严格（只要您愿意向每个人解释如何设置他们的电子邮件客户端）：

smtp_tls_mandatory_protocols = !TLSv1, !SSLv2, !SSLv3
smtp_tls_protocols = !TLSv1, !SSLv2, !SSLv3

如果发送 MTA 无法协商 TLS（需要 SSLv3），您通常会在邮件日志中看到以下内容：

warning: TLS library problem: 364:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:

如果你提高日志记录级别，你会看到 TLS 协商失败，并出现更多类似这样的消息

postfix/smtpd[26234]: SSL_accept:before/accept initialization
postfix/smtpd[26234]: SSL_accept:error in SSLv2/v3 read client hello A
postfix/smtpd[26234]: SSL_accept error from 201-62-89-201.life.com.br[201.62.89.201]: -1

我一直在定期测试禁止 SSLv3 连接（不可避免地，MTA 会重试很多天），因此您可以允许日志中累积一些故障，然后对其进行分析。

这个 bash 脚本帮助我分析哪些服务器正在尝试使用 SSLv3：

#!/bin/sh
egrep "SSL_accept error" /var/log/maillog | awk '{printf("%s %s %s\n", $9, $10, $11)}' | sort | uniq -c | sort -`

此变体显示协商密码 - 因此一旦您重新启用 SSLv3，您可以将其保留一段时间，然后确认 MTA 正在使用 SSLv3：

#!/bin/sh
egrep "TLS connection established from.*with cipher" /var/log/maillog | awk '{printf("%s %s %s %s\n", $12, $13, $14, $15)}' | sort | uniq -c | sort -

我还没有找到更好的答案；我想采取更细致入微的方法，并能够根据某些 MTA 的连接尝试是否因某些错误而失败，有选择地允许其使用 SSLv3 maillog。欢迎提出所有意见/建议。

Answer 1