从老化的 Windows XP 机器启用旧式 TLS v1.0 连接的正确 Postfix 设置是什么？

Question 1

您没有说明 OpenSSL 的版本和内部版本（这决定了可用的密码套件，以及协议，尽管协议不是您的问题所在）或 Ubuntu 版本（这实际上决定了上述内容），但从错误消息中的源文件来看，它显然是 1.1.0 或更高版本，并且通常不支持您的 XP3 客户端提供的任何密码套件。如果客户端因运行的 Windows 而异，则可能是它使用了 schannel，而 XP/S03（即使有 SP）也没有比 3DES 更好的密码（在您的 ClientHello 转储中得到确认）。

最简单的解决方法是，如果客户端可以执行 clear-SMTP（无 TLS），并且您配置 postfix 以接受该操作；只要此服务器仅用于一个不可靠的客户端，安全风险就不会比该客户端本身更严重。如果做不到这一点：

（我很确定）你可以下载（OpenSSL）源包（即已经被 Ubuntu 修补/调整过的）加上 buildeps 和 buildtools，将配置步骤改为添加--enable-ssl-weak-ciphers，然后重建并安装；这样应该兼容（现在支持 3DES，包含在 MEDIUM 中），但如果有重要的东西在同一系统上运行，我个人不会冒险。否则，您必须构建自己的 OpenSSL 版本和使用它来创建您自己的后缀，或者假设您正在使用隐式（465，而不是 STARTTLS）在其间放置一些（简单的）东西，比如用弱化版本的 OpenSSL 构建的背靠背 stunnel 对，这可能更简单。

或者只需使用更接近 XP 的 Ubuntu，例如 16.04——我碰巧在 WSL 上测试了它，并且有 OpenSSL 1.0.2g-plus-patches，它确实支持 3DES（和 TLS1.0——0.9.8 之前的所有 OpenSSL 都支持 3DES）。如果您不想为此专门设置一个系统，请将其放入 VM 或 docker 或类似设备中。顺便说一句，如果您的组织对过时或易受攻击的版本进行网络范围的扫描，这也可能有助于防止它引起恐慌。

Answer

您没有说明 OpenSSL 的版本和内部版本（这决定了可用的密码套件，以及协议，尽管协议不是您的问题所在）或 Ubuntu 版本（这实际上决定了上述内容），但从错误消息中的源文件来看，它显然是 1.1.0 或更高版本，并且通常不支持您的 XP3 客户端提供的任何密码套件。如果客户端因运行的 Windows 而异，则可能是它使用了 schannel，而 XP/S03（即使有 SP）也没有比 3DES 更好的密码（在您的 ClientHello 转储中得到确认）。

最简单的解决方法是，如果客户端可以执行 clear-SMTP（无 TLS），并且您配置 postfix 以接受该操作；只要此服务器仅用于一个不可靠的客户端，安全风险就不会比该客户端本身更严重。如果做不到这一点：

（我很确定）你可以下载（OpenSSL）源包（即已经被 Ubuntu 修补/调整过的）加上 buildeps 和 buildtools，将配置步骤改为添加--enable-ssl-weak-ciphers，然后重建并安装；这样应该兼容（现在支持 3DES，包含在 MEDIUM 中），但如果有重要的东西在同一系统上运行，我个人不会冒险。否则，您必须构建自己的 OpenSSL 版本和使用它来创建您自己的后缀，或者假设您正在使用隐式（465，而不是 STARTTLS）在其间放置一些（简单的）东西，比如用弱化版本的 OpenSSL 构建的背靠背 stunnel 对，这可能更简单。

或者只需使用更接近 XP 的 Ubuntu，例如 16.04——我碰巧在 WSL 上测试了它，并且有 OpenSSL 1.0.2g-plus-patches，它确实支持 3DES（和 TLS1.0——0.9.8 之前的所有 OpenSSL 都支持 3DES）。如果您不想为此专门设置一个系统，请将其放入 VM 或 docker 或类似设备中。顺便说一句，如果您的组织对过时或易受攻击的版本进行网络范围的扫描，这也可能有助于防止它引起恐慌。

Question 2

不是在评判你。我也是 WinXP 爱好者。

以下内容适用于已有 20 多年历史的 Outlook 2002，其后缀为 3.5.17（20 年后的 2022 年发布）和 OpenSSL 1.1.1n（也是 2022 年）：

主文件：

smtpd_tls_cert_file=... # your .pem file goes here
smtpd_tls_key_file=... # your .pem file goes here
smtpd_tls_security_level=may

smtp_tls_security_level = secure
# important:
smtp_tls_mandatory_protocols = !SSLv2, !SSLv3, !TLSv1.1
smtp_tls_mandatory_ciphers = high

smtpd_use_tls=yes
smtpd_tls_auth_only = yes
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_sasl_auth_enable = yes
smtpd_recipient_restrictions = permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination
smtpd_sasl_security_options = noanonymous, noplaintext
smtpd_sasl_tls_security_options = noanonymous

master.cf：

submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  #-o smtpd_tls_security_level=encrypt
  -o smtpd_tls_security_level=may
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_tls_auth_only=yes
  -o smtpd_reject_unlisted_recipient=no
  -o smtpd_client_restrictions=$mua_client_restrictions
  -o smtpd_helo_restrictions=$mua_helo_restrictions
  -o smtpd_sender_restrictions=$mua_sender_restrictions
  -o smtpd_recipient_restrictions=
  #-o smtpd_relay_restrictions=permit_sasl_authenticated,reject
  -o smtpd_relay_restrictions=permit_sasl_authenticated,reject_unauth_destination
  -o milter_macro_daemon_name=ORIGINATING

在上面的 master.cf 中，注释掉的内容及其各自的替换值很重要。

希望这可以帮助！

Answer