Dotaz: Postfix SASL STARTTLS nefunguje

[cynic_asshole]

Zdravím, mám problém s konfigurací postfixu. Server slouží pouze jako brána na odesílání pošty, neobhospodařuje žádné schránky. Bohužel se mi nedaří rozchodit STARTTLS, poštovní klient mi vždy vyhodí, že server nenabízí STARTTLS, ačkoliv při přezkoušce telnetem mi jej nabídne.
Použitý software:
FreeBSD 7.2, postfix-2.6.5,1, cyrus-sasl-2.1.23, cyrus-sasl-saslauthd-2.1.23.
Konfigurace main.cf:

# SASL CONFIG
#
broken_sasl_auth_clients = yes
smtpd_sender_restrictions = permit_sasl_authenticated, permit_mynetworks
smtpd_recipient_restrictions =
  permit_mynetworks,
  permit_sasl_authenticated,
  check_relay_domains,
  permit_inet_interfaces
smtpd_sasl_local_domain =
smtpd_sasl_authenticated_header = yes
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous

# TLS
#
smtpd_use_tls = yes
smtpd_tls_auth_only = yes
smtpd_tls_security_level = encrypt
smtpd_tls_key_file = /etc/ssl/private/smtp-key.pem
smtpd_tls_cert_file = /etc/ssl/certs/smtp.pem
smtpd_tls_CAfile = /etc/ssl/private/cacert.pem
smtpd_tls_loglevel = 1
smtpd_tls_received_header = yes
smtpd_tls_session_cache_timeout = 3600s
smtpd_tls_note_starttls_offer = yes
tls_random_source = dev:/dev/urandom
smtp_tls_note_starttls_offer = yes
smtp_tls_key_file = /etc/ssl/private/smtp-key.pem
smtp_tls_cert_file = /etc/ssl/certs/smtp.pem
smtpd_tls_ask_ccert = yes
smtpd_tls_req_ccert = no
smtpd_tls_dh1024_param_file = /etc/ssl/postfix/dh_1024.pem
smtpd_tls_dh512_param_file = /etc/ssl/postfix/dh_512.pem
smtpd_tls_eecdh_grade = strong
smtpd_sasl_tls_security_options = noanonymous

Telnet výpis:

220 example.com ESMTP Postfix
EHLO example.com
250-example.com
250-PIPELINING
250-SIZE 10240000
250-ETRN
250-AUTH LOGIN PLAIN
250-AUTH=LOGIN PLAIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250-DSN
250 STARTTLS
QUIT
221 2.0.0 Bye

Výpis z logu:

Jun  5 18:01:51 iaeste postfix/smtpd[68512]: connect from unknown[193.165.152.60]
Jun  5 18:01:51 iaeste postfix/smtpd[68512]: setting up TLS connection from unknown[193.165.152.60]
Jun  5 18:01:51 iaeste postfix/smtpd[68512]: Anonymous TLS connection established from unknown[193.165.152.60]: TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits)
Jun  5 18:02:10 iaeste postfix/smtpd[68512]: disconnect from unknown[193.165.152.60]
Jun  5 18:05:30 iaeste postfix/anvil[68514]: statistics: max connection rate 1/60s for (smtps:193.165.152.60) at Jun  5 18:01:51
Jun  5 18:05:30 iaeste postfix/anvil[68514]: statistics: max connection count 1 for (smtps:193.165.152.60) at Jun  5 18:01:51
Jun  5 18:05:30 iaeste postfix/anvil[68514]: statistics: max cache size 1 at Jun  5 18:01:51

Dovedl by mě někdo nakopnout, co dělám špatně? Na jiném serveru s podobnou konfigurací (jinak starší verze programů) se stejným klientem to běží v pohodě. Díky všem

---

---

Odpovědi

[Max]

To ocheckování telnetem jsi zkoušel z lokálu na serveru, nebo z toho PC, ze kterého se ten email snažíš poslat?
Zdar Max

[Max]

Jinak jsi si jistý, že na tom emailovým klientu máš zaškrtnuto, aby se ověřoval (anonymous connection máš zakázaný)?
Zdar Max

[cynic_asshole]

Zkoušel jsem to z PC, ze kterého se snažím poslat ten e-mail. V Thunderbirdu mám vybráno STARTTLS a použití uživatelského jména.

[pikolik]

A jakého máš providera? Viděl jsem u telefoniky přepisovat tuhle hlavičku. Server odpověděl, že TLS ano, klient si ho vybral, ale po cestě to přepsali na XXXX, takže spojení spadlo. Zkus tcpdump u klienta i na serveru a uvidíš.

[Max]

Ahoj, tohle dělá cisco router, který vykřížkujee STARTLS a ještě pár věcí vyhvězdičkuje. Řešil jsem to tady : Moderní evropský ISP - pohled do budoucnosti, pod blogem kamaráda, který v tom viděl zákeřnou sabotáž ISP. Naštěstí to bylo opravdu jen nevhodně nastaveným cisco routerem.
Z toho důvodu jsem se také ptal, odkud zkouší ten telnet. Kdyby ho zkoušel ze serveru, tak je možné, že klient je za nějakým hnusným cisco filterem, a proto to nejde, ač v telnetu z lokálu se to tváří ok.
Zdar Max

[cynic_asshole]

Poskytovatel je lokální, nic takového neprovozuje. Z té stejné sítě a stejného počítače se dokážu připojit k jinému serveru a ten v pohodě TLS naváže.

[NN]

Treba ti to pomuze:

http://www.postfix.org/SASL_README.html

NN

[cynic_asshole]

Toto bylo první, co jsem konzultoval.

[dfgh]

Delavaly to taky antiviry. Ten fungujici server mozna ma kdysi davno nastavenou a pak zapomenutou vyjimku

[cynic_asshole]

Hm, ano, právě jsem zjistil, že mi to blokuje Mailový štít programu Avast. Zkusil jsem tam zadat výjimku, ale stejně na to nereaguje, tak jsem jej bohužel musel vypnout. Snad to vyřeší nějakou aktualizací, zkusím jim napsat. Díky všem za rady.

[Smrk]

Tohle je klasika, já bych spíš doporučil místo smtp používat smtps a nebo submission.