Dotaz: chyb SSL v imaps dovecot centos

[mardon]

Mám naistalován postfix, dovecot s podporou SSL, Nejde se mi připojit na imap pomoci rouncube v logu dvecotu je tato chyba: TLS: SSL_read() failed: error:14094419:SSL routines:SSL3_READ_BYTES:tlsv1 alert access denied: SSL alert number 49

Nevíte v čem je problém?

Odpovědi

[petr_p]

Server si stěžuje, že ho odmítl klient. Takže důvod hledejte v protokolu klienta.

[mardon]

Máte na mysli roundcube? Nevím , ale stejný problém mi hlásí i pokud používám thunderbird. Tak jsem měla dojem,že je něco špatně v těch SSL certifikátech.

[petr_p]

Ano, v roundcube. Nakonec problém může být způsoben certifikátem, ale ten, kdo z komunikace vycouval ve vašem případě, je klient, protože server si od klienta přečetl chybovou zprávu access denied.

Doporučil bych místo e-mailového klienta použít specializovaného TLS klienta. Například program openssl. A odzkoušet si funkčnost serveru v něm. Konkrétně jde o podpříkaz openssl s_client.

[mardon]

tak jsem vyzloušela openssl s_client -connect server.mydomain.cz:pop3s

a openssl s_client -connect server.mydomain.cz:imaps

oba výpisy jsou poněkud dlouhé, kde bych měla v nich hledat chybu? vidim tam

verify error:num=18:self signed certificate verify return:1

a pak také

No client certificate CA names sent

[petr_p]

verify error:num=18:self signed certificate
verify return:1

To říká, že certifikát (nebo nějaký jeho nadřazený certifikát) serveru není podepsán certifikační autoritou známou klientu. Budete muset klientovi vysvětlit, že dané autoritě nebo případně přímo certifikátu serveru má věřit. Pro testování si zkopírujte dotyčný certifikát na klienta a programu openssl jej odkažte parametrem -CAfile.

No client certificate CA names sent

A tady si klient stěžuje, že server neposlal, jakým autoritám server věří, aby klient se mohl autentizovat certifikátem vydaným jednou z oněch autorit.

Je možné, že server požaduje autentizaci certifikátem, ale to z toho jednoho řádku není poznat. Ani sama jste nepopsala, co vlastně od TLS mezi serverem a klientem čekáte. Jestli chcete autentizaci klientů certifikátem, asi budete muset klientovi nějaký soukromý klíč vygenerovat a vystavit certifikát a oba opět klientovi dát přes příslušné parametry k dispozici.

Celé to na mě vrhá dojem, že jste si nainstalovala Dovecot ve výchozím nastavení s nějakým automaticky vygenerovaným certifikátem a čekáte, že to bude magicky samo fungovat.

[mardon]

Tak účelem mého konání je na mém vlastním VPS zprovoznit postfix a dovecot se SASL a SSL. Měl by tam být poštovní server pro mé weby. Postupovala jsem podle nějakého tutoriálu a nyní řeším problém proč mi to nefunguje. Ano máte pravdu v podstatě se to teprve učím. Teď jsem narazila na chybu se kterou si nevím rady. Certitifkát jsem generovala podle toho tutoriálu a mělo to teda fungovat.