Portál AbcLinuxu, 18. května 2022 14:49



Dotaz: Dovecot - problém s SSL certifikátem (Rocky Linux)

MMMMMMMMM avatar 15.11.2021 18:11 MMMMMMMMM | skóre: 44 | blog: unstable | Valašsko :-)
Dovecot - problém s SSL certifikátem (Rocky Linux)
Přečteno: 314×
Odpovědět | Admin
Ahojte, neřešil někdo z vás podobný problém jako já? ;-) Provedl jsem migraci CentOS 8 Stream na Rocky Linux pomocí migračního skriptu migrate2rocky.sh. Na dvou serverech. Jeden brzo po migraci začal mít problém s Dovecotem, druhý až po pár týdnech po migraci (přesněji dnes!). Chyba:
Nov 15 16:48:44 server dovecot[1660]: imap-login: Error: Failed to initialize SSL server context:
Can't load SSL certificate: error:14187180:SSL routines:ssl_do_config:bad value: section=system_default,
cmd=MinProtocol, arg=DTLSv1.2: user=<>, rip=xxx, lip=xxx, session=<...>
Nedokázal jsem najít řešení problému, proto jsem u prvního serveru (nic důležitého, jen na hokusy-pokusy) provedl čistou instalaci Rocky Linuxu. Drží se, je OK. Druhý server, kde mám soukromou poštu, se mi pokazil dnes. Žádná aktualizace systému, žádné úpravy v konfiguraci, prostě po rebootu stroje Dovecot odmítá IMAPS spojení. Ostatní služby jako Postfix, nginx nebo Proftpd s certifikátem problém nemají a fungují na jedničku (TLS1.2 + TLS1.3)

Je mi jasné, že se nakonec pustím do čisté instalace Rocky Linuxu, ale třeba se to někomu taky rozbilo a třeba by poradil? Pokud ne, nic se neděje, dočasně jsem to vyřešil zapnutím IMAP protokolu, který je dostupný jen přes OpenVPN, takže ve výsledku šifrovaně...
Linux Dokumentační Projekt - PDF ke stažení

Řešení dotazu:


Nástroje: Začni sledovat (0) ?Zašle upozornění na váš email při vložení nového komentáře.

Odpovědi

15.11.2021 19:02 X
Rozbalit Rozbalit vše Re: Dovecot - problém s SSL certifikátem (Rocky Linux)
Odpovědět | | Sbalit | Link | Blokovat | Admin
Nekoliduje ti ssl_min_protocol v Dovecot a MinProtocol(DTLSv1.2) v openssl.conf?
MMMMMMMMM avatar 15.11.2021 19:49 MMMMMMMMM | skóre: 44 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: Dovecot - problém s SSL certifikátem (Rocky Linux)
ssl_min_protocol = TLSv1.2

Divné je, že ráno jsem ještě vybíral poštu, pak v práci vypnul virtuál, zmigroval jej na jiný disk (jede to na ESXi), zapnul a následně to už nefunguje.

Stát se to v produkčním prostředí, nevím nevím. Ne vážně - kdyby se to stalo, tak by pomohlo nasadit nginx jako reverzní proxy pro IMAP a IMAPS, už s tím mám zkušenost. Ale tady jde o to zjistit, co se to děje a proč se to děje. Začínám přemýšlet, zda místo Rockyho nedát raději Almu...
15.11.2021 21:41 X
Rozbalit Rozbalit vše Re: Dovecot - problém s SSL certifikátem (Rocky Linux)
Jenze podle toho erroru mas v systemove OpenSSL konfiguraci DTLS1.2 a kontexty takto nelze mixovat:
Can't load SSL certificate: error:14187180:SSL routines:ssl_do_config:bad value: section=system_default,
cmd=MinProtocol, arg=DTLSv1.2
MMMMMMMMM avatar 16.11.2021 07:53 MMMMMMMMM | skóre: 44 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: Dovecot - problém s SSL certifikátem (Rocky Linux)
Díky za nakopnutí. Mrknul jsem na čistou instalaci Rocky linuxu a našel tam v souboru /etc/crypto-policies/back-ends/opensslcnf.config:
CipherString = @SECLEVEL=2:kEECDH:kRSA:kEDH:kPSK:kDHEPSK:kECDHEPSK:-aDSS:-3DES:!DES:!RC4:!RC2:!IDEA:-SEED:!eNULL:!aNULL:!MD5:-SHA384:-CAMELLIA:-ARIA:-AESCCM8
Ciphersuites = TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:TLS_AES_128_CCM_SHA256
MinProtocol = TLSv1.2
MaxProtocol = TLSv1.3
SignatureAlgorithms = ECDSA+SHA256:ECDSA+SHA384:ECDSA+SHA512:ed25519:ed448:rsa_pss_pss_sha256:rsa_pss_rsae_sha256:rsa_pss_pss_sha384:rsa_pss_rsae_sha384:rsa_pss_pss_sha512:rsa_pss_rsae_sha512:RSA+SHA256:RSA+SHA384:RSA+SHA512:ECDSA+SHA224:RSA+SHA224:ECDSA+SHA1:RSA+SHA1
Přitom na serveru, kde došlo k migraci na Rocky linux z Centos 8 Stream, je tohle:
CipherString = @SECLEVEL=2:kEECDH:kRSA:kEDH:kPSK:kDHEPSK:kECDHEPSK:-aDSS:-3DES:!DES:!RC4:!RC2:!IDEA:-SEED:!eNULL:!aNULL:!MD5:-SHA384:-CAMELLIA:-ARIA:-AESCCM8
Ciphersuites = TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:TLS_AES_128_CCM_SHA256
TLS.MinProtocol = TLSv1.2
TLS.MaxProtocol = TLSv1.3
DTLS.MinProtocol = DTLSv1.2
DTLS.MaxProtocol = DTLSv1.2
SignatureAlgorithms = ECDSA+SHA256:ECDSA+SHA384:ECDSA+SHA512:ed25519:ed448:rsa_pss_pss_sha256:rsa_pss_rsae_sha256:rsa_pss_pss_sha384:rsa_pss_rsae_sha384:rsa_pss_pss_sha512:rsa_pss_rsae_sha512:RSA+SHA256:RSA+SHA384:RSA+SHA512:ECDSA+SHA224:RSA+SHA224:ECDSA+SHA1:RSA+SHA1
Provedl jsem úpravu dle nastavení čistého Rocky linuxu a po rebootu Dovecot funguje i s SSL. Při chvilce se na to mrknu podrobněji, jak vlastně tyhle crypto-policies fungují. Díky. :-)
Řešení 1× (MMMMMMMMM (tazatel))
MMMMMMMMM avatar 16.11.2021 17:41 MMMMMMMMM | skóre: 44 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: Dovecot - problém s SSL certifikátem (Rocky Linux)
Je to vážně divné. Zrovna jsem provedl na prvním serveru (čistá instalace RL) update na verzi 8.5 a po restartu obsahuje tento server navíc parametry ve zmíněném souboru:
DTLS.MinProtocol = DTLSv1.2
DTLS.MaxProtocol = DTLSv1.2
A Dovecot na něm běží i se SSL. Tak jsem provedl update i na druhém serveru. Ručně jsem přeinstaloval crypto-policies, takže obsahovaly i info výše a po rebootu celého serveru Dovecot taky startuje. Jsou v tom kouzla. :/ Ještě jeden problém a reinstaluju to.
16.11.2021 18:17 X
Rozbalit Rozbalit vše Re: Dovecot - problém s SSL certifikátem (Rocky Linux)
Nebude to tim, ze na kazdem serveru je trochu jiny certifikat(ssl_cert), ktery se to snazi nacist?
MMMMMMMMM avatar 16.11.2021 18:33 MMMMMMMMM | skóre: 44 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: Dovecot - problém s SSL certifikátem (Rocky Linux)
Teoreticky by to nemělo být tím - všude máme stejný wildcard certifikát (a stejnou konfiguraci Dovecotu).

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.