Dotaz: Neda sa poslat e-mail: problem so SSL/TLS?

[maros]

APC UPSka s najnovsim firmverom (z roku 2019) nedokaze poslat cez Postfix e-mail.
V debug logu Postfixu je len SSL_accept:error in SSLv3/TLS write server done.
UPS nema ziadne logy ohladom SMTP.
V packet capture je vidiet, ze po Server Hello zo strany servera, je uz len komunikacia od servera k UPSke resp. keep-alive medzi nimi a nasledne RST od UPSky.
Ked si vsak pozriem Client Hello od UPSky, tak tam vidim Content-Type: Handshake (22) a Version: SSL 3.0, pricom v Server Hello od Postfixu je Version: TLS 1.2.
Nemoze byt v tomto problem?
UPSka a Postfix sa zhodnu na TLS_DHE_RSA_WITH_AES_256_CBC_SHA256.
Postfix resp. Dovecot ma konfig ssl_cipher_list = ALL:!kRSA:!SRP:!kDHd:!DSS:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!PSK:!RC4:!ADH:!LOW@STRENGTH

Odpovědi

[maros]

Příloha:

• ssl.png (10865 bytů)

V prilohe je screenshot packet capturu z Client Hello z UPSky.

[NN]

Dalsi 'ssl_*' direktivy v konfiguraci nemas?

[maros]

egrep -v "^#" /etc/dovecot/conf.d/10-ssl.conf 

ssl = required

ssl_cert = /etc/dovecot/private/dovecot.pem
ssl_key = /etc/dovecot/private/dovecot.key




ssl_client_ca_dir = /etc/ssl/certs



ssl_dh = /usr/share/dovecot/dh.pem


ssl_cipher_list = ALL:!kRSA:!SRP:!kDHd:!DSS:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!PSK:!RC4:!ADH:!LOW@STRENGTH

[Jendа]

Obávám se, že budeš potřebovat dát před postfix socat s openssl s podporou SSL3. To znamená zkompilovat si to, protože distribuční openssl už asi nebude mít pro SSL3 podporu.

[Max]

"TLS v1.1/1.2 is supported only on firmware revision v6.5.0+."
Pokud máš starší, tak neposílat relativně bezcené emaily z UPS přes ssl, nebo jak psal Jenda, socat, či jiný workaround.

Dále je zde ještě možnost, že openssl nepodporuje SSLv3, ale Postfix se to třeba snaží akceptovat a selže. Pojisti se tím, že ten protokol v Postfixu zakážeš, nějak takto :

# inbound
smtpd_tls_security_level = may
smtpd_tls_protocols=!SSLv2,!SSLv3
smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3
# outbound
smtp_tls_security_level = may
smtp_tls_protocols=!SSLv2,!SSLv3
smtp_tls_mandatory_protocols=!SSLv2,!SSLv3

Zdar Max

[j]

Vykasli se na maily a udelej to opacne, cti si z ty UPSky SNMP (a nebo si posilej trapy). Ale jinak pokud dobre vidim, tak tls 1.0 zakazany nemas. Kdybys totiz mel, nejspis by ti nedhodily maily skoro zadny (testoval sem). A tls 1.0 by to zvladat melo ...

BTW: Tady to mate .... at zije bezpecnost, zakazem vsechno aby vsechno prestalo fungovat.

BTW2: APC ma takovou hruzu, rikaj tomu PowerChute Network Shutdown a existuje to jak pro tuxe, tak v podobe hotovyho stroje trebas pro vmware. To prozmenu neumi trebas RC-4, takze kdyz k tomu chces pripojit starsi UPSky, tak jedine bez sifrovani. To je totiz mnohem bezpecnejsi. Totiz ono to zaroven neumi nastavit jiny login na sebe a pro UPSky, takze ten kdo si chyti ten login pres to http, pak muze shodit UPSky vsechny pekne najednou.