那些遇到过的问题

无法接收来自 Gmail 的邮件

Oct*_*tfx 16 postfix dovecot

几天前，Gmail 突然决定停止向我的邮件服务器发送邮件。我正在使用 Postfix 和 Dovecot 以及在 Debian 7 上运行的付费 SSL 证书，并更新了所有内容。

我的mail.log显示以下错误：

Dec 19 11:09:11 server postfix/smtpd[19878]: initializing the server-side TLS engine
Dec 19 11:09:11 server postfix/tlsmgr[19880]: open smtpd TLS cache btree:/var/lib/postfix/smtpd_scache
Dec 19 11:09:11 server postfix/tlsmgr[19880]: tlsmgr_cache_run_event: start TLS smtpd session cache cleanup
Dec 19 11:09:11 server postfix/smtpd[19878]: connect from mail-wi0-x230.google.com[2a00:1450:400c:c05::230]
Dec 19 11:09:11 server postfix/smtpd[19878]: setting up TLS connection from mail-wi0-x230.google.com[2a00:1450:400c:c05::230]
Dec 19 11:09:11 server postfix/smtpd[19878]: mail-wi0-x230.google.com[2a00:1450:400c:c05::230]: TLS cipher list "aNULL:-aNULL:ALL:+RC4:@STR                              ENGTH:!aNULL:!DES:!3DES:!MD5:!DES+MD5:!RC4:!RC4-MD5"
Dec 19 11:09:11 server postfix/smtpd[19878]: SSL_accept:before/accept initialization
Dec 19 11:09:11 server postfix/smtpd[19878]: SSL_accept:error in unknown state
Dec 19 11:09:11 server postfix/smtpd[19878]: SSL_accept error from mail-wi0-x230.google.com[2a00:1450:400c:c05::230]: -1
Dec 19 11:09:11 server postfix/smtpd[19878]: warning: TLS library problem: 19878:error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown                               protocol:s23_srvr.c:647:
Dec 19 11:09:11 server postfix/smtpd[19878]: lost connection after STARTTLS from mail-wi0-x230.google.com[2a00:1450:400c:c05::230]
Dec 19 11:09:11 server postfix/smtpd[19878]: disconnect from mail-wi0-x230.google.com[2a00:1450:400c:c05::230]
Run Code Online (Sandbox Code Playgroud)

摘自我的后缀main.cf：

smtpd_use_tls=yes
smtpd_tls_security_level = may
smtpd_tls_auth_only = yes
smtpd_tls_CAfile = path to CA Bundle
smtpd_tls_cert_file= path to cert (pem)
smtpd_tls_key_file=path to key (pem)
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtpd_tls_mandatory_protocols = !SSLv2,!SSLv3,!TLSv1,!TLSv1.1
smtpd_tls_exclude_ciphers = aNULL, DES, 3DES, MD5, DES+MD5, RC4, RC4-MD5
smtpd_tls_protocols=!SSLv2,!TLSv1,!TLSv1.1,!SSLv3
smtpd_tls_mandatory_ciphers = medium
smtpd_tls_received_header = yes
tls_preempt_cipherlist = yes
tls_medium_cipherlist = AES256+EECDH:AES256+EDH
Run Code Online (Sandbox Code Playgroud)

我不知道问题出在哪里，因为我经常收到其他人的邮件。通过 telnet 连接到端口 25 或通过 openssl 连接到端口 465 没有错误

另外： 我收到了这封来自谷歌的邮件：

Delivery to the following recipient failed permanently:

     <removed>

Technical details of permanent failure:
TLS Negotiation failed

----- Original message -----
[...]
Run Code Online (Sandbox Code Playgroud)

也许这是我的密码列表的问题？

回答 masegaloeh 的问题：

openssl s_client -connect localhost:25 -starttls smtp
CONNECTED(00000003)
depth=3 C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root
verify error:num=19:self signed certificate in certificate chain
verify return:0
---
Certificate chain
[...]
---
Server certificate
-----BEGIN CERTIFICATE-----
[...]
---
No client certificate CA names sent
---
SSL handshake has read 6267 bytes and written 477 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-GCM-SHA384
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: zlib compression
Expansion: zlib compression
SSL-Session:
Protocol  : TLSv1.2
Cipher    : ECDHE-RSA-AES256-GCM-SHA384
Session-ID: [...]
Session-ID-ctx:
Master-Key: [...]
Key-Arg   : None
PSK identity: None
PSK identity hint: None
SRP username: None
TLS session ticket lifetime hint: 3600 (seconds)
TLS session ticket: [...]

Compression: 1 (zlib compression)
Start Time: 1418986680
Timeout   : 300 (sec)
Verify return code: 19 (self signed certificate in certificate chain)

---
250 DSN
Run Code Online (Sandbox Code Playgroud)

更新 1： 重新颁发我的 SSL 证书。生成的所有内容如下：
openssl req -nodes -newkey rsa:2048 -keyout myserver.key -out server.csr -sha256

然后我创建了一个由crt和组成的新文件key，之后我创建了 CA 包：
cat COMODORSADomainValidationSecureServerCA.crt COMODORSAAddTrustCA.crt AddTrustExternalCARoot.crt > bundle.crt

将所有内容添加到我的 dovecot 和 postfix 配置并重新启动这两个服务。
Google 仍然无法向我的服务器发送邮件，导致TLS Negotiation failed

我尝试了另一个邮件提供商（web.de）并且邮件被发送。
web.de 日志：

Dec 19 17:33:15 server postfix/smtpd[14105]: connect from mout.web.de[212.227.15.3]
Dec 19 17:33:15 server postfix/smtpd[14105]: setting up TLS connection from mout.web.de[212.227.15.3]
Dec 19 17:33:15 server postfix/smtpd[14105]: mout.web.de[212.227.15.3]: TLS cipher list "aNULL:-aNULL:ALL:+RC4:@STRENGTH"
Dec 19 17:33:15 server postfix/smtpd[14105]: mout.web.de[212.227.15.3]: save session EA1635ED786AFC2D9C7AB43EF43620A1D9092DC640FDE21C01E7BA25981D2445&s=smtp&l=268439647 to smtpd cache
Dec 19 17:33:15 server postfix/tlsmgr[14107]: put smtpd session id=EA1635ED786AFC2D9C7AB43EF43620A1D9092DC640FDE21C01E7BA25981D2445&s=smtp&l=268439647 [data 127 bytes]
Dec 19 17:33:15 server postfix/tlsmgr[14107]: write smtpd TLS cache entry EA1635ED786AFC2D9C7AB43EF43620A1D9092DC640FDE21C01E7BA25981D2445&s=smtp&l=268439647: time=1419006795 [data 127 bytes]
Dec 19 17:33:15 server postfix/smtpd[14105]: Anonymous TLS connection established from mout.web.de[212.227.15.3]: TLSv1.2 with cipher DHE-RSA-AES256-GCM-SHA384 (256/256 bits)
Run Code Online (Sandbox Code Playgroud)

Soultion：
启用后TLSv1，TLSv1.1在该smtpd_(mandatory)_protocols部分一切正常。谢谢masegaloeh！ 

Dec 20 11:44:46 server postfix/smtpd[31966]: initializing the server-side TLS engine
Dec 20 11:44:46 server postfix/tlsmgr[31968]: open smtpd TLS cache btree:/var/lib/postfix/smtpd_scache
Dec 20 11:44:46 server postfix/tlsmgr[31968]: tlsmgr_cache_run_event: start TLS smtpd session cache cleanup
Dec 20 11:44:46 server postfix/smtpd[31966]: connect from mail-wi0-x235.google.com[2a00:1450:400c:c05::235]
Dec 20 11:44:46 server postfix/smtpd[31966]: setting up TLS connection from mail-wi0-x235.google.com[2a00:1450:400c:c05::235]
Dec 20 11:44:46 server postfix/smtpd[31966]: mail-wi0-x235.google.com[2a00:1450:400c:c05::235]: TLS cipher list "aNULL:-aNULL:ALL:+RC4:@STRENGTH"
Dec 20 11:44:46 server postfix/smtpd[31966]: Anonymous TLS connection established from mail-wi0-x235.google.com[2a00:1450:400c:c05::235]: TLSv1 with cipher ECDHE-RSA-RC4-SHA (128/128 bits)
Run Code Online (Sandbox Code Playgroud)

mas*_*oeh 21

TLDR：您的 TLS 协议过于严格，因为您只允许 TLSv1.2 连接。

smtpd_tls_mandatory_protocols = !SSLv2,!SSLv3,!TLSv1,!TLSv1.1
smtpd_tls_protocols=!SSLv2,!TLSv1,!TLSv1.1,!SSLv3
Run Code Online (Sandbox Code Playgroud)

并且 GMAIL使用 TLSv1 协议将电子邮件发送到您的服务器。这就是 TLS 协商失败的原因。

显而易见的解决方案是允许 TLSv1 和 TLSv1.1 协议，但仍然禁用（不安全的）SSLv2 和 SSLv3 协议。

解释

当无法通过 STARTTLS接收来自 GMAIL 和 FACEBOOK 的电子邮件时，我可以确认您的情况。

为什么只有 GMAIL 无法向我的服务器发送电子邮件

这是 GMAIL 发送电子邮件时的邮件日志片段

Dec 19 23:37:47 tls postfix/smtpd[3876]: initializing the server-side TLS engine
Dec 19 23:37:47 tls postfix/smtpd[3876]: connect from mail-wg0-f47.google.com[74.125.82.47]
Dec 19 23:37:48 tls postfix/smtpd[3876]: setting up TLS connection from mail-wg0-f47.google.com[74.125.82.47]
Dec 19 23:37:48 tls postfix/smtpd[3876]: mail-wg0-f47.google.com[74.125.82.47]: TLS cipher list "aNULL:-aNULL:ALL:+RC4:@STRENGTH:!aNULL:!DES:!3DES:!MD5:!DES+MD5:!RC4:!RC4-MD5"
Dec 19 23:37:48 tls postfix/smtpd[3876]: SSL_accept:before/accept initialization
Dec 19 23:37:48 tls postfix/smtpd[3876]: SSL_accept:error in unknown state
Dec 19 23:37:48 tls postfix/smtpd[3876]: SSL_accept error from mail-wg0-f47.google.com[74.125.82.47]: -1
Dec 19 23:37:48 tls postfix/smtpd[3876]: warning: TLS library problem: error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:
Dec 19 23:37:48 tls postfix/smtpd[3876]: lost connection after STARTTLS from mail-wg0-f47.google.com[74.125.82.47]
Dec 19 23:37:48 tls postfix/smtpd[3876]: disconnect from mail-wg0-f47.google.com[74.125.82.47]
Run Code Online (Sandbox Code Playgroud)

这是 FACEBOOK 发送电子邮件时的邮件日志片段

Dec 19 23:11:14 tls postfix/smtpd[3844]: initializing the server-side TLS engine
Dec 19 23:11:14 tls postfix/tlsmgr[3846]: open smtpd TLS cache btree:/var/lib/postfix/smtpd_scache
Dec 19 23:11:14 tls postfix/tlsmgr[3846]: tlsmgr_cache_run_event: start TLS smtpd session cache cleanup
Dec 19 23:11:14 tls postfix/smtpd[3844]: connect from outcampmail003.ash2.facebook.com[66.220.155.162]
Dec 19 23:11:14 tls postfix/smtpd[3844]: setting up TLS connection from outcampmail003.ash2.facebook.com[66.220.155.162]
Dec 19 23:11:14 tls postfix/smtpd[3844]: outcampmail003.ash2.facebook.com[66.220.155.162]: TLS cipher list "aNULL:-aNULL:ALL:+RC4:@STRENGTH:!aNULL:!DES:!3DES:!MD5:!DES+MD5:!RC4:!RC4-MD5"
Dec 19 23:11:14 tls postfix/smtpd[3844]: SSL_accept:before/accept initialization
Dec 19 23:11:15 tls postfix/smtpd[3844]: SSL_accept:error in unknown state
Dec 19 23:11:15 tls postfix/smtpd[3844]: SSL_accept error from outcampmail003.ash2.facebook.com[66.220.155.162]: -1
Dec 19 23:11:15 tls postfix/smtpd[3844]: warning: TLS library problem: error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol:s23_srvr.c:647:
Dec 19 23:11:15 tls postfix/smtpd[3844]: lost connection after STARTTLS from outcampmail003.ash2.facebook.com[66.220.155.162]
Dec 19 23:11:15 tls postfix/smtpd[3844]: disconnect from outcampmail003.ash2.facebook.com[66.220.155.162]
Dec 19 23:11:16 tls postfix/smtpd[3844]: connect from outcampmail004.ash2.facebook.com[66.220.155.163]
Dec 19 23:11:17 tls postfix/smtpd[3844]: 962C281443: client=outcampmail004.ash2.facebook.com[66.220.155.163]
Dec 19 23:11:18 tls postfix/cleanup[3849]: 962C281443: message-id=<722b2b198d163c43d3bf013bdd396817@www.facebook.com>
Dec 19 23:11:18 tls postfix/qmgr[3843]: 962C281443: from=<notification+zj4zc0zzjfac@facebookmail.com>, size=18002, nrcpt=1 (queue active)
Dec 19 23:11:18 tls postfix/local[3850]: 962C281443: to=<root@tls.example.net>, orig_to=<zera@tls.example.net>, relay=local, delay=1.6, delays=1.5/0/0/0, dsn=2.0.0, status=sent (delivered to mailbox)
Dec 19 23:11:18 tls postfix/qmgr[3843]: 962C281443: removed
Dec 19 23:11:24 tls postfix/smtpd[3844]: disconnect from outcampmail004.ash2.facebook.com[66.220.155.163]
Run Code Online (Sandbox Code Playgroud)

一些分析

  • 在第一个片段中，GMAIL 将尝试通过 STARTTLS 发送电子邮件。TLS 协商时，发生一些错误，因此 GMAIL 服务器将其断开。我们将在下面讨论错误发生的原因。
  • 在第二个片段中，FACEBOOK 也无法通过 STARTTLS 发送电子邮件。在回退过程中，FACEBOOK 以纯文本模式重新发送电子邮件。在这种情况下，我们的服务器很乐意接受它。

所以，这就解释了为什么只有 GMAIL 无法将电子邮件发送到您的服务器。如果 TLS 协商失败，GMAIL 没有回退机制。其他邮件服务器可能会使用回退机制来确保邮件投递成功。

为什么会出现 TLS 协商错误

我从 web.de maillog 中发现了有趣的一行

Dec 19 17:33:15 foxdev postfix/smtpd[14105]: Anonymous TLS connection established from mout.web.de[212.227.15.3]: TLSv1.2 with cipher DHE-RSA-AES256-GCM-SHA384 (256/256 bits)
Run Code Online (Sandbox Code Playgroud)

并发现您在 main.cf

smtpd_tls_mandatory_protocols = !SSLv2,!SSLv3,!TLSv1,!TLSv1.1
smtpd_tls_protocols=!SSLv2,!TLSv1,!TLSv1.1,!SSLv3
Run Code Online (Sandbox Code Playgroud)

这意味着您的服务器仅在使用 TLSv1.2 时接受TLS 连接。除了 TLSv1.2，您的服务器会抱怨 TLS 协商错误。

如果我更改smtpd_tls_(mandatory_)protocols为!SSLv2,!SSLv3,!TLSv1，错误仍然发生。这意味着 GMAIL 和 FACEBOOK 将尝试使用 TLSv1.1 和 TLSv1.2 以外的协议联系您的邮件服务器。

如果我更改smtpd_tls_(mandatory_)protocols为!SSLv2,!SSLv3，TLS 协商将成功。它确认 GMAIL 和 FACEBOOK 将使用TLSv1 协议联系您的服务器

Dec 20 00:21:46 tls postfix/smtpd[4261]: Anonymous TLS connection established from outmail038.prn2.facebook.com[66.220.144.165]: TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)
Dec 20 00:23:00 tls postfix/smtpd[4261]: Anonymous TLS connection established from mail-wi0-f174.google.com[209.85.212.174]: TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)
Run Code Online (Sandbox Code Playgroud)

FreeBSD 论坛中的其他人也证实了这种行为。

解决方案

显而易见的解决方案是在您的后缀中启用 TLSv1 和 TLSv1.1。这将确保某些没有回退机制的邮件服务器（如 GMAIL）仍然可以与您的服务器通信。

我不知道你为什么禁用 TLSv1 和 TLSv1.1 支持，只留下 TLSv1.2 协议。如果它是一个网络服务器并且您的用户将只使用现代浏览器，那么您可以在您的服务器中禁用 TLSv1。这是可以接受的，因为只有不支持协议 TLSv1 的旧浏览器。

归档时间：

查看次数：

14701 次

最近记录：

4 年，5 月 前
相关归档
OpenDKIM 不签署邮件 9
我如何摆脱 Mimecast 的灰名单？ 7
最佳实践：通知电子邮件发件人他们的反向查找被破坏 7
postfix header_checks 使用正则表达式正确设置 5
加密邮件服务器之间的通信 3
无法发送到 Maildir : postfix 2
Postfix 不会使用 virtual_alias_domains 和 virtual_alias_maps 转发电子邮件 2
DOVECOT 不允许使用太低的 UNIX UID 登录 1
postfix邮件队列中的DNS解析错误 1
如何配置 amavisd-new 以假设所有邮件都未传出？ 0
难疑归档
每天进行数百次闯入尝试是否正常？ 196
有哪些不同的广泛使用的 RAID 级别，我应该何时考虑？ 187
如何从 MySQL 导出权限，然后导入到新服务器？ 94
如何区分 IPv6 URL 中的主机和端口？ 94
每次执行proxy_pass时如何强制nginx解析DNS（动态主机名）？ 81
你最喜欢的开源工具是什么？ 71
Nginx 变量 $host、$http_host 和 $server_name 之间有什么区别？ 66
禁用应用程序池的空闲超时有什么危害吗？ 56
apt-get 和 aptitude 有什么区别？ 56
目录 ls 中显示的问号。IO 错误 54