Postfix... Странноая хрень при форвардинге на эксечйндж. Вдруг кто знает...

Странность с Exchange 2010 (windows server 2008 r2) и 2мя разными postfix (столкнулся у друзей)
поднял им новый (второй) почтовик для еще одного внешнего домена на свежем роки и тп и стлокнулся с хренью

1й postfix прекрасно форвардит сообщения на exchange
со стороны exchange TLS protocol SP_PROT_TLS1_2_SERVER negotiation succeeded using bulk encryption algorithm CALG_AES_256 with strength 256 bits, MAC hash algorithm CALG_SHA_384 with strength 384 bits and key exchange algorithm CALG_ECDHE with strength 256 bits

2й postfix - Cannot start TLS: handshake failure
со стороны exchange TLS negotiation failed with error AlgorithmMismatch

1й postfix
Centos 7.
postfix version: 2.10.1
openssl version: OpenSSL 1.0.2k-fips 26 Jan 2017

2й postfix
Rocky 9.
postfix version: 3.5.25
openssl version: OpenSSL 3.2.2 4 Jun 2024 (Library: OpenSSL 3.2.2 4 Jun 2024)

с инетом и между собой - вообще никаких проблем нет
у каждого постфикса 2 интерфейса - один смотрит наружу - прикрыт firewalld + fail2ban, второй внутрь (там отдельный влан, в который 2м интерфейсом смотрить виртуалка exchange)

я так понял на 2м не хватает алгоритмов/чего-то еще
нет поддержки tls1.2? Как ее включить/добавить?
менять exchange и тп смысла нет

но чего? весь мозг уже сломал

заблокировано

170 просмотров

штудировал?

https://serverfault.com/questions/1017291/enabling-tls-ssl-on-postfix

заблокировано

146 просмотров

все бегает
старый цеаляется к эксчанге по TLS 1.2
проверка TLS со старого

===
[root@mail ~]# openssl s_client -connect mail.domain.local:25 -starttls smtp
CONNECTED(00000003)
depth=0 DC = serv-exx01, DC = domain, DC = local, CN = serv-exx01.domain.local
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 DC = serv-exx01, DC = domain, DC = local, CN = serv-exx01.domain.local
verify error:num=21:unable to verify the first certificate
verify return:1
---
Certificate chain
0 s:/DC=serv-exx01/DC=domain/DC=local/CN=serv-exx01.domain.local
i:/DC=serv-exx01/DC=domain/DC=local/CN=serv-exx01.domain.local
---
Server certificate
-----BEGIN CERTIFICATE-----
БЛАБЛАБЛАБЛА
-----END CERTIFICATE-----
subject=/DC=serv-exx01/DC=domain/DC=local/CN=serv-exx01.domain.local
issuer=/DC=serv-exx01/DC=domain/DC=local/CN=serv-exx01.domain.local
---
No client certificate CA names sent
Peer signing digest: SHA1
Server Temp Key: ECDH, P-256, 256 bits
---
SSL handshake has read 2017 bytes and written 506 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-SHA384
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
Protocol : TLSv1.2
Cipher : ECDHE-RSA-AES256-SHA384
Session-ID: 721A0000B6AB7B9E080B45B6CEA983AD317EADEA6DB3CA1CBCC6F68E82437E44
Session-ID-ctx:
Master-Key: F1EF7264EA902F531CB1E5F57D1EEC6367C7F0B2413AB45443E4D59A97BF6FA3 8E9620EFA40B8C0B63E3F56D76C401D8
Key-Arg : None
Krb5 Principal: None
PSK identity: None
PSK identity hint: None
Start Time: 1747056170
Timeout : 300 (sec)
Verify return code: 21 (unable to verify the first certificate)
---
250 CHUNKING
===

Проверка с нового вызывает отвал

===
root@mail ~]# openssl s_client -connect mail.domain.local:25 -starttls smtp
Connecting to 192.168.10.8
CONNECTED(00000003)
003E294B377F0000:error:0A000126:SSL routines::unexpected eof while reading:ssl/record/rec_layer_s3.c:689:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 314 bytes and written 367 bytes
Verification: OK
---
New, (NONE), Cipher is (NONE)
This TLS version forbids renegotiation.
Compression: NONE
Expansion: NONE
No ALPN negotiated
Early data was not sent
Verify return code: 0 (ok)
---
===

Причем мне пофиг - будет внутрях TLS или нет

заблокировано

116 просмотров

https://github.com/docker-mailserver/docker-mailserver/issues/1401

Менять smtpd_tls_key_file и smtpd_tls_cert_file.

заблокировано

118 просмотров

заблокировано

106 просмотров

заблокировано

105 просмотров

1 c postfix 2 работает
2 со всеми почтовиками в инете работает
3 с клиентами outlook 2010 и тп работает
Как вылечить - вот не догоняю
Или как отключить TLS на внутреннем ифейсе к херам
Делаю вроде все по букварю - а оно всеравно TLS пытается

заблокировано

117 просмотров

Он и должен со старым работать, там старый формат. А сервера в интернете подписываются не самописными сертификатами. Просто попробуй перенести со старого постфикса сертификатные файлы на новый.

заблокировано

124 просмотров

срок действия до 2100 года
дела не в сертификатах постфикса
оно - С ЭЕСЧАНГИ НЕ ПОЛУЧАЕТ нихрена
а другой получает

заблокировано

120 просмотров

https://www.checktls.com/#ReceiverTest с опцией Check Cert Sigs?

заблокировано

124 просмотров

заблокировано

104 просмотров

seconds lookup result
[000.001] DNS LOOKUPS
[000.002] SEARCHLIST 168.63.129.16,1.1.1.1,8.8.8.8
[000.567] MX-->domain.ru (10) mta00.domain.ru
[000.567] MX-->domain.ru (20) mail.domain.ru
[001.212] MX:A-->mta00.domain.ru 5.xxx.xxx.xxx
[002.298] MX:A-->mail.domain.ru 5.xxx.xxx.xxx
seconds test stage and result
[000.000] Trying TLS on mta00.domain.ru[5.xxx.xxx.xxx:25] (10) @2025-05-13T12:57:00.065914Z
[000.128] Server answered
[000.256] <‑‑ 220 mail.domain.ru ESMTP server ready.
[000.256] We are allowed to connect
[000.256] ‑‑> EHLO www12-azure.checktls.com
[000.384] <‑‑ 250-mail.domain.ru
250-PIPELINING
250-SIZE 67108864
250-STARTTLS
250-AUTH PLAIN LOGIN
250-AUTH=PLAIN LOGIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250-DSN
250 CHUNKING
[000.385] We can use this server
[000.385] TLS is an option on this server
[000.385] ‑‑> STARTTLS
[000.512] <‑‑ 220 2.0.0 Ready to start TLS
[000.512] STARTTLS command works on this server
[000.512] SSL_ocsp_mode = SSL_OCSP_FULL_CHAIN
[000.657] Connection converted to SSL
SSLVersion in use: TLSv1_3
Cipher in use: TLS_AES_256_GCM_SHA384
Perfect Forward Secrecy: yes
Session Algorithm in use: Curve X25519 DHE(253 bits)
Certificate #1 of 1 (sent by MX):
Cert VALIDATION ERROR(S): self signed certificate
So email is encrypted but the recipient domain is not verified
Cert Hostname VERIFIED (mta00.domain.ru = domain.ru | DNS:domain.ru | DNS:mail.domain.ru | DNS:mta00.domain.ru)

Not Valid Before: Jun 16 13:25:15 2020 GMT

Not Valid After: May 23 13:25:15 2120 GMT

subject: /C=RU/L=MOSCOW/O=domain/OU=domain.ru/CN=domain.ru/EMAIL=postmaster@domain.ru
issuer: /C=RU/L=MOSCOW/O=domain/OU=domain.ru/CN=domain.ru/EMAIL=postmaster@domain.ru
[000.662] ~~> EHLO www12-azure.checktls.com
[000.910] <~~ 250-mail.domain.ru
250-PIPELINING
250-SIZE 67108864
250-AUTH PLAIN LOGIN
250-AUTH=PLAIN LOGIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250-DSN
250 CHUNKING
[000.911] TLS successfully started on this server
[000.911] ~~> MAIL FROM:<test@checktls.com>
[001.038] <~~ 250 2.1.0 Ok
[001.038] Sender is OK
[001.038] ~~> QUIT
[001.166] <~~ 221 2.0.0 Bye
seconds test stage and result
[000.000] Trying TLS on mail.domain.ru[5.xxx.xxx.xxx:25] (20) @2025-05-13T12:57:01.236264Z
[000.128] Server answered
[000.257] <‑‑ 220 mail.domain.ru ESMTP server ready.
[000.257] We are allowed to connect
[000.257] ‑‑> EHLO www12-azure.checktls.com
[000.388] <‑‑ 250-mail.domain.ru
250-PIPELINING
250-SIZE 67108864
250-STARTTLS
250-AUTH PLAIN LOGIN
250-AUTH=PLAIN LOGIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250-DSN
250 CHUNKING
[000.388] We can use this server
[000.388] TLS is an option on this server
[000.388] ‑‑> STARTTLS
[000.514] <‑‑ 220 2.0.0 Ready to start TLS
[000.514] STARTTLS command works on this server
[000.515] SSL_ocsp_mode = SSL_OCSP_FULL_CHAIN
[000.662] Connection converted to SSL
SSLVersion in use: TLSv1_3
Cipher in use: TLS_AES_256_GCM_SHA384
Perfect Forward Secrecy: yes
Session Algorithm in use: Curve X25519 DHE(253 bits)
Certificate #1 of 1 (sent by MX):
Cert VALIDATION ERROR(S): self signed certificate
So email is encrypted but the recipient domain is not verified
Cert Hostname VERIFIED (mail.domain.ru = domain.ru | DNS:domain.ru | DNS:mail.domain.ru | DNS:mta00.domain.ru)

Not Valid Before: Jun 16 13:25:15 2020 GMT

Not Valid After: May 23 13:25:15 2120 GMT

заблокировано

112 просмотров

Just a reminder that CheckTLS.com (and these tests) are NOT free. Please support us, thank you.
SUCCESSFUL //email/test From:
Your email was sent securely using TLS.

я же говорю
все бегает как часы
только с этого почтовика не форвардится на эксчангу с руганью

заблокировано

109 просмотров

подписанный клиентским сертификатом от нового постфикса. Неизвестно, менял ли ты только северный или оба сертификата (smtpd_tls_xxx и smtp_tls_xxx). И сразу ли менял, или после обнаружения проблем.

И ещё use_tls yes? https://www.postfix.org/TLS_LEGACY_README.html#server_enable

Какой логлевел стоит?

/etc/postfix/main.cf:
smtp_tls_loglevel = ?

заблокировано

121 просмотров

2й поднят с 0 на него ручками перенесен конфиг со старого 2го который был под центос
сертификаты то же перенесены
ну или как-то отключить на выход TLS тк оно найфиг не нужно

заблокировано

112 просмотров

но уже без ТЛС и все улетает на эксчейндж

заблокировано

108 просмотров

update-crypto-policies --set LEGACY
и делофф

заблокировано

123 просмотров

которая эти полиси использует при подписи запроса.

заблокировано

133 просмотров

изучил кратко
просто подправлю нужную в /usr/share/crypto-policies/policies и все

заблокировано

116 просмотров

заблокировано

106 просмотров

что постфикс (он же опенссл) брал список криптоалгоритмов не из конфига, а из system-wide полиси, что и мешало старому эксченжу понять эти самые новые криптограммы, пока их не сменили на legacy.

заблокировано

120 просмотров

смотрит в политику
если в политике нет алгоритма предлагаемого эксчангой то отлуп
я собрал политику custom
и добавил в нее недостающее из legacy
применил
ща все бегает

заблокировано

117 просмотров

заблокировано

108 просмотров

"брал список криптоалгоритмов не из конфига, а из system-wide полиси"

Можно назвать это словом "смотрит", сути не меняет. И можно, скорее всего, за счёт конфига сделать override system-wide policy, тогда не будет туда даже смотреть. Но я не настолько глубоко в постфиксе, чтобы оценить сложность этой задачи.

заблокировано

115 просмотров

заблокировано

105 просмотров

Но альтернативно постфикс может вызывать опенссл с конфиг-параметрами, включающими в т.ч. список алгоритмов. Тогда полиси не должно влиять, т.к. алгоритмы эксплицитно заданы.

заблокировано

111 просмотров

заблокировано

109 просмотров

smtp_tls_exclude_ciphers configuration parameter. See there for details.

https://www.postfix.org/postconf.5.html

Чтобы исключить негодные алгоритмы, и должно быть нечто, чтобы их добавить.

заблокировано

110 просмотров

вчера проверил

заблокировано

98 просмотров

To override a system policy in Postfix, you primarily use the smtpd_recipient_restrictions or smtpd_policy_restrictions parameters in the /etc/postfix/main.cf file, along with Postfix's lookup tables. These mechanisms allow you to define specific access control rules that take precedence over the default behavior of the system.

Естественно, нужно проверять в части шифров/сертификатов, но в принципе это работает.

заблокировано

108 просмотров

To override the system policy cipher list in Postfix, you can set the tls_preempt_cipherlist parameter to yes in the main.cf configuration file. This setting instructs Postfix to use its own configured cipher list. Additionally, you can specify the desired cipher list using parameters like smtpd_tls_mandatory_ciphers and tls_high_cipherlist.

заблокировано

101 просмотров

use_tls = no?

Вероятно, не надо было переносить все подряд.

заблокировано

116 просмотров

заблокировано

107 просмотров

Вот он шлёт не то, что первый постфикс.

заблокировано

130 просмотров

Как предположение - просто запрещен TLS 1.2 и ниже (конфигом или другими способами), и разрешен только 1.3. Я бы эту версию пытался бы копать в первую очередь.
Ну и потом уже особенности сборки и алгоритмы (хотя, судя по ошибке, оно как бы напрашивается).
Странный какой-то линукс, Rocky, первый раз про такой слышу.

заблокировано

118 просмотров

While SSL and older versions of TLS have been deprecated...

заблокировано

120 просмотров

заблокировано

109 просмотров

двигаться дальше

Error: net_connect_unix(/run/dovecot/stats-writer) failed: Permission deni
и так и эдак
все-равно ошибко

P.S. тут еще сеть хранения настравать на 10G коммутаторах Maipu и FS (c оптическими 100G транками-аплинками)
ну это просто совсем

заблокировано

112 просмотров

https://forums.freebsd.org/threads/mail-dovecot-stats-writer-failed-permission-denied.6...

Только переопределять permissions.

заблокировано

118 просмотров

добавил postfix и dovecot в группу vmail
и в dovectot.conf

service stats {
unix_listener stats-reader {
group = vmail
mode = 0666
user = vmail
}
unix_listener stats-writer {
group = vmail
mode = 0666
user = vmail
}
}

все теперь ровно

заблокировано

111 просмотров

Postfix... Странноая хрень при форвардинге на эксечйндж. Вдруг кто знает... (Компьютеры)

Вот этот сисадминский поток сознания

Конечно - все настроено - между старым и новым и инетом

Ну явно же проблема в сертификате, его и менять надо, скорее всего

С чего бы в нем?

Разный формат, во времена эксченжа не было таких ECC и проч.

Но ведь

Но ведь не знаем, что ты делаешь

так оно и было сделано

Чего говорит

ща изучим

нормально говорит - ругань ток на самоподписанный серт

И тест отправки получения норм

Проблема только в том, что эксченж не понимает запрос,

1й постфикс и 2й - обчлуживают разные домены если что - так вот

Самое интересное - через 5 минут постфикс снова форвардит

Решилось все просто - дело не в постфиксе

Естественно, не в самом постфиксе, а в опенссл,

я как-то пропустил эту фичу которая в 8м rhel появилась

или свою сделаю и залинкую

По сути выходит,

он не берет ничего - он юзает библиотеку ssl которая

как хорошо что я уже забыл всю эту галиматью....

Хмм, как же не берет, если берет?

да я просто политику переваял и применил и все взлетело

Так и должно

чет ничего не могу найти на эту тему

Например, что-то типа

разрешай не разрешай постфиксу - выше политики он прыгнуть не может

Может

Конкретно в части шифрования

Ну пробовал

use_tls = no глобально tls рушит

Чтобы получить, надо сначала послать

Так на втором все версии куда свежее, вряд ли чего-то там не хватает.

По моей ссылке объяснение, почему старье еще работает, а новье нет

Rocky это продолжение Centos от разрабов, они ушли из под РедХат - центоса нет

Осталось закрыть кейс с ошибкой логе по довекоту и можно

Это стандартная фигня с разрешениями

вобщем то же решил