Wechseln zu:Navigation, Suche
Wiki

Betroffene Versionen

11.4.1.2
11.4.1.3

Beschreibung

Mit der Version 11.4.1.2 wurde eine Aktualisierung der SSL Libary vorgenommen. Als SSL Libary wird hier OpenSSL eingesetzt. Die Aktualisierung war notwendig damit die TLS-Version 1.2 für die Applikationen auf der UTM zur Verfügung steht.

Nach der Veröffentlichung der 11.4.1.2 sind vereinzelnd Probleme bei der Aushandlung der TLS-Verbindung für ausgehende SMTP-Verbindungen zu beobachten. Das Problem scheint an der SMTP/SSL-Implementierung der Gegenstelle liegen.

Verifizieren

Kommt beim ausführen folgendes Befehles keine TSL-Verbindung zustande besteht die Möglichkeit, dass das Ziel-System von dem Problem betroffen ist. Diesen Befehl können Sie nur als root per SSH auf der UTM ausführen.

openssl s_client -connect $ZIEL_MAIL_SYSTEM:25 -starttls smtp -state

Als Gegen-Test führen Sie den Befehl erneut aus und deaktivieren dabei die TLS-Version 1.2:

openssl s_client -connect $ZIEL_MAIL_SYSTEM:25 -starttls smtp -state -no_tls1_2

Kommt die Verbindung nun zustande ist das Ziel-System von dem Problem betroffen.

Log-Meldungen

Im Log der UTM ist dabei folgendes zu sehen:

ruleset=tls_server, arg1=SOFTWARE, relay=ZIEL_MAIL_SERVER, reject=403 4.7.0 TLS handshake failed.

Workaround

Aktuell kann man das Problem umgehen indem die TLS-Verschlüsselung für ausgehende E-Mails nicht verwendet wird. Hierzu müssen Sie eine Änderung an dem Template /etc/mail/access vornehmen. Am Ende des Templates muss folgende Zeile hinzugefügt werden.

Try_TLS: NO

Dadurch deaktivieren Sie die TLS-Verschlüsselung für alle ausgehenden E-Mails.

Das Template sollte im ganzen dann folgendermaßen aussehen:

localhost Relay
127.0.0.1 Relay

{{if @ENABLE_GREET_PAUSE == 1 then}}
GreetPause:localhost	0
GreetPause:127.0.0.1	0
{{foreach $x in @GREET_PAUSE_LIST do print "GreetPause:" . $x . "\n" done}}
{{endif}}

{{if @ENABLE_CONN_RATE_THROTTLE == 1 then}}
ClientConn:localhost	0
ClientConn:127.0.0.1	0
{{foreach $x in @CLIENT_CONN_LIST do print "ClientConn:" . $x . "\n" done}}
{{endif}}

{{if @ENABLE_CONN_RATE_WINDOW == 1 then}}
ClientRate:localhost	0
ClientRate:127.0.0.1	0
{{foreach $x in @CLIENT_RATE_LIST do print "ClientRate:" . $x . "\n" done}}
ClientRate:		{{print @RATE_LIMIT}}
{{endif}}

{{foreach $x in @RELAYING_LIST do print "" . $x . "\n" done}}


Try_TLS: NO

Starten Sie anschließend das Mail-Relay neu.