主页 / server / 问题 / 641056
Accepted
nn4l
Asked: 2014-10-31 21:15:21 +0800 CST

IP 地址更改后 starttls 失败

  • 772

我更改了我们的 exim 邮件服务器的 IP 地址（虚拟机已复制到不同的主机，网络配置也使用 NAT）。现在它不再接受来自 Windows Thunderbird 客户端的 STARTTLS 连接。它适用于所有其他邮件客户端。

Thunderbird 错误消息类似于can't set up a secure connection to mail.mydomain.de using STARTTLS, because the server is not offering this function. Disable STARTTLS or contact your provider. 然而，exim 邮件服务器确实提供了 STARTTLS，它仍然可以在旧系统上运行。

这是 exim 调试日志的摘录：

27666 accept: condition test succeeded
27666 SMTP>> 220 s0107.mydomain.de ESMTP (Exim 4.77) Fri, 31 Oct 2014 05:23:27 +0100
27666 Process 27666 is ready for new message
27666 smtp_setup_msg entered
27666 SMTP<< EHLO [192.168.1.115]
27666 sender_fullhost = ip-123-123-123-123.hsi07.unitymediagroup.de ([192.168.1.115]) [123.123.123.123]
27666 sender_rcvhost = ip-123-123-123-123.hsi07.unitymediagroup.de ([123.123.123.123] helo=[192.168.1.115])
27666 set_process_info: 27666 handling incoming connection from ip-123-123-123-123.hsi07.unitymediagroup.de ([192.168.1.115]) [123.123.123.123]
27666 host in pipelining_advertise_hosts? yes (matched "*")
27666 host in auth_advertise_hosts? yes (matched "*")
27666 host in tls_advertise_hosts? yes (matched "*")
27666 SMTP>> 250-s0107.mydomain.de Hello ip-123-123-123-123.hsi07.unitymediagroup.de [123.123.123.123]
27666 250-SIZE 52428800
27666 250-PIPELINING
27666 250-AUTH PLAIN LOGIN CRAM-MD5
27666 250-STARTTLS
27666 250 HELP
27666 SMTP<< QUIT
27666 SMTP>> 221 s0107.mydomain.de closing connection
27666 LOG: smtp_connection MAIN
27666   SMTP connection from ip-178-200-216-217.hsi07.unitymediagroup.de ([192.168.1.115]) [123.123.123.123] closed by QUIT
27666 search_tidyup called
27654 child 27666 ended: status=0x0
27654 0 SMTP accept processes now running
27654 Listening...

在原始系统上，最后几行如下所示：

2362 250-SIZE 52428800
2362 250-PIPELINING
2362 250-AUTH PLAIN LOGIN CRAM-MD5
2362 250-STARTTLS
2362 250 HELP
2362 SMTP<< STARTTLS
2362 setting SSL CTX options: 0x800
2362 tls_certificate file /etc/pki/tls/exim_tls/exim.cert
2362 tls_privatekey file /etc/pki/tls/exim_tls/exim.key
...

这似乎是客户端问题，但我不知道为什么 IP 地址更改会对 STARTTLS 握手产生任何影响。请指教。

exim

1 个回答

  1. Best Answer

    您在上面已经确认，不仅仅是 IP 地址发生了变化：具体而言，VM 移动到的新网络位于 CISCO ASA 防火墙后面。

    这些防火墙执行他们所描述的“协议修复”，在 SMTP 的情况下，这意味着弄乱在第 4 层传递的信息。通过telnet从客户端到服务器并发出SMTP EHLO命令，您已经确认虽然服务器是广告STARTTLS功能，CISCO 正在从传输中的数据包中删除此广告。客户，没有看到STARTTLS被提供，并且被配置为需要它，就退出了。

    您没有说 CISCO 是否在您的控制之下，但您已经确定与服务器上端口 587 的连接不会受到类似影响（尽管我怀疑这是 CISCO 配置的问题，未来的一些管理员可以轻松打开它） . 因此，至少目前您有一个解决方法。

    为什么 CISCO 认为从它保护的邮件服务器中剥离加密功能是一个好主意，这对我来说是个谜。但结果是，在保护邮件服务器方面，这种模式下的 CISCO 并不适用。

    • 2

相关问题