TLS Handshake Failure

hb9hil

Hallo zusammen

Ich habe ein Problem mit meiner Mailcow Installation, welches aber mehr einen anderen Empfängerserver betrifft.

Auf meiner Mailcow Instanz sind mehrere Domains hinterlegt und alles funktioniert einwandfrei. Auch alle geschriebenen E-Mails werden wunderbar zugestellt. Nur ein Empfängerhost, nämlich “…@hispeed.ch” sorgt für Probleme. Beim Versuch eine E-Mail an einen hispeed.ch-Empfänger zu senden bekomme ich folgende Fehlermeldung:

warning: TLS library problem: error:14094410:SSL routines:ssl3_read_bytes:sslv3 alert handshake failure:../ssl/record/rec_layer_s3.c:1543:SSL alert number 40:

[MessageID]: to=<[Empfänger]@hispeed.ch>, relay=mxin5.upcmail.net[213.46.255.74]:25, delay=1.2, delays=0.8/0.05/0.39/0, dsn=4.7.5, status=deferred (Cannot start TLS: handshake failure)

Ich habe bereits versucht in den TLS-Richtlinien für hispeed.ch, [mxin5.upcmail.net]:25 die Richtlinie auf may zu stellen aber das hat auch nicht geholfen.

Die Emfänger sind Mitglieder eines Vereins und es wäre blöd wenn die diese E-Mails nicht bekämen. Und da ich kein E-Mail Spezialist bin bitte ich hier um Hilfe.

Liebe Grüsse aus der Schweiz

HB9HIL

esackbauer

Könnte auch ein Konfigurationsfehler beim Verein sein. Wenn der Server z.b. STARTTLS anbietet, das aber nicht richtig konfiguriert ist. Und wenn der STARTTLS anbietet, dann will postfix nun mal TLS verschlüsseln.
Versuch mal die Richtlinie für den server auf none zu setzen.

hb9hil

esackbauer

Danke für deine Antwort.
Hab die TLS Richtlinie für die oben genannten Server auf none gesetzt. Leider kein Erfolg.

Das ist die Fehlermeldung im Postfix Log:

07.10.2023, 19:34:26	info	[MessageID]: to=<[Empfänger]@hispeed.ch>, relay=mxin5.upcmail.net[213.46.255.74]:25, delay=1.7, delays=1.2/0.03/0.55/0, dsn=4.7.5, status=deferred (Cannot start TLS: handshake failure)
07.10.2023, 19:34:26	warning	warning: TLS library problem: error:14094410:SSL routines:ssl3_read_bytes:sslv3 alert handshake failure:../ssl/record/rec_layer_s3.c:1543:SSL alert number 40:
07.10.2023, 19:34:26	info	SSL_connect error to mxin5.upcmail.net[213.46.255.74]:25: -1

Hier ein Screenshot aus dem Queue Manager:

Seltsam ist halt, dass ich NUR mit @hispeed.ch Adressen dieses Problem hab. Mit keinem anderen Empfängerhost sonst…

Welche Informationen bräuchtest du noch um die Lage beurteilen zu können? Config?

esackbauer

Was hast du gemacht nachdem du die Richtlinie gesetzt hast? Irgendwas neu gestartet? docker compose up -d?
Dein mailcow will ja immer noch TLS machen…

hb9hil

Ja genau richtig. Hatte zur Sicherheit ein docker-compose up -d durchgeführt und hab keine Veränderung erzielt. Mailcow versucht trotzdem noch TLS zu starten.
Woran könnte das liegen?

Die TLS Richtlinie

esackbauer

Also der UPC server scheint OK zu sein. Ein Test mit https://www.checktls.com/TestReceiver ergab folgendes:

[001.103] 		Connection converted to SSL
		SSLVersion in use: TLSv1_2
		Cipher in use: AES128-SHA
		Perfect Forward Secrecy: no
		Session Algorithm in use: none(0 bits)
		This may block some email, see DH key too small
		Certificate #1 of 3 (sent by MX):
		Cert signed by: #2
		Cert VALIDATED: ok

Vielleicht bringts was die Richtlinie auf encrypt zu setzen und TLSv1.2 sowie AES128-SHA als einzige parameter mitzugeben. Die genaue postfix Syntax müsstest du nachschlagen. Weil mit denen hats ja geklappt.
Ist allerdings ein Trauerspiel dass die nicht PFS unterstützen.

esackbauer

Also mit SSL3 bist du auf dem Holzweg. So heisst historisch bedingt das Modul das auch die TLS Verbindungen macht.

esackbauer This may block some email, see DH key too small

Das könnte ein Hinweis sein. Am einfachsten fragst du den postmaster der Domain (postmaster@hispeed.ch) was da falsch läuft. Jedenfalls haben die eine unübliche Konfiguration (PFS disabled), was Erklärungsbedarf hat.
Mailcow verwendet jedenfalls Parameter die den best practices verwendet. Und ich hatte diesbezüglich noch nie Probleme.

hb9hil

Hallo @esackbauer

Nun hab ich wieder etwas Zeit gefunden mich mit dem Problem zu beschäftigen.

Ich habe nun alle erdenklichen TLS Richtlinien inkl. wie von dir vorgeschlagen mit TLSv1.2 und cipher AES128-SHA ausprobiert. Kein Erfolg.

Die Fehlermeldung besagt ja sslv3 alert handshake.

Also hab ich auch SSLv3 auszuschliessen, dass v2 verwendet wird, zudem hab ich ciphers auf medium gesetzt, was AES128-SHA mit einschliesst. Auch kein Erfolg..

Ich bin echt ratlos. Auffällig ist, dass meine manuelle Eingaben in den TLS Richtlinien scheinbar keinen Effekt auf den Handshake haben. Die Fehlermeldung ist immer diesselbe, egal was ich eingebe.