RspamD ssl connect error: syscall fail: Connection reset by peer

ecdlguy

CK_beats Gibt es niemand, der das gleiche Problem hat?

Hi, doch und wie:

23.9.2025, 10:24:40 controller 72 map z84ycf error reading https://maps.rspamd.com/rspamd/spf_dkim_whitelist.inc.zst(157.180.118.77:443): connection with http server terminated incorrectly: ssl connect error: syscall fail: Connection timed out
23.9.2025, 08:25:33 controller 72 map htymxj error reading https://maps.rspamd.com/rspamd/mid.inc.zst(157.180.118.77:443): connection with http server terminated incorrectly: ssl connect error: syscall fail: Connection timed out
23.9.2025, 07:52:32 controller 72 map rqwcej error reading https://maps.rspamd.com/rspamd/phishing_whitelist.inc.zst(157.180.118.77:443): connection with http server terminated incorrectly: ssl connect error: ssl error: error:0A000126:SSL routines::unexpected eof while reading
23.9.2025, 07:22:36 controller 72 map u17hz7 error reading http://fuzzy.mailcow.email/bad-subject-regex.txt(95.217.129.125:80): connection with http server terminated incorrectly: IO write error: Connection timed out
23.9.2025, 06:16:09 controller 72 map 4×4rch error reading https://maps.rspamd.com/rspamd/redirectors.inc.zst(157.180.118.77:443): connection with http server terminated incorrectly: ssl connect error: ssl error: error:0A000126:SSL routines::unexpected eof while reading
23.9.2025, 05:26:06 controller 72 map sye7es error reading https://maps.rspamd.com/rspamd/dmarc_whitelist_new.inc.zst(157.180.118.77:443): connection with http server terminated incorrectly: ssl connect error: ssl error: error:0A000126:SSL routines::unexpected eof while reading
23.9.2025, 04:40:00 controller 72 map 9oqwi6 error reading http://sa-update.surbl.org/rspamd/surbl-hashbl-map.inc(78.47.239.92:80): connection with http server terminated incorrectly: IO write error: Connection timed out
23.9.2025, 04:11:37 controller 72 map 5h7xm3 error reading https://maps.rspamd.com/freemail/free.txt.zst(157.180.118.77:443): connection with http server terminated incorrectly: ssl connect error: ssl error: error:0A000126:SSL routines::unexpected eof while reading
23.9.2025, 02:46:41 controller 72 map rqwcej error reading https://maps.rspamd.com/rspamd/phishing_whitelist.inc.zst(157.180.118.77:443): connection with http server terminated incorrectly: ssl connect error: ssl error: error:0A000126:SSL routines::unexpected eof while reading
23.9.2025, 02:20:36 controller 72 map 9w5d95 error reading https://bazaar.abuse.ch/export/txt/md5/recent/(146.75.118.49:443): connection with http server terminated incorrectly: ssl connect error: syscall fail: Connection timed out

Wenn ich das mit curl teste, sieht alles gut aus:

@mail:~$ curl -v https://maps.rspamd.com/rspamd/spf_dkim_whitelist.inc.zst

Host maps.rspamd.com:443 was resolved.

IPv6: (none)

IPv4: 157.180.118.77

Trying 157.180.118.77:443…

Connected to maps.rspamd.com (157.180.118.77) port 443

ALPN: curl offers h2,http/1.1

TLSv1.3 (OUT), TLS handshake, Client hello (1):

CAfile: /etc/ssl/certs/ca-certificates.crt

CApath: /etc/ssl/certs

TLSv1.3 (IN), TLS handshake, Server hello (2):

TLSv1.2 (IN), TLS handshake, Certificate (11):

TLSv1.2 (IN), TLS handshake, Server key exchange (12):

TLSv1.2 (IN), TLS handshake, Server finished (14):

TLSv1.2 (OUT), TLS handshake, Client key exchange (16):

TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):

TLSv1.2 (OUT), TLS handshake, Finished (20):

TLSv1.2 (IN), TLS handshake, Finished (20):

SSL connection using TLSv1.2 / ECDHE-ECDSA-AES256-GCM-SHA384 / prime256v1 / id-ecPublicKey

ALPN: server accepted http/1.1

Server certificate:

subject: CN=maps.rspamd.com

start date: Aug 19 21:57:38 2025 GMT

expire date: Nov 17 21:57:37 2025 GMT

subjectAltName: host “maps.rspamd.com” matched cert’s “maps.rspamd.com”

issuer: C=US; O=Let’s Encrypt; CN=E6

SSL certificate verify ok.

Certificate level 0: Public key type EC/prime256v1 (256/128 Bits/secBits), signed using ecdsa-with-SHA384

Certificate level 1: Public key type EC/secp384r1 (384/192 Bits/secBits), signed using sha256WithRSAEncryption

Certificate level 2: Public key type RSA (4096/152 Bits/secBits), signed using sha256WithRSAEncryption

using HTTP/1.x

GET /rspamd/spf_dkim_whitelist.inc.zst HTTP/1.1
Host: maps.rspamd.com
User-Agent: curl/8.5.0
Accept: /

< HTTP/1.1 200 OK
< Server: nginx
< Date: Tue, 23 Sep 2025 08:41:27 GMT
< Content-Type: application/octet-stream
< Content-Length: 1227
< Last-Modified: Sat, 14 Jul 2018 10:20:01 GMT
< Connection: keep-alive
< Expires: Tue, 23 Sep 2025 12:41:27 GMT
< Cache-Control: max-age=14400
< Cache-Control: public
< Accept-Ranges: bytes
<
Warning: Binary output can mess up your terminal. Use “–output -” to tell
Warning: curl to output it to your terminal anyway, or consider "–output
Warning: <FILE>" to save to a file.

Failure writing output to destination

Closing connection

TLSv1.2 (OUT), TLS alert, close notify (256):

Wie kann man das weiter debuggen? Ich habe es auch aus dem rspamd Container heraus getestet, da geht es auch ohne Probleme (als wget und dig).

CK_beats

Stimmt!
Mit WGET aus dem Container heraus funktioniert bei mir ebenfalls:

root@rspamd:/# wget https://maps.rspamd.com/rspamd/mid.inc.zst
--2025-09-23 12:34:39--  https://maps.rspamd.com/rspamd/mid.inc.zst
Resolving maps.rspamd.com (maps.rspamd.com)... 157.180.118.77
Connecting to maps.rspamd.com (maps.rspamd.com)|157.180.118.77|:443... connected.
HTTP request sent, awaiting response... 200 OK
Length: 541 [application/octet-stream]
Saving to: 'mid.inc.zst'

mid.inc.zst         100%[===================>]     541  --.-KB/s    in 0s

2025-09-23 12:34:39 (5.64 MB/s) - 'mid.inc.zst' saved [541/541]

Lässt sich irgendwo prüfen, ob die RspamD Maps aktualisiert wurden oder der Datenstand veraltet ist?

Wenn ich das mit curl teste, sieht alles gut aus:

Warum verweist mein System hier immer auf eine andere IP?
Wo hängt bei mir die DNS Auflösung?

curl -v https://maps.rspamd.com/rspamd/spf_dkim_whitelist.inc.zst

Trying 151.115.41.123:443…

Connected to maps.rspamd.com (151.115.41.123) port 443 (#0)

ALPN: offers h2,http/1.1

TLSv1.3 (OUT), TLS handshake, Client hello (1):

CAfile: /etc/ssl/certs/ca-certificates.crt

CApath: /etc/ssl/certs

TLSv1.3 (IN), TLS handshake, Server hello (2):

TLSv1.2 (IN), TLS handshake, Certificate (11):

TLSv1.2 (OUT), TLS alert, certificate expired (557):

SSL certificate problem: certificate has expired

Closing connection 0
curl: (60) SSL certificate problem: certificate has expired
More details here: https://curl.se/docs/sslcerts.html

olmo1501

I am seeing the exact same thing. Log is being flooded with these lines:

24.9.2025, 14:54:13	controller	39	map	htymxj	error reading https://maps.rspamd.com/rspamd/mid.inc.zst(157.180.118.77:443): connection with http server terminated incorrectly: IO read error: unexpected EOF
24.9.2025, 14:54:10	controller	39	map	4x4rch	error reading https://maps.rspamd.com/rspamd/redirectors.inc.zst(157.180.118.77:443): connection with http server terminated incorrectly: ssl connect error: ssl error: error:0A000126:SSL routines::unexpected eof while reading
24.9.2025, 14:49:40	controller	39	map	o856fg	error reading https://maps.rspamd.com/freemail/disposable.txt.zst(157.180.118.77:443): connection with http server terminated incorrectly: ssl connect error: ssl error: error:0A000126:SSL routines::unexpected eof while reading

Over the past weekend I tried to find out if it was just being my system or a general problem and installed mailcow in a newly created VM. I immediately started getting these errors.

I checked on some of these files and found them being rather old, so I am not to worried:

root@mail:/opt/mailcow-dockerized/data/conf/rspamd# ls -la /var/lib/docker/overlay2/0519846e1b7a0f6acaac86822707456e340f1813200927e0de89ca01f5d4843f/diff/etc/rspamd/maps.d/mid.inc
-rw-r--r-- 1 root root 600 Jun 17 11:34 /var/lib/docker/overlay2/0519846e1b7a0f6acaac86822707456e340f1813200927e0de89ca01f5d4843f/diff/etc/rspamd/maps.d/mid.inc
root@mail:/opt/mailcow-dockerized/data/conf/rspamd# ls -la /var/lib/docker/overlay2/0519846e1b7a0f6acaac86822707456e340f1813200927e0de89ca01f5d4843f/diff/etc/rspamd/maps.d/redirectors.inc
-rw-r--r-- 1 root root 9882 Jun 17 11:34 /var/lib/docker/overlay2/0519846e1b7a0f6acaac86822707456e340f1813200927e0de89ca01f5d4843f/diff/etc/rspamd/maps.d/redirectors.inc

Something seems to be wrong with rspamd at the moment. Maybe this is a problem with version 3.12.1?

CK_beats

olmo1501
Thank you for your reply!
I was worried that the problem was local to us only.
Glad to hear it affects other systems too.
Then I am reassured. 😅😅😅

DocFraggle

I have indeed the same errors… I’m suspecting the OpenSSL implementation of rspamd and switched all maps.rspamd.com URLs to HTTP as the files can be downloaded via HTTP as well 🙂

cd /opt/mailcow-dockerized; docker compose exec rspamd-mailcow /bin/bash

then inside the container:

cd /etc/rspamd/modules.d
sed -i 's#https://maps#http://maps#g' *.conf

Then restart the container

docker compose restart rspamd-mailcow

Now I have to watch what happens

CK_beats

DocFraggle

No changes so far…

24.9.2025, 20:10:47	controller	38	map	8pdax6	error reading http://maps.rspamd.com/rspamd/mime_types.inc.zst(157.180.118.77:80): connection with http server terminated incorrectly: IO read error: unexpected EOF
24.9.2025, 19:56:20	controller	38	map	yhhwsi	error reading http://maps.rspamd.com/rspamd/redirectors.inc.zst(157.180.118.77:80): connection with http server terminated incorrectly: IO read error: unexpected EOF
24.9.2025, 19:39:48	controller	38	map	15n9h8	error reading http://maps.rspamd.com/freemail/disposable.txt.zst(157.180.118.77:80): connection with http server terminated incorrectly: IO read error: unexpected EOF
24.9.2025, 19:10:03	controller	38	map	34mn94	error reading http://maps.rspamd.com/rspamd/disabled_rbls.inc.zst(157.180.118.77:80): connection with http server terminated incorrectly: IO read error: unexpected EOF
24.9.2025, 18:46:28	controller	38	map	15n9h8	error reading http://maps.rspamd.com/freemail/disposable.txt.zst(157.180.118.77:80): connection with http server terminated incorrectly: IO read error: unexpected EOF
24.9.2025, 18:10:13	controller	38	map	kj7cnh	error reading http://maps.rspamd.com/freemail/free.txt.zst(157.180.118.77:80): connection with http server terminated incorrectly: IO read error: unexpected EOF

I have implemented the settings according to your instructions.
Unfortunately there has been no improvement so far.

But now there ist now SSL-connection error! 😅😅😅

DocFraggle

CK_beats Yep, same here… was worth a try though 😄

olmo1501

Nice try. Aber HTTP statt HTTPS wäre ja auch keine Lösung gewesen. Aber als Indikator natürlich valide.

Sorry, ich hatte reflexartig Englisch genutzt, ohne großartig darüber nachzudenken.

DocFraggle

Nächster Versuch: habe mir die Files auf meinen eigenen Webserver gezogen und die URLs in Container dorthin umgebogen. Lass ich jetzt mal so laufen und schaue was passiert (via HTTPS).

Wers auch versuchen will:

#!/bin/bash
set -euo pipefail

BASE="/your/webserver/base/directory"

# list of maps from rspamd
URLS=(
  "https://maps.rspamd.com/freemail/free.txt.zst"
  "https://maps.rspamd.com/rspamd/mid.inc.zst"
  "https://maps.rspamd.com/rspamd/mime_types.inc.zst"
  "https://maps.rspamd.com/rspamd/redirectors.inc.zst"
  "https://maps.rspamd.com/freemail/disposable.txt.zst"
  "https://maps.rspamd.com/rspamd/phishing_whitelist.inc.zst"
  "https://maps.rspamd.com/rspamd/surbl-whitelist.inc.zst"
  "https://maps.rspamd.com/rspamd/disabled_rbls.inc.zst"
  "https://maps.rspamd.com/rspamd/spf_dkim_whitelist.inc.zst"
  "https://maps.rspamd.com/rspamd/dmarc_whitelist_new.inc.zst"
)

mkdir -p "$BASE/rspamd" "$BASE/freemail"

for url in "${URLS[@]}"; do
  # strip prefix
  path="${url#https://maps.rspamd.com/}"
  # ensure target dir exists
  mkdir -p "$BASE/$(dirname "$path")"
  echo "Downloading $url ? $BASE/$path"
  curl -fsSL "$url" -o "$BASE/$path"
done

Und dann im Container die URL via sed ersetzen, Container restarten

CK_beats

DocFraggle
Ich verstehe nur das Problem nicht.
Zuerst meldet RspamD einen Fehler beim HTTPS Zertifikat.
Ursache unbekannt?

Durch das Umbiegen der Verbindung auf HTTP erfolgt natürlich keine Zertifikatsprüfung.

Seitdem meldet RspamD nach dem Download, dass es das Dateiende nicht erwartet hat?

Die Idee die Files vom eigenen Webserver zu ziehen verstehe ich nicht ganz.
Es handelt sich ja letztendlich um dieselben Dateien.

DocFraggle

CK_beats Die Idee die Files vom eigenen Webserver zu ziehen verstehe ich nicht ganz.
Es handelt sich ja letztendlich um dieselben Dateien.

Ganz einfach: ich wollte schauen ob es am Webserver von rspamd lliegt. rspamd bringt angeblich eigene HTTP/S Libraries mit die den Download der Files machen. Darum wollte ich das einfach mal von einem anderen Webserver ziehen um Probleme auszuschliessen die die Libraries evtl mit deren Webserver Config haben.
Ich habe bisher keine einzige Fehlermeldung im Log (seit 2,5h) - scheint also zu funktionieren

curiosity

Moin!

Menno, kaum liest man hier und schon hat man Probleme … von denen man nichts wusste. ;-)

Hab diese Fehlermeldungen auch bei mir in den Logs gefunden ->

2025-09-25 11:06:01 #48(controller) <5h7xm3>; map; http_map_error: error reading https://maps.rspamd.com/freemail/free.txt.zst(157.180.118.77:443): connection with http server terminated incorrectly: IO read error: unexpected EOF 2025-09-25 11:09:23 #48(controller) <ybtm7g>; map; http_map_error: error reading https://maps.rspamd.com/freemail/disposable.txt.zst(157.180.118.77:443): connection with http server terminated incorrectly: IO read error: unexpected EOF [...]

Beim Aufruf von
`curl -v https://maps.rspamd.com/rspamd/spf_dkim_whitelist.inc.zst -o temp.zst
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
0 0 0 0 0 0 0 0 –:–:– –:–:– –:–:– 0* Host maps.rspamd.com:443 was resolved.

IPv6: (none)
IPv4: 157.180.118.77
Trying 157.180.118.77:443…
ALPN: curl offers h2,http/1.1
} [5 bytes data]
TLSv1.3 (OUT), TLS handshake, Client hello (1):
} [1570 bytes data]
CAfile: /etc/ssl/certs/ca-certificates.crt
CApath: /etc/ssl/certs
{ [5 bytes data]
TLSv1.3 (IN), TLS handshake, Server hello (2):
{ [112 bytes data]
TLSv1.2 (IN), TLS handshake, Certificate (11):
{ [2038 bytes data]
TLSv1.2 (IN), TLS handshake, Server key exchange (12):
{ [149 bytes data]
TLSv1.2 (IN), TLS handshake, Server finished (14):
{ [4 bytes data]
TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
} [70 bytes data]
TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):
} [1 bytes data]
TLSv1.2 (OUT), TLS handshake, Finished (20):
} [16 bytes data]
TLSv1.2 (IN), TLS handshake, Finished (20):
{ [16 bytes data]
SSL connection using TLSv1.2 / ECDHE-ECDSA-AES256-GCM-SHA384 / secp256r1 / id-ecPublicKey
ALPN: server accepted http/1.1
Server certificate:
subject: CN=maps.rspamd.com
start date: Aug 19 21:57:38 2025 GMT
expire date: Nov 17 21:57:37 2025 GMT
subjectAltName: host “maps.rspamd.com” matched cert’s “maps.rspamd.com”
issuer: C=US; O=Let’s Encrypt; CN=E6
SSL certificate verify ok.
Certificate level 0: Public key type EC/prime256v1 (256/128 Bits/secBits), signed using ecdsa-with-SHA384
Certificate level 1: Public key type EC/secp384r1 (384/192 Bits/secBits), signed using sha256WithRSAEncryption
Certificate level 2: Public key type RSA (4096/152 Bits/secBits), signed using sha256WithRSAEncryption
Connected to maps.rspamd.com (157.180.118.77) port 443
using HTTP/1.x
} [5 bytes data]

GET /rspamd/spf_dkim_whitelist.inc.zst HTTP/1.1
Host: maps.rspamd.com
User-Agent: curl/8.14.1
Accept: /

Request completely sent off
{ [5 bytes data]
< HTTP/1.1 200 OK
< Server: nginx
< Date: Thu, 25 Sep 2025 10:10:18 GMT
< Content-Type: application/octet-stream
< Content-Length: 1227
< Last-Modified: Sat, 14 Jul 2018 10:20:01 GMT
< Connection: keep-alive
< Expires: Thu, 25 Sep 2025 14:10:18 GMT
< Cache-Control: max-age=14400
< Cache-Control: public
< Accept-Ranges: bytes
<
{ [1227 bytes data]
100 1227 100 1227 0 0 10321 0 –:–:– –:–:– –:–:– 10398
Connection #0 to host maps.rspamd.com left intact`

Bei mir sehen die Fehlermeldung aber ein bisschen anders als weiter oben. Verstehe das gerade nicht so richtig, wer da wo quer schießt?

CK_beats

Ich habe wieder die Download-Verbindungen von http auf httpS zurückgedreht.
Interessanterweise ist der Zertifikatsfehler nicht mehr vorhanden. 🤔🤔🤔

25.9.2025, 12:25:32	controller	38	map	4x4rch	error reading https://maps.rspamd.com/rspamd/redirectors.inc.zst(157.180.118.77:443): connection with http server terminated incorrectly: IO read error: unexpected EOF
25.9.2025, 12:25:32	controller	38	map	g851pd	error reading https://maps.rspamd.com/rspamd/surbl-whitelist.inc.zst(157.180.118.77:443): connection with http server terminated incorrectly: IO read error: unexpected EOF
25.9.2025, 12:25:32	controller	38	map	j3dmgm	error reading https://maps.rspamd.com/freemail/disposable.txt.zst(157.180.118.77:443): connection with http server terminated incorrectly: IO read error: unexpected EOF
25.9.2025, 12:25:32	controller	38	map	z84ycf	error reading https://maps.rspamd.com/rspamd/spf_dkim_whitelist.inc.zst(157.180.118.77:443): connection with http server terminated incorrectly: IO read error: unexpected EOF
25.9.2025, 12:25:31	main	1	map	dm73go	regexp map is empty
25.9.2025, 12:25:31	main	1	map	tksteh	regexp map is empty
25.9.2025, 12:25:31	main	1	map	uieix6	regexp map is empty
25.9.2025, 12:25:31	main	1	map	a5bio5	regexp map is empty
25.9.2025, 12:25:31	main	1	map	48fpcq	regexp map is empty
25.9.2025, 12:25:31	main	1	map	5p4atn	regexp map is empty

Die Fehlermeldung entspricht nun der von curiosity

CK_beats

Aaaaah! 😊😊
Verstehe!

Ich hatte nach den Veränderungen auch lange keine Fehlermeldungen, bis RspamD seinen turnusmäßigen Updates angepeilt hatte. 😂😂
Schon war das Log wieder voll.

Aber das hört sich absolut schlüssig an!

DocFraggle

Ja ich warte noch ab, evtl kommt doch noch was

DocFraggle

FYI, kein einziger Fehler seit gestern Vormittag bzgl der Downloads

CK_beats

DocFraggle
😊😊😊
Also Fehler gefunden.
Super!
Der Fehler liegt also bei den Kollegen von RspamD? 🤔

Es wundert mich, dass es dort in den einschlägigen Foren so ruhig ist.

olmo1501

Taucht jetzt auch woanders auf: [https://forum.directadmin.com/threads/rspamd-0a000126-ssl-routines-unexpected-eof-while-reading.80188/]

olmo1501

Habe gestern Abend auch mal Zeit gefunden, das Script von @DocFraggle umzusetzen. Musste es etwas anpassen, um die Daten per SFTP auf meinen Webspace hochzuladen. Schnurrt wie ein Kätzchen, der Logspam ist weg, man sieht wieder evtl. wichtige Informationen des Logs.

Aber das löst ja nicht das eigentliche Problem. Entweder klemmt es auf Seiten der Server von Rspamd, aber dafür ist es dort einfach zu ruhig. Oder es ist ein Problem der von Mailcow verwendeten Version 3.12.1 im Zusammenspiel mit den Servern des Rspamd-Projekts.

CK_beats

olmo1501

That’s the point! 😅😅😅
Genau das interessiert mich auch brennend. Wo liegt der Fehler, um einen sauberen Betrieb des RspamD hinzubekommen.
Ist doch auch keine Dauerlösung die Daten auf einen eigenen Webserver zu ziehen und danach wieder zu importieren.

Ich vermute auch, dass es das Zusammenspiel von Mailcow zusammen mit der RspamD Version ist. Sonst wäre hier mit Sicherheit schon reagiert worden.

« Previous Page Next Page »