[w.....r]

#linux #postfix #certyfikaty #tls

Siema świry. Mam problem z postfixem w swoim labie. Mam dwa servery smtp na oddzielnych serwerach w sieci domowej które się widzą i gadają ze sobą. Problem jest wtedy gdy chcę wymusić obowiązkowe szyfrowanie (taki chalange). Jest to STARTTLS, port 25, selfsigned certs, postfix w chroot.
Problem jest zapewne taki, że nie potrafię poprawnie wygenerować i skonfigurować certyfikatów i dodać ich do trusted. Przerobiłem sporo poradników w necie ale efekt jest taki sam. Przy zdjęciu weryfikacji certyfikatu klienta, dostaję info że certyfikaty są Untrusted ale maile dochodzą. Zależy mi by certyfikaty były Trusted.

Apr 8 13:35:35 serverB postfix/pickup[485]: 9AAC0182B9D: uid=0 from=
Apr 8 13:35:35 serverB postfix/cleanup[4077]: 9AAC0182B9D: message-id=<20200408113535.9AAC0182B9D@serverB>
Apr 8 13:35:35 serverB postfix/qmgr[486]: 9AAC0182B9D: from=, size=353, nrcpt=1 (queue active)
Apr 8 13:35:36 serverB postfix/smtp[4079]: Untrusted TLS connection established to serverA[someip]:25: TLSv1.3 with cipher TLSAES256GCMSHA384 (256/256 bits)
Apr 8 13:35:36 serverB postfix/smtp[4079]: 9AAC0182B9D: to=, relay=serverA[someip]:25, delay=0.5, delays=0.02/0.01/0.46/0, dsn=4.7.1, status=deferred (host serverA[someip] refused to talk to me: 421 4.7.1 serverA Error: Client certificate not trusted)

Przykładowy tutek:
https://e-rave.nl/create-a-self-signed-ssl-key-for-postfix

Następnie wymieniam certyfikaty CA pomiędzy serwerami, dodaje je do /usr/share/ca-certificates/, i dpkg-reconfigure ca-certificates.

Pomoże ktoś krok po kroku?
Konfiguracja:
main.cf https://pastebin.pl/view/9093d66c
master.cf https://pastebin.pl/view/2a9bbc01

[w.....r]

@wolny_kangur: żartowałem z tymi świrami... Mirki kochane.

[LizavietaNebulla]

@wolny_kangur: @wonsz_smieszek @Kryspin013 - wołam, bo może Wy coś podpowiecie... ? Problem ciekawy, ale ja jestem cieniusienieńka.

[secondreality]

@wolny_kangur: Szukałeś w sieci? zobacz
https://dan.langille.org/2013/10/09/postfix-client-certificate-verification/
https://jpmrblood.github.io/tips/postfix-untrusted-ssl/

[w.....r]

@secondreality: Szukałeś szukałeś. Od kilku dni nic innego nie robię:) Wszystko to mam w konfigu, ale dzięki za podpowiedź. BTW: submission mi nie potrzebny, więc wykomentowałem z master.cf.

Znalazłem: Jak zwykle, RTFM:
jak weryfikować chainy http://www.postfix.org/TLS_README.html#server_tls

w moim przypadku to... Mirki, jak tworzycie sobie self trusted CA to do jasnej ciasnej podajcie inne CN niż w certyfikacie serwera.
https://stackoverflow.com/questions/19726138/openssl-error-18-at-0-depth-lookupself-signed-certificate

konfigi zostawiam dla potomnych i siebie :P
( ͡°( ͡

[secondreality]

@wolny_kangur: pytanie jak generowałeś te certy FQDN czy masz jakąś localdomain, czy sam postfix może je odczytać skoro jest chroot

[w.....r]

@secondreality: mam localdomain. Certyfikaty potem rozrzucam manualnie do chroot, /etc/ssl/i /usr/share/ca-certificates. Potem dpkg-reconfigure ca-certificates.

Trochę po omacku, będę jeszcze testował czy wszystko jest potrzebne.

[w.....r]

@wolny_kangur: a generowałem w ten sposób.
https://e-rave.nl/create-a-self-signed-ssl-key-for-postfix

[secondreality]

@wolny_kangur: generalnie nie bawie się certami, czy nie powinieneś wygenerowac na dwóch maszynach osobne certy i zaciągnąc z jednego CA drugiego serwa i na odwrót.

[w.....r]

@secondreality: Tak, dokładnie.

[secondreality]

@wolny_kangur: zweryfikuj czy się dogaduja po ssl z commandline, ewentualnie mogłes sie jebnać przy tworzeniu, często żle wpisując FQDN, inny niż jest używany.

[w.....r]

@secondreality: Już rozwiązałem, może nie napisałem zbyt czytelnie wyżej. Tak, jebnąłem się przy generowaniu certów, w zasadzie to nie wiedziałem, że CA i servert cert nie mogą mieć tej samej Common Name :P

Dzięki ( ͡° ͜ʖ ͡°)

[secondreality]

@wolny_kangur: gj ( ͡° ͜ʖ ͡°)

[w.....r]

@secondreality: thx! ( ͡° ͜ʖ ͡°)