Назад | Перейти на главную страницу

Gmail отмечает электронную почту Dovecot как небезопасную

Я думал, что успешно защитил свой почтовый сервер Postfix / Dovecot. У меня есть подписанный сертификат от LetsEncrypt, действительный для моего домена.

Отправка и получение работают нормально, но, поскольку Gmail начал отмечать небезопасные электронные письма, вся почта, отправляемая с моего сервера, помечается как незашифрованная.

Пользователи Gmail видят «Это сообщение не было зашифровано», например:

В Postfix main.cfсреди прочего у меня есть:

# SASL, for SMTP authentication
smtpd_sasl_type = dovecot
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
smtpd_sasl_path = private/auth

# TLS, for encryption
smtpd_tls_security_level = may
smtpd_tls_auth_only = no
smtpd_tls_CAfile = /etc/letsencrypt/live/mydomain.com/chain.pem
smtpd_tls_cert_file = /etc/letsencrypt/live/mydomain.com/fullchain.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mydomain.com/privkey.pem
tls_random_source = dev:/dev/urandom
smtpd_client_new_tls_session_rate_limit = 10
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_tls_exclude_ciphers =
    EXP
    EDH-RSA-DES-CBC-SHA
    ADH-DES-CBC-SHA
    DES-CBC-SHA
    SEED-SHA
smtpd_tls_dh512_param_file = ${config_directory}/certs/dh_512.pem
smtpd_tls_dh1024_param_file = ${config_directory}/certs/dh_1024.pem
disable_vrfy_command = yes
smtpd_helo_required = yes
smtpd_delay_reject = yes

В Postfix master.cfсреди прочего у меня есть:

smtp      inet  n       -       -       -       -       smtpd
  -o smtpd_enforce_tls=yes
  -o smtpd_use_tls=yes
  -o smtpd_tls_security_level=encrypt

submission inet n       -       -       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o broken_sasl_auth_clients=yes

В Dovecot's 10-ssl.confсреди прочего у меня есть:

ssl = required
ssl_ca = </etc/letsencrypt/live/mydomain.com/chain.pem
ssl_cert = </etc/letsencrypt/live/mydomain.com/fullchain.pem
ssl_key = </etc/letsencrypt/live/mydomain.com/privkey.pem

Gmail ошибочно отмечает сертификаты LetsEncrypt, потому что не доверяет им, или моя электронная почта действительно отправляется в незашифрованном виде?

Я решил это, добавив обе эти строки в Postfix main.cf:

smtp_tls_security_level = may
smtpd_tls_security_level = may

(Я только установил smtpd_tls_security_level из-за вводящей в заблуждение статьи, в которой все smtp_ стоимости были обесценены в пользу smtpd_.)

Ваше электронное письмо отправлено в незашифрованном виде. Если вы просто хотите изо всех сил, добавьте в main.cf следующее:

smtp_tls_security_level = may

Чтобы обеспечить шифрование TLS для электронной почты, отправленной в Google, добавьте это в свой main.cf

# Force TLS for outgoing server connection
smtp_tls_policy_maps = hash:/etc/postfix/tls_policy
smtp_tls_CApath = /etc/postfix/rootcas/

замените / etc / postfix / rootcas / на расположение ваших доверенных корневых центров сертификации и в файле / etc / postfix / tls_policy add

#/C=US/O=Equifax/OU=Equifax Secure Certificate Authority
gmail.com       secure ciphers=high
google.com      secure ciphers=high
googlemail.com  secure ciphers=high

это приведет к тому, что электронное письмо будет отправлено на gmail.com., google.com и googlemail.com будут отправлены зашифрованными и аутентифицирующими сервер SMTP.

Если вы не хотите аутентифицироваться и просто зашифровать (это необходимо для сайтов с поддельными сертификатами), используйте

gmail.com       encrypt ciphers=high
google.com      encrypt ciphers=high
googlemail.com  encrypt ciphers=high

перед перезапуском postfix выполнить

postmap /etc/postfix/tls_policy

Рассмотрим отношения клиент / сервер в отношении SMTP, и настройки имеют смысл:

2.1. Базовая структура

Дизайн SMTP можно представить как:

              +----------+                +----------+
  +------+    |          |                |          |
  | User |<-->|          |      SMTP      |          |
  +------+    |  Client- |Commands/Replies| Server-  |
  +------+    |   SMTP   |<-------------->|    SMTP  |    +------+
  | File |<-->|          |    and Mail    |          |<-->| File |
  |System|    |          |                |          |    |System|
  +------+    +----------+                +----------+    +------+
               SMTP client                SMTP server

(Источник: rfc5321.txt)

Таким образом:

"smtp_tls_security_level" предназначен для SMTP-клиента Postfix. Видеть: http://www.postfix.org/postconf.5.html#smtp_tls_security_level

"smtpd_tls_security_level "для SMTP-сервера Postfix См.: http://www.postfix.org/postconf.5.html#smtpd_tls_security_level

Когда postfix передает почту в Gmail, smtp_tls_security_level настройка - это связанная настройка.

Когда постфикс получение почта через smtp, smtpd_tls_security_level настройка актуальна.