Supporto TLS SMTP SSL per Postfix - Revision history

Gabriele.vivinetto: /* Configurazione di Postfix per SSL */

2018-05-11T12:36:01Z

Configurazione di Postfix per SSL

← Older revision		Revision as of 12:36, 11 May 2018
Line 67:		Line 67:

	/etc/init.d/postfix stop; /etc/init.d/postfix start		/etc/init.d/postfix stop; /etc/init.d/postfix start

			===Riferimenti===
			*[https://access.redhat.com/solutions/120383 Resolution for POODLE SSL 3.0 vulnerability (CVE-2014-3566) in Postfix and Dovecot]


	== Verifica del supporto TLS ==		== Verifica del supporto TLS ==

Gabriele.vivinetto: /* Configurazione di Postfix per SSL */

2018-05-11T12:32:54Z

Configurazione di Postfix per SSL

← Older revision		Revision as of 12:32, 11 May 2018
Line 53:		Line 53:
	</pre>		</pre>

			* Disabilitare i protocolli ssl vulnerabili:
	sudoedit /etc/postfix/main.cf		sudoedit /etc/postfix/main.cf

			<pre>
			smtpd_tls_mandatory_protocols = !SSLv2, !SSLv3
			smtpd_tls_protocols = !SSLv2, !SSLv3
			smtp_tls_mandatory_protocols = !SSLv2, !SSLv3
			smtp_tls_protocols = !SSLv2, !SSLv3
			</pre>


	Riavviare postfix		Riavviare postfix

Gabriele.vivinetto: /* Verifica del supporto TLS */

2016-12-13T10:34:20Z

Verifica del supporto TLS

← Older revision		Revision as of 10:34, 13 December 2016
Line 86:		Line 86:
	* Testare la porta 25 con STARTTLS		* Testare la porta 25 con STARTTLS
	swaks -s mailserver.example.com -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tls		swaks -s mailserver.example.com -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tls

			* Per vedere i dettagli del certificato
			openssl s_client -connect mailserver.example.com:25 -starttls smtp

	== Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION ==		== Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION ==

Gabriele.vivinetto at 15:52, 5 January 2016

2016-01-05T15:52:44Z

← Older revision		Revision as of 15:52, 5 January 2016
Line 4:		Line 4:
	Soluzione: attivare le opzioni tls		Soluzione: attivare le opzioni tls

	== Copia dei certificati ssl ==		= Copia dei certificati ssl =

	===Utilizzo dei certificati standard===		==Utilizzo dei certificati standard==

	I certificati sono:		I certificati sono:
Line 13:		Line 13:
	/etc/ssl/certs/ssl-cert-snakeoil.pem		/etc/ssl/certs/ssl-cert-snakeoil.pem

	===Utilizzo di certificati specifici===		==Utilizzo di certificati specifici==
	Generare i certificati con un metodo conosciuto.		Generare i certificati con un metodo conosciuto.

Line 30:		Line 30:
	sudo chmod 640 /etc/postfix/mail.example.com.key		sudo chmod 640 /etc/postfix/mail.example.com.key

	== Configurazione di Postfix per SSL ==		= Configurazione di Postfix per SSL =

	Configurare postfix per l'uso di TLS:		Configurare postfix per l'uso di TLS:
Line 87:		Line 87:
	swaks -s mailserver.example.com -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tls		swaks -s mailserver.example.com -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tls

	== ~~Attivazion~~		== Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION ==
	e del supporto per la porta 465 e 587 per SMTPS e SUBMISSION ==

	Se si vuole attivare anche il metodo con SSL wwrapper sulla porta 465, e submission sulla porta 587 scommentare e modificare le seguenti righe in		Se si vuole attivare anche il metodo con SSL wwrapper sulla porta 465, e submission sulla porta 587 scommentare e modificare le seguenti righe in
Line 155:		Line 154:
	* Verificare che senza auth, la 587 non vada:		* Verificare che senza auth, la 587 non vada:

	== Note relative ai client SMTP ==		= Note relative ai client SMTP =

	Se risulta installato su un client Windows Norton Autoprotect, occorre disabilitare il checking delle email in uscita (Opzioni, email in uscita) altrimenti verrà bloccato l'invio delle email con ssl.		Se risulta installato su un client Windows Norton Autoprotect, occorre disabilitare il checking delle email in uscita (Opzioni, email in uscita) altrimenti verrà bloccato l'invio delle email con ssl.


	== Riferimenti ==		= Riferimenti =
	*[https://wiki.debian.org/PostfixAndSASL#Adding_TLS PostfixAndSASL - Debian Wiki]		*[https://wiki.debian.org/PostfixAndSASL#Adding_TLS PostfixAndSASL - Debian Wiki]
	* [http://workaround.org/articles/ispmail-etch/ Howto: ISP-style Email Server with Debian-Etch and Postfix 2.3]		* [http://workaround.org/articles/ispmail-etch/ Howto: ISP-style Email Server with Debian-Etch and Postfix 2.3]

Gabriele.vivinetto: /* Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION */

2014-12-30T18:26:22Z

Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION

@@ Line 87: / Line 87: @@
   swaks -s mailserver.example.com -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tls
-== Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION ==
+== Attivazion
 Se si vuole attivare anche il metodo con SSL wwrapper sulla porta 465, e submission sulla porta 587 scommentare e modificare le seguenti righe in
@@ Line 93: / Line 94: @@
   sudoedit /etc/postfix/master.cf
 <pre>
 # port 465
@@ Line 110: / Line 112: @@
 </pre>
 * Riavviare postfix:

Gabriele.vivinetto: /* Riferimenti */

2013-10-29T17:46:03Z

Riferimenti

← Older revision		Revision as of 17:46, 29 October 2013
Line 141:		Line 141:

	== Riferimenti ==		== Riferimenti ==
			*[https://wiki.debian.org/PostfixAndSASL#Adding_TLS PostfixAndSASL - Debian Wiki]
	* [http://workaround.org/articles/ispmail-etch/ Howto: ISP-style Email Server with Debian-Etch and Postfix 2.3]		* [http://workaround.org/articles/ispmail-etch/ Howto: ISP-style Email Server with Debian-Etch and Postfix 2.3]
	* [http://blog.joerghoh.de/index.php?/archives/91-Debian-Etch,-postfix-and-TLS.html Debian Etch, postfix and TLS - Joerg on the web]		* [http://blog.joerghoh.de/index.php?/archives/91-Debian-Etch,-postfix-and-TLS.html Debian Etch, postfix and TLS - Joerg on the web]

Gabriele.vivinetto at 17:43, 29 October 2013

2013-10-29T17:43:58Z

← Older revision		Revision as of 17:43, 29 October 2013
Line 24:		Line 24:
	in /etc/postfix		in /etc/postfix

	sudo cp /etc/ssl/mail.~~galimberti~~.~~net~~.key /etc/postfix/mail.~~galimberti~~.~~net~~.key		sudo cp /etc/ssl/mail.example.com.key /etc/postfix/mail.example.com.key
	sudo cp cp /etc/ssl/mail.~~galimberti~~.~~net~~.crt /etc/postfix/mail.~~galimberti~~.~~net~~.crt		sudo cp cp /etc/ssl/mail.example.com.crt /etc/postfix/mail.example.com.crt
	sudo cp cp /etc/ssl/~~galimberti~~.~~net~~/cacert.crt /etc/postfix/ca.~~galimberti~~.~~net~~.crt		sudo cp cp /etc/ssl/example.com/cacert.crt /etc/postfix/ca.example.com.crt

	sudo chmod 640 /etc/postfix/mail.~~galimberti~~.~~net~~.key		sudo chmod 640 /etc/postfix/mail.example.com.key

	== Configurazione di Postfix per SSL ==		== Configurazione di Postfix per SSL ==
Line 43:		Line 43:
	# uncomment this to force use of smtp auth only for		# uncomment this to force use of smtp auth only for
	# ssl connections		# ssl connections
	smtpd_tls_key_file = /etc/postfix/mail.~~galimberti~~.~~net~~.key		smtpd_tls_key_file = /etc/postfix/mail.example.com.key
	smtpd_tls_cert_file = /etc/postfix/mail.~~galimberti~~.~~net~~.crt		smtpd_tls_cert_file = /etc/postfix/mail.example.com.crt
	smtpd_tls_CAfile = /etc/postfix/ca.~~galimberti~~.~~net~~.crt		smtpd_tls_CAfile = /etc/postfix/ca.example.com.crt
	smtpd_tls_loglevel = 2		smtpd_tls_loglevel = 2
	smtpd_tls_received_header = yes		smtpd_tls_received_header = yes
Line 82:		Line 82:

	* Testare la porta 25 senza cifratura		* Testare la porta 25 senza cifratura
	swaks -s mailserver.~~metrica~~.~~priv~~ -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD		swaks -s mailserver.example.com -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD

	* Testare la porta 25 con STARTTLS		* Testare la porta 25 con STARTTLS
	swaks -s mailserver.~~metrica~~.~~priv~~ -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tls		swaks -s mailserver.example.com -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tls

	== Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION ==		== Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION ==
Line 128:		Line 128:

	* Testare la porta 465 con:		* Testare la porta 465 con:
	swaks -s mailserver.~~metrica~~.~~priv~~ -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tlsc		swaks -s mailserver.example.com -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tlsc

	* Testare la 587:		* Testare la 587:
	swaks -s mailserver.~~metrica~~.~~priv~~ -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tls -p 587		swaks -s mailserver.example.com -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tls -p 587

	* Verificare che senza auth, la 587 non vada:		* Verificare che senza auth, la 587 non vada:

Gabriele.vivinetto: /* Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION */

2013-10-29T17:42:53Z

Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION

← Older revision		Revision as of 17:42, 29 October 2013
Line 95:		Line 95:
	<pre>		<pre>
	# port 465		# port 465
	~~smtps~~ inet n - y - - smtpd		ssmtp inet n - y - - smtpd
	-o smtpd_tls_wrappermode=yes		-o smtpd_etrn_restrictions=reject
	-o smtpd_sasl_auth_enable=yes		-o smtpd_tls_wrappermode=yes
			-o smtpd_sasl_auth_enable=yes

	# port 587		# port 587
	submission inet n - y - - smtpd		submission inet n - y - - smtpd
	-o smtpd_enforce_tls=yes		-o smtpd_etrn_restrictions=reject
	-o smtpd_sasl_auth_enable=yes		-o smtpd_enforce_tls=yes
			-o smtpd_sasl_auth_enable=yes

	# random number generator		# random number generator

Gabriele.vivinetto: /* Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION */

2013-03-26T10:16:15Z

Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION

← Older revision		Revision as of 10:16, 26 March 2013
Line 89:		Line 89:
	== Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION ==		== Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION ==

	Se si vuole attivare anche il metodo con SSL wwrapper sulla porta 465, e submission sulla porta 587 scommentare e modificare le seguenti righe in ~~'''~~/etc/postfix/master.cf~~''':~~		Se si vuole attivare anche il metodo con SSL wwrapper sulla porta 465, e submission sulla porta 587 scommentare e modificare le seguenti righe in

			sudoedit /etc/postfix/master.cf

	<pre>		<pre>

Gabriele.vivinetto at 14:23, 28 July 2011

2011-07-28T14:23:08Z

← Older revision		Revision as of 14:23, 28 July 2011
Line 3:		Line 3:
	Obiettivo: permettere l'invio di email con protocollo cifrato SSL		Obiettivo: permettere l'invio di email con protocollo cifrato SSL
	Soluzione: attivare le opzioni tls		Soluzione: attivare le opzioni tls

	~~== Verifica supporto TLS==~~
	~~Verificare che si abbia installato postifx-tls e non solo postfix~~

	~~dpkg -l \| grep postfix~~
	~~ii postfix 2.1.5-9 A high-performance mail transport agent~~
	~~ii postfix-tls 2.1.5-9 TLS and SASL support for Postfix~~

	== Copia dei certificati ssl ==		== Copia dei certificati ssl ==
Line 31:		Line 24:
	in /etc/postfix		in /etc/postfix

	cp /etc/ssl/mail.galimberti.net.~~nopwkey.pem~~ /etc/postfix/mail.galimberti.net.key		sudo cp /etc/ssl/mail.galimberti.net.key /etc/postfix/mail.galimberti.net.key
	cp /etc/ssl/mail.galimberti.net.~~newcert.pem~~ /etc/postfix/mail.galimberti.net.~~pem~~		sudo cp cp /etc/ssl/mail.galimberti.net.crt /etc/postfix/mail.galimberti.net.crt
	cp /etc/ssl/galimberti.net/cacert.~~pem~~ /etc/postfix/ca.galimberti.net.crt		sudo cp cp /etc/ssl/galimberti.net/cacert.crt /etc/postfix/ca.galimberti.net.crt

			sudo chmod 640 /etc/postfix/mail.galimberti.net.key

	== Configurazione di Postfix per SSL ==		== Configurazione di Postfix per SSL ==
Line 40:		Line 35:

	<pre>		<pre>
	cat >> /etc/postfix/main.cf <<'EOFile'		cat \| sudo tee -a /etc/postfix/main.cf > /dev/null <<'EOFile'
	## TLS		## TLS
	# Transport Layer Security		# Transport Layer Security
Line 48:		Line 43:
	# uncomment this to force use of smtp auth only for		# uncomment this to force use of smtp auth only for
	# ssl connections		# ssl connections
	smtpd_tls_key_file = /etc/postfix/mail.galimberti.net.~~pem~~		smtpd_tls_key_file = /etc/postfix/mail.galimberti.net.key
	smtpd_tls_cert_file = /etc/postfix/mail.galimberti.net.crt		smtpd_tls_cert_file = /etc/postfix/mail.galimberti.net.crt
	smtpd_tls_CAfile = /etc/postfix/ca.galimberti.net.crt		smtpd_tls_CAfile = /etc/postfix/ca.galimberti.net.crt
	smtpd_tls_loglevel = 3		smtpd_tls_loglevel = 2
	smtpd_tls_received_header = yes		smtpd_tls_received_header = yes
	smtpd_tls_session_cache_timeout = 3600s		smtpd_tls_session_cache_timeout = 3600s
Line 57:		Line 52:
	EOFile		EOFile
	</pre>		</pre>

			sudoedit /etc/postfix/main.cf

	Riavviare postfix		Riavviare postfix
Line 84:		Line 81:
	</pre>		</pre>

			* Testare la porta 25 senza cifratura
			swaks -s mailserver.metrica.priv -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD

	~~== Attivazione del supporto per~~ la porta ~~465 ==~~		* Testare la porta 25 con STARTTLS
			swaks -s mailserver.metrica.priv -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tls

	Se si vuole attivare anche il metodo con SSL wwrapper sulla porta 465, scommentare e modificare le ~~sueguenti~~ righe in '''/etc/postfix/master.cf''':		== Attivazione del supporto per la porta 465 e 587 per SMTPS e SUBMISSION ==

			Se si vuole attivare anche il metodo con SSL wwrapper sulla porta 465, e submission sulla porta 587 scommentare e modificare le seguenti righe in '''/etc/postfix/master.cf''':

	<pre>		<pre>
	# ~~only used by postfix-tls~~		# port 465
	~~tlsmgr fifo n - - 300 1 tlsmgr~~		smtps inet n - y - - smtpd
	smtps inet n - - - - smtpd -o smtpd_tls_wrappermode~~=yes -o smtpd_sasl_auth_enable~~=yes		-o smtpd_tls_wrappermode=yes
	~~587 inet n - - - - smtpd -o smtpd_enforce_tls=yes~~ -o smtpd_sasl_auth_enable=yes		-o smtpd_sasl_auth_enable=yes
	~~</pre>~~

	~~inoltre aggiungere la configurazione sasl anche per smtps:~~		# port 587
			submission inet n - y - - smtpd
			-o smtpd_enforce_tls=yes
			-o smtpd_sasl_auth_enable=yes

	~~<pre>~~		# random number generator
	~~cd /etc/postfix/sasl~~		tlsmgr unix - - - 1000? 1 tlsmgr
	~~sudo cp smtpd.conf smtps.conf~~
	</pre>		</pre>

	Riavviare ~~sasl e~~ postfix:
			* Riavviare postfix:

	<pre>		<pre>
	~~/etc/init.d/saslauthd stop~~		sudo /etc/init.d/postfix stop
	~~killall saslauthd~~		sudo /etc/init.d/postfix start
	~~/etc/init.d/saslauthd start~~

	/etc/init.d/postfix stop
	/etc/init.d/postfix start
	</pre>		</pre>

Line 117:		Line 117:

	<pre>		<pre>
	netstat -~~anp~~ \| grep ':25\\|:465'		sudo netstat -an \| grep ':25\\|:465\\|:587' \| grep LISTEN
	tcp 0 0 0.0.0.0:465 0.0.0.0:* LISTEN ~~16663/master~~		tcp 0 0 0.0.0.0:465 0.0.0.0:* LISTEN
	tcp 0 0 0.0.0.0:25 0.0.0.0:* LISTEN ~~16663/master~~		tcp 0 0 0.0.0.0:25 0.0.0.0:* LISTEN
			tcp 0 0 0.0.0.0:587 0.0.0.0:* LISTEN
	</pre>		</pre>

			* Testare la porta 465 con:
			swaks -s mailserver.metrica.priv -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tlsc

			* Testare la 587:
			swaks -s mailserver.metrica.priv -au nome.cognome -f nome.cognome@deominio.dom -t mio.indirizzo@miodominio.dom -ap PASSWORD -tls -p 587

			* Verificare che senza auth, la 587 non vada:

	== Note relative ai client SMTP ==		== Note relative ai client SMTP ==
Line 133:		Line 142:
	* [http://postfix.state-of-mind.de/patrick.koetter/smtpauth/postfix_tls_support.html Adding TLS support to Postfix]		* [http://postfix.state-of-mind.de/patrick.koetter/smtpauth/postfix_tls_support.html Adding TLS support to Postfix]
	* [http://www.aet.tu-cottbus.de/personen/jaenicke/postfix_tls/doc/conf.html Postfix/TLS - Configuring main.cf and master.cf]		* [http://www.aet.tu-cottbus.de/personen/jaenicke/postfix_tls/doc/conf.html Postfix/TLS - Configuring main.cf and master.cf]
			*[http://rackerhacker.com/2007/07/04/enable-submission-port-587-in-postfix/ Enable submission port 587 in Postfix \| Racker Hacker]
			*[http://abing.gotdns.com/posts/2008/getting-postfix-to-run-smtps-on-port-465/ Getting Postfix to run SMTPS on port 465 · Archive ·Terminus a Quo]
			*[http://www.faqforge.com/linux/how-to-enable-port-587-submission-in-postfix/ How to enable port 587 (submission) in postfix « FAQforge]
			*[http://www.postfix.org/TLS_README.html Postfix TLS Support]