Client-Probleme mit Postfix beim Senden / Authentifizierung

[AndreasMeier]

Hallo zusammen,

mein Mailserver basiert auf Postfix 2.9.3 und Cyrus 2.4, System ist ein Debian Wheezy.
Auf meinen Clients verwende ich Kmail unter Debian, K9 unter Android (und später kommt Outlook unter Windows dazu).

Das Empfangen funktioniert, aber mit dem Senden hab ich noch ein Problem.
Senden und Empfangen soll auf jeden Fall über "TLS" abgesichert sein.
Fürs erste möchte ich aber erstmal Kmail behandeln.

Am Router sind folgende Ports freigegeben, wobei die "Beschriftung" evtl. nicht korrekt ist:


Empfang:
IMAP 993

Versand:
Mail (SMTP) 25
SMTPs (SSL) 465
SMTP über TLS 587



In Kmail hab ich für den SMTP-Server die Adresse des Mailservers angegeben und angekreuzt, dass der Server eine Authentifizierung erfordert.
Dazu hab ich Benutzer und Passwort in Kmail eingegeben.

In der Lasche "Erweiterte Einstellungen" hab ich auf "Automatisch erkennen" geklickt.
Dann stellt er mir die Authentifizierug auf CRAM-MD5 sowie TLS über Port 25 ein.

Beim Versand einer Test-Mail erhalte ich aber folgende Meldung von Kmail:


Das Versenden ist fehlgeschlagen:
Authentifizierung fehlgeschlagen.
Wahrscheinlich ist das Passwort nicht korrekt.
Meldung des Servers: 5.7.8 Error: authentication failed: authentication failure
Die Nachricht verbleibt im Postausgang....


In /var/log/mail.info auf dem Server läuft folgende Fehlermeldung auf:


Aug 3 13:58:27 server postfix/smtpd[6511]: connect from xyz.de[xxx.xxx.xxx.xxx]
Aug 3 13:58:29 server postfix/smtpd[6511]: Anonymous TLS connection established from xyz.de[xxx.xxx.xxx.xxx]: TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)
Aug 3 13:58:29 server postfix/smtpd[6511]: warning: xyz.de[xxx.xxx.xxx.xxx]: SASL CRAM-MD5 authentication failed: authentication failure
Aug 3 13:58:29 server postfix/smtpd[6511]: lost connection after AUTH from xyz.de[xxx.xxx.xxx.xxx]
Aug 3 13:58:29 server postfix/smtpd[6511]: disconnect from xyz.de[xxx.xxx.xxx.xxx]


Nehme ich aber den Haken bei "Authentifizierung erforderlich" raus, dann kommt eine "5.7.1 Relay access denied"-Meldung (was ja richtig ist).

Ich geh bis dato davon aus, dass ich mit den gleichen Benutzernamen und Passwörtern mich sowohl für den Empfang als auch für den Versand authentifizieren kann.

Die Einstellungen für den Versand in der /etc/postfix/main.cf sind:


##########################
# TLS fuer Mailversand
smtp_sasl_auth_enable = yes
# smtp_sasl_mechanism_filter = PLAIN login cram-md5
smtp_sasl_security_options = noanonymous
smtp_sasl_password_maps = hash:/etc/postfix/smtp_sasl_password_map
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtp_tls_security_level = may
# smtp_tls_cert_file = /etc/ssl/cert.pem
# smtp_tls_key_file = /etc/ssl/key.pem

##########################
# Logged in den Received-Zeilen
smtpd_tls_received_header = yes
smtp_tls_loglevel = 1
smtpd_tls_loglevel = 1

Den smtp_sasl_mechanism_filter hab ich zu Testzwecken bereits ausgeschalten.
Eigentlich will ich hier nur cram-md5 machen.

Kann mir einer von euch bitte helfen, woran ich hier scheitere?

Danke für eure Unterstützung
Gruß
Andreas

[TheDarkRose]

Wenn die Verbindung verschlüsselt ist, dann stell auf PLAIN, denn cram-md5 erfordert, dass das passwort im Klartext hinterlegt sein müsste.

P.S: TLS funktioniert auch auf Port 25

[AndreasMeier]

Wenn die Verbindung verschlüsselt ist, dann stell auf PLAIN, denn cram-md5 erfordert, dass das passwort im Klartext hinterlegt sein müsste.

P.S: TLS funktioniert auch auf Port 25

Hallo DarkRose,

danke für Deine Antwort, aber ganz versteh ich sie nicht.
cram-md5 bedeutet lt. Wikipedia (http://de.wikipedia.org/wiki/CRAM-MD5)-Eintrag eine verschlüsselte Übertragung.


...Es wird beispielsweise gerne zur Authentifizierung gegenüber
SMTP- oder IMAP-Servern eingesetzt, da es die Übertragung des
Passworts im Klartext vermeidet...


Es mag ja sein, dass bei TLS die Authentifizierung in PLAIN erfolgen "könnte", aber ich seh darin kein "muss" (siehe auch TLS-Wiki-Eintrag (http://de.wikipedia.org/wiki/Transport_Layer_Security#SSL_Handshake_Protocol)).
Die zusätzliche Sicherheit in der Übertragung würde ich gern implementiert wissen, aber bitte korrigier mich, wenn ich falsch liegen sollte.

Wenn es möglich ist, würde ich die Übertragung gern über einen anderen Port als Port 25 laufen lassen (darum 465 oder 587), da Port 25 halt der Standardport ist und somit öfters als potenzielles Angriffsziel verwendet wird.
Wenns sich die Übertragung nur über Port 25 einrichten lässt, dann würde es halt nicht anders gehen...

Nachtrag:
Das Empfangen über TLS mit cram-md5 funktioniert ja, bloß beim Senden gibts die o.g. Probleme.

[AndreasMeier]

Ich hab mal ne kurze Frage zu SASL:

Die Authentifizierung zu SASL beim EMPFANG funktioniert,
beim VERSAND erhalte ich immer:


SASL LOGIN authenticaiton failed: authentication failure


Frage: gibt es eine "zweite" SASL, extra für den Versand, gegen die jetzt nicht authentifiziert wird ??

[TheDarkRose]

smtpd_* Paramter anstatt smtp_* verwenden.