openSuSI 15.0 / Mailversand mit Postfix klappt nicht

[pibi]

Hallo zusammen!

Da ich seit Jahren einen eigenen Mailserver betreibe (frueher mit sendmail, jetzt mit postfix) und aber leider von meinem IN-Provider (UPC) keine fixe IP-Adresse bekomme (selbst gegen gute Schwiizer Fraenkli nicht), habe ich mir jetzt einen Mail-Relay-Zugang geleistet, da immer mehr Empfaenger gegen Spamhaus und Konsorten den Absender validieren. Laut Betreiber habe ich alles richtig konfiguriert, aber ich scheitere meiner Meinung nach am TLS-Handshake. Ich muss dazu sagen, dass ich bisher immer um Verschluesselung herumgekommen bin. Mir war das sehr recht, denn von diesem Thema habe ich NULL Ahnung. Dazu stehe ich auch.

Ein Verbindungsversuch fuer den Mailversand sieht zB. so aus:


2019-09-23T20:11:09.860866+02:00 serv postfix/qmgr[8385]: 1546D60A88: from=<pit@xxxx.ch>, size=669, nrcpt=1 (queue active)
2019-09-23T20:11:09.989213+02:00 serv postfix/smtp[8619]: SSL_connect error to asmtp.mail.yyyyyy.ch[1.2.3.4]:25: -1
2019-09-23T20:11:09.989613+02:00 serv postfix/smtp[8619]: warning: TLS library problem: error:1408F10B:SSL routines:ssl3_get_record:wrong version number:ssl/record/ssl3_record.c:252:
2019-09-23T20:11:10.012944+02:00 serv postfix/smtp[8619]: 1546D60A88: to=<pit.xxxx@qqqqq.ch>, relay=asmtp.mail.yyyyyy.ch[1.2.3.4]:25, delay=2202, delays=2202/0.05/0.08/0, dsn=4.7.5, status=deferred (Cannot start TLS: handshake failure)

Also funktioniert der TLS-Handshake nicht. Aber warum? Ich kann diese Meldung nicht interpretieren:-(

Das main.cf von Postfix lege ich auch noch bei:


############ grep -v -E \(^#\|^$\) /etc/postfix/main.cf
compatibility_level = 2
queue_directory = /var/spool/postfix
command_directory = /usr/sbin
daemon_directory = /usr/lib/postfix/bin/
data_directory = /var/lib/postfix
mail_owner = postfix
mydomain = xxxx.ch
unknown_local_recipient_reject_code = 550
smtpd_banner = $myhostname ESMTP
debug_peer_level = 2
debugger_command =
PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin
ddd $daemon_directory/$process_name $process_id & sleep 5
sendmail_path = /usr/sbin/sendmail
newaliases_path = /usr/bin/newaliases
mailq_path = /usr/bin/mailq
setgid_group = maildrop
html_directory = /usr/share/doc/packages/postfix-doc/html
manpage_directory = /usr/share/man
sample_directory = /usr/share/doc/packages/postfix-doc/samples
readme_directory = /usr/share/doc/packages/postfix-doc/README_FILES
biff = no
content_filter =
delay_warning_time = 0h
disable_dns_lookups = no
disable_mime_output_conversion = no
disable_vrfy_command = yes
inet_interfaces = all
inet_protocols = ipv4
masquerade_classes = envelope_sender, header_sender, header_recipient
masquerade_domains =
masquerade_exceptions =
mydestination = xxxx.ch, mail.xxxx.ch, xxxxserv.xxxx.ch, localhost.xxxx.ch
myhostname = mail.xxxx.ch
mynetworks_style = subnet
relayhost = [asmtp.mail.yyyy.ch]
alias_maps = hash:/etc/aliases
canonical_maps = hash:/etc/postfix/canonical
relocated_maps = hash:/etc/postfix/relocated
sender_canonical_maps = hash:/etc/postfix/sender_canonical
transport_maps = hash:/etc/postfix/transport
mail_spool_directory = /var/mail
message_strip_characters = \0
defer_transports =
mailbox_command =
mailbox_transport =
mailbox_size_limit = 0
message_size_limit = 30000000
strict_8bitmime = no
strict_rfc821_envelopes = no
smtpd_delay_reject = yes
smtpd_helo_required = yes
smtpd_client_restrictions =
smtpd_helo_restrictions =
smtpd_sender_restrictions =
smtpd_recipient_restrictions =
smtp_sasl_auth_enable = yes
smtp_sasl_security_options = noanonymous
smtp_sasl_password_maps = hash:/etc/postfix/relay-passwd
smtpd_sasl_auth_enable = no
relay_clientcerts =
smtp_use_tls = yes
smtp_enforce_tls = no
smtp_tls_CAfile =
smtp_tls_CApath =
smtp_tls_cert_file =
smtp_tls_key_file =
smtp_tls_session_cache_database =
smtp_tls_wrappermode = yes
smtp_tls_security_level = encrypt
smtpd_use_tls = no
smtpd_tls_CAfile =
smtpd_tls_CApath =
smtpd_tls_cert_file =
smtpd_tls_key_file =
smtpd_tls_ask_ccert = no
smtpd_tls_received_header = no
relay_domains = $mydestination, hash:/etc/postfix/relay
virtual_alias_domains =


Ich waere wirklich seeehr froh, wenn ein Postfix-Fachmann (oder eine Fachfrau) mir hier weiterhelfen koennte, da ich wie gesagt NULL Ahnung von TLS habe.

Gerne erwarte ich Eure Tips.

Gruesse aus der Schweiz
Pit.

[corresponder]

leg dir certificate an,
z.b. so:
http://www.postfix.org/TLS_README.html

oder installier letsencrypt

[drcux]

Falscher Port?

relayhost = asmtp.mail.yyyy.ch:submission

[pibi]

Danke Euch beiden fuer den Input. Der Fehler war viel banaler, denn das Versenden via Port 465 war noch in meiner Firewall auf dem Server gesperrt (Shame on me!). Jetzt konnte ich alle angestauten Mails mit "postqueue -f" verschicken. Also scheint das Relay mal grundsaetzlich zu funktionieren. Nun bekomme ich folgende Fehlermeldung zurueck:


Subject: Undelivered mail returned to sender
This is the mail system at host mail.<my-domain>.ch.

I'm sorry to have to inform you that your message could not
be delivered to one or more recipients. It's attached below.

For further assistance, please send mail to postmaster.

If you do so, please include this problem report. You can
delete your own text from the attached returned message.

The mail system

<<empfaenger>@<domain>.ch>: host asmtp.mail.<relay>.ch[a.b.c.d] said: 550-You are
not authenticated. Try to activate SMTP Authentication in your mail 550 client.




Reporting-MTA: dns; mail.<my-domain>.ch
X-Postfix-Queue-ID: 2B5EE60AAB
X-Postfix-Sender: rfc822; <absender>@<my-domain>.ch
Arrival-Date: Thu, 19 Sep 2019 21:55:47 +0200 (CEST)

Final-Recipient: rfc822; <empfaengername>@<empfaenger-domain>.ch
Original-Recipient: rfc822;<empfaengername>@<empfaenger-domain>.ch
Action: failed
Status: 5.0.0
Remote-MTA: dns; asmtp.mail.<a.b.c.d>.ch
Diagnostic-Code: smtp; 550-You are not authenticated. Try to activate SMTP
Authentication in your mail 550 client.


OK, wie aktiviere ich SMTP in meinem Mail-Client? Ist mit "Client" meine Workstation im internen Netz gemeint oder der Server, der sie schlussendlich via Mail-Relay weiterleitet?

@corresponder: Muss ich jetzt noch ein Zertifikat anlegen, wie von Dir geschrieben? Auf Workstation oder Server?

Danke im Voraus und Gruss
Pit.

[pibi]

leg dir certificate an,
z.b. so:
http://www.postfix.org/TLS_README.html
Das sieht fuer mich als Anfaenger auf diesem Gebiet auch nicht unbedingt einfach aus :-(

Gibt es nicht eine "Schnellbleiche" auf diesem Gebiet mit den wichtigsten Einstellungen fuer Postfix? Nochmal die Frage: Muss ich das auf meiner Workstation einrichten oder auf meinem Server, der den Versand der Mail ins IN uebernimmt?

Gruss Pit.

[corresponder]

auf dem server, das ist einfach...

zert erstellen:


openssl genrsa -out server.key 2048
openssl req -sha1 -new -key server.key -out server.csr
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

aber nicht einfach so machen - les dir das openssl howto durch,
das ist eine alte Methode und somit nicht mehr state of the art.....

[pibi]

Hoi corresponder

auf dem server, das ist einfach...
Ja, ein Zertifikat zu erstellen, ist einfach. Das habe ich auch schon geschafft. Hier hat es zB. eine relativ ausfuehrliche Anleitung fuer Postfix. Das deckt sich sogar weitgehend mit Deinen Angaben:
https://dokuwiki.tachtler.net/doku.php?id=tachtler:postfix_centos_7#tls-konfiguration

Aber leider nutzt mir das Zertifikat wenig, wenn ich nicht weiss, wo und wie ich es an mein Relay uebermitteln bzw. in die Kette einbinden muss. Die letzten 25 Jahre bin ich im Internet immer ohne solche Massnahmen ausgekommen;-) Aber dass das Internetnet mittlerweile boese ist und nicht mehr mit der Euphorie der fruehen 90er Jahre verglichen werden kann, ist mir schon klar. Also braucht es leider solche Massnahmen:-(

Die Fehlermeldung, die mein Relay schickt, habe ich bereits in einer der letzten Mails gepostet. Also nochmal: Zertifikat generieren habe ich geschafft, aber irgendwie/irgendwo muss ich es in meine Postfix-Config einbinden und an mein Relay uebermitteln. Wie mache ich das? Auch Anleitungen via PersonalMail sind willkommen;-)

Gruss Pit.

[pibi]

Ich habe es geschafft, dass das mail-Relay jetzt funktioniert! Ursache war ein unscheinbarer Tippfehler (ein "." (Punkt, wo er nicht hingehoerte)) in der main.cf, den ich im Eifer des Gefechts uebersehen habe.

Anleitung:
http://www.postfix.org/TLS_README.html

Nochmals danke fuer alle Tips und Hinweise.

Gruss Pit.