Hallo zusammen,
im Rahmen der PCI Zertifizierung wird gefordert, dass der SMTP Server nur mit einer Verschlüsselung angesprochen werden darf, die Medium bzw. High Ciphers verwendet.
Meine Frage ist nun wie ich das Postfix beibringe. Getestet wird mit dem Aufruf: openssl s_client -connect [IP]:25 -starttls smtp -cipher LOW
Die derzeitige Konfiguration sieht wie folgt aus:
readme_directory = /usr/share/doc/postfix-2.3.3/README_FILES virtual_mailbox_domains = $virtual_mailbox_maps, hash:/var/spool/postfix/plesk/virtual_domains virtual_alias_maps = $virtual_maps, hash:/var/spool/postfix/plesk/virtual virtual_mailbox_maps = hash:/var/spool/postfix/plesk/vmailbox transport_maps = hash:/var/spool/postfix/plesk/transport smtpd_tls_cert_file = /etc/postfix/postfix_default.pem smtpd_tls_key_file = $smtpd_tls_cert_file smtpd_tls_CAfile = /etc/postfix/ca_chain.crt #smtpd_tls_security_level = encrypt smtpd_tls_security_level = may #smtpd_tls_auth_only = yes smtpd_use_tls = yes smtp_tls_security_level = may smtp_use_tls = yes smtpd_sender_restrictions = check_sender_access hash:/var/spool/postfix/plesk/blacklists, permit_sasl_authenticated, check_client_access pcre:/var/spool/postfix/plesk/non_auth.re smtp_send_xforward_command = yes smtpd_authorized_xforward_hosts = 127.0.0.0/8 smtpd_sasl_auth_enable = yes smtpd_recipient_restrictions = permit_mynetworks, check_client_access pcre:/var/spool/postfix/plesk/no_relay.re, permit_sasl_authenticated, reject_unauth_destination virtual_mailbox_base = /var/qmail/mailnames virtual_uid_maps = static:110 virtual_gid_maps = static:31 virtual_transport = plesk_virtual plesk_virtual_destination_recipient_limit = 1 smtpd_client_restrictions = message_size_limit = 10240000
disable_vrfy_command = yes smtpd_sasl_security_options = noanonymous, noplaintext smtpd_tls_protocols = SSLv3, TLSv1 smtp_tls_protocols = SSLv3, TLSv1 smtpd_tls_mandatory_ciphers = high smtpd_tls_mandatory_exclude_ciphers = aNULL, MD5 #smtpd_tls_security_level = encrypt
Ich erreiche das gewünschte Ergebnis, wenn ich den letzten Eintrag "smtpd_tls_security_level" aktiviere, kann dann aber vom Server keine E-Mail mehr versenden. Dies scheitert dann mit der Fehlermeldung:
host 127.0.0.1[127.0.0.1] said: 530 5.7.0 Must issue a STARTTLS command first (in reply to MAIL FROM command)
Irgendeine Idee wie ich die High Ciphers aktiviere und trotzdem noch Mails von lokal versenden kann?
Vielen Dank und viele Grüße
Stephan Schulze