Probleme qmail smtp

WebTeufel · 27. November 2021

ich bin mir nicht sicher was ich gemacht habe aber irgendwie habe ich probleme mit TLS und dovecot

mxtool sagt

SMTP TLS

Warning - Does not support TLS.

SMTP Banner Check

Reverse DNS does not match SMTP Banner

evtl habe ich auch ci-ssl-install ausgeführ die da immer noch lag

wie kann ich das jetzt korrigieren?

tbc233 · 28. November 2021

Ich war mal so frei dass in ein eigenes Thema zu verschieben, den vorigen Thread hätte das nur noch mehr verwässert.

An Deiner Stelle würde ich das dc-install nochmal ausführen im ersten Schritte.

Was die zweite Fehlermeldung angeht, würde ich prüfen ob es für den hostnamen mit dem sich qmail meldet (im Normalfall ist das der, der in der /var/qmail/control/me drin steht) auch einen Reverse Eintrag von der IP des Servers gibt.

WebTeufel · 28. November 2021

sorry und danke

ich denke du meinst die dc-ssl-install.sh ? die habe ich als erstes gemacht aber alles irgendwie ohne erfolg

nach dem ich ganzen tag alles ausprobiert habe und habe jetzt auch lange nacht hinter mir und alle Tipps und Tricks aus dem Forum hoch und runter .... aber leider ohne Erfolg

was ich bis jetzt alles entdeckt habe:

Code

root@eros:~# lsof -i tcp:25,587
COMMAND   PID   USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
tcpserver 422 qmaild    3u  IPv6   2022      0t0  TCP *:submission (LISTEN)
tcpserver 483 qmaild    3u  IPv6  11671      0t0  TCP *:smtp (LISTEN)

aber die telnet verbindung klappt nicht mal local

Code

root@eros:~# telnet localhost 25
Trying ::1...
Connected to localhost.
Escape character is '^]'.
Connection closed by foreign host.

dann gaboder gibt es noch solche meldungen

Code

Nov 28 10:39:17 eros dovecot: config: Warning: service auth { client_limit=5000 } is lower than required under max. load (6000)

Nov 28 10:57:54 eros dovecot: master: Warning: Killed with signal 15 (by pid=410 uid=0 code=kill)

nach dem ich den limit auf 6000 erhöht habe, hatte ich dann die zweite Meldung

anfangs fehlten mir auch die imap und imap-login, die sind aber mittlerweile wieder da

Code

root@eros:~# pstree
systemd─┬─agetty
        ├─cron───cron───sh───top.sh───top
        ├─dbus-daemon
        ├─fail2ban-server───26*[{fail2ban-server}]
        ├─rsyslogd───3*[{rsyslogd}]
        ├─sshd─┬─sshd───bash───pstree
        │      └─sshd───bash───mc───bash
        ├─svscanboot─┬─readproctitle
        │            └─svscan─┬─supervise───run─┬─splogger
        │                     │                 └─tcpserver
        │                     ├─4*[supervise───splogger]
        │                     ├─supervise───clamd───{clamd}
        │                     ├─supervise───proftpd
        │                     ├─supervise───logger
        │                     ├─supervise───httpd─┬─httpd
        │                     │                   └─27*[httpd───{httpd}]
        │                     ├─supervise───dovecot─┬─anvil
        │                     │                     ├─config
        │                     │                     ├─5*[imap]
        │                     │                     ├─5*[imap-login]
        │                     │                     └─log
        │                     ├─supervise───spamd───2*[spamd child]
        │                     ├─supervise───qmail-send─┬─qmail-clean
        │                     │                        ├─qmail-lspawn
        │                     │                        ├─qmail-rspawn
        │                     │                        └─splogger
        │                     ├─2*[supervise───tcpserver]
        │                     └─supervise───mysqld_safe───mysqld───33*[{mysqld}]
        ├─systemd───(sd-pam)
        ├─systemd-journal
        ├─systemd-logind
        ├─systemd-timesyn───{systemd-timesyn}
        └─systemd-udevd

Alles anzeigen

und jetzt bin ich mit latain am ende und komme nicht weiter

mails gehen raus aber nichts kommt rein

meldung von anderem server ist dann

Code

delivery 745: deferral: Connected_to_xxx.xxx.xxx.xxx_but_connection_died

WebTeufel · 28. November 2021

PTR eintrag ist auch in ordnung

tbc233 · 28. November 2021

den hier

Code

config: Warning: service auth { client_limit=5000 } is lower than required under max. load (6000)

halte ich für unbedenklich, ist nur eine Warning, sehe ich auch sehr oft. Hat mit Deinem Fehlerbild ziemlich sicher nichts zu tun.

Dass die Verbindungen abbrechen könnte mit dem Softlimit zusammenhängen. Hier gab es öfter den Fall, dass hier die Werte nach Updates, neuere Kernelversionen etc. nicht mehr ausreichend waren.

Kontrollier mal /service/qmail-smtpd/run, /service/qmail-smtpSd/run und /service/qmail-msa/run, da sollte bei dem -m Flag auf jeden Fall zumindest 128000000 drin stehen.

WebTeufel · 28. November 2021

Zitat von tbc233

Kontrollier mal /service/qmail-smtpd/run, /service/qmail-smtpSd/run und /service/qmail-msa/run, da sollte bei dem -m Flag auf jeden Fall zumindest 128000000 drin stehen.

die erste hat 125000000 und die zweite 128000000

aber beide auf den 128000000 angepasst

Eisenherz · 28. November 2021

Ich denke auch, dass es an dem Limit liegen müsste. Ich glaube ich hatte das auch mal auf einem älteren Server.

WebTeufel · 28. November 2021

noch höher setzen?

tbc233 · 28. November 2021

Hats denn was gebracht? Damit die Einstellung zieht, musst Du btw die Dienste neu starten oder den Server rebooten.

Sumeragi · 28. November 2021

Also erst einmal sollte geklärt werden wo es jetzt genau Probleme gibt, denn...

- in Titel steht dovecot

- getestet wurde auf Port 25, 587 - dies ist qmail und nicht dovecot

Laut der lsof Ausgabe laufen die Dienste auf Port 25 und 587.

Ich würde einmal prüfen, ob ein TLS Zertifikat ausgegeben wird:

Bash

$ echo "" | openssl s_client -servername <server> -starttls smtp -connect <server>:25 | openssl x509 -noout -dates
$ echo "" | openssl s_client -servername <server> -starttls smtp -connect <server>:587 | openssl x509 -noout -dates

Sumeragi · 28. November 2021

Zitat von WebTeufel

die erste hat 125000000 und die zweite 128000000

aber beide auf den 128000000 angepasst

qmail-smtpSd ist Port 465. Dies wurde hier gar nicht getestet.

Es wurden auch keine Log Einträge bzgl. Speicherlimits gepostet. Auf Verdacht Werte erhöhen würde ich daher nicht.

Es ist gar nicht genau klar was gemacht wurde und wo genau jetzt das Problem besteht. Fehlt nur das TLS Zertifikat bei dem Dienst? Wird dies ausgegeben?

Eisenherz · 28. November 2021

Ich habe es auf 256000000 gesetzt, dann lief es bei mir.

WebTeufel · 28. November 2021

Zitat von Eisenherz

256000000

habe die werte geändert, server neue gestartet und habe jetzt das hier entdeckt:

Code

Nov 28 13:17:57 eros dovecot: master: Warning: Killed with signal 15 (by pid=1 uid=0 code=kill)
Nov 28 13:17:57 eros dovecot: anvil: Warning: Killed with signal 15 (by pid=1 uid=0 code=kill)
Nov 28 13:17:57 eros dovecot: auth: Error: read(anvil-auth-penalty) failed: EOF
Nov 28 13:17:57 eros dovecot: auth: Error: net_connect_unix(anvil-auth-penalty) failed: Permission denied
Nov 28 13:17:57 eros dovecot: imap-login: Error: read(anvil) failed: EOF
Nov 28 13:17:57 eros dovecot: imap-login: Error: read(anvil) failed: EOF
Nov 28 13:17:57 eros dovecot: imap-login: Error: read(anvil) failed: EOF
Nov 28 13:17:57 eros dovecot: imap-login: Error: read(anvil) failed: EOF
Nov 28 13:17:57 eros dovecot: imap-login: Error: read(anvil) failed: EOF
Nov 28 13:17:57 eros dovecot: imap-login: Error: read(anvil) failed: EOF
Nov 28 13:17:57 eros dovecot: imap-login: Error: read(anvil) failed: EOF
Nov 28 13:17:57 eros dovecot: imap-login: Error: read(anvil) failed: EOF
Nov 28 13:17:57 eros dovecot: imap-login: Error: read(anvil) failed: EOF
Nov 28 13:17:57 eros dovecot: imap-login: Error: read(anvil) failed: EOF
Nov 28 13:17:57 eros dovecot: log: Warning: Killed with signal 15 (by pid=1 uid=0 code=kill)

Alles anzeigen

Code

systemd─┬─agetty
        ├─cron
        ├─dbus-daemon
        ├─fail2ban-server───26*[{fail2ban-server}]
        ├─rsyslogd───3*[{rsyslogd}]
        ├─sshd───sshd───bash───pstree
        ├─svscanboot─┬─readproctitle
        │            └─svscan─┬─supervise───run─┬─splogger
        │                     │                 └─tcpserver
        │                     ├─4*[supervise───splogger]
        │                     ├─supervise───clamd───{clamd}
        │                     ├─supervise───proftpd
        │                     ├─supervise───logger
        │                     ├─supervise───httpd─┬─httpd
        │                     │                   └─25*[httpd───{httpd}]
        │                     ├─supervise───dovecot─┬─anvil
        │                     │                     ├─config
        │                     │                     ├─5*[imap]
        │                     │                     ├─5*[imap-login]
        │                     │                     └─log
        │                     ├─supervise───spamd───2*[spamd child]
        │                     ├─supervise───qmail-send─┬─qmail-clean
        │                     │                        ├─qmail-lspawn
        │                     │                        ├─qmail-rspawn
        │                     │                        └─splogger
        │                     ├─2*[supervise───tcpserver]
        │                     └─supervise───mysqld_safe───mysqld───32*[{mysqld}]
        ├─systemd───(sd-pam)
        ├─systemd-journal
        ├─systemd-logind
        ├─systemd-timesyn───{systemd-timesyn}
        └─systemd-udevd

Alles anzeigen

Code

root@eros:/var/log# lsof -i tcp:25,587,465
COMMAND   PID   USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
tcpserver 428 qmaild    3u  IPv6  12085      0t0  TCP *:submission (LISTEN)
tcpserver 446 qmaild    3u  IPv6  13426      0t0  TCP *:submissions (LISTEN)
tcpserver 482 qmaild    3u  IPv6   1370      0t0  TCP *:smtp (LISTEN)

WebTeufel · 28. November 2021

Zitat von Sumeragi

Ich würde einmal prüfen, ob ein TLS Zertifikat ausgegeben wird:

Code

root@eros:/var/log# echo "" | openssl s_client -servername <server> -starttls smtp -connect <server>:25 | openssl x509 -noout -dates
Didn't find STARTTLS in server response, trying anyway...
write:errno=32
unable to load certificate
139833681450304:error:0909006C:PEM routines:get_name:no start line:../crypto/pem/pem_lib.c:745:Expecting: TRUSTED CERTIFICATE


root@eros:/var/log# echo "" | openssl s_client -servername <server> -starttls smtp -connect <server>:587 | openssl x509 -noout -dates
depth=2 C = US, O = Internet Security Research Group, CN = ISRG Root X1
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = R3
verify return:1
depth=0 CN = <server>
verify return:1
250 8BITMIME
DONE
notBefore=Oct 12 02:38:11 2021 GMT
notAfter=Jan 10 02:38:10 2022 GMT

Alles anzeigen

aha, und jetzt...?

tbc233 · 28. November 2021

Zitat von Sumeragi

in Titel steht dovecot

Daran bin ich ich mitschuldig, als ich den Thread zerteilt habe ist das passiert. Habe es angepasst.

Zitat von Sumeragi

Laut der lsof Ausgabe laufen die Dienste auf Port 25 und 587

Das komische ist halt, dass auf diesen Ports ja gar keine Zertis involviert sind und es bricht bei ihm trotzdem ab.

Zitat von Sumeragi

Es wurden auch keine Log Einträge bzgl. Speicherlimits gepostet

Hier muss man fairerweise sagen dass auch in der Vergangenheit die Logausgaben nicht gerade eindeutig waren, wenn die Speicherlimits zugeschlagen haben. Ein testweises hochsetzen der Limits kann hier sicher mal nicht schaden.

WebTeufel · 28. November 2021

für 25 fehlt Zertifikat scheinbar, wie und wo kann ich es nach gucken, nachreichen?

tbc233 · 28. November 2021

Zitat von WebTeufel

für 25 fehlt Zertifikat scheinbar, wie und wo kann ich es nach gucken, nachreichen?

Port 25 ist unverschlüsselt und verwendet kein Zerti. Das macht mich ja so stutzig.

Ich persönlich denke, dass Du Verdachtsmomente hinsichtlich Zertifikate und SSL eher hinten anstellen solltest. Weiter oben hast Du ja angedeutet dass es auch völlig unverschlüsselt über Port 25 nicht funktioniert. Das würde ich zuerst versuchen zu klären. Kannst Du von aussen über Port 25 was versenden?

WebTeufel · 28. November 2021

wenn ich telnet von außen auf 25 versuche kommt es zu dem selben ergebnis-/Abbruch

WebTeufel · 28. November 2021

habe was anderes in den logs gefunden

Code

tcpserver: warning: dropping connection, unable to run relaylock: file does not exist

WebTeufel · 28. November 2021

oh man

das war es

wie kommt das den dahin

nano /service/qmail-smtpd/run

Code

#exec   /usr/local/bin/softlimit -m 256000000 \
#       /usr/local/bin/tcpserver -x /etc/tcp.smtp.cdb -h -P -R -u $QMAILDUID -g $NOFILESGID -c 40 -v 0 smtp \
#        relaylock \
#       /var/qmail/bin/rblsmtpd -v -r sbl.spamhaus.org \
#       /var/qmail/bin/rblsmtpd -v -r xbl.spamhaus.org \
#       /var/qmail/bin/rblsmtpd -v -r pbl.spamhaus.org \
#       /var/qmail/bin/rblsmtpd -v -r bl.spamcop.net \
#       /var/qmail/bin/qmail-smtpd $HOSTNAME \
#       /usr/local/pd-admin2/bin/checksmtppasswd /bin/true 2>&1 | /var/qmail/bin/splogger smtpd 3


exec    /usr/local/bin/softlimit -m 256000000 \
        /usr/local/bin/tcpserver -x /etc/tcp.smtp.cdb -h -P -R -u $QMAILDUID -g $NOFILESGID -c 40 -v 0 smtp \
        /var/qmail/bin/rblsmtpd -v -r sbl.spamhaus.org \
        /var/qmail/bin/rblsmtpd -v -r xbl.spamhaus.org \
        /var/qmail/bin/rblsmtpd -v -r pbl.spamhaus.org \
        /var/qmail/bin/rblsmtpd -v -r bl.spamcop.net \
        /var/qmail/bin/qmail-smtpd $HOSTNAME \
        /usr/local/pd-admin2/bin/checksmtppasswd /bin/true 2>&1 | /var/qmail/bin/splogger smtpd 3

Alles anzeigen

danke an alle

problem gelöst

tbc233 28. November 2021