Inhalt

Einführung

Hintergrundinformationen

Warum schlägt die TLS-Aushandlung von der ESA zu einem Zielserver fehl, obwohl STARTTLS verfügbar ist?

Zugehörige Informationen

Einführung

Dieses Dokument beschreibt, wie Sie einen Fehler bei der Übertragung Layer Security (TLS)-Aushandlung identifizieren können, wenn STARTTLS innerhalb der SMTP-Befehle (EHLO Simple Mail Transfer Protocol) verfügbar ist und der Server nicht RFC1869 entspricht.

Hintergrundinformationen

TLS ist auf der E-Mail Security Appliance (ESA) mit einem gültigen Zertifikat aktiviert. TLS ist auf dem Zielserver aktiviert, und STARTTLS wird angezeigt, wenn eine SMTP-Verbindung hergestellt wird.

Warum schlägt die TLS-Aushandlung von der ESA zu einem Zielserver fehl, obwohl STARTTLS verfügbar ist?

Die ESA versucht, mithilfe von TLS eine Verbindung zum Zielserver herzustellen. Die TLS-Aushandlung schlägt jedoch mit diesem Fehler in der mail_logs/Message Tracking der ESA fehl.

Info: DCID xxxxxx STARTTLS command not supported.

Laut RFC1869 muss die erste Antwort auf EHLO ehlo-ok-rsp lauten, und ehlo-ok-rsp hat folgende Syntax und Reihenfolge:

ehlo-ok-rsp ::= "250" domain [ SP greeting ] CR LF

/ ( "250-" domain [ SP greeting ] CR LF

*( "250-" ehlo-line CR LF )

"250" SP ehlo-line CR LF )

Beispiel für eine falsche RFC-Syntax für SMTP-Konversation

220 mail.domain1.com ESMTP Service ready

EHLO ESA.com

250-STARTTLS  <--- 250-STARTTLS is before the server greeting.

250-mail.domain1.com  <--- This is the 250 destination server greeting.

250-8BITMIME

250-PIPELINING

250-HELP

250-DELIVERBY 300

250 SIZE 30000000

Es bedeutet, dass alles vorhanden ist, bevor die ehlo-line (in diesem Beispiel 250-mail.domain1.com) als Begrüßung gilt. Die ESA wird daher den verfügbaren Befehl 250-STARTTLS nicht berücksichtigen und den Befehl STARTTLS nicht unterstützen. Weitere Einzelheiten finden Sie unter https://tools.ietf.org/html/rfc1869.

Beispiel für SMTP-Konversation mit korrekter RFC-Syntax

220 mail-esa.com ESMTP

EHLO connecting.server.com

250-mail-esa.com  <--- This is the 250 destination server greeting.

250-8BITMIME

250-SIZE 33554432

250 STARTTLS  <--- STARTTLS is available after the greeting, it's not considered a greeting as per RFC.

Zugehörige Informationen

- RFC 1869-Dokumentation

- Umfassendes ESA TLS-Handbuch

- Technischer Support und Dokumentation - Cisco Systems