Índice

Introdução

Informações de Apoio

Por que a negociação TLS do ESA a um servidor de destino falha apesar de STARTTLS que está disponível?

Informações Relacionadas

Introdução

Este documento descreve como identificar a falha de negociação da Segurança da camada de transferência (TLS) quando STARTTLS está disponível dentro dos comandos do Simple Mail Transfer Protocol (SMTP) EHLO e o server não se conforma ao RFC1869.

Informações de Apoio

O TLS é permitido na ferramenta de segurança do email (ESA) com um certificado válido. O TLS é permitido no servidor de destino e STARTTLS é visto quando uma conexão SMTP é estabelecida.

Por que a negociação TLS do ESA a um servidor de destino falha apesar de STARTTLS que está disponível?

O ESA tenta conectar ao servidor de destino com o uso do TLS, contudo, a negociação TLS falha com este erro nos mail_logs do ESA/rastreamento de mensagem.

Info: DCID xxxxxx STARTTLS command not supported.

Conforme o RFC1869, a primeira resposta a EHLO deve ser ehlo-aprovado-RSP e ehlo-aprovado-RSP tem estas sintaxe e ordem:

ehlo-ok-rsp ::= "250" domain [ SP greeting ] CR LF

/ ( "250-" domain [ SP greeting ] CR LF

*( "250-" ehlo-line CR LF )

"250" SP ehlo-line CR LF )

Exemplo incorreto da conversação SMTP da sintaxe RFC

220 mail.domain1.com ESMTP Service ready

EHLO ESA.com

250-STARTTLS  <--- 250-STARTTLS is before the server greeting.

250-mail.domain1.com  <--- This is the 250 destination server greeting.

250-8BITMIME

250-PIPELINING

250-HELP

250-DELIVERBY 300

250 SIZE 30000000

Significa que tudo lá é antes da ehlo-linha (250-mail.domain1.com, neste exemplo) está considerado como o cumprimento. Assim, o ESA não considerará o comando 250-STARTTLS disponível e relatará o comando STARTTLS não apoiado. Refira https://tools.ietf.org/html/rfc1869 para mais detalhes.

Corrija o exemplo da conversação SMTP da sintaxe RFC

220 mail-esa.com ESMTP

EHLO connecting.server.com

250-mail-esa.com  <--- This is the 250 destination server greeting.

250-8BITMIME

250-SIZE 33554432

250 STARTTLS  <--- STARTTLS is available after the greeting, it's not considered a greeting as per RFC.

Informações Relacionadas

- Documentação do RFC 1869

- Guia detalhado ESA TLS

- Suporte Técnico e Documentação - Cisco Systems