Hallo Helga, vielen Dank. Durch den Link ist es mir gelungen, die fehlende Entropie zu erhalten. Welcher Schritt auch immer wichtig war :-). Nun darf ich TLS "erzwingen", erhalte aber dann den gleichen Fehler, den ich schon schrieb: SASL authentication failed ... Authentication credentials invalid. Das Passwort und den Usernamen habe ich aber nicht geändert. Und sie stehen ja im Klartext in /etc/postfix/sasl_passwd, so dass ich die Korrektheit prüfen konnte. Weißt Du, weiß sonst jemand weiteren Rat? Vielen Dank! Gruß Jan Am 20.04.2015 um 13:45 schrieb Helga Fischer:

Hallo Jan,

Am Montag 20 April 2015 schrieb Handwerker, Jan (IMK):

[...]

...

Also meine Fragen: 1. Wo liegt jetzt mein Problem?

...

2. Wenn ich TLS "erzwingen" will, wie kann ich ihm Entropie zur Verfügung stellen (die Unordnung bei uns scheint nicht zu reichen :-)).

Guck mal: https://forums.opensuse.org/showthread.php/495195-OS13-1-Postfix-and-STARTTL...

(Hat mich jetzt auch interessiert).

Helga

-- _________________________________________________________________ Jan Handwerker http://www.imk-tro.kit.edu/jan.handwerker.php

On Mon, 20 Apr 2015 14:23, Handwerker, Jan (IMK) wrote:

Ha!

Alle Erfolgsmeldung zurück. Die ausreichende Entropie steht wohl nur für eine einzige Mail zur Verfügung. Schon bei der zweiten Mail steht da wieder "no entropy for TLS key generation"...

Ein c_rehash /etc/ssl/certs behebt das Problem dann für die nächste Mail.

Aber das kann keine Lösung sein, dass ich nach jeder Mail diesen Befehl absetze - selbst wenn ich das automatisiere...

Gruß Jan

Eh? Nun, die "entropy", also Zufallszahlen, sind so eine Sache. Weil das immer mehr zum Problem wird, wurde ein Daemon entwickelt, der mehr Zufall in die /dev/random stopft: "haveged" "rpm -qi haveged" (gekürzt, Auszug): [code] Name : haveged Group : System/Daemons Packager : http://bugs.opensuse.org Vendor : openSUSE URL : http://www.issihosts.com/haveged/ Summary : Feed entropy into random pool Description : The haveged daemon feeds the linux entropy pool with random numbers generated from hidden processor state. [/code] Also in der normalen Distro (mindestens seit 12.3). Guck mal ob Du den installiert hast, wenn nicht, sollte das eine Verbesserung bringen. Andernfalls, must Du mal gucken wer denn alles an deinem "Random" - Pool nuckelt und ihn leer saugt: "lsof |grep random" (als root) gibt einen Überblick, aber nicht alle Antworten. - Yamaban.

Am Montag 20 April 2015 schrieb Handwerker, Jan (IMK): [...]

Und davon unabhängig: Warum passen meine Credentials nicht mehr? Wenn ich sie in der Web-Oberfläche von web.de verwende passen sie. Irgendwie geht die Kommunikation zwischen postfix und dem smtp-Server bei web.de schief. Aber ich weiß nicht wo das Problem liegt.

Falscher Port? Standard: Port 25 (unverschlüsselt) bzw. 587 (verschlusselt) Der ein oder andere Mailserver nimmt auch an Port 25 per TLS Mails an und ohne gar nichts mehr. Helga -- ## Technik: [http://de.opensuse.org] ## Privat: [http://www.eschkitai.de] -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Hallo Werner, auch Dir vielen Dank. Den Kampf gegen TOFU habe ich auch mal geführt. Und dann habe ich frustriert aufgegeben und mitgemacht... Aber ich könnte noch... Am 20.04.2015 um 15:26 schrieb Werner Flamme:

Handwerker, Jan (IMK) [20.04.2015 14:45]: # postconf | grep random lmtp_randomize_addresses = yes smtp_randomize_addresses = yes tls_daemon_random_bytes = 32 tls_random_bytes = 32 tls_random_exchange_name = ${data_directory}/prng_exch tls_random_prng_update_period = 3600s tls_random_reseed_period = 3600s tls_random_source = dev:/dev/urandom

Kein Wunder, dass niemand an /dev/random lauscht, es wird ja /dev/urandom benutzt :P

Das Problem habe ich ja schon gefunden. yast2 an die postfix-Konfiguration heranlassen, kommentiert tlsmgr wieder aus...

Wie lauten denn Deine smtp_tls_*-Parameter? Auszugsweise mal hier:

# postconf | grep smtp_tls_ smtp_tls_CApath = /etc/postfix/ssl/certs smtp_tls_cert_file = /etc/postfix/ssl/smtp.cert smtp_tls_ciphers = export smtp_tls_dcert_file = smtp_tls_dkey_file = $smtp_tls_dcert_file smtp_tls_eccert_file = smtp_tls_eckey_file = $smtp_tls_eccert_file smtp_tls_exclude_ciphers = smtp_tls_fingerprint_cert_match = smtp_tls_fingerprint_digest = md5 smtp_tls_force_insecure_host_tlsa_lookup = no smtp_tls_key_file = /etc/postfix/ssl/smtp.key smtp_tls_loglevel = 1 smtp_tls_mandatory_ciphers = medium smtp_tls_mandatory_exclude_ciphers = smtp_tls_mandatory_protocols = !SSLv2 smtp_tls_note_starttls_offer = yes smtp_tls_per_site = smtp_tls_policy_maps = smtp_tls_protocols = !SSLv2 smtp_tls_scert_verifydepth = 9 smtp_tls_security_level = smtp_tls_session_cache_timeout = 3600s

Vorweg: smtp_sasl_auth_enable = yes bei mir, statt on. Zweite Bemerkung vorweg: Automatisierte Emails über web.de senden kann doch keine Geheimwissenschaft sein. Ich habe stets die Finger so weit wie möglich aus dem Verzeichnis /etc/postfix heraus gelassen, weil mir postfix ein zu mächtiges Werkzeug erschien, das potentiell großen Schaden verursachen kann. SUSE, was machst Du mit mir, dass ich hier rumfummeln soll? Abweichungen zwischen Deiner und meiner Ausgabe von postconf | grep smpt_tls sind + Ich habe ein paar zusätzliche Einträge: smtp_tls_block_early_mail_reply = no smtp_tls_CAfile = smtp_tls_enforce_peername = yes smtp_tls_secure_cert_match = nexthop, dot-nexthop smtp_tls_session_cache_database = btree:/var/lib/postfix/smtpd_tls_session_cache smtp_tls_verify_cert_match = hostname + Mir fehlen Einträge smtp_tls_force_insecure_host_tlsa_lookup = no + Mein /etc/postfix/ssl/cacerts ist ein symbolischer Link auf /etc/ssl/certs smtp_tls_CApath = /etc/postfix/ssl/cacerts + Ich habe keinen cert_file smtp_tls_cert_file = + Ich habe kein key_file smtp_tls_key_file = + Mein Loglevel ist 0 smtp_tls_loglevel = 0 + Der folgende "no" Eintrag lautet bei Dir "yes"! smtp_tls_note_starttls_offer = no Ich könnte natürlich key- und cert-files eintragen, aber die müssen ja auch erstellt werden. Weißt Du wie? Und was bedeutet der letzte Eintrag? Ich muss jetzt leider ins echte Leben zurück und kann erst morgen wieder nach dem Problem suchen. Aber trotzdem schon mal vielen Dank! Gruß Jan -- _________________________________________________________________ Jan Handwerker http://www.imk-tro.kit.edu/jan.handwerker.php

Hallo Jan, Am Montag 20 April 2015 schrieb Handwerker, Jan (IMK):

Alle Erfolgsmeldung zurück. Die ausreichende Entropie steht wohl nur für eine einzige Mail zur Verfügung. Schon bei der zweiten Mail steht da wieder "no entropy for TLS key generation"...

Ein c_rehash /etc/ssl/certs behebt das Problem dann für die nächste Mail.

Das ist ja megalästig.

Aber das kann keine Lösung sein, dass ich nach jeder Mail diesen Befehl absetze - selbst wenn ich das automatisiere...

Das riecht falsch. ## Eine Stolperfalle: YaST und parallel händische Konfiguration machen. YaST setzt alles ans Ende der Konfig-Dateien. Vielleicht stehen widersprüchliche Anweisungen in Deiner main.cf bzw der master.cf. ## Mein Tipp: Mach' lieber händisch weiter. ## Starte alle beteiligten Dienste neu. postfix nimmt nicht jede Anweisung in der main.cf per reload. (Da habe ich mich mal böse Zeit vertrödelt mit der Fehlersuche). Da ich leider noch kein TLS eingerichtet habe, kann ich nur wieder mit einem Linktipp helfen und hoffen, dass dort eine Info drin steckt, die Dir weiter hilft. http://forum.linux-club.de/viewtopic.php?f=116&t=119750 ## wireshark kann Dir alles detailliert auflisten, was in der Kommunikation abgeht - falls Du diesem Tool noch nicht begegnet bist. ## swaks hilft vielleicht auch noch weiter. Helga -- ## Technik: [http://de.opensuse.org] ## Privat: [http://www.eschkitai.de] -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Hi, wenn ich in der main.cf hinter relayhost = [smtp.web.de] ein :587 setze, dann verändert sich die Fehlermeldung :-). Es steht dann in /var/log/mail, dass tatsächlich auf relay=smtp.web.de[213.165.67.108]:587 zugegriffen wird, doch darauf folgt "530 Authntication required". Offensichtlich versucht postfix dann gar nicht, sich anzumelden :-( Schade... Gruß Jan Am 20.04.2015 um 15:09 schrieb Handwerker, Jan (IMK):

Hallo Helga,

Dein Hinweis auf händisch/yast2 war schon mal wieder sehr hilfreich. In der master.cf habe ich gefunden, das tlsmgr wieder auskommentiert war :-(. Also wieder den Gartenzaun entfernen und postfix neu starten und jetzt steht TLS für mehrere Mails zur Verfügung.

Das Problem mit den nicht akzeptierten credentials bleibt.

Mit dem Port-Hinweis könntest Du auch recht haben, denn die letzte Zeile der Fehlermeldungen enthält explizit relay=smtp.web.de[213.165.67.124]:25 einen Hinweis auf Port 25. Jetzt ist die Frage: Wenn schon yast2 mir keine Einstellmöglichkeit für den Port lässt, wo ist der Port in /etc/postfix versteckt?

Gruß Jan

Am 20.04.2015 um 14:48 schrieb Helga Fischer:

...

Hallo Jan,

Am Montag 20 April 2015 schrieb Handwerker, Jan (IMK):

...

Alle Erfolgsmeldung zurück. Die ausreichende Entropie steht wohl nur für eine einzige Mail zur Verfügung. Schon bei der zweiten Mail steht da wieder "no entropy for TLS key generation"...

Ein c_rehash /etc/ssl/certs behebt das Problem dann für die nächste Mail.

Das ist ja megalästig.

...

Aber das kann keine Lösung sein, dass ich nach jeder Mail diesen Befehl absetze - selbst wenn ich das automatisiere...

Das riecht falsch.

## Eine Stolperfalle: YaST und parallel händische Konfiguration machen. YaST setzt alles ans Ende der Konfig-Dateien. Vielleicht stehen widersprüchliche Anweisungen in Deiner main.cf bzw der master.cf.

## Mein Tipp: Mach' lieber händisch weiter.

## Starte alle beteiligten Dienste neu. postfix nimmt nicht jede Anweisung in der main.cf per reload. (Da habe ich mich mal böse Zeit vertrödelt mit der Fehlersuche).

Da ich leider noch kein TLS eingerichtet habe, kann ich nur wieder mit einem Linktipp helfen und hoffen, dass dort eine Info drin steckt, die Dir weiter hilft.

http://forum.linux-club.de/viewtopic.php?f=116&t=119750

## wireshark kann Dir alles detailliert auflisten, was in der Kommunikation abgeht - falls Du diesem Tool noch nicht begegnet bist.

## swaks hilft vielleicht auch noch weiter.

Helga

-- _________________________________________________________________ Jan Handwerker http://www.imk-tro.kit.edu/jan.handwerker.php

Am 20.04.2015 15:20, schrieb Handwerker, Jan (IMK):

Hi,

wenn ich in der main.cf hinter relayhost = [smtp.web.de] ein :587 setze, dann verändert sich die Fehlermeldung :-).

Es steht dann in /var/log/mail, dass tatsächlich auf relay=smtp.web.de[213.165.67.108]:587 zugegriffen wird, doch darauf folgt "530 Authntication required".

Offensichtlich versucht postfix dann gar nicht, sich anzumelden :-(

Schade...

Gruß Jan

Hi, bei mir steht danach noch: smtp_sasl_auth_enable = yes smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd smtp_always_send_ehlo = yes smtp_sasl_security_options =. Hast Du die auch drin? cu jth -- www.teddylinx.de -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

On Mon, Apr 20, 2015 at 03:34:14PM +0200, Joerg Thuemmler wrote:

Am 20.04.2015 15:20, schrieb Handwerker, Jan (IMK):

...

wenn ich in der main.cf hinter relayhost = [smtp.web.de] ein :587 setze, dann verändert sich die Fehlermeldung :-).

Es steht dann in /var/log/mail, dass tatsächlich auf relay=smtp.web.de[213.165.67.108]:587 zugegriffen wird, doch darauf folgt "530 Authntication required".

Offensichtlich versucht postfix dann gar nicht, sich anzumelden :-(

bei mir steht danach noch:

smtp_sasl_auth_enable = yes smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd smtp_always_send_ehlo = yes smtp_sasl_security_options =.

Hast Du die auch drin?

In der /etc/postfix/smtp_auth sollte auch was drinstehen... flo -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Handwerker, Jan (IMK) schrieb:

Hi,

wenn ich in der main.cf hinter relayhost = [smtp.web.de] ein :587 setze, dann verändert sich die Fehlermeldung :-).

Es steht dann in /var/log/mail, dass tatsächlich auf relay=smtp.web.de[213.165.67.108]:587 zugegriffen wird, doch darauf folgt "530 Authntication required".

Offensichtlich versucht postfix dann gar nicht, sich anzumelden :-(

Schade...

Gruß Jan

Am 20.04.2015 um 15:09 schrieb Handwerker, Jan (IMK):

...

Hallo Helga,

Dein Hinweis auf händisch/yast2 war schon mal wieder sehr hilfreich. In der master.cf habe ich gefunden, das tlsmgr wieder auskommentiert war :-(. Also wieder den Gartenzaun entfernen und postfix neu starten und jetzt steht TLS für mehrere Mails zur Verfügung.

Das Problem mit den nicht akzeptierten credentials bleibt.

Mit dem Port-Hinweis könntest Du auch recht haben, denn die letzte Zeile der Fehlermeldungen enthält explizit relay=smtp.web.de[213.165.67.124]:25 einen Hinweis auf Port 25. Jetzt ist die Frage: Wenn schon yast2 mir keine Einstellmöglichkeit für den Port lässt, wo ist der Port in /etc/postfix versteckt?

Gruß Jan

Am 20.04.2015 um 14:48 schrieb Helga Fischer:

...

Hallo Jan,

Am Montag 20 April 2015 schrieb Handwerker, Jan (IMK):

...

Alle Erfolgsmeldung zurück. Die ausreichende Entropie steht wohl nur für eine einzige Mail zur Verfügung. Schon bei der zweiten Mail steht da wieder "no entropy for TLS key generation"...

Ein c_rehash /etc/ssl/certs behebt das Problem dann für die nächste Mail.

Das ist ja megalästig.

...

Aber das kann keine Lösung sein, dass ich nach jeder Mail diesen Befehl absetze - selbst wenn ich das automatisiere...

Das riecht falsch.

## Eine Stolperfalle: YaST und parallel händische Konfiguration machen. YaST setzt alles ans Ende der Konfig-Dateien. Vielleicht stehen widersprüchliche Anweisungen in Deiner main.cf bzw der master.cf.

## Mein Tipp: Mach' lieber händisch weiter.

## Starte alle beteiligten Dienste neu. postfix nimmt nicht jede Anweisung in der main.cf per reload. (Da habe ich mich mal böse Zeit vertrödelt mit der Fehlersuche).

Da ich leider noch kein TLS eingerichtet habe, kann ich nur wieder mit einem Linktipp helfen und hoffen, dass dort eine Info drin steckt, die Dir weiter hilft.

http://forum.linux-club.de/viewtopic.php?f=116&t=119750

## wireshark kann Dir alles detailliert auflisten, was in der Kommunikation abgeht - falls Du diesem Tool noch nicht begegnet bist.

## swaks hilft vielleicht auch noch weiter.

Helga

Schreib doch auch unter den Texten Deiner Antworten Und was ist denn Dein Problem? Web.de oder postfix? Du hast doch Deinen Browser mit E-Mails (accounts) Wie hast Du denn bei (Web.de) Deinen Account eingerichtet? Posteingang - Postausgang - Anmelden musst Du Dich Und einrichten bei Dir wie angemeldet bei Web.de Ich verwende kein postfix - mit Web.de hab ich keine Probleme Nu sprich Du mit der Kuh französisch Frank -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Hallo Jan, hallo Leute, Am Montag, 20. April 2015 schrieb Handwerker, Jan:

wenn ich in der main.cf hinter relayhost = [smtp.web.de] ein :587 setze, dann verändert sich die Fehlermeldung :-).

Es steht dann in /var/log/mail, dass tatsächlich auf relay=smtp.web.de[213.165.67.108]:587 zugegriffen wird, doch darauf folgt "530 Authntication required".

Offensichtlich versucht postfix dann gar nicht, sich anzumelden :-(

Ungetesteter Schuss ins Blaue: In der Datei mit Servername, User und Passwort hast Du nur einen Eintrag für [smtp.web.de], aber nicht für [smtp.web.de]:587 Probier einfach mal mit dem zusätzlichen Eintrag ;-) Gruß Christian Boltz --

Führst Du schon Selbstgespräche? ;-) Hm. Kann sein. Was meinst du? Nein, glaube ich nicht. Sicher? Ganz sicher. Nein, tun wir nicht. [> Christian Boltz und Ratti in fontlinge-devel]

-- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org