<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40"><head><meta http-equiv=Content-Type content="text/html; charset=us-ascii"><meta name=Generator content="Microsoft Word 15 (filtered medium)"><style><!--
/* Font Definitions */
@font-face
{font-family:"Cambria Math";
panose-1:2 4 5 3 5 4 6 3 2 4;}
@font-face
{font-family:Calibri;
panose-1:2 15 5 2 2 2 4 3 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
{margin:0in;
margin-bottom:.0001pt;
font-size:11.0pt;
font-family:"Calibri",sans-serif;
color:black;}
a:link, span.MsoHyperlink
{mso-style-priority:99;
color:#0563C1;
text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
{mso-style-priority:99;
color:#954F72;
text-decoration:underline;}
p
{mso-style-priority:99;
mso-margin-top-alt:auto;
margin-right:0in;
mso-margin-bottom-alt:auto;
margin-left:0in;
font-size:12.0pt;
font-family:"Times New Roman",serif;
color:black;}
p.msonormal0, li.msonormal0, div.msonormal0
{mso-style-name:msonormal;
mso-margin-top-alt:auto;
margin-right:0in;
mso-margin-bottom-alt:auto;
margin-left:0in;
font-size:12.0pt;
font-family:"Times New Roman",serif;
color:black;}
span.EmailStyle19
{mso-style-type:personal;
font-family:"Calibri",sans-serif;
color:windowtext;}
span.EmailStyle20
{mso-style-type:personal-reply;
font-family:"Calibri",sans-serif;
color:#1F497D;}
.MsoChpDefault
{mso-style-type:export-only;
font-size:10.0pt;}
@page WordSection1
{size:8.5in 11.0in;
margin:1.0in 1.0in 1.0in 1.0in;}
div.WordSection1
{page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]--></head><body bgcolor=white lang=EN-US link="#0563C1" vlink="#954F72"><div class=WordSection1><p class=MsoNormal><span style='color:#1F497D'>Solved, thank you! TCPS was the issue.<o:p></o:p></span></p><p class=MsoNormal><span style='color:#1F497D'><o:p> </o:p></span></p><div><div style='border:none;border-top:solid #E1E1E1 1.0pt;padding:3.0pt 0in 0in 0in'><p class=MsoNormal><b><span style='color:windowtext'>From:</span></b><span style='color:windowtext'> Aki Tuomi <aki.tuomi@open-xchange.com> <br><b>Sent:</b> Wednesday, November 20, 2019 08:54<br><b>To:</b> Miro Igov <miro.igov@gmail.com>; dovecot@dovecot.org<br><b>Subject:</b> Re: Doveadm replicator ssl issues<o:p></o:p></span></p></div></div><p class=MsoNormal><o:p> </o:p></p><p><o:p> </o:p></p><div><p class=MsoNormal>On 18.11.2019 22.30, Miro Igov via dovecot wrote:<o:p></o:p></p></div><blockquote style='margin-top:5.0pt;margin-bottom:5.0pt'><p class=MsoNormal>Hello, I have 2 Dovecot 2.3.8 servers running SSL with valid wildcard certificates.<o:p></o:p></p><p class=MsoNormal>Email clients connect fine, <a href="https://www.immuniweb.com/ssl/">https://www.immuniweb.com/ssl/</a> tests show certificates are ok. <o:p></o:p></p><p class=MsoNormal>However I can’t make replication work when I add ssl = yes.<o:p></o:p></p><p class=MsoNormal>Without ssl it works ok.<o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal>I added verbose_ssl in config and error log shows:<o:p></o:p></p><p class=MsoNormal>dovecot: doveadm(149.x.x.x): Error: SSL handshake failed: SSL_accept() failed: error:140760FC:SSL routines:SSL23_GET_CLIENT_HELLO:unknown protocol<o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal>From the other server 149.x.x.x I tested with openssl:<o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal>openssl s_client -connect 188.x.x.x:12333 –crlf -CAfile /etc/pki/tls/cert.pem<o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal>CONNECTED(00000003)<o:p></o:p></p><p class=MsoNormal>depth=2 C = US, ST = New Jersey, L = Jersey City, O = The USERTRUST Network, CN = USERTrust RSA Certification Authority<o:p></o:p></p><p class=MsoNormal>verify return:1<o:p></o:p></p><p class=MsoNormal>depth=1 C = GB, ST = Greater Manchester, L = Salford, O = Sectigo Limited, CN = Sectigo RSA Organization Validation Secure Server CA<o:p></o:p></p><p class=MsoNormal>verify return:1<o:p></o:p></p><p class=MsoNormal>depth=0 C = FR, postalCode = 34980, ST = Occitanie, L = Montpellier, street = 123 Main str, O = My Company, OU = PremiumSSL Wildcard, CN = *.domain.com<o:p></o:p></p><p class=MsoNormal>verify return:1<o:p></o:p></p><p class=MsoNormal>…<o:p></o:p></p><p class=MsoNormal>…<o:p></o:p></p><p class=MsoNormal>SSL-Session:<o:p></o:p></p><p class=MsoNormal> Protocol : TLSv1.2<o:p></o:p></p><p class=MsoNormal> Cipher : ECDHE-RSA-AES256-SHA384<o:p></o:p></p><p class=MsoNormal> Session-ID: 95CF7F07702A50CB7CDC5D478986B5A4682EA945C487E770550EE48BFEA53EBC<o:p></o:p></p><p class=MsoNormal> Session-ID-ctx:<o:p></o:p></p><p class=MsoNormal> Master-Key: ECC14F2EE03C04474992A651B3695D78A27A0B07529DB35F61F6FB5F5A5D51395432BDFF37F241BD4B3C4B9E1AB6A929<o:p></o:p></p><p class=MsoNormal> Key-Arg : None<o:p></o:p></p><p class=MsoNormal> Krb5 Principal: None<o:p></o:p></p><p class=MsoNormal> PSK identity: None<o:p></o:p></p><p class=MsoNormal> PSK identity hint: None<o:p></o:p></p><p class=MsoNormal> Start Time: 1574108251<o:p></o:p></p><p class=MsoNormal> Timeout : 300 (sec)<o:p></o:p></p><p class=MsoNormal> Verify return code: 0 (ok)<o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal>The configuration of the 2 servers below.<o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal>188.x.x.x<o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal># 2.3.8 (9df20d2db): /etc/dovecot/dovecot.conf<o:p></o:p></p><p class=MsoNormal># Pigeonhole version 0.5.8 (b7b03ba2)<o:p></o:p></p><p class=MsoNormal># OS: Linux 2.6.32-754.6.3.el6.x86_64 x86_64 CentOS release 6.10 (Final)<o:p></o:p></p><p class=MsoNormal># Hostname: login.domain.com<o:p></o:p></p><p class=MsoNormal>default_vsz_limit = 512 M<o:p></o:p></p><p class=MsoNormal>doveadm_password = # hidden, use -P to show it<o:p></o:p></p><p class=MsoNormal>mail_plugins = " notify replication"<o:p></o:p></p><p class=MsoNormal>managesieve_notify_capability = mailto<o:p></o:p></p><p class=MsoNormal>managesieve_sieve_capability = fileinto reject envelope encoded-character vacation subaddress comparator-i;ascii-numeric relational regex imap4flags copy include variables body enotify environment mailbox date index ihave duplicate mime foreverypart extracttext<o:p></o:p></p><p class=MsoNormal>mbox_write_locks = fcntl<o:p></o:p></p><p class=MsoNormal>namespace inbox {<o:p></o:p></p><p class=MsoNormal> inbox = yes<o:p></o:p></p><p class=MsoNormal> location =<o:p></o:p></p><p class=MsoNormal> mailbox Drafts {<o:p></o:p></p><p class=MsoNormal> special_use = \Drafts<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> mailbox Junk {<o:p></o:p></p><p class=MsoNormal> special_use = \Junk<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> mailbox Sent {<o:p></o:p></p><p class=MsoNormal> special_use = \Sent<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> mailbox "Sent Messages" {<o:p></o:p></p><p class=MsoNormal> special_use = \Sent<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> mailbox Trash {<o:p></o:p></p><p class=MsoNormal> special_use = \Trash<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> prefix =<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>passdb {<o:p></o:p></p><p class=MsoNormal> driver = pam<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>plugin {<o:p></o:p></p><p class=MsoNormal> mail_replica = tcp:149.x.x.x:12333<o:p></o:p></p><p class=MsoNormal> sieve = <a href="file://~/sieve;active=~/.dovecot.sieve">file:~/sieve;active=~/.dovecot.sieve</a><o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>protocols = imap pop3<o:p></o:p></p><p class=MsoNormal>replication_full_sync_interval = 10 mins<o:p></o:p></p><p class=MsoNormal>service aggregator {<o:p></o:p></p><p class=MsoNormal> fifo_listener replication-notify-fifo {<o:p></o:p></p><p class=MsoNormal> mode = 0666<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> unix_listener replication-notify {<o:p></o:p></p><p class=MsoNormal> mode = 0666<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>service doveadm {<o:p></o:p></p><p class=MsoNormal> inet_listener {<o:p></o:p></p><p class=MsoNormal> port = 12333<o:p></o:p></p><p class=MsoNormal> ssl = yes<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>service replicator {<o:p></o:p></p><p class=MsoNormal> process_min_avail = 1<o:p></o:p></p><p class=MsoNormal> unix_listener replicator-doveadm {<o:p></o:p></p><p class=MsoNormal> mode = 0666<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>ssl_cert = </etc/dovecot/ssl_chain.pem<o:p></o:p></p><p class=MsoNormal>ssl_cipher_list = ECDHE-RSA-AES256-SHA384:AES256-SHA256:AES256-SHA256:HIGH:MEDIUM:+TLSv1:+TLSv1.1:+TLSv1.2:!RC4:!IDEA:!3DES:!MD5:!ADH:!aNULL:!eNULL:!NULL:!DH:!ADH:!EDH:!AESGCM:!CAMELLIA:!SEED<o:p></o:p></p><p class=MsoNormal>ssl_client_ca_file = /etc/pki/tls/cert.pem<o:p></o:p></p><p class=MsoNormal>ssl_dh = # hidden, use -P to show it<o:p></o:p></p><p class=MsoNormal>ssl_key = # hidden, use -P to show it<o:p></o:p></p><p class=MsoNormal>userdb {<o:p></o:p></p><p class=MsoNormal> driver = passwd<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>verbose_ssl = yes<o:p></o:p></p><p class=MsoNormal>local 91.x.x.x {<o:p></o:p></p><p class=MsoNormal> protocol imap {<o:p></o:p></p><p class=MsoNormal> ssl_cert = </etc/dovecot/ssl_chain.pem<o:p></o:p></p><p class=MsoNormal> ssl_key = # hidden, use -P to show it<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>local 91.x.x.x {<o:p></o:p></p><p class=MsoNormal> protocol pop3 {<o:p></o:p></p><p class=MsoNormal> ssl_cert = </etc/dovecot/ssl_chain.pem<o:p></o:p></p><p class=MsoNormal> ssl_key = # hidden, use -P to show it<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal>149.x.x.x<o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal># 2.3.8 (9df20d2db): /etc/dovecot/dovecot.conf<o:p></o:p></p><p class=MsoNormal># OS: Linux 2.6.32-754.6.3.el6.x86_64 x86_64 CentOS release 6.10 (Final)<o:p></o:p></p><p class=MsoNormal># Hostname: prime.domain.com<o:p></o:p></p><p class=MsoNormal>auth_mechanisms = plain login<o:p></o:p></p><p class=MsoNormal>default_vsz_limit = 1 G<o:p></o:p></p><p class=MsoNormal>disable_plaintext_auth = no<o:p></o:p></p><p class=MsoNormal>doveadm_password = # hidden, use -P to show it<o:p></o:p></p><p class=MsoNormal>mail_location = maildir:~/Maildir<o:p></o:p></p><p class=MsoNormal>mail_plugins = " notify replication"<o:p></o:p></p><p class=MsoNormal>mbox_write_locks = fcntl<o:p></o:p></p><p class=MsoNormal>namespace inbox {<o:p></o:p></p><p class=MsoNormal> inbox = yes<o:p></o:p></p><p class=MsoNormal> location =<o:p></o:p></p><p class=MsoNormal> mailbox Archive {<o:p></o:p></p><p class=MsoNormal> auto = subscribe<o:p></o:p></p><p class=MsoNormal> special_use = \Archive<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> mailbox Drafts {<o:p></o:p></p><p class=MsoNormal> special_use = \Drafts<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> mailbox Junk {<o:p></o:p></p><p class=MsoNormal> special_use = \Junk<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> mailbox Sent {<o:p></o:p></p><p class=MsoNormal> special_use = \Sent<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> mailbox "Sent Messages" {<o:p></o:p></p><p class=MsoNormal> special_use = \Sent<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> mailbox Spam {<o:p></o:p></p><p class=MsoNormal> auto = subscribe<o:p></o:p></p><p class=MsoNormal> special_use = \Junk<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> mailbox Trash {<o:p></o:p></p><p class=MsoNormal> special_use = \Trash<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> prefix =<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>passdb {<o:p></o:p></p><p class=MsoNormal> args = session=yes setcred=yes failure_show_msg=yes dovecot<o:p></o:p></p><p class=MsoNormal> driver = pam<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>plugin {<o:p></o:p></p><p class=MsoNormal> mail_replica = tcp:188.x.x.x:12333<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>protocols = imap pop3<o:p></o:p></p><p class=MsoNormal>replication_full_sync_interval = 10 mins<o:p></o:p></p><p class=MsoNormal>replication_max_conns = 11<o:p></o:p></p><p class=MsoNormal>service aggregator {<o:p></o:p></p><p class=MsoNormal> fifo_listener replication-notify-fifo {<o:p></o:p></p><p class=MsoNormal> mode = 0666<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal> unix_listener replication-notify {<o:p></o:p></p><p class=MsoNormal> mode = 0666<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>service auth {<o:p></o:p></p><p class=MsoNormal> unix_listener /var/spool/postfix/private/auth {<o:p></o:p></p><p class=MsoNormal> group = postfix<o:p></o:p></p><p class=MsoNormal> mode = 0666<o:p></o:p></p><p class=MsoNormal> user = postfix<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>service doveadm {<o:p></o:p></p><p class=MsoNormal> inet_listener {<o:p></o:p></p><p class=MsoNormal> port = 12333<o:p></o:p></p><p class=MsoNormal> ssl = yes<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>service replicator {<o:p></o:p></p><p class=MsoNormal> process_min_avail = 1<o:p></o:p></p><p class=MsoNormal> unix_listener replicator-doveadm {<o:p></o:p></p><p class=MsoNormal> mode = 0666<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>ssl_cert = </etc/dovecot/ssl_chain.pem<o:p></o:p></p><p class=MsoNormal>ssl_cipher_list = ECDHE-RSA-AES256-SHA384:AES256-SHA256:AES256-SHA256:HIGH:MEDIUM:+TLSv1:+TLSv1.1:+TLSv1.2:!RC4:!IDEA:!3DES:!MD5:!ADH:!aNULL:!eNULL:!NULL:!DH:!ADH:!EDH:!AESGCM:!CAMELLIA:!SEED<o:p></o:p></p><p class=MsoNormal>ssl_client_ca_file = /etc/pki/tls/cert.pem<o:p></o:p></p><p class=MsoNormal>ssl_dh = # hidden, use -P to show it<o:p></o:p></p><p class=MsoNormal>ssl_key = # hidden, use -P to show it<o:p></o:p></p><p class=MsoNormal>userdb {<o:p></o:p></p><p class=MsoNormal> driver = passwd<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>protocol imap {<o:p></o:p></p><p class=MsoNormal> mail_max_userip_connections = 50<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>protocol pop3 {<o:p></o:p></p><p class=MsoNormal> pop3_uidl_format = %08Xu%08Xv<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>local 178.x.x.x {<o:p></o:p></p><p class=MsoNormal> protocol imap {<o:p></o:p></p><p class=MsoNormal> ssl_cert = </etc/dovecot/ssl_chain.pem<o:p></o:p></p><p class=MsoNormal> ssl_key = # hidden, use -P to show it<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal>local 178.x.x.x {<o:p></o:p></p><p class=MsoNormal> protocol pop3 {<o:p></o:p></p><p class=MsoNormal> ssl_cert = </etc/dovecot/ssl_chain.pem<o:p></o:p></p><p class=MsoNormal> ssl_key = # hidden, use -P to show it<o:p></o:p></p><p class=MsoNormal> }<o:p></o:p></p><p class=MsoNormal>}<o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal> <o:p></o:p></p><p class=MsoNormal><o:p> </o:p></p></blockquote><p><o:p> </o:p></p><p>Hi!<o:p></o:p></p><p>You need to use tcps in mail_replica.<o:p></o:p></p><p>Aki<o:p></o:p></p></div></body></html>