<html>
<head>
<meta http-equiv="Content-Type" content="text/html;
charset=windows-1252">
</head>
<body text="#000000" bgcolor="#FFFFFF">
<p><br>
</p>
<div class="moz-cite-prefix">On 18.11.2019 22.30, Miro Igov via
dovecot wrote:<br>
</div>
<blockquote type="cite"
cite="mid:00e601d59e4f$08aeb510$1a0c1f30$@gmail.com">
<meta http-equiv="Content-Type" content="text/html;
charset=windows-1252">
<meta name="Generator" content="Microsoft Word 15 (filtered
medium)">
<style><!--
/* Font Definitions */
@font-face
{font-family:"Cambria Math";
panose-1:2 4 5 3 5 4 6 3 2 4;}
@font-face
{font-family:Calibri;
panose-1:2 15 5 2 2 2 4 3 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
{margin:0in;
margin-bottom:.0001pt;
font-size:11.0pt;
font-family:"Calibri",sans-serif;}
a:link, span.MsoHyperlink
{mso-style-priority:99;
color:#0563C1;
text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
{mso-style-priority:99;
color:#954F72;
text-decoration:underline;}
span.EmailStyle17
{mso-style-type:personal-compose;
font-family:"Calibri",sans-serif;
color:windowtext;}
.MsoChpDefault
{mso-style-type:export-only;
font-family:"Calibri",sans-serif;}
@page WordSection1
{size:8.5in 11.0in;
margin:1.0in 1.0in 1.0in 1.0in;}
div.WordSection1
{page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]-->
<div class="WordSection1">
<p class="MsoNormal">Hello, I have 2 Dovecot 2.3.8 servers
running SSL with valid wildcard certificates.<o:p></o:p></p>
<p class="MsoNormal">Email clients connect fine, <a
href="https://www.immuniweb.com/ssl/" moz-do-not-send="true">https://www.immuniweb.com/ssl/</a>
tests show certificates are ok. <o:p></o:p></p>
<p class="MsoNormal">However I can’t make replication work when
I add ssl = yes.<o:p></o:p></p>
<p class="MsoNormal">Without ssl it works ok.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">I added verbose_ssl in config and error
log shows:<o:p></o:p></p>
<p class="MsoNormal">dovecot: doveadm(149.x.x.x): Error: SSL
handshake failed: SSL_accept() failed: error:140760FC:SSL
routines:SSL23_GET_CLIENT_HELLO:unknown protocol<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">From the other server 149.x.x.x I tested
with openssl:<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">openssl s_client -connect 188.x.x.x:12333
–crlf -CAfile /etc/pki/tls/cert.pem<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">CONNECTED(00000003)<o:p></o:p></p>
<p class="MsoNormal">depth=2 C = US, ST = New Jersey, L = Jersey
City, O = The USERTRUST Network, CN = USERTrust RSA
Certification Authority<o:p></o:p></p>
<p class="MsoNormal">verify return:1<o:p></o:p></p>
<p class="MsoNormal">depth=1 C = GB, ST = Greater Manchester, L
= Salford, O = Sectigo Limited, CN = Sectigo RSA Organization
Validation Secure Server CA<o:p></o:p></p>
<p class="MsoNormal">verify return:1<o:p></o:p></p>
<p class="MsoNormal">depth=0 C = FR, postalCode = 34980, ST =
Occitanie, L = Montpellier, street = 123 Main str, O = My
Company, OU = PremiumSSL Wildcard, CN = *.domain.com<o:p></o:p></p>
<p class="MsoNormal">verify return:1<o:p></o:p></p>
<p class="MsoNormal">…<o:p></o:p></p>
<p class="MsoNormal">…<o:p></o:p></p>
<p class="MsoNormal">SSL-Session:<o:p></o:p></p>
<p class="MsoNormal"> Protocol : TLSv1.2<o:p></o:p></p>
<p class="MsoNormal"> Cipher : ECDHE-RSA-AES256-SHA384<o:p></o:p></p>
<p class="MsoNormal"> Session-ID:
95CF7F07702A50CB7CDC5D478986B5A4682EA945C487E770550EE48BFEA53EBC<o:p></o:p></p>
<p class="MsoNormal"> Session-ID-ctx:<o:p></o:p></p>
<p class="MsoNormal"> Master-Key:
ECC14F2EE03C04474992A651B3695D78A27A0B07529DB35F61F6FB5F5A5D51395432BDFF37F241BD4B3C4B9E1AB6A929<o:p></o:p></p>
<p class="MsoNormal"> Key-Arg : None<o:p></o:p></p>
<p class="MsoNormal"> Krb5 Principal: None<o:p></o:p></p>
<p class="MsoNormal"> PSK identity: None<o:p></o:p></p>
<p class="MsoNormal"> PSK identity hint: None<o:p></o:p></p>
<p class="MsoNormal"> Start Time: 1574108251<o:p></o:p></p>
<p class="MsoNormal"> Timeout : 300 (sec)<o:p></o:p></p>
<p class="MsoNormal"> Verify return code: 0 (ok)<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">The configuration of the 2 servers below.<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">188.x.x.x<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># 2.3.8 (9df20d2db):
/etc/dovecot/dovecot.conf<o:p></o:p></p>
<p class="MsoNormal"># Pigeonhole version 0.5.8 (b7b03ba2)<o:p></o:p></p>
<p class="MsoNormal"># OS: Linux 2.6.32-754.6.3.el6.x86_64
x86_64 CentOS release 6.10 (Final)<o:p></o:p></p>
<p class="MsoNormal"># Hostname: login.domain.com<o:p></o:p></p>
<p class="MsoNormal">default_vsz_limit = 512 M<o:p></o:p></p>
<p class="MsoNormal">doveadm_password = # hidden, use -P to show
it<o:p></o:p></p>
<p class="MsoNormal">mail_plugins = " notify replication"<o:p></o:p></p>
<p class="MsoNormal">managesieve_notify_capability = mailto<o:p></o:p></p>
<p class="MsoNormal">managesieve_sieve_capability = fileinto
reject envelope encoded-character vacation subaddress
comparator-i;ascii-numeric relational regex imap4flags copy
include variables body enotify environment mailbox date index
ihave duplicate mime foreverypart extracttext<o:p></o:p></p>
<p class="MsoNormal">mbox_write_locks = fcntl<o:p></o:p></p>
<p class="MsoNormal">namespace inbox {<o:p></o:p></p>
<p class="MsoNormal"> inbox = yes<o:p></o:p></p>
<p class="MsoNormal"> location =<o:p></o:p></p>
<p class="MsoNormal"> mailbox Drafts {<o:p></o:p></p>
<p class="MsoNormal"> special_use = \Drafts<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> mailbox Junk {<o:p></o:p></p>
<p class="MsoNormal"> special_use = \Junk<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> mailbox Sent {<o:p></o:p></p>
<p class="MsoNormal"> special_use = \Sent<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> mailbox "Sent Messages" {<o:p></o:p></p>
<p class="MsoNormal"> special_use = \Sent<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> mailbox Trash {<o:p></o:p></p>
<p class="MsoNormal"> special_use = \Trash<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> prefix =<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">passdb {<o:p></o:p></p>
<p class="MsoNormal"> driver = pam<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">plugin {<o:p></o:p></p>
<p class="MsoNormal"> mail_replica = tcp:149.x.x.x:12333<o:p></o:p></p>
<p class="MsoNormal"> sieve =
<a class="moz-txt-link-freetext" href="file:~/sieve;active=~/.dovecot.sieve">file:~/sieve;active=~/.dovecot.sieve</a><o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">protocols = imap pop3<o:p></o:p></p>
<p class="MsoNormal">replication_full_sync_interval = 10 mins<o:p></o:p></p>
<p class="MsoNormal">service aggregator {<o:p></o:p></p>
<p class="MsoNormal"> fifo_listener replication-notify-fifo {<o:p></o:p></p>
<p class="MsoNormal"> mode = 0666<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> unix_listener replication-notify {<o:p></o:p></p>
<p class="MsoNormal"> mode = 0666<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">service doveadm {<o:p></o:p></p>
<p class="MsoNormal"> inet_listener {<o:p></o:p></p>
<p class="MsoNormal"> port = 12333<o:p></o:p></p>
<p class="MsoNormal"> ssl = yes<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">service replicator {<o:p></o:p></p>
<p class="MsoNormal"> process_min_avail = 1<o:p></o:p></p>
<p class="MsoNormal"> unix_listener replicator-doveadm {<o:p></o:p></p>
<p class="MsoNormal"> mode = 0666<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">ssl_cert = </etc/dovecot/ssl_chain.pem<o:p></o:p></p>
<p class="MsoNormal">ssl_cipher_list =
ECDHE-RSA-AES256-SHA384:AES256-SHA256:AES256-SHA256:HIGH:MEDIUM:+TLSv1:+TLSv1.1:+TLSv1.2:!RC4:!IDEA:!3DES:!MD5:!ADH:!aNULL:!eNULL:!NULL:!DH:!ADH:!EDH:!AESGCM:!CAMELLIA:!SEED<o:p></o:p></p>
<p class="MsoNormal">ssl_client_ca_file = /etc/pki/tls/cert.pem<o:p></o:p></p>
<p class="MsoNormal">ssl_dh = # hidden, use -P to show it<o:p></o:p></p>
<p class="MsoNormal">ssl_key = # hidden, use -P to show it<o:p></o:p></p>
<p class="MsoNormal">userdb {<o:p></o:p></p>
<p class="MsoNormal"> driver = passwd<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">verbose_ssl = yes<o:p></o:p></p>
<p class="MsoNormal">local 91.x.x.x {<o:p></o:p></p>
<p class="MsoNormal"> protocol imap {<o:p></o:p></p>
<p class="MsoNormal"> ssl_cert =
</etc/dovecot/ssl_chain.pem<o:p></o:p></p>
<p class="MsoNormal"> ssl_key = # hidden, use -P to show it<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">local 91.x.x.x {<o:p></o:p></p>
<p class="MsoNormal"> protocol pop3 {<o:p></o:p></p>
<p class="MsoNormal"> ssl_cert =
</etc/dovecot/ssl_chain.pem<o:p></o:p></p>
<p class="MsoNormal"> ssl_key = # hidden, use -P to show it<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal">149.x.x.x<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"># 2.3.8 (9df20d2db):
/etc/dovecot/dovecot.conf<o:p></o:p></p>
<p class="MsoNormal"># OS: Linux 2.6.32-754.6.3.el6.x86_64
x86_64 CentOS release 6.10 (Final)<o:p></o:p></p>
<p class="MsoNormal"># Hostname: prime.domain.com<o:p></o:p></p>
<p class="MsoNormal">auth_mechanisms = plain login<o:p></o:p></p>
<p class="MsoNormal">default_vsz_limit = 1 G<o:p></o:p></p>
<p class="MsoNormal">disable_plaintext_auth = no<o:p></o:p></p>
<p class="MsoNormal">doveadm_password = # hidden, use -P to show
it<o:p></o:p></p>
<p class="MsoNormal">mail_location = maildir:~/Maildir<o:p></o:p></p>
<p class="MsoNormal">mail_plugins = " notify replication"<o:p></o:p></p>
<p class="MsoNormal">mbox_write_locks = fcntl<o:p></o:p></p>
<p class="MsoNormal">namespace inbox {<o:p></o:p></p>
<p class="MsoNormal"> inbox = yes<o:p></o:p></p>
<p class="MsoNormal"> location =<o:p></o:p></p>
<p class="MsoNormal"> mailbox Archive {<o:p></o:p></p>
<p class="MsoNormal"> auto = subscribe<o:p></o:p></p>
<p class="MsoNormal"> special_use = \Archive<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> mailbox Drafts {<o:p></o:p></p>
<p class="MsoNormal"> special_use = \Drafts<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> mailbox Junk {<o:p></o:p></p>
<p class="MsoNormal"> special_use = \Junk<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> mailbox Sent {<o:p></o:p></p>
<p class="MsoNormal"> special_use = \Sent<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> mailbox "Sent Messages" {<o:p></o:p></p>
<p class="MsoNormal"> special_use = \Sent<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> mailbox Spam {<o:p></o:p></p>
<p class="MsoNormal"> auto = subscribe<o:p></o:p></p>
<p class="MsoNormal"> special_use = \Junk<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> mailbox Trash {<o:p></o:p></p>
<p class="MsoNormal"> special_use = \Trash<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> prefix =<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">passdb {<o:p></o:p></p>
<p class="MsoNormal"> args = session=yes setcred=yes
failure_show_msg=yes dovecot<o:p></o:p></p>
<p class="MsoNormal"> driver = pam<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">plugin {<o:p></o:p></p>
<p class="MsoNormal"> mail_replica = tcp:188.x.x.x:12333<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">protocols = imap pop3<o:p></o:p></p>
<p class="MsoNormal">replication_full_sync_interval = 10 mins<o:p></o:p></p>
<p class="MsoNormal">replication_max_conns = 11<o:p></o:p></p>
<p class="MsoNormal">service aggregator {<o:p></o:p></p>
<p class="MsoNormal"> fifo_listener replication-notify-fifo {<o:p></o:p></p>
<p class="MsoNormal"> mode = 0666<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal"> unix_listener replication-notify {<o:p></o:p></p>
<p class="MsoNormal"> mode = 0666<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">service auth {<o:p></o:p></p>
<p class="MsoNormal"> unix_listener
/var/spool/postfix/private/auth {<o:p></o:p></p>
<p class="MsoNormal"> group = postfix<o:p></o:p></p>
<p class="MsoNormal"> mode = 0666<o:p></o:p></p>
<p class="MsoNormal"> user = postfix<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">service doveadm {<o:p></o:p></p>
<p class="MsoNormal"> inet_listener {<o:p></o:p></p>
<p class="MsoNormal"> port = 12333<o:p></o:p></p>
<p class="MsoNormal"> ssl = yes<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">service replicator {<o:p></o:p></p>
<p class="MsoNormal"> process_min_avail = 1<o:p></o:p></p>
<p class="MsoNormal"> unix_listener replicator-doveadm {<o:p></o:p></p>
<p class="MsoNormal"> mode = 0666<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">ssl_cert = </etc/dovecot/ssl_chain.pem<o:p></o:p></p>
<p class="MsoNormal">ssl_cipher_list =
ECDHE-RSA-AES256-SHA384:AES256-SHA256:AES256-SHA256:HIGH:MEDIUM:+TLSv1:+TLSv1.1:+TLSv1.2:!RC4:!IDEA:!3DES:!MD5:!ADH:!aNULL:!eNULL:!NULL:!DH:!ADH:!EDH:!AESGCM:!CAMELLIA:!SEED<o:p></o:p></p>
<p class="MsoNormal">ssl_client_ca_file = /etc/pki/tls/cert.pem<o:p></o:p></p>
<p class="MsoNormal">ssl_dh = # hidden, use -P to show it<o:p></o:p></p>
<p class="MsoNormal">ssl_key = # hidden, use -P to show it<o:p></o:p></p>
<p class="MsoNormal">userdb {<o:p></o:p></p>
<p class="MsoNormal"> driver = passwd<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">protocol imap {<o:p></o:p></p>
<p class="MsoNormal"> mail_max_userip_connections = 50<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">protocol pop3 {<o:p></o:p></p>
<p class="MsoNormal"> pop3_uidl_format = %08Xu%08Xv<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">local 178.x.x.x {<o:p></o:p></p>
<p class="MsoNormal"> protocol imap {<o:p></o:p></p>
<p class="MsoNormal"> ssl_cert =
</etc/dovecot/ssl_chain.pem<o:p></o:p></p>
<p class="MsoNormal"> ssl_key = # hidden, use -P to show it<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal">local 178.x.x.x {<o:p></o:p></p>
<p class="MsoNormal"> protocol pop3 {<o:p></o:p></p>
<p class="MsoNormal"> ssl_cert =
</etc/dovecot/ssl_chain.pem<o:p></o:p></p>
<p class="MsoNormal"> ssl_key = # hidden, use -P to show it<o:p></o:p></p>
<p class="MsoNormal"> }<o:p></o:p></p>
<p class="MsoNormal">}<o:p></o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><o:p> </o:p></p>
<p class="MsoNormal"><br>
</p>
</div>
</blockquote>
<p><br>
</p>
<p>Hi!</p>
<p>You need to use tcps in mail_replica.</p>
<p>Aki<br>
</p>
</body>
</html>