<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:x="urn:schemas-microsoft-com:office:excel" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40"><head><meta http-equiv="Content-Type" content="text/html; charset=us-ascii"><meta name="Generator" content="Microsoft Word 15 (filtered medium)"><style><!--
/* Font Definitions */
@font-face
{font-family:"Cambria Math";
panose-1:2 4 5 3 5 4 6 3 2 4;}
@font-face
{font-family:Calibri;
panose-1:2 15 5 2 2 2 4 3 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
{margin:0in;
font-size:11.0pt;
font-family:"Calibri",sans-serif;}
a:link, span.MsoHyperlink
{mso-style-priority:99;
color:#0563C1;
text-decoration:underline;}
span.EmailStyle17
{mso-style-type:personal-compose;
font-family:"Calibri",sans-serif;
color:windowtext;}
.MsoChpDefault
{mso-style-type:export-only;
font-family:"Calibri",sans-serif;}
@page WordSection1
{size:8.5in 11.0in;
margin:1.0in 1.0in 1.0in 1.0in;}
div.WordSection1
{page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]--></head><body lang="EN-US" link="#0563C1" vlink="#954F72" style="word-wrap:break-word">In general:<br><br>Lots of mail servers out in the wild do not require TLS or even bother to verifying TLS certificates when connecting to a remote server on port 25.<br><br>However, desktop and mobile email *clients* tend to be much stricter about verifying server certificates when connecting via SSL or TLS, mainly to protect user passwords.<br><br>Sometimes the server certificate needs to be presented with a "full chain" appended to it for verification. That has been an issue before when I've used some certs, particularly StartSSL before Letsencrypt started offering free certs.<br><br><div class="gmail_quote">On February 8, 2022 5:53:34 AM AKST, Wayne Spivak <WSpivak@SBANetWeb.com> wrote:<blockquote class="gmail_quote" style="margin: 0pt 0pt 0pt 0.8ex; border-left: 1px solid rgb(204, 204, 204); padding-left: 1ex;">
<div class="WordSection1"><p class="MsoNormal">Hi –<o:p></o:p></p><p class="MsoNormal"><o:p> </o:p></p><p class="MsoNormal">I am running Postfix 3.6.4 with Dovecot 2.3.17.1 (476cd46418).<o:p></o:p></p><p class="MsoNormal"><o:p> </o:p></p><p class="MsoNormal">I have a multi-signed cert from Entrust.<o:p></o:p></p><p class="MsoNormal"><o:p> </o:p></p><p class="MsoNormal">The cert works fine on port 25.<o:p></o:p></p><p class="MsoNormal"><o:p> </o:p></p><p class="MsoNormal">However, on Port 587 I get an error: c<o:p></o:p></p><p class="MsoNormal"><o:p> </o:p></p><p class="MsoNormal">[root@mcq wbs]# openssl s_client -connect mcq.sbanetweb.com:993 -servername mcq.sbanetweb.com<o:p></o:p></p><p class="MsoNormal">CONNECTED(00000003)<o:p></o:p></p><p class="MsoNormal">depth=0 C = US, ST = New York, L = Bellmore, O = SBA Consulting LTD, CN = mcq.sbanetweb.com<o:p></o:p></p><p class="MsoNormal">verify error:num=20:unable to get local issuer certificate<o:p></o:p></p><p class="MsoNormal">verify return:1<o:p></o:p></p><p class="MsoNormal">depth=0 C = US, ST = New York, L = Bellmore, O = SBA Consulting LTD, CN = mcq.sbanetweb.com<o:p></o:p></p><p class="MsoNormal">verify error:num=21:unable to verify the first certificate<o:p></o:p></p><p class="MsoNormal">verify return:1<o:p></o:p></p><p class="MsoNormal">depth=0 C = US, ST = New York, L = Bellmore, O = SBA Consulting LTD, CN = mcq.sbanetweb.com<o:p></o:p></p><p class="MsoNormal">verify return:1<o:p></o:p></p><p class="MsoNormal">---<o:p></o:p></p><p class="MsoNormal">Certificate chain<o:p></o:p></p><p class="MsoNormal"> 0 s:C = US, ST = New York, L = Bellmore, O = SBA Consulting LTD, CN = mcq.sbanetweb.com<o:p></o:p></p><div style="mso-element:para-border-div;border:none;border-bottom:solid windowtext 1.0pt;padding:0in 0in 1.0pt 0in"><p class="MsoNormal" style="border:none;padding:0in"> i:C = US, O = "Entrust, Inc.", OU = See <a href="http://www.entrust.net/legal-terms">www.entrust.net/legal-terms</a>, OU = "(c) 2012 Entrust, Inc. - for authorized use only", CN = Entrust Certification Authority - L1K<o:p></o:p></p></div><p class="MsoNormal"><o:p> </o:p></p><p class="MsoNormal"><o:p> </o:p></p><p class="MsoNormal">[root@mcq wbs]# dovecot -n<o:p></o:p></p><p class="MsoNormal"># 2.3.17.1 (476cd46418): /etc/dovecot/dovecot.conf<o:p></o:p></p><p class="MsoNormal"># OS: Linux 5.16.5-200.fc35.x86_64 x86_64 Fedora release 35 (Thirty Five)<o:p></o:p></p><p class="MsoNormal"># Hostname: mcq.sbanetweb.com<o:p></o:p></p><p class="MsoNormal">auth_mechanisms = plain login<o:p></o:p></p><p class="MsoNormal">disable_plaintext_auth = no<o:p></o:p></p><p class="MsoNormal">mbox_write_locks = fcntl<o:p></o:p></p><p class="MsoNormal">namespace inbox {<o:p></o:p></p><p class="MsoNormal"> inbox = yes<o:p></o:p></p><p class="MsoNormal"> location =<o:p></o:p></p><p class="MsoNormal"> mailbox Drafts {<o:p></o:p></p><p class="MsoNormal"> special_use = \Drafts<o:p></o:p></p><p class="MsoNormal"> }<o:p></o:p></p><p class="MsoNormal"> mailbox Junk {<o:p></o:p></p><p class="MsoNormal"> special_use = \Junk<o:p></o:p></p><p class="MsoNormal"> }<o:p></o:p></p><p class="MsoNormal"> mailbox Sent {<o:p></o:p></p><p class="MsoNormal"> special_use = \Sent<o:p></o:p></p><p class="MsoNormal"> }<o:p></o:p></p><p class="MsoNormal"> mailbox "Sent Messages" {<o:p></o:p></p><p class="MsoNormal"> special_use = \Sent<o:p></o:p></p><p class="MsoNormal"> }<o:p></o:p></p><p class="MsoNormal"> mailbox Trash {<o:p></o:p></p><p class="MsoNormal"> special_use = \Trash<o:p></o:p></p><p class="MsoNormal"> }<o:p></o:p></p><p class="MsoNormal"> prefix =<o:p></o:p></p><p class="MsoNormal">}<o:p></o:p></p><p class="MsoNormal">passdb {<o:p></o:p></p><p class="MsoNormal"> driver = pam<o:p></o:p></p><p class="MsoNormal">}<o:p></o:p></p><p class="MsoNormal">protocols = imap<o:p></o:p></p><p class="MsoNormal">service auth {<o:p></o:p></p><p class="MsoNormal"> unix_listener /var/spool/postfix/private/auth {<o:p></o:p></p><p class="MsoNormal"> group = postfix<o:p></o:p></p><p class="MsoNormal"> mode = 0666<o:p></o:p></p><p class="MsoNormal"> user = postfix<o:p></o:p></p><p class="MsoNormal"> }<o:p></o:p></p><p class="MsoNormal"> unix_listener auth-userdb {<o:p></o:p></p><p class="MsoNormal"> group = postfix<o:p></o:p></p><p class="MsoNormal"> mode = 0666<o:p></o:p></p><p class="MsoNormal"> user = postfix<o:p></o:p></p><p class="MsoNormal"> }<o:p></o:p></p><p class="MsoNormal">}<o:p></o:p></p><p class="MsoNormal">service imap-login {<o:p></o:p></p><p class="MsoNormal"> inet_listener imap {<o:p></o:p></p><p class="MsoNormal"> port = 143<o:p></o:p></p><p class="MsoNormal"> }<o:p></o:p></p><p class="MsoNormal"> inet_listener imaps {<o:p></o:p></p><p class="MsoNormal"> port = 993<o:p></o:p></p><p class="MsoNormal"> ssl = yes<o:p></o:p></p><p class="MsoNormal"> }<o:p></o:p></p><p class="MsoNormal">}<o:p></o:p></p><p class="MsoNormal">service submission-login {<o:p></o:p></p><p class="MsoNormal"> inet_listener submission {<o:p></o:p></p><p class="MsoNormal"> port = 587<o:p></o:p></p><p class="MsoNormal"> }<o:p></o:p></p><p class="MsoNormal">}<o:p></o:p></p><p class="MsoNormal">ssl = required<o:p></o:p></p><p class="MsoNormal">ssl_cert = </etc/postfix/tls/ServerCertificate.pem<o:p></o:p></p><p class="MsoNormal">ssl_cipher_list = ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA<o:p></o:p></p><p class="MsoNormal">ssl_client_ca_dir = /etc/postfix/tls/<o:p></o:p></p><p class="MsoNormal">ssl_client_ca_file = ChainBundle.pem<o:p></o:p></p><p class="MsoNormal">ssl_dh = # hidden, use -P to show it<o:p></o:p></p><p class="MsoNormal">ssl_key = # hidden, use -P to show it<o:p></o:p></p><p class="MsoNormal">ssl_prefer_server_ciphers = yes<o:p></o:p></p><p class="MsoNormal">userdb {<o:p></o:p></p><p class="MsoNormal"> driver = passwd<o:p></o:p></p><p class="MsoNormal">}<o:p></o:p></p><p class="MsoNormal">protocol imap {<o:p></o:p></p><p class="MsoNormal"> mail_max_userip_connections = 15<o:p></o:p></p><p class="MsoNormal">}<o:p></o:p></p><p class="MsoNormal"><o:p> </o:p></p><p class="MsoNormal">Any ideas?<o:p></o:p></p><p class="MsoNormal"><o:p> </o:p></p><p class="MsoNormal">Wayne Spivak<o:p></o:p></p><p class="MsoNormal">SBANETWEB.com<o:p></o:p></p></div></blockquote></div><div style='white-space: pre-wrap'><div class='k9mail-signature'>-- <br>Sent from my Android device with K-9 Mail. Please excuse my brevity.</div></div></body></html>