Pergunta:

Por que o ESA emite EHLO duas vezes quando o TLS está ativado?

Você pode se perguntar por que o ESA emite mais de um EHLO ao fazer uma conexão TLS a um host remoto.  De acordo com RFC3207 - Seção 4.2:

"O servidor DEVE descartar qualquer conhecimento obtido do cliente, como o argumento para o comando EHLO, que não foi obtido da própria negociação TLS. O cliente DEVE enviar um comando EHLO como o primeiro comando após uma negociação TLS bem-sucedida."

Portanto, um segundo EHLO, após a negociação TLS, é um comportamento perfeitamente normal.  Qualquer coisa antes da sessão TLS ser estabelecida não pode ser considerada parte da conversação criptografada TLS. A lista de extensões de serviço SMTP retornada em resposta a um comando EHLO recebido após o handshake TLS pode ser diferente da lista retornada antes do handshake TLS. Abaixo está um exemplo de entradas de log que você pode ver em seus logs de e-mail, se TLS estiver ativado:

Mon May 16 18:34:30 2005 Info: 5165207 Sent: 'EHLO mx4.example.com'

Mon May 16 18:34:30 2005 Info: 5165207 Rcvd: '250-eq-c601.example.com'

Mon May 16 18:34:30 2005 Info: 5165207 Rcvd: '250-8BITMIME'

Mon May 16 18:34:30 2005 Info: 5165207 Rcvd: '250-SIZE 10485760'

Mon May 16 18:34:30 2005 Info: 5165207 Rcvd: '250 STARTTLS'

Mon May 16 18:34:30 2005 Info: 5165207 Sent: 'STARTTLS'

Mon May 16 18:34:30 2005 Info: 5165207 Rcvd: '220 Go ahead with TLS'

Mon May 16 18:34:30 2005 Info: 5165207 Sent: 'EHLO mx4.example.com'

Mon May 16 18:34:30 2005 Info: 5165207 Rcvd: '250-eq-c601.example.com'

Mon May 16 18:34:30 2005 Info: 5165207 Rcvd: '250-8BITMIME'

Mon May 16 18:34:30 2005 Info: 5165207 Rcvd: '250 SIZE 10485760'

Mon May 16 18:34:30 2005 Info: 5165207 Sent: 'MAIL