Comprendere "XXXXXXXA" dopo EHLO e "500 #5.5.1 comando non riconosciuto" dopo STARTTLS
Introduzione
Questo documento descrive perché "XXXXXXXA" appare nella comunicazione del server di posta e errori TLS associati con ESA.
Perché dopo EHLO viene visualizzato "XXXXXXXA" e dopo STARTTLS "500 #5.5.1 command not recognition"?
TLS non riuscito per i messaggi in entrata o in uscita.
Dopo il comando EHLO, Cisco Email Security Appliance (ESA) risponde a un server di posta esterno con:
250-8BITMIME\
250-SIZE 14680064
250 XXXXXXXA
Dopo il comando STARTTLS nella conversazione SMTP, l'ESA risponde a un server di posta esterno con:
500 #5.5.1 command not recognized
I test interni per STARTTLS sono stati completati. Ciò significa che quando si ignora il firewall, STARTTLS funziona correttamente, come le connessioni STARTTLS con i server di posta locali o i test di inserimento telnet.
Problema
Il problema si verifica in genere quando si utilizza un firewall Cisco Pix o Cisco ASA con il comando SMTP Packet Inspection (SMTP e ESMTP Inspection, SMTP Fixup Protocol) e il comando STARTTLS non è consentito nel firewall.
Causa
Le versioni di Cisco PIX firewall precedenti alla 7.2(3) che utilizzano i vari protocolli di sicurezza ESMTP terminano le connessioni in modo errato a causa di un bug nell'interpretazione delle intestazioni duplicate. I protocolli di sicurezza ESMTP includono fixup, ESMTP inspect e altri.
Soluzione
Disattivare tutte le funzioni di sicurezza ESMTP in PIX, aggiornare PIX a 7.2(3) o versioni successive o entrambe. Poiché questo problema si verifica con le destinazioni e-mail remote che eseguono PIX, probabilmente non è molto pratico disattivare questo o consigliarlo disattivarlo. Se si ha la possibilità di fare una raccomandazione, un aggiornamento del firewall dovrebbe risolvere questo problema.
Discussione
Alcuni problemi, non tutti, sono dovuti all'inclusione delle intestazioni dei messaggi in altre intestazioni, in particolare le intestazioni delle firme per le chiavi di dominio e i messaggi identificati con le chiavi di dominio. Anche se ci sono ancora altre circostanze in cui PIX termina in modo errato una sessione SMTP e causa errori di recapito, la firma DK e DKIM è una causa nota.
Suggerimento
La disattivazione temporanea di DK o DKIM potrebbe risolvere il problema per il momento, ma la soluzione migliore è che tutti gli utenti PIX aggiornino o disattivino queste funzioni di sicurezza.
Cisco consiglia a tutti i clienti di continuare a firmare i messaggi con DKIM e di considerare l'opportunità di utilizzare questa funzione, se non lo fanno già.
Per l'ispezione SMTP ed ESMTP (PIX/ASA 7.x e versioni successive), vedere:
Configurazione TLS ESMTP:
pix(config)#policy-map global_policy
pix(config-pmap)#class inspection_default
pix(config-pmap-c)#no inspect esmtp
pix(config-pmap-c)#exit
pix(config-pmap)#exit
Per il protocollo di correzione SMTP, vedere:
Per visualizzare le impostazioni esplicite (configurabili) del protocollo di correzione, usare il comando show fixup. Le impostazioni predefinite per i protocolli configurabili sono le seguenti:
show fixup
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
Informazioni correlate
- Guida per l'utente di AsyncOS Email
- Informazioni di contatto del supporto GLO
- Documentazione e supporto tecnico – Cisco Systems
Cronologia delle revisioni
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
1.0 |
10-Oct-2014
|
Versione iniziale |
Feedback