EHLO後の"XXXXXXXA"；とSTARTTLS後の"；認識されない.5.1コマンド"；について理解する
はじめに
このドキュメントでは、ESAに関連付けられたメールサーバ通信およびTLS障害に「XXXXXXXA」が表示される理由について説明します。
EHLOの後に「XXXXXXXA」、STARTTLSの後に「500 #5.5.1 command not recognized」と表示されるのはなぜですか。
TLS が、インバウンドまたはアウトバウンド メッセージで失敗します。
EHLOコマンドの後、Cisco Eメールセキュリティアプライアンス(ESA)は外部メールサーバに対して次のように応答します。
250-8BITMIME\
250-SIZE 14680064
250 XXXXXXXA
SMTPカンバセーションのSTARTTLSコマンドの後、ESAは外部メールサーバに対して次のように応答します。
500 #5.5.1 command not recognized
STARTTLS の内部テストは成功しています。つまり、ファイアウォールをバイパスするときに STARTTLS は問題なく機能しています（STARTTLS のローカル メール サーバとの接続や telnet インジェクション テストなど）。
問題
この問題は通常、Cisco PIX または Cisco ASA ファイアウォールを使用する場合に、SMTP パケット インスペクション（SMTP および ESMTP インスペクション、SMTP フィックスアップ プロトコル）と STARTTLS コマンドがファイアウォールで許可されなかったときに発生します。
原因
各種の ESMTP セキュリティ プロトコルを使用する 7.2(3) よりも前のバージョンの Cisco PIX ファイアウォールは、重複するヘッダーの解釈にバグがあるため、誤って接続を終了します。ESMTPセキュリティプロトコルには、fixup、ESMTP inspectなどがあります。
ソリューション
PIX のすべての ESMTP セキュリティ機能をオフにするか、PIX を 7.2(3) 以降にアップグレードするか、またはその両方を行います。この問題はPIXが稼働しているリモート電子メールの宛先で発生するため、この機能をオフにしたり、オフにすることを推奨したりすることは、おそらく現実的ではありません。推奨事項を提示する機会があれば、ファイアウォールのアップグレードによってこの問題を解決できるはずです。
ディスカッション
問題の一部（全部ではない）は、他のヘッダーの内部にメッセージ ヘッダーが含まれている（特にドメイン キー（DK）および Domain Keys Identified Mail（DKIM）の署名ヘッダー）ために発生します。PIX が誤って SMTP セッションを終了することで配信が失敗する状況は他にもありますが、DK および DKIM の署名が既知の原因の 1 つです。
推奨事項
DKまたはDKIMを一時的に無効にすると、この問題は当分の間は解決できますが、最善の解決策は、すべてのPIXユーザがこれらのセキュリティ機能をアップグレードまたは無効にすることです。
すべてのユーザが引き続き DKIM を使ってメッセージに署名し、この機能をまだ使用していない場合はその使用を検討することを推奨します。
SMTP および ESMTP インスペクション（PIX/ASA 7.x 以降）については、次を参照してください。
ESMTP TLS の設定：
pix(config)#policy-map global_policy
pix(config-pmap)#class inspection_default
pix(config-pmap-c)#no inspect esmtp
pix(config-pmap-c)#exit
pix(config-pmap)#exit
SMTP フィックスアップ プロトコルについては、次を参照してください。
show fixup コマンドを使用して、フィックスアップ プロトコルの明示的な（設定可能な）設定を表示できます。設定可能なプロトコルのデフォルト設定は次のとおりです。
show fixup
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
関連情報
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
10-Oct-2014
|
初版 |
フィードバック