Begrijp "e; XXXXXA" na EHLO en " opdracht 500 #5.5.1 niet herkend" na STARTTLS

Downloadopties

PDF (253.3 KB)
Met Adobe Reader op diverse apparaten bekijken
ePub (88.2 KB)
Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
Mobi (Kindle) (75.2 KB)
Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken

Bijgewerkt:10 oktober 2014

Document-id:118550

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inhoud

Inleiding

Waarom zie je "XXXXXXXA" na EHLO en "500 #5.5.1 commando niet herkend" na STARTTLS?

Probleem

Oorzaak

Oplossing

discussie

Aanbeveling

Gerelateerde informatie

Inleiding

In dit document wordt beschreven waarom "XXXXXA" wordt weergegeven in de communicatie met de mailserver en TLS-storingen die zijn gekoppeld aan ESA.

Waarom zie je "XXXXXXXA" na EHLO en "500 #5.5.1 commando niet herkend" na STARTTLS?

TLS mislukt voor inkomende of uitgaande berichten.

Na de EHLO-opdracht reageert de Cisco Email Security Appliance (ESA) op een externe mailserver met:

250-8BITMIME\
250-SIZE 14680064
250 XXXXXXXA

Na de STARTTLS-opdracht in het SMTP-gesprek reageert de ESA op een externe mailserver met:

500 #5.5.1 command not recognized

Interne tests voor STARTTLS zijn succesvol. Dat betekent dat bij het omzeilen van de firewall STARTTLS prima werkt, zoals STARTTLS-verbindingen met de lokale mailservers of telnet-injectietests.

Probleem

Het probleem wordt meestal gezien wanneer u een Cisco Pix- of Cisco ASA-firewall gebruikt wanneer SMTP Packet Inspection (SMTP- en ESMTP-inspectie, SMTP Fixup Protocol) en de STARTTLS-opdracht niet zijn toegestaan in de firewall.

Oorzaak

Cisco PIX-firewallversies eerder dan 7.2(3) die de verschillende ESMTP-beveiligingsprotocollen gebruiken, beëindigen verbindingen onjuist vanwege een fout in het interpreteren van dubbele headers. De ESMTP-beveiligingsprotocollen omvatten reparatie, ESMTP-inspectie en andere.

Oplossing

Schakel alle ESMTP-beveiligingsfuncties in PIX uit of upgrade PIX naar 7.2(3) of hoger, of beide. Aangezien dit probleem zich voordoet bij externe e-mailbestemmingen die PIX uitvoeren, is het waarschijnlijk niet erg praktisch om dit uit te schakelen of aan te bevelen het uit te schakelen. Als u de mogelijkheid heeft om een aanbeveling te doen, zou een firewall-upgrade dit probleem moeten oplossen.

discussie

Sommige, niet alle, problemen zijn te wijten aan de opname van berichtkoppen in andere headers, met name de handtekeningkoppen voor Domeinsleutels en Domeinsleutels Geïdentificeerde Mail. Hoewel er nog andere omstandigheden zijn waarin PIX een SMTP-sessie onjuist beëindigt en leveringsfouten veroorzaakt, is DK- en DKIM-ondertekening een bekende oorzaak.

Aanbeveling

Het tijdelijk uitschakelen van DK of DKIM kan dit probleem voorlopig oplossen, maar de beste oplossing is dat alle PIX-gebruikers deze beveiligingsfuncties upgraden of uitschakelen.

Cisco raadt alle klanten aan om berichten te blijven ondertekenen met DKIM en om te overwegen deze functie te gebruiken als ze dit nog niet doen.

Voor SMTP- en ESMTP-inspectie (PIX/ASA 7.x en hoger) zie Beveiliging - Gepensioneerde producten.

ESMTP TLS-configuratie:

pix(config)#policy-map global_policy
pix(config-pmap)#class inspection_default
pix(config-pmap-c)#no inspect esmtp
pix(config-pmap-c)#exit
pix(config-pmap)#exit

Zie Beveiliging - Gepensioneerde producten voor het SMTP Fixup Protocol.

Bekijk de expliciete (configureerbare) instellingen van het fixatieprotocol met de opdracht show fixup; hier zijn de standaardinstellingen voor configureerbare protocollen:

show fixup
 fixup protocol ftp 21
 fixup protocol http 80
 fixup protocol h323 1720
 fixup protocol rsh 514
 fixup protocol smtp 25
 fixup protocol sqlnet 1521
 fixup protocol sip 5060