Entender "XXXXXXXA" após o comando EHLO e "500 #5.5.1 não reconhecido" após STARTTLS

Introdução

Este documento descreve por que "XXXXXXXA" aparece na comunicação do servidor de e-mail e falhas de TLS associadas ao ESA.

Por que você vê "XXXXXXXA" depois de EHLO e "500 #5.5.1 command not acknowledged" depois de STARTTLS?

O TLS falha para mensagens de entrada ou de saída.

Após o comando EHLO, o Cisco Email Security Appliance (ESA) responde a um servidor de e-mail externo com:

250-8BITMIME\
250-SIZE 14680064
250 XXXXXXXA

Após o comando STARTTLS na conversação SMTP, o ESA responde a um servidor de e-mail externo com:

500 #5.5.1 command not recognized

Os testes internos para STARTTLS foram bem-sucedidos. Isso significa que, ao ignorar o firewall, o STARTTLS funciona bem, como as conexões STARTTLS com os servidores de e-mail locais ou os testes de injeção telnet.

Problema

O problema é normalmente visto quando você usa um firewall Cisco Pix ou Cisco ASA quando a Inspeção de Pacotes SMTP (Inspeção SMTP e ESMTP, Protocolo de Correção SMTP) e o comando STARTTLS não são permitidos no firewall.

Causa

As versões do firewall do Cisco PIX anteriores à 7.2(3) que usam os vários protocolos de segurança ESMTP terminam incorretamente as conexões devido a um bug na interpretação de cabeçalhos duplicados. Os protocolos de segurança ESMTP incluem fixup, ESMTP inspect e outros.

Solução

Desative todos os recursos de segurança ESMTP no PIX, atualize o PIX para 7.2(3) ou posterior, ou ambos. Como esse problema ocorre com destinos de e-mail remotos que executam o PIX, provavelmente não é muito prático desativá-lo ou recomendá-lo. Se você tiver a oportunidade de fazer uma recomendação, uma atualização de firewall deve resolver esse problema.

Discussão

Alguns, não todos, dos problemas são devidos à inclusão de cabeçalhos de mensagens em outros cabeçalhos, notadamente os cabeçalhos de assinatura para Chaves de Domínio e Chaves de Domínio para E-mail Identificado. Embora ainda haja outras circunstâncias sob as quais o PIX encerra incorretamente uma sessão SMTP e causa falhas de entrega, a assinatura DK e DKIM é uma causa conhecida.

Recomendação

Desabilitar temporariamente DK ou DKIM pode resolver esse problema por enquanto, mas a melhor solução é que todos os usuários do PIX atualizem ou desabilitem esses recursos de segurança.

A Cisco recomenda que todos os clientes continuem a assinar mensagens com o DKIM e a considerar o uso desse recurso, se ainda não o fizerem.

Para a Inspeção SMTP e ESMTP (PIX/ASA 7.x e superior) consulte:

• Segurança - Produtos descontinuados

Configuração TLS ESMTP:

pix(config)#policy-map global_policy
pix(config-pmap)#class inspection_default
pix(config-pmap-c)#no inspect esmtp
pix(config-pmap-c)#exit
pix(config-pmap)#exit

Para o protocolo de ajuste SMTP, consulte:

• Segurança - Produtos descontinuados

Você pode visualizar as configurações do protocolo de correção explícito (configurável) com o comando show fixup. As configurações padrão dos protocolos configuráveis são as seguintes:

show fixup
 fixup protocol ftp 21
 fixup protocol http 80
 fixup protocol h323 1720
 fixup protocol rsh 514
 fixup protocol smtp 25
 fixup protocol sqlnet 1521
 fixup protocol sip 5060

Informações Relacionadas

• Guia do usuário de e-mail do AsyncOS
• Informações de contato do suporte GLO
• Suporte Técnico e Documentação - Cisco Systems

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	10-Oct-2014	Versão inicial