Contents

Introduction

为什么在STARTTLS以后和"500 #5.5.1命令以后看到没被认可的” EHLO ？

Related Information

Introduction

本文描述您为什么看到“”在与Cisco和TLS故障产生关联的邮件服务器通信给安全工具(ESA)发电子邮件。

为什么在STARTTLS以后和"500 #5.5.1命令以后看到没被认可的” EHLO ？

TLS为入站或出局的消息失效。

在EHLO命令以后， ESA回应外部邮件服务器与：

250-8BITMIME\

250-SIZE 14680064

250 XXXXXXXA

在命令“STARTTLS”以后在SMTP会话， ESA回应外部邮件服务器与：

500 #5.5.1 command not recognized

STARTTLS的内部测试是成功的。那意味着，当优良绕过防火墙， STARTTLS工作，例如与本地邮件服务器或telnet射入测试的STARTTLS连接。

问题典型地被看到，当您使用Cisco PIX或Cisco ASA防火墙时，当SMTP信息包检验(SMTP和ESMTP检查， SMTP修正协议)，并且STARTTLS命令在防火墙不允许。

使用的Cisco PIX防火墙版本早于7.2(3)多种ESMTP安全协议不正确地终止连接由于在解释复制报头的一个Bug。ESMTP安全协议包括“补丁”， “ESMTP Inspect”，和其他。

关闭在PIX的所有ESMTP安全功能或者升级PIX到7.2(3)或以后或者两个。因为此问题发生在运行PIX的远程电子邮件目的地，也许不是实用的关闭此或推荐关闭它。如果有机会做推荐，防火墙升级应该解决此问题。

一些，不是所有，问题归结于信息标题包括在其他报头内的，值得注意地域键和域键被识别的邮件的签名报头。当仍有PIX不正确地终止一次SMTP会话并且导致发运故障的其他情况时， DK和DKIM签字是一个已知原因。临时禁用DK或DKIM也许暂时解决此问题，但是佳解决方案是为了禁用所有PIX的用户能升级或这些安全功能。

Cisco建议所有用户继续签署与DKIM的消息和考虑使用此功能，如果如此不已经执行。

关于SMTP和ESMTP检查(PIX/ASA 7.x以上)请参阅：

/c/en/us/support/docs/security/pix-500-series-security-appliances/69374-pix7x-mailserver.html

ESMTP TLS配置：

pix(config)#policy-map global_policy

pix(config-pmap)#class inspection_default

pix(config-pmap-c)#no inspect esmtp

pix(config-pmap-c)#exit

pix(config-pmap)#exit

关于SMTP修正协议请参阅：

http://www.cisco.com/en/US/docs/security/pix/pix62/configuration/guide/fixup.html

您能查看与fixup命令的显示的明确(可配置)修正协议设置。可配置协议的默认设置如下：

show fixup

fixup protocol ftp 21

fixup protocol http 80

fixup protocol h323 1720

fixup protocol rsh 514

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol sip 5060

Related Information

- AsyncOS电子邮件用户指南

- GLO支持联络信息

- Technical Support & Documentation - Cisco Systems