[postfix-jp: 257] TLS 使用時の SMTP fail

[YAZAKI Syunji <syunji@xxxxxxxxxx>]

矢崎と申します。
Postfix + TLS の挙動で悩んでいます。

現在、DMZ 上のメールサーバ(mailDMZ.example.com)で
メールを受け、transport の設定で内側の
メールサーバ(mail.example.com)に転送し、
そこで各ユーザにメールをドロップするという
方式でシステムを運用しています。

そこで、mailDMZ.example.com から mail.example.com 間に
TLS を使っているのですが、mailDMZ.example.com から
mail.example.com へ TLS のコネクションを張ってデータを転送
している最中に mailDMZ.example.com に対する外部から SMTP の要求が
あると、非常にシビアなタイミングですが接続自体が fail して
しまうという現象がおきています。単に TLS のコネクションを張っている
だけの状態では問題は起きないのですが、TLS 上でデータを転送していると
そのような現象が起こるようです。
試しに、mailDMZ.example.com から mail.example.com 間を
TLS ではなく、通常の SMTP にしたら、その現象は起きなくなりました。

外のサーバからの SMTP コネクションが fail するだけならメールに
遅延は出るだけで、配送はされるのであまり問題はないのですが、
mailDMZ.example.com を SMTP サーバとして、メールを送ろうとすると、
タイミングによっては、メーラから「サーバに接続できません」と怒られて
送信すらできなくなるので困っています。

同様の現象を経験された方がいらっしゃいましたら、
対処方などをご教授願えないでしょうか？

mailDMZ.example.com と mailDMZ.example.com
で動作している Postfix の postconf -n の結果は
以下のとおりです。

==== mailDMZ.example.com ====
2bounce_notice_recipient = postmaster
alias_database = hash:/etc/postfix/aliases
alias_maps = hash:/etc/postfix/aliases
bounce_notice_recipient = postmaster
bounce_size_limit = 1000000000
broken_sasl_auth_clients = yes
command_directory = /usr/sbin
config_directory = /etc/postfix
daemon_directory = /usr/libexec/postfix
debug_peer_level = 14
delay_notice_recipient = postmaster
error_notice_recipient = errormail
home_mailbox = Maildir/
inet_interfaces = all
local_recipient_maps =
mail_owner = postfix
mailq_path = /usr/bin/mailq
manpage_directory = /usr/local/man
mydestination = $myhostname, localhost.$mydomain,$mydomain
mydomain = example.com
myhostname = mailDMZ.example.com
mynetworks = 127.0.0.0/8, 10.0.0.0/8
mynetworks_style = subnet
myorigin = $mydomain
newaliases_path = /usr/bin/newaliases
notify_classes = resource,software
queue_directory = /var/spool/postfix
readme_directory = no
relay_domains = $mydomain
sample_directory = /etc/postfix
sendmail_path = /usr/sbin/sendmail
setgid_group = postdrop
smtp_sasl_security_options = noplaintext
smtp_use_tls = yes
smtpd_recipient_restrictions = permit_mynetworks,permit_sasl_authenticated,rejec
t_unauth_destination
smtpd_sasl_auth_enable = yes
smtpd_tls_CAfile = /etc/postfix/cert/main/PWSCA.cer
smtpd_tls_auth_only = yes
smtpd_tls_cert_file = /etc/postfix/cert/main/server.cer
smtpd_tls_key_file = /etc/postfix/cert/main/server.key
smtpd_tls_session_cache_database = sdbm:/etc/postfix/smtpd_scache
smtpd_use_tls = yes
soft_bounce = no
transport_maps = hash:/etc/postfix/transport
unknown_local_recipient_reject_code = 550

==== mail.example.com ====
2bounce_notice_recipient = postmaster
alias_database = hash:/etc/aliases
alias_maps = hash:/etc/aliases
allow_mail_to_commands = alias,forward,include
bounce_notice_recipient = postmaster
bounce_size_limit = 1000000000
command_directory = /usr/sbin
config_directory = /etc/postfix
daemon_directory = /usr/libexec/postfix
debug_peer_level = 2
delay_notice_recipient = postmaster
error_notice_recipient = errormail
home_mailbox = Maildir/
in_flow_delay = 0
inet_interfaces = all
local_recipient_maps = unix:passwd.byname $alias_maps $relocated_maps
mail_owner = postfix
mailq_path = /usr/bin/mailq
manpage_directory = /usr/local/man
mydestination = $myhostname, localhost.$mydomain, $mydomain
mydomain = example.com
myhostname = mail.example.com
mynetworks = 172.16.8.0/24, 10.0.0.0/8
mynetworks_style = subnet
myorigin = $mydomain
newaliases_path = /usr/bin/newaliases
notify_classes = resource,software
queue_directory = /var/spool/postfix
readme_directory = no
relocated_maps = hash:/etc/postfix/relocated
sample_directory = /etc/postfix
sendmail_path = /usr/sbin/sendmail
setgid_group = postdrop
smtp_use_tls = yes
smtpd_tls_auth_only = yes
smtpd_tls_cert_file = /etc/postfix/certs/smtpd.pem
smtpd_tls_key_file = $smtpd_tls_cert_file
smtpd_tls_session_cache_database = sdbm:/etc/postfix/smtpd_scache
smtpd_use_tls = yes
soft_bounce = no
transport_maps = hash:/etc/postfix/transport
unknown_local_recipient_reject_code = 550

-- 
矢崎　俊志 <syunji@xxxxxxxxxx>

_______________________________________________
Postfix-jp-list mailing list
Postfix-jp-list@xxxxxxxxxxxxxxxxxxxx
http://lists.sourceforge.jp/mailman/listinfo/postfix-jp-list