| Les deux révisions précédentesRévision précédente | |
| commun:passerelle_email_locale [2026/08/01 11:40] – francois | commun:passerelle_email_locale [2026/08/01 11:43] (Version actuelle) – francois |
|---|
| Par défaut Exim annonce ''STARTTLS'' à tous. Un client conteneur (ex. Diun) tente alors un handshake TLS opportuniste, qui **échoue sur le certificat auto-signé d'Exim** (''gnutls_handshake: Certificate is bad''). On empêche l'annonce STARTTLS pour tout sauf le localhost strict — le trafic hôte↔conteneur passe alors en clair (local, non routable), et le chiffrement reste actif **en sortie** vers Infomaniak. | Par défaut Exim annonce ''STARTTLS'' à tous. Un client conteneur (ex. Diun) tente alors un handshake TLS opportuniste, qui **échoue sur le certificat auto-signé d'Exim** (''gnutls_handshake: Certificate is bad''). On empêche l'annonce STARTTLS pour tout sauf le localhost strict — le trafic hôte↔conteneur passe alors en clair (local, non routable), et le chiffrement reste actif **en sortie** vers Infomaniak. |
| |
| ⚠️ **Piège rencontré** : la macro ''MAIN_TLS_ADVERTISE_HOSTS'' dans ''localmacros'' **n'a pas fonctionné** (le fichier ''localmacros'' n'était pas injecté dans la config compilée). La méthode fiable en config découpée (''split=true'') est un fichier direct dans ''conf.d/main/'' : | ⚠️ **Ne pas utiliser ''exim4.conf.localmacros''** : dans ce montage, les macros ''MAIN_*'' qu'on y place ne sont **pas** injectées dans la config compilée (testé : sans effet). Le fichier a été supprimé pour éviter toute confusion. Toute la config de ce relais passe par les directives ''dc_*'' (dans ''update-exim4.conf.conf'') et par des fichiers ''conf.d/main/''. Pour STARTTLS, la méthode fiable est un fichier direct dans ''conf.d/main/'' : |
| |
| <code bash> | <code bash> |
| * **Connexion conteneur jetée en silence (pas de réponse ''nc'')** : politique ''INPUT DROP'' d'UFW. Ouvrir le port 25 depuis ''172.16.0.0/12'' (voir section pare-feu). | * **Connexion conteneur jetée en silence (pas de réponse ''nc'')** : politique ''INPUT DROP'' d'UFW. Ouvrir le port 25 depuis ''172.16.0.0/12'' (voir section pare-feu). |
| * **''gnutls_handshake: Certificate is bad'' depuis un conteneur** : le client tente STARTTLS et refuse le certificat auto-signé d'Exim. Désactiver l'annonce STARTTLS via ''conf.d/main/00_local_no_starttls'' (voir section dédiée). | * **''gnutls_handshake: Certificate is bad'' depuis un conteneur** : le client tente STARTTLS et refuse le certificat auto-signé d'Exim. Désactiver l'annonce STARTTLS via ''conf.d/main/00_local_no_starttls'' (voir section dédiée). |
| * **Une macro ''MAIN_*'' de ''localmacros'' reste sans effet** : elle n'est pas injectée dans la config compilée. Utiliser un fichier ''conf.d/main/'' (config découpée) ou la directive ''dc_*'' correspondante à la place. | * **Une directive ne prend pas effet** : ne pas passer par ''exim4.conf.localmacros'' (macros non injectées dans ce montage — fichier supprimé). Utiliser un fichier ''conf.d/main/'' (config découpée) ou la directive ''dc_*'' correspondante. |
| * **Mail gelé (''Frozen'')** : voir la file avec ''sudo mailq'', détails avec ''sudo exim4 -Mvl <id>''. Relancer un message après correction : ''sudo exim4 -M <id>''. | * **Mail gelé (''Frozen'')** : voir la file avec ''sudo mailq'', détails avec ''sudo exim4 -Mvl <id>''. Relancer un message après correction : ''sudo exim4 -M <id>''. |
| * **Voir la file d'attente** : ''sudo mailq'' — **vider un message** : ''sudo exim4 -Mrm <id>''. | * **Voir la file d'attente** : ''sudo mailq'' — **vider un message** : ''sudo exim4 -Mrm <id>''. |
| * **Logs** : ''sudo tail -f /var/log/exim4/mainlog''. | * **Logs** : ''sudo tail -f /var/log/exim4/mainlog''. |
