sujet Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023 dans Webmail Orange

Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

ChrMr — Wed, 13 Sep 2023 19:14:17 GMT

Bonjour,

J'ai un script sur mon raspberry pi qui tourne sans problème depuis des années. Maintenant depuis le 5 septembre 2023 il n'est plus possible d'envoyer un message depuis mon script où j'utilise ssmtp pour atteindre le serveur smtp.orange.fr sur le port 465 et en m'authentifiant avec mon adresse et mot de passe.

ssmtp: Cannot open smtp.orange.fr:465

Qu'est-ce qui a été modifié dans le service smtp d'Orange ?

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

matrixbx — Wed, 13 Sep 2023 19:36:00 GMT

Bonsoir @ChrMr

jetez un oeil dans /var/log/mail.{warn,err,info,log} pour avoir une idée plus précise de la cause de ce "ça marche plus".

Je reçois tout les jours mes logs, raspbian (bullseye), ssmtp/oldstable,now 2.64-10 arm64.

grep -v ^# /etc/ssmtp/ssmtp.conf | grep -v ^$
root=MOI@orange.fr
mailhub=smtp.orange.fr:465
UseTLS=YES
rewriteDomain=orange.fr
hostname=MonHostname
FromLineOverride=YES
AuthUser=MOI@orange.fr
AuthPass=MonPassSMTP

Bonne soirée.

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

ChrMr — Wed, 13 Sep 2023 20:45:18 GMT

Bonsoir,

Le fichier de configuration est en tout point identique au mien, et je précise que ça a toujours fonctionné au quotidien sans problème depuis des années, et depuis le 5/9 j'ai cette erreur qui persiste après un reboot.

Le log n'apporte pas plus d'information:

sSMTP[6592]: Creating SSL connection to host

sSMTP[6592]: SSL connection using (null)

sSMTP[6592]: Cannot open smtp.orange.fr:465

malheureusement les logs recyclés ne remontent qu'au 10/09 soit le lendemain de l'aparition du problème de sorte que je ne peux comparer à un envoi fait avec succès

Merci

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

matrixbx — Wed, 13 Sep 2023 21:14:16 GMT

Re @ChrMr

le test fait juste avant de te répondre

Sep 13 21:34:53 localhost sSMTP[144254]: Creating SSL connection to host
Sep 13 21:34:53 localhost sSMTP[144254]: SSL connection using ECDHE_RSA_AES_128_GCM_SHA256
Sep 13 21:34:55 localhost sSMTP[144254]: Sent mail for MOI@orange.fr (221 2.0.0 opmta1mtoxxnd1 smtp.orange.fr closing connection) uid=1000 username=MOI outbytes=407

Le "using (null)" est suspect, je pense.

Je regarderai ce que donne :

openssl s_client smtp.orange.fr:465

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

ChrMr — Wed, 13 Sep 2023 21:00:36 GMT

J'utilise également la version 2.64 de ssmtp, mais je n'utilise pas d'option particulière.

Dans mon script je fais appel à "cat msg | ssmtp monadresse@orange.fr"

où msg est un fichier avec trois lignes: From, Subject et une ligne de message

Peut-être une option particulière est devenue nécessaire ?

Option peut-être présente dans le script/outil/librairie que tu utilises ?

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

matrixbx — Wed, 13 Sep 2023 21:11:45 GMT

Re @ChrMr

$ cat msg
From: MOI@orange.fr
Subject: Test
Corps de mail.
$ cat msg | ssmtp MOI@orange.fr
$ tail -3 /var/log/mail.log
Sep 13 23:04:23 localhost sSMTP[151003]: Creating SSL connection to host
Sep 13 23:04:23 localhost sSMTP[151003]: SSL connection using ECDHE_RSA_AES_128_GCM_SHA256
Sep 13 23:04:24 localhost sSMTP[151003]: Sent mail for MOI@orange.fr (221 2.0.0 opmta1mtoxxnd1 smtp.orange.fr closing connection) uid=1000 username=MOI outbytes=336
$

Mail reçu.

J'utilise la commande mail (mailutils).

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

ChrMr — Wed, 13 Sep 2023 21:12:33 GMT

La commande "openssl s_client -connect smtp.orange.fr:465"

retourne "220 opmta1mto29nd1 smtp.orange.fr ESMTP server ready" au final, même si dans tout le retour de la commande je peux voir

Verify return code: 20 (unable to get local issuer certificate)

Je ne suis pas specialiste de ssl, mais le code 220 devrait être OK

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

matrixbx — Wed, 13 Sep 2023 21:33:15 GMT

Oui, à priori la négo TLS a réussi (j'ai "New, TLSv1.3, Cipher is TLS_AES_128_GCM_SHA256" et "Verify return code: 0 (ok)"), le "nul" dans les logs me chagrine, j'envisageais que la crypto soit défaillante.

Il est un peu tard pour brûler intensément du glucose dans une réflexion poussée

Bonne nuit (ça porte conseil dit-on).

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

matrixbx — Thu, 14 Sep 2023 04:00:06 GMT

Salut @ChrMr

à essayer, le mode verbeux de ssmtp ( cat msg | ssmtp -v destinataire@... )

Sait-on jamais.

[Edit]

Message d'erreur des logs reproduit (!)

Sep 14 05:38:22 localhost sSMTP[180601]: SSL connection using (null)

Mis le port 587 au lieu de 465 dans l'entrée correspondante du destinataire dans /etc/ssmtp/revaliases

Mais j'avais "ssmtp: Cannot open smtp.orange.fr:587" ce que tu n'as pas.

La question me semble être pourquoi dans ton cas, la connexion tcp est bien établie sur le port 465 mais pas la négo TLS ?

Tu n'as pas une entrée spécifique pour smtp.orange.fr dans ton /etc/hosts ?

Tu as bien 80.12.26.34 en réponse à "dig +short smtp.orange.fr" et la même adresse dans la réponse à "ping -c1 -q -w1 smtp.orange.fr" (ça ping pas, c'est pas le but) ?

Des règles firewall exotiques (translation d'adresses) ?

[/Edit]

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

ChrMr — Thu, 14 Sep 2023 05:12:09 GMT

Bonjour,

Pour répondre aux diverses questions:

Le mode verbeux n'affiche rien de plus!

Je n'ai rien de spécial dans mon fichier hosts

ping me retourne bien la même adresse

Je n'ai pas de commande dig

Dans ma commande openssl je vois que la version tls est 1.2

C'est peut-être là le problème. Je suppose qu'Orange a désactivé cette version du protocole le 05/9, enfin c'est ce que je devine.

Puis j'ai essayé sur un deuxième raspberry depuis lequel je n'ai pas l'habitude d'envoyer des mails, et sur celui-ci:

- Le mode verbeux de ssmtp me donne bien plus d'infos

- openssl m'indique qu'il utilise la version 1.3 de ssl

- mail.info m'indique que le message est soumis pour envoi, et aucune erreur n'est rapportée (250 mail accepted for delivery).

... mais pour autant le message n'a pas l'air d'arriver dans ma boîte (j'ai vérifié le spam). Encore une autre investigation à faire.

Donc je pense que c'est un problème de version tls. Il me reste donc à mettre en route la version 1.3 (je vais encore chercher, à moins que tu ais la solution sous la main en une ligne), puis je dois voir pourquoi sur l'autre machine ça a l'air correct et pourtant je ne reçois pas le message.

Merci

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

matrixbx — Thu, 14 Sep 2023 06:07:25 GMT

Re @ChrMr

je me doutais que le mode verbeux ne donnerait pas grand chose, le problème étant la négo SSL/TLS, donc avant l'échange smtp.

En forçant TLS1_2 avec openssl ( openssl s_client --tls1_2 smtp.orange.fr:465), ça connecte bien ("New, TLSv1.2, Cipher is ECDHE-RSA-AES128-GCM-SHA256", "Verify return code: 0 (ok)" ).

J'ai déjà eu des mails "acceptés" mais jamais délivrés, le même mail envoyé à un autre serveur smtp était explicitement rejeté car détecté en spam. Solutionné en mettant le texte du mail en pièce jointe et non dans le corps du mail, depuis ça passe.

Le souci semble bien être à chercher dans la config ssl de ce raspi (/etc/ssl/openssl.cnf), à comparer avec l'autre qui fonctionne.

Bons diffs

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

ChrMr — Fri, 15 Sep 2023 15:13:11 GMT

Les configurations d'openssl ne diffèrent quasiment pas entre mes deux machines, et pourtant sur mon premier raspberry il persiste à utiliser tls 1.2

J'ai donc migré mon script sur mon autre raspberry qui a une configuration un peu plus récente et qui utilise tls 1.3 par défaut.

(1er raspberry: OS: Raspbian Wheezy, openssl 1.0.1e)

(2e raspberry: OS: Raspbian Buster, openssl 1.1.1d)

Il faut donc en déduire qu'Orange a cessé d'accepter tls 1.2 le 05/09/2023, qu'il faut donc utiliser tls 1.3 et que pour cela il faut au moins une version 1.1.1 d'openssl

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

matrixbx — Fri, 15 Sep 2023 17:27:18 GMT

Bonsoir @ChrMr

la conclusion est erronée, au moins en partie, la connexion s’établit en TLS1_2 sans souci.

$ openssl s_client -tls1_2 -brief smtp.orange.fr:465
CONNECTION ESTABLISHED
Protocol version: TLSv1.2
Ciphersuite: ECDHE-RSA-AES128-GCM-SHA256
Peer certificate: C = FR, ST = ILE DE FRANCE, L = ISSY LES MOULINEAUX, O = Orange SA, CN = smtp.premium.orange.fr
Hash used: SHA256
Signature type: RSA
Verification: OK
Supported Elliptic Curve Point Formats: uncompressed
Server Temp Key: ECDH, P-256, 256 bits
220 opmta1mtoxxnd1 smtp.orange.fr ESMTP server ready
EHLO localhost
250-opmta1mtoxxnd1 hello [xxx.xxx.xxx.xxx], pleased to meet you
250-HELP
250-AUTH LOGIN PLAIN
250-SIZE 46000000
250-ENHANCEDSTATUSCODES
250-PIPELINING
250-8BITMIME
250 OK
QUIT
DONE
$ openssl version
OpenSSL 1.1.1n 15 Mar 2022
$

Bonne soirée.

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

ChrMr — Fri, 15 Sep 2023 18:37:03 GMT

Peut-être, mais en tout cas il y a eu un changement du côté du service Orange, et openssl 1.0.1 n'est plus capable de dialoguer avec le service. Il faut faire un upgrade vers la version 1.1.1

Bonne soirée

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

matrixbx — Fri, 15 Sep 2023 20:58:34 GMT

Re bonsoir @ChrMr

Je n'ai pas retrouvé plus ancien à ma disposition, c'est déjà pas récent, récent et ça fonctionne encore.

user@debian:~$ grep PRETTY /etc/os-release 
PRETTY_NAME="Debian GNU/Linux 9 (stretch)"
user@debian:~$ openssl version
OpenSSL 1.1.0f  25 May 2017
user@debian:~$ openssl s_client -brief -tls1_2 -connect smtp.orange.fr:465
CONNECTION ESTABLISHED
Protocol version: TLSv1.2
Ciphersuite: ECDHE-RSA-AES128-GCM-SHA256
Peer certificate: C = FR, ST = ILE DE FRANCE, L = ISSY LES MOULINEAUX, O = Orange SA, CN = smtp.premium.orange.fr
Hash used: SHA256
Verification: OK
Supported Elliptic Curve Point Formats: uncompressed
Server Temp Key: ECDH, P-256, 256 bits
220 opmta1mtoxxnd1 smtp.orange.fr ESMTP server ready
EHLO Debian_9
250-opmta1mtoxxnd1 hello [xxx.xxx.xxx.xxx], pleased to meet you
250-HELP
250-AUTH LOGIN PLAIN
250-SIZE 46000000
250-ENHANCEDSTATUSCODES
250-PIPELINING
250-8BITMIME
250 OK
QUIT
DONE
user@debian:~$

Bonne nuit.

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

matrixbx — Sat, 16 Sep 2023 06:39:13 GMT

Bonjour,

trouvé un poil plus ancien, marche quand même.

ubuntu@ubuntu:~$ openssl s_client -tls1_2 -connect smtp.orange.fr:465
CONNECTED(00000003)
depth=1 C = US, O = DigiCert Inc, CN = DigiCert Global G2 TLS RSA SHA256 2020 CA1
verify error:num=20:unable to get local issuer certificate
verify return:0
---
Certificate chain
 0 s:/C=FR/ST=ILE DE FRANCE/L=ISSY LES MOULINEAUX/O=Orange SA/CN=smtp.premium.orange.fr
   i:/C=US/O=DigiCert Inc/CN=DigiCert Global G2 TLS RSA SHA256 2020 CA1
 1 s:/C=US/O=DigiCert Inc/CN=DigiCert Global G2 TLS RSA SHA256 2020 CA1
   i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root G2
---
Server certificate
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
subject=/C=FR/ST=ILE DE FRANCE/L=ISSY LES MOULINEAUX/O=Orange SA/CN=smtp.premium.orange.fr
issuer=/C=US/O=DigiCert Inc/CN=DigiCert Global G2 TLS RSA SHA256 2020 CA1
---
No client certificate CA names sent
---
SSL handshake has read 3706 bytes and written 421 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES128-GCM-SHA256
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES128-GCM-SHA256
    Session-ID: F8F7EB40AD1ABF04A07F9F22D523264EE657EED24A266797D0D7A7FC2433F6DD
    Session-ID-ctx: 
    Master-Key: EAF0434B6A1365BC104D0697BB0A522ACEF5CA827E7A7B34283788D9AE6AFA7ED1100645C7ADE4BB52A2F6C2AA66935C
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1694845456
    Timeout   : 7200 (sec)
    Verify return code: 20 (unable to get local issuer certificate)
---
220 opmta1mtoxxnd1 smtp.orange.fr ESMTP server ready
EHLO Ubuntu
250-opmta1mtoxxnd1 hello [xxx.xxx.xx.xxx], pleased to meet you
250-HELP
250-AUTH LOGIN PLAIN
250-SIZE 46000000
250-ENHANCEDSTATUSCODES
250-PIPELINING
250-8BITMIME
250 OK
QUIT
DONE 
ubuntu@ubuntu:~$ awk -F"=" /VERSION=/'{print $2}' /etc/os-release 
"14.04.6 LTS, Trusty Tahr"
ubuntu@ubuntu:~$ openssl version 
OpenSSL 1.0.1f 6 Jan 2014
ubuntu@ubuntu:~$
ubuntu@ubuntu:~$ openssl s_client -tls1_1 -quiet -connect smtp.orange.fr:465
139741652629152:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1278:SSL alert number 40
139741652629152:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:599:
ubuntu@ubuntu:~$

De telles vieilleries connectées au Net ne me semble pas être une idée particulièrement prudente.

Mettre à jour me semble plus que nécessaire et bienvenu.

Bonne journée.

Re: Envoi smtp depuis Linux/pi (ssmtp) impossible depuis le 05/09/2023

matrixbx — Sun, 17 Sep 2023 05:42:16 GMT

Re,

trouvé plus obsolète (Ubuntu 12.04).

ubuntu@ubuntu:~$ openssl version
OpenSSL 1.0.1 14 Mar 2012
ubuntu@ubuntu:~$ openssl s_client -tls1_2 -connect smtp.orange.fr:465
CONNECTED(00000003)
...
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-GCM-SHA384
Server public key is 2048 bit
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES256-GCM-SHA384
    Session-ID: 32E83402862CA8E61AB1823AEC75516F02FA6C548C967CB0AADDAA7EBE05A07F
    Session-ID-ctx: 
    Master-Key: 27ABFE0EAE08257C92FBFE87D0CA6F2278C7194B50B21F378F09541B0A76B4D32A8B00EB9B58390954A4CCB5317F94B5
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1694928403
    Timeout   : 7200 (sec)
    Verify return code: 20 (unable to get local issuer certificate)
---
220 opmta1mtoxxnd1 smtp.orange.fr ESMTP server ready
EHLO Ubuntu_12.04
250-opmta1mtoxxnd1 hello [xxx.xxx.xxx.xxx], pleased to meet you
250-HELP
250-AUTH LOGIN PLAIN
250-SIZE 46000000
250-ENHANCEDSTATUSCODES
250-PIPELINING
250-8BITMIME
250 OK
QUIT
DONE
ubuntu@ubuntu:~$