Postfix SSL: TLS library problem

Postfix günlüğünde warning: TLS library problem: ... SSL_CTX_use_certificate_chain_file ... error:... ya da Permission denied benzeri satırlar görüyorsanız, TLS sertifikası veya özel anahtar yüklenememiştir. Sonuç olarak STARTTLS sunulmaz ya da posta trafiği şifresiz kalır.

Belirtiler

• /var/log/mail.log (veya journalctl -u postfix) içinde "TLS library problem" satırları.
• Bağlanan istemcilerde STARTTLS komutunun yanıt vermemesi.
• Giden postada "TLS is required, but was not offered" gibi uyarılar.

Olası nedenler

• Yapılandırmada belirtilen dosya yolu yanlış veya dosya yok.
• Özel anahtarın okuma izni yetersiz (anahtar genellikle yalnızca root tarafından okunabilir olmalıdır).
• Sertifika ile özel anahtar çifti birbirine ait değil.
• Sertifika dosyası bozuk veya PEM biçimi eksik (başlık/bitiş satırları yok).

Çözüm adımları

1. Kullanılan dosyaları görün:

   postconf smtpd_tls_cert_file smtpd_tls_key_file

2. Dosyaların varlığını ve izinlerini denetleyin: ls -l.
3. Sertifika-anahtar eşleşmesini karşılaştırın:

   openssl x509 -noout -modulus -in sertifika.pem | openssl md5
   openssl rsa -noout -modulus -in anahtar.pem | openssl md5

   İki özet aynı olmalıdır.
4. Zincir dosyasının yaprak + ara sertifikaları doğru sırayla içerdiğinden emin olun.
5. Yapılandırmayı doğrulayıp yeniden yükleyin:

   postfix check
   systemctl reload postfix

6. STARTTLS'i test edin: openssl s_client -starttls smtp -connect mail.ornek.com:25.

Önleme

Sertifika yenilemelerinden sonra dosya adlarını sabit tutun ve yenileme betiğine Postfix'i yeniden yükleme adımı ekleyin. Zincir ve süre kontrolü için SSL denetleme aracından, sertifika seçimi için SSL sertifikaları sayfasından yararlanabilirsiniz.

Ek notlar

• Yeni bir sertifika aldığınızda dosyaları aynı adla üzerine yazdıysanız, Postfix'i yeniden yüklemeden eski sertifika bellekte kalır.
• Anahtar parola korumalıysa Postfix bunu açılışta soramaz; parolasız anahtar kullanılır ve dosya izinleri sıkı tutulur.
• Hem gelen (smtpd) hem giden (smtp) için ayrı TLS ayarları olduğunu unutmayın.

Bu üç noktayı kontrol etmek, sorunların büyük çoğunluğunu ortadan kaldırır.

Özet: Bu hata çoğunlukla yol, izin veya anahtar-sertifika uyumsuzluğu sorunudur; modulus karşılaştırması en hızlı doğrulamadır.