TLS connect failed

[Anton Korduan]

Hallo zusammen!

Ich bekomme seit kurzem manche Mails zurück mit diesem Hinweis (Hervorhebung von mir):

Hi. This is the qmail-send program at traumi.ispgateway.de.
I'm afraid I wasn't able to deliver your message to the following addresses.
This is a permanent error; I've given up. Sorry it didn't work out.

***@hotmail.de>:
TLS connect failed; connected to 104.47.17.161.

I'm not going to try again; this message has been in the queue too long.

Habe bereits erfolglos gegoogelt:
Ist das ein Problem, das mich als Sender betrifft oder hängt das "nur" mit dem Empfänger-Server zusammen?

Herzliche Grüße,
Anton

[Gast]

... ich habe dieselbe Probleme mit dem TLS
Vielleicht schafft es ja die Technik mal auf das Problem einzugehn.
Danke

[Anton Korduan]

Nachtrag:

Die Nachrichten vom MailerDaemon werden mehr.
Der Zeitraum des Versandes der Original-Mails ist schenibar vom 9. bis zum 12.4, soweit ich das bisher überblicken kann.

[Anton Korduan]

Mittlerweile sehe ich, dass Nachrichten zurückkommen, die bis 14. April ausgeliefert wurden.

Nur eine kleine Frage dazu:
Ist das nun mein Problem oder das des Empfängers?

Ich würde mich sehr über den Ansatz einer Antwort oder wenigstens eine Richtung freuen.

Danke und herzliche Grüße,
Anton

[mhagge]

Der Mailserver traumi.ispgateway.de versucht sich mit der IP 104.47.17.161 zu verbinden, das schlägt aber fehl weil dieser Server Probleme mit dem TLS hat (wohl auch nach mehreren Versuchen, der Hinweis auf die Mail-Warteschlange). 104.47.17.161 gehört zu Microsoft, also Hotmail. Da nun TLS heutzutage nichts ungewöhnliches ist (wobei Hotmail Anno 2014 wohl tatsächlich damit mal Probleme hatte: https://blog.sys4.de/kein-tls-mit-hotmail-com-de.html ) liegt das Problem wohl auf Hotmail-Seite

Viele Grüße
Markus

[Anton Korduan]

Der Mailserver traumi.ispgateway.de versucht sich mit der IP 104.47.17.161 zu verbinden, das schlägt aber fehl weil dieser Server Probleme mit dem TLS hat (wohl auch nach mehreren Versuchen, der Hinweis auf die Mail-Warteschlange). 104.47.17.161 gehört zu Microsoft, also Hotmail. Da nun TLS heutzutage nichts ungewöhnliches ist (wobei Hotmail Anno 2014 wohl tatsächlich damit mal Probleme hatte: https://blog.sys4.de/kein-tls-mit-hotmail-com-de.html ) liegt das Problem wohl auf Hotmail-Seite

Viele Grüße
Markus

Ah! Großartig - danke für die Aufklärung, lieber Markus.

Wie kann ich meinen Kunden (die meine Mails scheinbar nicht mehr empfangen können) nun helfen?

Ich kann schlecht empfehlen "Wechsle den Mailanbieter" ... oder bleibt doch nichts anderes übrig?

[mhagge]

Nun, helfen kann da erstmal wohl nur der Support von Hotmail - nur die können sagen, warum ihr Mailserver eine TLS-Verbindung ablehnt.

Hast Du schon ein Ticket beim df-Support aufgemacht? Ganz theoretisch könnte es natürlich sein, dass es da Probleme mit den Ciphern gibt (den Verschlüsselungsarten, grob gesagt). Aber dann müsste es eigentlich Probleme mit diversen Empfängern geben, nicht nur bei Hotmail - insofern glaube ich das eigentlich nicht, dass das das Problem ist (zumal da normalerweise mehr als ein Cipher angeboten wird, dass da nichts dabei sein sollte worauf sich beide einigen können ist wohl eher unwahrscheinlich).

[Anton Korduan]

Nun, helfen kann da erstmal wohl nur der Support von Hotmail - nur die können sagen, warum ihr Mailserver eine TLS-Verbindung ablehnt.

Hast Du schon ein Ticket beim df-Support aufgemacht? Ganz theoretisch könnte es natürlich sein, dass es da Probleme mit den Ciphern gibt (den Verschlüsselungsarten, grob gesagt). Aber dann müsste es eigentlich Probleme mit diversen Empfängern geben, nicht nur bei Hotmail - insofern glaube ich das eigentlich nicht, dass das das Problem ist (zumal da normalerweise mehr als ein Cipher angeboten wird, dass da nichts dabei sein sollte worauf sich beide einigen können ist wohl eher unwahrscheinlich).

Oh ... nein, ein Ticket habe ich noch nicht eröffnet.
Ich hoffte, durch mein Posting hier könnte ich das klären.

Und leider scheinen auch andere Mailprovider betroffen zu sein ... oh oh ...

[Nils Dornblut]

Hallo Herr Korduan,

ich frage mal zu der Thematik bei Technik nach und melde mich hier zurück. Auf die Erklärung von Herrn Hagge habe ich gesondert hingewiesen.

Mit freundlichen Grüßen

Nils Dornblut

[Anton Korduan]

Hallo Herr Korduan,

ich frage mal zu der Thematik bei Technik nach und melde mich hier zurück. Auf die Erklärung von Herrn Hagge habe ich gesondert hingewiesen.

Mit freundlichen Grüßen

Nils Dornblut

Großartig, Herr Dornblut - vielen Dank!

[Nils Dornblut]

Hallo Herr Korduan,

Microsoft hat bei Hotmail offenbar TLS 1.0 und TLS 1.1 deaktiviert:



Unsere Webserver im alten Image können nur unverschlüsselt oder über TLS 1.0 verschlüsselt versenden. Wenn also der empfangende Mailserver TLS voraussetzt, aber 1.0 nicht mehr aktiv ist, kommt es zu so einem Fehler. Das ist leider auch ein Problem des alten Images

Wir empfehlen in solchen Fällen den Versand auf SMTP umzustellen. In den aktuellen 64-Bit-Tarifen tritt der Fehler nicht auf, dort konnten wir entsprechende Aktualisierungen vornehmen.

Mit freundlichen Grüßen

Nils Dornblut

[Anton Korduan]

Unsere Webserver im alten Image können nur unverschlüsselt oder über TLS 1.0 verschlüsselt versenden. ...

Danke für Ihre Recherche und Antwort, Herr Dornblut.

Was bedeutet das "alte Image"?
Ist das scheinbar der Server, auf dem mein Hosting-Paket läuft?

Wir empfehlen in solchen Fällen den Versand auf SMTP umzustellen. In den aktuellen 64-Bit-Tarifen tritt der Fehler nicht auf, dort konnten wir entsprechende Aktualisierungen vornehmen.

Ich kann diese Fälle leider nicht so einfach unterscheiden - das hängt ja vom Empfänger ab.

Meine SaaS-Anwendung versendet an meine Kunden e-Mails - da müsste ich jetzt ja extra eine Option einprogrammieren, bei welcher der Kunde wählen kann, ob sein Provider TLS 1.0 unterstützt ...
Das wäre ein deutlicher zusätzlicher Aufwand - und diesen "Technik-Talk" würde außerdem keiner der Kunden verstehen.

Bleibt mir also tatsächlich nur die Möglichkeit auf einen 64-Bit-Tarif umzustellen?
Ich hatte damals bei der Einführung schon darüber nachgedacht, aber ein paar (für mich) nennenswerte Kontrapunkte gefunden, darum habe ich es bleiben lassen ...

Herzliche Grüße,
Anton Korduan

Nachtrag: Habe den Thread zu meinen "Hürden" bei der 64-Bit-Umstellung gefunden: https://forum.df.eu/forum/allgemein/...=8129#post8129

Nachtrag2: Denken Sie, dass das TLS1.0-Problem bei Hotmail vielleicht etwas ist, das sich mit der Zeit von selbst erledigen wird, weil es veraltet und ausgemustert wird? Es scheinen übrigens auch andere Provider betroffen, nicht nur hotmail.

Nachtrag3: Sorry für die vielen Nachträge, aber das Thema ist brisant für mich. Ich habe in meinem Script nachgesehen (verwende PHP-Mailer) und dort ist bei der Angabe SMTPSecure angegeben "static::ENCRYPTION_SMTPS". Sieht so aus, als würde ich bereits per SMTP versenden, oder?

[jjknw]

Ich habe in meinem Script nachgesehen (verwende PHP-Mailer) und dort ist bei der Angabe SMTPSecure angegeben "static::ENCRYPTION_SMTPS". Sieht so aus, als würde ich bereits per SMTP versenden, oder?

Ich glaube, Nils Dornblut befürchtet, dass dein Script (welches auf dem Webserver läuft) direkt mit den SMTP-Servern deiner Empfänger kommuniziert. Da sieht er das Problem.

Als er schrieb

Wir empfehlen in solchen Fällen den Versand auf SMTP umzustellen.

meinte er wohl, dass du dein Script (PHP-Mailer) so umstellen solltest, dass es nicht direkt mit den SMTP-Server der Empfänger sprechen sollte, sondern ausschließlich mit den für den Email-Versand vorgesehenen dF-eigenen SMTP-Servern. Diese kümmern sich in weiterer Folge darum, deine Mails "ordnungsgemäß" an die Empfänger weiterzureichen. Hierbei sollte auch das TLS-Thema kein Problem mehr darstellen ...

[Anton Korduan]

Ich glaube, Nils Dornblut befürchtet, dass dein Script (welches auf dem Webserver läuft) direkt mit den SMTP-Servern deiner Empfänger kommuniziert. Da sieht er das Problem.

Danke für Deine Unterstützung.

Leider verstehe ich das nicht ganz ... mit welchem SMTP-Server soll denn mein Script sonst kommunizieren, wenn nicht mit jenen der Empfänger?

... dass du dein Script (PHP-Mailer) so umstellen solltest, dass es nicht direkt mit den SMTP-Server der Empfänger sprechen sollte, sondern ausschließlich mit den für den Email-Versand vorgesehenen dF-eigenen SMTP-Servern. Diese kümmern sich in weiterer Folge darum, deine Mails "ordnungsgemäß" an die Empfänger weiterzureichen. Hierbei sollte auch das TLS-Thema kein Problem mehr darstellen ...

Für den Mailversand verwende ich den weit verbreiteten "PHP-Mailer".
Das Scirpt wird auf dem Webserver von DF ausgeführt.

Wie funktioniert das, was Du beschreibst - also ausschließlich mit den "df-eigenen SMTP-Servern" zu kommunizieren?
Das müste ich doch in der e-Mail-Config einstellen, richtig?

Diese sieht beispielshaft so aus:

mail->IsSMTP(); // tell the class to use SMTP
$mail->Host = SENDHOST; // SMTP server
$mail->SMTPAuth = true; // enable SMTP authentication
$mail->Username = SENDUSERNAME; // SMTP server username
$mail->Password = SENDPASSWORD; // SMTP server password
$mail->SMTPSecure = SENDSECURE;
$mail->Port = SENDPORT; // set the SMTP server port


Entscheidend ist wohl SENDHOST - hier habe ich ssl://sslout.df.eu eingetragen, das müsste doch passen, das ist doch der "df-eigene SMTP-Server", oder?

[Anton Korduan]

Nachtrag:

Ich habe gerade mit einer Kundin gesprochen und sie erhält andere Mails aus meinem System problemlos.

Es geht um eine bestimmte Art von Mails.
Ich muss mir das in meinem Script nochmal ansehen und melde mich - vielleicht ist ja dort der Hund begraben ... (wie so oft, ich weiß 😅)