Ubuntu-fr

CBresso

[Résolu] OpenDKIM header too long

Bonjour,
Je viens d'installer postfix, dovecot et openDKIM. En réception ça fonctionne, en émission soucis...

Oct 19 14:54:12 sd-80206 opendkim[5016]: E1D9FA614D8: SSL error:0D07207B:asn1 encoding routines:ASN1_get_object:header too long
Oct 19 14:54:12 sd-80206 opendkim[5016]: E1D9FA614D8: dkim_eom(): resource unavailable: d2i_PrivateKey_bio() failed
Oct 19 14:54:12 sd-80206 postfix/cleanup[7433]: E1D9FA614D8: milter-reject: END-OF-MESSAGE from (...)

Pourtant :

# opendkim-testkey -d domain.tld -s mail -k mail.private -vvv
opendkim-testkey: using default configfile /etc/opendkim.conf
opendkim-testkey: key loaded from mail.private
opendkim-testkey: checking key 'mail._domainkey.domain.tld'
opendkim-testkey: key not secure
opendkim-testkey: key OK

Je ne comprend pas ce qu'il se passe. En cherchant, j'ai pas trouvé grand chose d'utile, juste que la clé serait corrompue mais pour la générer j'ai juste fait :

opendkim-genkey -s mail -d domaine.tld -b 2048

Pour info :
Ubuntu 16.04 server
Postfix 3.1.0-3
OpenDKIM 2.10.3-3build1
Une piste s'il vous plaît, je suis perdu ?
Merci

Dernière modification par CBresso (Le 20/10/2016, à 10:11)

bruno

Re : [Résolu] OpenDKIM header too long

Bonjour,

Le premier message d'erreur laisse effectivement supposer une clé corrompue. Mais il faudrait également vérifier les droits d'accès sur tes clés. En particulier sur la clé privée qui doit appartenir à opendkim:opendkim avec un droit en lecture seule pour le propriétaire (r--------).

---

Attention, les bouteilles vendues par Nestlé Waters sont contaminées au monoxyde de dihydrogène.

CBresso

Re : [Résolu] OpenDKIM header too long

Bonsoir,
Désolé j'avais pas indiqué que les droits étaient à priori bons.

-rw------- 1 opendkim opendkim 1675 Oct 17 16:03 mail.private
-rw------- 1 root     root      480 Oct 18 18:02 mail.txt

Alors reste la clé corrompue, mais comment est-ce possible ?

Dernière modification par CBresso (Le 20/10/2016, à 01:04)

bruno

Re : [Résolu] OpenDKIM header too long

A priori,les droits ne sont pas bons
Tu devrais obtenir, quelque chose comme:

-r-------- 1 opendkim opendkim 1675 Oct 17 16:03 mail.private
-rw-r--r-- 1 opendkim     opendkim      480 Oct 18 18:02 mail.txt

Le plus important étant les droits sur la clé privée, tu peux faire :

chmod u-w mail.private

Tu dois aussi vérifier le reste de la configuration :
- /etc/opendkim.conf : la directive KeyFile doit pointer vers ta clé privée ;
- tu dois avoir un enregistrement DNS correspondant au contenu de mail.txt (clé publique) ;
- que la configuration de postfix contient les bonnes directives pour utiliser opendkim ;

---

Attention, les bouteilles vendues par Nestlé Waters sont contaminées au monoxyde de dihydrogène.

CBresso

Re : [Résolu] OpenDKIM header too long

Merci Bruno de te pencher sur mon soucis.
J'ai modifié les droits mais ça ne change rien
J'ai pas de directive KeyFile car j'ai une directive KeyTable

KeyTable                refile:/etc/opendkim/KeyTable

et le fichier /etc/opendkim/KeyTable

mail._domainkey.domain.tld
domain.tld:mail:/etc/opendkim/keys/domain.tld/mail.private

En ce qui concerne l'enregistrement DNS, je suis chez Gandi qui n'accepte ni les parenthèses, ni les clés de 2048 bits. Or, tout du moins pour ce qui concerne les parenthèses, opendkim-genkey crée des parenthèses dans le fichier mail.txt que Gandi entoure de double quote. J'ai essayé en les supprimant des deux côtés (Gandi et chez moi), toujours la même erreur. Pour la taille de la clé, je l'ai copiée scindée par les double quote, réduite à 1024 rien à faire. 

La configuration de postfix pour utiliser opendkim

milter_protocol = 6
milter_default_action = accept
smtpd_milters = unix:/opendkim/opendkim.sock, unix:/clamav/clamav-milter.ctl
non_smtpd_milters = unix:/opendkim/opendkim.sock

CBresso

Re : [Résolu] OpenDKIM header too long

Le boulet!!!
le fichier KeyTable sur deux lignes.
Sur une seule et le problème est règlé.
Merci encore

bruno

Re : [Résolu] OpenDKIM header too long

Très bien
Mais l'enregistrement DNS est indispensable pour que DKIM fonctionne !
Les guillemets ne sont pas un problème pour l'enregistrement DNS. De toute façon dans un enregistrement TXT tu peux mettre ce que tu veux.

Exemples qui fonctionnent :

mail._domainkey IN TXT    "( k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0B… )"

mail._domainkey IN TXT    "k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0B… "

Edit : attention cela doit être sur une seule ligne.

Dernière modification par bruno (Le 20/10/2016, à 10:27)

---

Attention, les bouteilles vendues par Nestlé Waters sont contaminées au monoxyde de dihydrogène.

CBresso

Re : [Résolu] OpenDKIM header too long

J'ai l'enregistrement DNS et un beau 10/10 à mail-tester.
Maintenant je m'attaque à Dmarc...