Failed to start SSL connection

[jvoorhorst]

Hallo allemaal,

Ik heb een probleem met het versturen van notificatie-e-mails vanaf mijn Synology NAS (DSM 5.2-5967 Update 9), waarbij ik gebruik maak van het interne notificatiesysteem (Instellingen > Melding > E-mail), dus niet via Mail Server of MailPlus.

Configuratie:
- SMTP-server: smtp.mailbox.org
- Poort: 465 (SSL/TLS)
- Authenticatie: correct mailbox.org-adres en wachtwoord (meerdere keren gecontroleerd)
Deze instellingen komen overeen met wat mailbox.org voorschrijft.

De setup werkte jarenlang perfect met mijn vorige internetprovider (via hun SMTP-server). Nadat ik ben overgestapt op een nieuwe provider zonder eigen SMTP-server, heb ik mijn account bij mailbox.org ingesteld. Nu geeft DSM echter de foutmelding: “Failed to start SSL connection.”

Probleemoplossing en uitgevoerde tests:
Dezelfde instellingen werken wél bij het versturen via macOS Mail en bij een test via ssh/`ssmtp` direct op de NAS:
1. Testmail verstuurd vanuit DSM (notificaties): mislukt met SSL-fout
2. Testmail verstuurd via `ssmtp` op de NAS (SSH): lukt, e-mail komt direct aan
3. Poort test uitgevoerd vanaf de Mac met `nc -vz smtp.mailbox.org 465`: "Verbinding naar smtp.mailbox.org op poort 465 (tcp/urd) geslaagd!".

Vragen:
1. Heeft iemand anders dit SSL-probleem met DSM-notificatie-e-mail eerder meegemaakt?
2. Zijn er bekende bugs of workarounds voor het versturen van DSM-notificaties via mailbox.org SMTP?

Je zou kunnen zeggen dat het komt door de oude DSM-versie, maar het heeft jarenlang wél probleemloos gewerkt met de vorige provider.

Alle input is welkom! Dank.

[Birdy]

Je zou kunnen zeggen dat het komt door de oude DSM-versie, maar het heeft jarenlang wél probleemloos gewerkt met de vorige provider.

Ik zou dan kunnen zeggen dat het komt door je huidige provider (?)

[Briolet]

maar het heeft jarenlang wél probleemloos gewerkt met de vorige provider.

De eisen voor e-mail verkeer worden steeds strenger. Het kan zijn dat je oude provider traag was om de moderne standaarden te implementeren en de nieuwe doet het wel goed. En je oude DSM heeft wel updates gehad, maar misschien te weinig op mail gebied. Hij gebruikt b.v. een nu ongeldige cypher. Of probeert een SSL 1.1 verbinding op te zetten terwijl sinds een paar jaar de norm is om alles ouder dan 1.2 te weigeren.

[Briolet]

2. Testmail verstuurd via `ssmtp` op de NAS (SSH): lukt, e-mail komt direct aan

Het kan zijn dat DSM geen ssmtp gebruikt, of met een andere config file.

[Briolet]

Ik heb nog even met het OpenSSL comando gekeken:

Code: [Selecteer]

iMac-DDR2 ~ % openssl s_client -starttls smtp -connect smtp.mailbox.org:465
CONNECTED(00000005)
De enige response op die poort is "CONNECTED". Als ik poort 587 gebruik krijg ik wel veel meer verbindings info te zien. In elk geval houd dit in dat ook poort 587 ondersteund wordt"

Code: [Selecteer]

iMac-DDR2 ~ % openssl s_client -starttls smtp -connect smtp.mailbox.org:587
CONNECTED(00000005)
depth=2 C = US, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert Global Root G2
verify return:1
depth=1 C = US, O = DigiCert Inc, OU = www.digicert.com, CN = Thawte TLS RSA CA G1
verify return:1
depth=0 CN = *.mailbox.org
verify return:1
write W BLOCK
---
Certificate chain
 0 s:/CN=*.mailbox.org
   i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=Thawte TLS RSA CA G1
 1 s:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=Thawte TLS RSA CA G1
   i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root G2
 2 s:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root G2
   i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root G2
---
Server certificate
-----BEGIN CERTIFICATE-----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=
-----END CERTIFICATE-----
subject=/CN=*.mailbox.org
issuer=/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=Thawte TLS RSA CA G1
---
No client certificate CA names sent
Server Temp Key: ECDH, X25519, 253 bits
---
SSL handshake has read 4942 bytes and written 402 bytes
---
New, TLSv1/SSLv3, Cipher is AEAD-AES256-GCM-SHA384
Server public key is 4096 bit
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.3
    Cipher    : AEAD-AES256-GCM-SHA384
    Session-ID:
    Session-ID-ctx:
    Master-Key:
    Start Time: 1754656510
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)
---
250 CHUNKING
read R BLOCK
Als referentie dezelfde info nog voor de Ziggo smtp server die ik altijd gebruik:

Code: [Selecteer]

iMac-DDR2 ~ % openssl s_client -starttls smtp -connect smtp.ziggo.nl:587
CONNECTED(00000005)
depth=2 C = US, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert Global Root G2
verify return:1
depth=1 C = IE, O = DigiCert Ireland Limited, CN = DigiCert G2 TLS EU RSA4096 SHA384 2022 CA1
verify return:1
depth=0 C = NL, L = Utrecht, O = Ziggo Services B.V., CN = email.ziggo.nl
verify return:1
write W BLOCK
---
Certificate chain
 0 s:/C=NL/L=Utrecht/O=Ziggo Services B.V./CN=email.ziggo.nl
   i:/C=IE/O=DigiCert Ireland Limited/CN=DigiCert G2 TLS EU RSA4096 SHA384 2022 CA1
 1 s:/C=IE/O=DigiCert Ireland Limited/CN=DigiCert G2 TLS EU RSA4096 SHA384 2022 CA1
   i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root G2
---
Server certificate
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
subject=/C=NL/L=Utrecht/O=Ziggo Services B.V./CN=email.ziggo.nl
issuer=/C=IE/O=DigiCert Ireland Limited/CN=DigiCert G2 TLS EU RSA4096 SHA384 2022 CA1
---
No client certificate CA names sent
Server Temp Key: ECDH, X25519, 253 bits
---
SSL handshake has read 4637 bytes and written 402 bytes
---
New, TLSv1/SSLv3, Cipher is AEAD-AES256-GCM-SHA384
Server public key is 2048 bit
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.3
    Cipher    : AEAD-AES256-GCM-SHA384
    Session-ID:
    Session-ID-ctx:
    Master-Key:
    Start Time: 1754656469
    Timeout   : 7200 (sec)
    Verify return code: 0 (ok)
---
250 OK
read R BLOCK
read R BLOCK
Wat ik wel zie is dat beide op die poort wel steeds TLSv1.3 en de cipher AEAD-AES256-GCM-SHA384 gebruiken.

[jvoorhorst]

Niet als andere machines het wel doen... 

[jvoorhorst]

Ziggo was inderdaad mijn ouder provider en KPN is de nieuwe. Bij KPN moet je een adres hebben om van de server gebruik te maken. Alle apparaten kunnen gewoon verbinden dus ik vermoed dat het aan de DSM ligt.

Ik weet even niet wat de cipher is waarnaar je verwijst.

[Briolet]

Heb je poort 587 nu ook geprobeerd? Feitelijk is dat de beste poort voor beveiligd SMTP verkeer. Nu wordt 465 alleen nog aangeraden als poort 587 niet ondersteund wordt.

Port 587: This port is typically used for email submission by mail clients (e.g., Outlook, Thunderbird) to a mail server. It is part of the standards defined in the Simple Mail Transfer Protocol (SMTP) for email transmission. Port 587 usually requires authentication and encryption, providing a secure connection for sending emails. It is commonly used for the submission of outgoing mail.

Port 465: This port was previously used for Secure SMTP (SMTPS). It has now been deprecated by the Internet Engineering Task Force (IETF), and its use is not recommended. However, some legacy email systems may still use Port 465 for SMTP with SSL/TLS encryption.