Error ssl connection to gmail

Hi, Peter,

Fatal: Failed to accept SSL client

It's first in V9.1 that POP3 should work with SSL.  There's apparently a problem that won't be fixed until 9.102.

i never have a count in checked email and email prossessed in log or anywhere else. that means my proxy does not work? or not prossessing any email for virus or spam?

If you're only using Gmail, then that doesn't work yet, so you won't see anything in Reporting or the POP3 log file.

Cheers - Bob

ok thx for answer me[:)] il wait for the 9.1 ...i have turned off the pop 3 proxy , then everything is ok..

Still not working in 9.102-8.

Below is from the POP3 Proxy log:

...
2013:06:29-17:33:28 sophos pop3proxy[20177]: Fatal: Failed to accept SSL client 

2013:06:29-17:33:28 sophos pop3proxy[20177]: SSL Error: 0x1408a0c1d (error:1408A0C1:SSL routines:SSL3_GET_CLIENT_HELLO:no shared cipher)
 
2013:06:29-17:34:56 sophos pop3proxy[20200]: Accepted client connection from 192.168.0.20 for 173.194.76.108
 
2013:06:29-17:34:56 sophos pop3proxy[20200]: Fatal: Failed to accept SSL client 

2013:06:29-17:34:56 sophos pop3proxy[20200]: SSL Error: 0x1408a0c1d (error:1408A0C1:SSL routines:SSL3_GET_CLIENT_HELLO:no shared cipher)
 
2013:06:29-17:35:24 sophos pop3proxy[20148]: Master terminated 

2013:06:29-17:37:25 sophos pop3proxy[20335]: Master started 

2013:06:29-17:38:52 sophos pop3proxy[20412]: Accepted client connection from 192.168.0.20 for 173.194.76.109
 
2013:06:29-17:38:52 sophos pop3proxy[20412]: Fatal: Failed to accept SSL client 

2013:06:29-17:38:52 sophos pop3proxy[20412]: SSL Error: 0x1408a0c1d (error:1408A0C1:SSL routines:SSL3_GET_CLIENT_HELLO:no shared cipher)
 
2013:06:29-17:41:33 sophos pop3proxy[20582]: Accepted client connection from 192.168.0.20 for 173.194.68.108
 
2013:06:29-17:41:33 sophos pop3proxy[20582]: Fatal: Failed to accept SSL client 

2013:06:29-17:41:33 sophos pop3proxy[20582]: SSL Error: 0x1408a0c1d (error:1408A0C1:SSL routines:SSL3_GET_CLIENT_HELLO:no shared cipher)
 
2013:06:29-17:41:35 sophos pop3proxy[20335]: Master terminated
...

Have you selected a TLS certificate on the 'Advanced' tab?

Cheers - Bob

Have you selected a TLS certificate on the 'Advanced' tab?
 
Cheers - Bob

 
Nope. Missed that step.
 
So what's the proper way to do this? Select any generic cert and that will be used for all clients and all POP3 email accounts like Hotmail, Gmail, etc?
 
I selected th Local X509 Cert. It seems to be working now but I get the following warning in the log:
 
2013:07:02-23:32:53 sophos pop3proxy[3895]: Failed to shutdown SSL connection
 
What does it mean and how can it be fixed?

I'm no certificate guru, so I don't know if that one will work.  If the WebAdmin cert won't work, then maybe what I call The Zeroeth Rule applies.

Cheers - Bob

Bob, I did not do that. Are you saying I first need to set up a FQDN for the Sophos device only, and it needs it's own commercial cert?
 
If so, I guess that means I will have to create a subdomain just for the Sophos box?

Jeff,

No commercial cert or subdomain is needed for the UTM.  It's self-signed certs work for everything but the reverse proxy - if you move a web server behind it, you must import the SSL certificate from the server into the UTM.

For clients that are using Mail Protection, we normally use the content of the highest-priority MX record.

Once you factory reset, you will want to redo the configuration from scratch.  Get a copy of the Printable Configuration before you reset, and I bet you're done in an hour or so.

Cheers - Bob

Bob,  I used the wizard when I first installed. The following certs are already present: 

 

• admin (X509 User Cert)
  
  
  
  • [SIZE=2]VPNId[Email address] 
  [/SIZE][SIZE=2][SIZE=2]webmaster@mysite.com[/SIZE][/SIZE]
  
• [SIZE=2]Valid from Jun 15 18:31:34 2013 GMT through Jan 1 00:00:01 2038 GMT

[/SIZE]

• Local X509 Cert
  
  
  
  • [SIZE=2][SIZE=2]VPNId [Hostname] Sophos
  [/SIZE][/SIZE]
  
• [SIZE=2][SIZE=2]Valid from Jun 15 18:31:31 2013 GMT through Jan 1 00:00:01 2038 GMT

[/SIZE][/SIZE]

• WebAdmin certificate for Sophos
  
  
  
  • [SIZE=2]VPNId [Hostname] Sophos
  [/SIZE]
  
• [SIZE=2]Valid from Jun 15 18:31:34 2013 GMT through Jan 1 00:00:01 2038 GMT

[/SIZE]

Right now, I have it setup as sophos.mysite.com. Should I have set it up as mysite.com or www.mysite.com?
 
www.mysite.com would be an actual website that I host. mysite.com is what I use for the email server that's also behind Sophos.
 
I have a block of static IP's and a few other web sites that run on the webserver that's behind Sophos.
 
What's confusing me is should I give the Sophos box the same name as one of my real websites or should it be something different?
 

For clients that are using Mail Protection, we normally use the content of the highest-priority MX record.

 
I'm not following you on this one. Are you still referring to POP3 or SMTP? There will be hosts using hotmail, gmail, AOL, etc. and the email server that's behind Sophos. The email server (mysite.com for example) is used by the other domains I host.

WebAdmin certificate for Sophos

• [SIZE=2]VPNId [Hostname] Sophos

[/SIZE]

• [SIZE=2]Valid from Jun 15 18:31:34 2013 GMT through Jan 1 00:00:01 2038 GMT

[/SIZE]

The hostname is "Sophos," so, without some fancy and confusing-to-others gyrations, you will have VPN, etc. problems in addition to SMTP Proxy challenges.  It sounds like sophos.mysite.com would be a great choice.

The email server (mysite.com for example) is used by the other domains I host.

The only critical thing here is that there's a valid rDNS PTR record containing sophos.mysite.com.  The MX records for the domains can continue to use mysite.com although sophos.mysite.com would be best practice.

Cheers - Bob