Fix CVE-2016-1531
[users/heiko/exim.git] / test / confs / 2133
1 # Exim test configuration 2133
2 # TLS client: verify certificate from server - name-fails
3
4 SERVER=
5
6 exim_path = EXIM_PATH
7 keep_environment =
8 host_lookup_order = bydns
9 primary_hostname = myhost.test.ex
10 spool_directory = DIR/spool
11 log_file_path = DIR/spool/log/SERVER%slog
12 gecos_pattern = ""
13 gecos_name = CALLER_NAME
14
15 FX = DIR/aux-fixed
16 S1 = FX/exim-ca/example.com/server1.example.com
17
18 CA1 =   S1/ca_chain.pem 
19 CERT1 = S1/server1.example.com.pem
20 KEY1 =  S1/server1.example.com.unlocked.key
21 CA2 =   FX/cert2
22 CERT2 = FX/cert2
23 KEY2 =  FX/cert2
24
25 # ----- Main settings -----
26
27 disable_ipv6 = true
28
29 acl_smtp_rcpt = accept
30
31 log_selector =  +tls_peerdn+tls_certificate_verified
32
33 queue_only
34 queue_run_in_order
35
36 tls_advertise_hosts = *
37
38 # Set certificate only if server
39
40 tls_certificate = ${if eq {SERVER}{server}{CERT1}fail}
41 tls_privatekey = ${if eq {SERVER}{server}{KEY1}fail}
42
43 tls_verify_hosts = *
44 tls_verify_certificates = ${if eq {SERVER}{server}{CERT2}fail}
45
46
47 # ----- Routers -----
48
49 begin routers
50
51 server_dump:
52   driver = redirect
53   condition = ${if eq {SERVER}{server}{yes}{no}}
54   data = :blackhole:
55
56 client_x:
57   driver = accept
58   local_parts = userx
59   retry_use_local_part
60   transport = send_to_server_failcert
61   errors_to = ""
62
63 client_y:
64   driver = accept
65   local_parts = usery
66   retry_use_local_part
67   transport = send_to_server_retry
68
69 client_z:
70   driver = accept
71   local_parts = userz
72   retry_use_local_part
73   transport = send_to_server_crypt
74
75 client_q:
76   driver = accept
77   local_parts = userq
78   retry_use_local_part
79   transport = send_to_server_req_fail
80
81 client_r:
82   driver = accept
83   local_parts = userr
84   retry_use_local_part
85   transport = send_to_server_req_failname
86
87 client_s:
88   driver = accept
89   local_parts = users
90   retry_use_local_part
91   transport = send_to_server_req_passname
92
93 client_t:
94   driver = accept
95   local_parts = usert
96   retry_use_local_part
97   transport = send_to_server_req_failcarryon
98
99
100 # ----- Transports -----
101
102 begin transports
103
104 # this will fail to verify the cert at HOSTIPV4 so fail the crypt requirement
105 send_to_server_failcert:
106   driver = smtp
107   allow_localhost
108   hosts = HOSTIPV4
109   hosts_require_tls = HOSTIPV4
110   port = PORT_D
111   tls_certificate = CERT2
112   tls_privatekey = CERT2
113
114   tls_verify_certificates = CA2
115
116 # this will fail to verify the cert at HOSTIPV4 so fail the crypt, then retry on 127.1; ok
117 send_to_server_retry:
118   driver = smtp
119   allow_localhost
120   hosts = HOSTIPV4 : 127.0.0.1
121   hosts_require_tls = HOSTIPV4
122   port = PORT_D
123   tls_certificate = CERT2
124   tls_privatekey = CERT2
125
126   tls_verify_certificates = \
127     ${if eq{$host_address}{127.0.0.1}{CA1}{CA2}}
128
129 # this will fail to verify the cert but continue unverified though crypted
130 send_to_server_crypt:
131   driver = smtp
132   allow_localhost
133   hosts = HOSTIPV4
134   hosts_require_tls = HOSTIPV4
135   port = PORT_D
136   tls_certificate = CERT2
137   tls_privatekey = CERT2
138
139   tls_verify_certificates = CA2
140   tls_try_verify_hosts = *
141
142 # this will fail to verify the cert at HOSTNAME and fallback to unencrypted
143 # Fail due to lack of correct CA
144 send_to_server_req_fail:
145   driver = smtp
146   allow_localhost
147   hosts = HOSTNAME
148   port = PORT_D
149   tls_certificate = CERT2
150   tls_privatekey = CERT2
151
152   tls_verify_certificates = CA2
153   tls_verify_hosts = *
154
155 # this will fail to verify the cert name and fallback to unencrypted
156 # fail because the cert is "server1.example.com" and the test system is something else
157 send_to_server_req_failname:
158   driver = smtp
159   allow_localhost
160   hosts = HOSTNAME
161   port = PORT_D
162   tls_certificate = CERT2
163   tls_privatekey = CERT2
164
165   tls_verify_certificates = CA1
166   tls_verify_cert_hostnames = *
167   tls_verify_hosts = *
168
169 # this will pass the cert verify including name check
170 # our stunt DNS has an A record for server1.example.com -> HOSTIPV4
171 send_to_server_req_passname:
172   driver = smtp
173   allow_localhost
174   hosts = server1.example.com
175   port = PORT_D
176   tls_certificate = CERT2
177   tls_privatekey = CERT2
178
179   tls_verify_certificates = CA1
180   tls_verify_cert_hostnames = *
181   tls_verify_hosts = *
182
183 send_to_server_req_failcarryon:
184   driver = smtp
185   allow_localhost
186   hosts = HOSTNAME
187   port = PORT_D
188   tls_certificate = CERT2
189   tls_privatekey = CERT2
190
191   tls_verify_certificates = CA1
192   tls_verify_cert_hostnames = *
193   tls_try_verify_hosts = *
194
195 # End