email - SSL 连接到邮件服务器。受信任的 ssl 证书被邮件客户端拒绝

Question

我有 godaddy 的域和 4 个子域的 2048 位证书。[www.site.com、mail.site.com 等]

标准多域 (UCC) SSL 最多 5 个域 - 1 年(每年)

该证书在 Apache 中工作正常，ssl 网络检查器显示 OK，浏览器在地址字符串中显示绿线。

我已将此证书添加到邮件守护程序，它也已被 Exim 接受。

当某些客户端尝试通过邮件服务器发送带有 SSL/TLS 连接的邮件时，邮件程序会显示“证书错误”，但会显示正确的可信信息。

客户端连接到主机名:mail.server.com，服务器的主机名是:ns1.server.com(未添加到证书)，邮件服务器说:220 ns1.site.com ESMTP Exim 4.73

测试的邮件客户端:iPAD 邮件客户端、Mozilla Thunderbird、Mac 邮件客户端

请帮忙。

更新:

Godaddy 的 ssl 检查器说:SSL 信任链已损坏!

Answer 1

这里有几件事情要检查:

1. 邮件客户端在 TCP 连接中使用的主机名是否在服务器证书中列为主题专有名称的通用名称 (CN)？

2. 如果不是，是否在主题备用名称 X509 v3 证书扩展中使用类型“DNS:”列出？

3. 如果以上都不是，您可能会遇到“远程证书名称不匹配”(或类似命名的错误。)

4. 如果列出来，则寻找证书的Issuer，Issuer的Issuer等，一直到链的根证书。根证书应该安装在客户端机器上，在您使用的任何客户端(Windows、Mozilla、Java keystore 等)的“受信任的根”证书存储中

5. 如果安装了根证书，然后查看中间证书，如果链中有任何中间证书(在根证书和服务器证书之间)。它们必须在本地安装，或者与服务器证书一起从服务器到达——服务器每次都发送它们，或者您已经在客户端安装了中间证书。无论哪种方式，他们都必须在场接受服务器证书。