email - 后缀/Dovecot SSL 配置

Question

我已经配置了一个 Ubuntu 14.04 服务器并且运行良好了一段时间。上面安装并运行正常的 web、ftp 和邮件服务器。一周前，我用来连接管理控制台和邮件的 SSL 证书过期了，我继续从 StartSSL 获取了一个新证书。

新证书用于 mail.mydomain.com。 Postfix (main.cf) 配置包含以下内容:

smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
# appending .domain is the MUA's job.
append_dot_mydomain = no
# Uncomment the next line to generate "delayed mail" warnings
#delay_warning_time = 4h
readme_directory = /usr/share/doc/postfix
# TLS parameters
smtpd_tls_cert_file = /etc/postfix/mail.crt
smtpd_tls_key_file = /etc/postfix/mail.key
smtpd_use_tls = yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
myhostname = mail.mysite.com
alias_maps = hash:/etc/aliases, hash:/var/lib/mailman/data/aliases
alias_database = hash:/etc/aliases, hash:/var/lib/mailman/data/aliases
myorigin = /etc/mailname
mydestination = mail.mysite.eu, localhost, localhost.localdomain

Dovecot.conf

protocols = imap pop3
auth_mechanisms = plain login
disable_plaintext_auth = no
log_timestamp = "%Y-%m-%d %H:%M:%S "
mail_privileged_group = vmail
postmaster_address = postmaster@saturn13.eu
ssl_cert = </etc/postfix/mail.crt
ssl_key = </etc/postfix/mail.key
ssl_protocols = !SSLv2 !SSLv3

Dovecot/conf.d/10-ssl.conf

ssl = yes
ssl_cert = </etc/postix/mail.crt
ssl_key = </etc/postfix/mail.key

我读到 StartSSL 需要安装中间和根 CA，所以我尝试将它们连接到一个 ma​​il.pem 文件中，然后我继续在 Postfix 和 Dovecot 中进行设置。尽我所能，每次我运行 openSSL 测试时，结果都是这样的:

root@server:/etc/dovecot# openssl s_client -connect mail.mysite.com:465
CONNECTED(00000003)
write:errno=104
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 0 bytes and written 305 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
---

更让我困惑的是，当我尝试连接到 Thunderbird 帐户时，会出现一个弹出窗口，要求确认 www.mysite.com:443 的安全异常(exception)。

那么，你能帮我弄清楚这个配置有什么问题吗？当我在 Windows 中打开 mail.crt 文件时，一切正常。那么，为什么我无法连接到服务器，为什么 Thunderbird 尝试连接到 www 和端口 443？

谢谢!

Answer 1

对于 startssl 证书，您需要等待一天，否则 ocsp 验证将失败。

firefox 和 thunderbird 启用了 ocsp。也许这就是结核病的原因...

对于 openssl 错误，也许您使用了错误的密码？在这里查看:https://weakdh.org/sysadmin.html

你的 mail.crt 看起来像:

-----开始证书-----

..xxx..

-----证书结束-----

和你的 mail.key 一样

-----开始RSA私钥-----

...xxx...

-----结束RSA私钥-----

您不需要安装 startssl root 证书，因为它已安装在所有浏览器中...只是中间:

我正在使用的后缀

smtpd_tls_CAfile = /etc/ssl/private/sub.class1.server.ca.pem

鸽舍

ssl_ca = </etc/ssl/private/sub.class1.server.ca.pem

和 Apache

SSLCertificateChainFile /etc/ssl/private/sub.class1.server.ca.pem