Certificado RSA adicional da Let's Encrypt (Certbot)

Existem algumas respostas com soluções que requerem scripts personalizados. Esta solução depende inteiramente da configuração do Certbot. As seguintes suposições são feitas. Se isso for diferente em sua configuração, altere as instruções de acordo com suas necessidades.

• Existe um certificado ECC configurado para mail.example.comusá-lo como nome do certificado ( --cert-name); renovação configurada em /etc/letsencrypt/renewal/mail.example.com.confetc.

• Os padrões do Certbot são configurados por meio do arquivo de configuração /etc/letsencrypt/cli.ini . Este exemplo usa certificados ECC com uma secp384r1curva mais forte (default secp256r1) e tamanho de chave RSA aumentado 4096(default 2048), bem como um autenticador pré-configurado :

  # Because we are using logrotate for greater flexibility, disable the
  # internal certbot logrotation.
  max-log-backups = 0
  
  # Use ECC for the private key
  key-type = ecdsa
  elliptic-curve = secp384r1
  
  # Use a 4096 bit RSA key instead of 2048
  rsa-key-size = 4096
  
  # Use webroot authenticator; common webroot for all sites
  authenticator = webroot
  webroot-path = /var/www/letsencrypt
  

Você pode replicar o cli.iniarquivo com o tipo de chave RSA usando:

sed -E 's/key-type.?=.?ecdsa/key-type = rsa/' /etc/letsencrypt/cli.ini \
  | sed 's/^# Use ECC/# Use RSA/' \
  | sudo tee /etc/letsencrypt/cli-rsa.ini

A configuração principal é key-type = rsa. O arquivo é replicado para que isso não altere a configuração padrão de todos os novos certificados. Neste exemplo, o comando cria cli-rsa.initendo:

# Because we are using logrotate for greater flexibility, disable the
# internal certbot logrotation.
max-log-backups = 0

# Use RSA for the private key
key-type = rsa
elliptic-curve = secp384r1

# Use a 4096 bit RSA key instead of 2048
rsa-key-size = 4096

# Use webroot authenticator; common webroot for all sites
authenticator = webroot
webroot-path = /var/www/letsencrypt

Você pode usar o arquivo de configuração para solicitar outro certificado para o arquivo mail.example.com. Deve --cert-nameser diferente do certificado ECC, pois estamos solicitando um certificado RSA adicional em vez de substituir o atual. Por exemplo,

sudo certbot certonly \
  --cert-name mail.example.com-rsa \
  -d mail.example.com \
  -c /etc/letsencrypt/cli-rsa.ini

Se o seu método de renovação estiver configurado corretamente, você deverá obter:

Requesting a certificate for mail.example.com

Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/mail.example.com-rsa/fullchain.pem
Key is saved at:         /etc/letsencrypt/live/mail.example.com-rsa/privkey.pem

Você precisará desses caminhos na configuração do Postfix.

Vários certificados no Postfix

Com o suporte Postfix TLS você pode configurar vários certificados ao mesmo tempo. Desde o Postfix 3.4 é recomendado usar o smtpd_tls_chain_filesparâmetro (em vez do legado smtpd_tls_cert_file& smtpd_tls_key_filepara RSA & smtpd_tls_eccert_file& smtpd_tls_eckey_filepara ECDSA).

Vale a pena notar que:

Você também pode armazenar as chaves separadamente de seus certificados, novamente desde que cada uma esteja listada antes da cadeia de certificados correspondente. Não é recomendado armazenar uma chave e sua cadeia de certificados associada em arquivos separados, pois isso é propenso a condições de corrida durante a substituição de chave, pois não há como atualizar vários arquivos atomicamente.

No entanto,

• Certbot armazena a chave e a cadeia em arquivos separados.
• Você pode configurar --deploy-hookum script que seja executado systemctl reload postfixem uma renovação bem-sucedida.

Exemplo de configuração para o main.cf; preste atenção na ordem correta: cada chave privada antes de cada cadeia de certificados:

smtpd_tls_chain_files =
    /etc/letsencrypt/live/mail.example.com/privkey.pem,
    /etc/letsencrypt/live/mail.example.com/fullchain.pem,
    /etc/letsencrypt/live/mail.example.com-rsa/privkey.pem,
    /etc/letsencrypt/live/mail.example.com-rsa/fullchain.pem