Início / server / Perguntas / 1156698
Accepted
m27
Asked: 2024-03-22 06:14:42 +0800 CST

Como emito corretamente o certificado Let's Encrypt para meu servidor de e-mail?

  • 772

Como emito corretamente o certificado Let's Encrypt para meu servidor de e-mail Postfix? No momento, tenho um certificado autoassinado e recebo essas mensagens de que não é confiável.

Eu fiz certbot --nginx certonly -d mail.example.org e aparentemente é autoassinado.

postfix

3 respostas

  1. Best Answer

    Dan está correto - a --certonlyopção diz ao certbot para obter o certificado, mas não fazer nada com ele. O script terá informado onde esse certificado está agora, provavelmente /etc/letsencrypt/live/mail.example.org, como arquivos chamados cert.pem, chain.pem, fullchain.peme privkey.pem. Você entraria na configuração do Postfix e alteraria os caminhos do certificado para apontar para esses arquivos. Depois de fazer isso, é claro, você reiniciaria o Postfix.

    • 2

  2. Se bem me lembro, acredito que você pode executar o Certbot para adquirir o certificado SSL por conta própria, sem configurar seus arquivos vhost do Apache. Em seguida, você apontaria sua configuração SSL do Postfix para o diretório onde o Certbot salvou seus arquivos de certificado.

    • 0

  3. Let's Encrypt, desde o Certbot 2.0 , emite certificados ECC por padrão. Alguns sistemas de envio de correio ainda não suportam esses, mas apenas certificados RSA. Portanto, para emitir certificados corretamente para um servidor de correio Postfix, você precisaria de dois conjuntos de arquivos de certificado + chave:

    smtpd_tls_chain_files =
    /etc/letsencrypt/live/mail.example.com-ecdsa/privkey.pem,
    /etc/letsencrypt/live/mail.example.com-ecdsa/fullchain.pem,
    /etc/letsencrypt/live/mail.example.com-rsa/privkey.pem,
    /etc/letsencrypt/live/mail.example.com-rsa/fullchain.pem

    key-typeVocê pode obtê - los comentando /etc/letsencrypt/cli.inie emitindo os certificados com a --key-typeopção na linha de comando. Essa parte é crucial, porque as configurações cli.inisubstituirão as do /etc/letsencrypt/renewal/*.conf, o que interromperá as coisas na próxima renovação automática. Por exemplo,

    sudo certbot certonly \
  --cert-name mail.example.com-ecdsa \
  -d mail.example.com \
  --key-type ecdsa

sudo certbot certonly \
  --cert-name mail.example.com-rsa \
  -d mail.example.com \
  --key-type rsa

    Uma resposta mais elaborada: https://serverfault.com/a/1151326/274176

    • 0

relate perguntas