使用 Certbot 在 nginx 网络服务器上安装 R3 Let's Encrypt 证书会导致 nginx 配置中的所有其他域包含在证书的“主题备用名称”下。这对我的用例来说是不可取的。
我在这里和这里阅读了手册页以及其他一些 Stack Exchange 帖子。
关于替代名称的使用，手册页说（我不完全理解）：
-d DOMAIN, --domains DOMAIN, --domain DOMAIN 要应用的域名。对于多个域，您可以使用多个 -d 标志或输入以逗号分隔的域列表作为参数。提供的第一个域将是证书的主题 CN，所有域都将是证书上的主题备用名称。第一个域也将用于某些软件用户界面，并用作证书和相关材料的文件路径，除非另有说明或您已经拥有同名的证书。在名称冲突的情况下，它将在文件路径名称后附加一个数字，例如 0001。（默认：询问）
使用 Certbot 安装 Let's Encrypt 证书时，如何完全指定或省略主题备用名称？如果 Certbot 不能，在使用 R3 Let's Encrypt 证书的同时还有其他方法吗？
在 Postfix 中，我们可以使用正则表达式应用一些基本的标头、正文、客户端检查。我想使用标志。
我在 header_checks 文件中添加了以下内容：
/some(\s|_|-)words(\s|_|-)here/gmi REJECT
并通过发送自己和标题中包含这些词的电子邮件来测试它，但我在邮件日志中收到错误说明unknown regexp option "g": skipping this rule
是否有适当的方法来应用标志或后缀正则表达式根本不使用或确认某些标志？
将 DNS 服务器设置为 127.0.0.1 不会阻止我的系统实际解析远程主机吗？
我的企业电子邮件服务器将 DNS 设置为给定 DNS 服务器的 ISP。我的 Spamassassin 正在传达信息URIBL_BLOCKED。这里给出的解决方案表明我应该将 DNS 服务器设置为 127.0.0.1 的本地主机，另一个类似的解决方案是这里。
这不会阻止我的系统解析其他远程主机吗？在基本的 linux (centos 7) 安装中是否有任何东西实际上能够解析该系统可能需要到达的任何远程主机？
编辑：尝试过之后，当我进行更改时，它似乎有点坏了（从它发送的电子邮件没有到达时），所以如果有人可以向我填写缺失的细节，我会非常感激。
问题：
如何诊断 ISP 特定的连接问题？
我在本地机器上托管了几个站点。我用 Centurylink 购买了一个商务舱帐户，并且有很多 5 个静态 ip。除其他 Centurylink 用户外，可从世界任何地方访问这些站点。如果我的客户没有像我一样生活在棍子里，我永远不会知道。Cox 用户、Verizon 用户、Cricket、At&t、Comcast 以及大量美国和国际互联网服务提供商可以访问我的网站和 IP 地址，但使用 Centurylink 的其他人除外。
我做了什么：
在另一个人的家中使用 Centurylink 互联网时，我尝试访问端口 80 和 443 上的每个 IP 地址。我尝试通过为该服务选择的任意端口通过 ssh 连接到服务器。我tracert在域和 IP 地址上运行并得到以下信息：
1 2ms 1ms 1ms modem.Home [192.168.0.1]
2 30ms 30ms 25ms rbflxyza84.centurylink.net [x.x.123.45]
3 29ms 30ms 33ms asdf-ghjk.inet.qwest.net [x.x.122.34]
4 29ms 30ms 33ms x.x.x.18
5 200ms 79ms 59ms x-x-45-67.orlf.qwest.net [x.x.45.67]
6 * * * Request timed out.
7 * * * Request timed out.
8 * * * Request timed out.
9 * * * Request timed out.
10 * * * Request timed out.
巧合的是 xx45.67 是我在 Google What's my ipv4 into Google 时得到的 ip 地址。如果这是正常工作，则静态 IP 地址将是下一个结果，所以我认为该请求在路由器处被阻止。
使用原始公共 IP 地址，我搜索了路由器上的访问日志和防火墙日志。没有远程IP地址的记录。根据我为其他 IP 地址设置的规则，当数据包被丢弃时，我能够找到记录。
以防万一我检查了服务器日志并没有发现远程地址的记录。
我还能在哪里检查以诊断此问题？我会问 SO Network Engineering，但他们将问题仅限于企业级问题和解决方案。
我检查了黑名单，但我的 IP 地址没有出现。我检查了路由器防火墙，但是当我的一条规则阻止了某些东西时，它会被记录下来，我可以找到记录。
我最坏情况的解决方案
在有人建议之前，我最坏的情况是通过我也管理的一些远程服务器反向代理流量。
编辑
昨晚我设置反向代理的时间比 Centurylink 的平均等待时间短。我不愿意打电话给他们，因为他们花了一个月的时间来配置我的静态 IP 地址。就像没有人理解为什么企业需要静态 IP 地址，甚至是什么。
解决方案
Michael Hampton 关于网络掩码不正确的评论是完全正确的。所有无法访问我的地址的客户端至少共享 IP 地址的前 8 位。网络掩码本应为 255.255.255.248 时为 255.0.0.0。NetworkManager 覆盖了我的设置，所以即使在正确设置之后（可能是第二次），它也会恢复到不正确的网络掩码。
PHPMailer 一直运行良好，直到 2020 年 6 月 1 日。发送电子邮件的站点的 SSL 证书在 2019 年 6 月 1 日至 2021 年 6 月 1 日期间有效，并且在浏览器中被接受，但 postfix 突然出现 TLS 问题。我可以访问电子邮件服务器和尝试发送电子邮件的 Web 服务器，并且它们在同一网络上运行。当站点尝试发送电子邮件时，我收到以下消息。
log/maillog on the email server:
Jun 9 12:26:39 12-34-56-78 postfix/submission/smtpd[3299]: connect from unknown[12.34.56.80]
Jun 9 12:26:39 12-34-56-78 postfix/submission/smtpd[3299]: SSL_accept error from unknown[12.34.56.80]: 0
Jun 9 12:26:39 12-34-56-78 postfix/submission/smtpd[3299]: warning: TLS library problem: 3299:error:14094415:SSL routines:ssl3_read_bytes:sslv3 alert certificate expired:s3_pkt.c:1493:SSL alert number 45:
Jun 9 12:26:39 12-34-56-78 postfix/submission/smtpd[3299]: lost connection after STARTTLS from unknown[12.34.56.80]
Jun 9 12:26:39 12-34-56-78 postfix/submission/smtpd[3299]: disconnect from unknown[12.34.56.80]
我检查了 postfix 或 PHPMailer 的配置文件都没有更改。它们的日期仍为 2019 年的最后一次修改。
我不想禁用“验证对等点”，因为它确实应该验证对等点。我只是不知道为什么它在证书没有更改时停止工作，但我确信日期不仅仅是巧合。我该如何解决这个问题以及如何首先防止这种情况发生？
** 编辑 **
就我而言，问题是 CA 捆绑包已过期，即使证书有效。我认为它们必须放在同一个文件中以进行后缀配置。
我完全误解了哪一方与哪一方有问题。在这种情况下，客户的电子邮件服务器存在问题。
修理：
检查 postfix/main.cf （或任何你的文件命名）
查找指定的行smtpd_tls_cert_file
将该文件替换为当前证书（包括 CA 捆绑包）
编辑：
我有以下人员颁发的证书，其根 CA 捆绑已过期 https://www.ssls.com/knowledgebase/sectigo-root-certificate-expiring-may-30-2020/
在 Azure 中配置 Windows Server 2008 R2 Datazenter VPS 时，有一个问题，
已经拥有 Windows Server 许可证？
我选择了“否”，并预计实例的成本将包括许可证，因为信息气泡说，
如果您拥有具有有效软件保障 (SA) 的 Windows 许可证或拥有有效的 Windows Server 订阅，请使用 Azure 混合权益来节省计算成本。
通过远程桌面连接访问服务器时，该实例指示 windows 未激活并且需要产品密钥。
https://azure.microsoft.com/en-us/pricing/licensing-faq/状态：
默认情况下，在 Azure 环境中运行 Windows Server 的许可包含在 Windows 虚拟机的每分钟成本中。
那么关键在哪里呢？
需要澄清 nginx 反向代理服务器上的上游 SSL
我一直在阅读有关反向代理和保护与上游服务器的 ssl 连接的 nginx 文档，但我仍然对哪些 ssl 证书去哪里感到困惑。我发现的许多示例都有 nginx 代理 localhost，但我的情况是端点位于不同的服务器、端口和物理位置。
我想在 nginx 服务器上解析几个域。这些域中的每一个在其当前服务器上都有一个用于其实际域名的 ssl 证书。
现在我让每台服务器都在它自己的网络位置和物理位置运行，但我希望有一个点来管理这些端点。
我的最终结果应该看起来像
client
|
nginx
https://example1.com
https://example2.com
https://example3.com
x.x.x.x
|
-----------------------------------------
| | |
https://example1.com https://example2.com https://example3.com
a.b.c.d:1234 e.f.g.h:5678 i.j.k.l:9012
现在https://example1.com解析为 abcd:1234 ，它安装了自己的 ssl 证书。因为我需要向客户端表示 nginx 服务器正在为域 example1.com 服务，所以我认为我需要将 example1.com ssl 移动到前端运行的 nginx 服务器，对吗？如果我这样做，我在 abcd:1234 上使用什么 ssl 证书来维护安全的上游连接？
nginx 文档说 client.crt 和 server.crt，但 CA 使用域来注册这些。反向代理情况下的客户端和服务器是什么？对我来说，客户端是发出请求的浏览器。
哪些 ssl 证书位于反向代理上？
编辑：
我已经知道你可以通过简单地将基于 url 的证书放在代理服务器上来看起来像你有一个安全的连接。我希望知道在后端服务器上放置什么 ssl 证书。只是重复使用他们各自的证书？example1.com.crt代理服务器和后端服务器都可以吗？
我正在安装一个新证书，就像我以前做过几十次一样。我复制了名称 crt、key、bundle 文件作为备份，并为新文件提供了旧文件的名称。然后我重新启动了apache。它失败了。它给出了如下所示的错误。
我尝试重新启动服务器。再次检查，没有区别。我删除了新上传的文件并替换为备份副本，然后再次尝试重新启动。它仍然给出相同的信息。我以前从未见过这个错误。配置文件没有任何更改。
1）了解Apache内部工作原理的人，为什么会试图杀死一个不存在且找不到的进程？
2）既然它不存在，那为什么会阻止 Apache 启动？
须藤 systemctl 状态 httpd：
● httpd.service - The Apache HTTP Server
Loaded: loaded (/usr/lib/systemd/system/httpd.service; enabled; vendor preset: disabled)
Active: failed (Result: exit-code) since Thu 2018-12-06 23:12:20 EST; 9s ago
Docs: man:httpd(8)
man:apachectl(8)
Process: 3615 ExecStop=/bin/kill -WINCH ${MAINPID} (code=exited, status=1/FAILURE)
Process: 3613 ExecStart=/usr/sbin/httpd $OPTIONS -DFOREGROUND (code=exited, status=1/FAILURE)
Main PID: 3613 (code=exited, status=1/FAILURE)
Dec 06 23:12:20 myHostsystemd[1]: Starting The Apache HTTP Server...
Dec 06 23:12:20 myHostsystemd[1]: httpd.service: main process exited, code=exited, status=1/FAILURE
Dec 06 23:12:20 myHostkill[3615]: kill: cannot find process ""
Dec 06 23:12:20 myHostsystemd[1]: httpd.service: control process exited, code=exited status=1
Dec 06 23:12:20 myHostsystemd[1]: Failed to start The Apache HTTP Server.
Dec 06 23:12:20 myHostsystemd[1]: Unit httpd.service entered failed state.
Dec 06 23:12:20 myHostsystemd[1]: httpd.service failed.
sudo journalctl -xe 只是说同样的话。
服务器运行centOS 7。Apache版本为2.4.6。
在我安装的 MySQL 中，数据库文件位于./var/lib/mysql. 我想将其中一个数据库移动到另一个驱动器，所以我按照说明将一个数据库移动到不同的目录，并将数据库的数据文件复制到不同的驱动器，与原始目录同名的符号链接数据库文件夹。将目录和指向 mysql 的符号链接都重复命名，与./var/lib/mysql.
当我重新启动 MySQL 时，一切都运行良好，但有问题的数据库丢失了（不重要，因为这是一个空运行。）我检查了日志并有以下错误：
2018-07-28T02:43:59.449437Z 0 [Warning] InnoDB: Ignoring tablespace `sf_master/tablename` because it could not be opened.
2018-07-28T02:43:59.449465Z 0 [ERROR] InnoDB: The error means the system cannot find the path specified.
2018-07-28T02:43:59.449474Z 0 [ERROR] InnoDB: Cannot open datafile for read-only: './sf_master/tablename.ibd' OS error: 71
我将 selinux 设置为 permissive 以查看这是否是问题，但错误是相同的。
我在 my.cnf 中确认了这一点，symbolic-links=1并且在重新启动时我已经innodb_force_recovery = 1
数据文件夹如下所示：
-rw-r-----. 1 mysql mysql 56 Apr 24 2017 auto.cnf
drwxr-x---. 2 mysql mysql 4096 Apr 24 2017 mysql
drwxr-x---. 2 mysql mysql 4096 Dec 6 2017 operators
lrwxrwxrwx. 1 mysql mysql 16 Jul 27 22:33 sf_master -> ./nvme/sf_master
drwxr-x---. 2 mysql mysql 8192 Apr 24 2017 sys
笔记：
我在 serverfault 上发布了这个问题，因为我认为这个问题与我对符号链接的理解以及它们在 linux 文件系统中的目录上的使用方式或可能的权限有关。我正在运行一个centos 7服务器。
更新：
根据 Wilson Hauck 的要求，更正的目录是：
-rw-r-----. 1 mysql mysql 56 Apr 24 2017 auto.cnf
drwxr-x---. 2 mysql mysql 4096 Apr 24 2017 mysql
drwxr-x---. 2 mysql mysql 4096 Dec 6 2017 operators
lrwxrwxrwx. 1 mysql mysql 16 Jul 27 22:33 sf_master -> /nvme/sf_master
drwxr-x---. 2 mysql mysql 8192 Apr 24 2017 sys
这实际上只是一个非常愚蠢的拼写错误。
简短的问题：
如何仅在单个主机 IP 地址上启用端口转发？
背景故事：
我的 Centos 7 服务器有 5 个 IP 地址。以前，我让 apache 监听所有这些，以及分配给那些通过虚拟主机解析的 IP 地址的各种域。
我更改了Listenhttpd.conf 中的指令，现在 apache 只监听 4 个 IP 地址
使用 node.js 我创建了另一个服务器实例，但它不会让我在没有提升权限的情况下监听标准端口 80。我不想以提升的权限运行它。
我想将端口 80 端口转发到类似 8080 的端口，但仅限于一个 IP 地址，而不影响指向其他 4 个 IP 地址的流量。其他 IP 地址上的流量不受规则影响，这一点很重要。
我认为解决方案将类似于：
firewall-cmd --zone=public --add-masquerade --permanent
firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=8080 --permanent
我发现的其他问题和答案与源 IP 地址而不是主机 IP 地址有关。
sendmail的出站ip地址怎么设置？
有几十个教程，但大多数只是告诉你设置什么而没有解释任何内容，并且大多数都假设你正在运行虚拟机并且只有一个静态 IP。
设置 服务器是运行 centos 7 的物理机，在 LAN 和 SElinux 中打开端口 25，并启用从 apache 发送电子邮件的选项。当我尝试发送出站电子邮件时，我不断收到超时错误。我已经在 gmail、yahoo 和 godaddy 电子邮件上进行了测试。
当我使用nmap --traceroutecURL 进行测试时，我看到我的出站连接正在通过动态 IP 地址，该地址的端口 25 被 isp 阻止。
我仍然需要从 LAN 连接，因为 ssh 和大多数其他端口都对外界关闭。25、80、443 和其他几个端口对外界开放。除了端口 25 之外的所有端口似乎都由其关联的应用程序正确处理。
的输出ip show
$ ip route show
default via 192.168.1.254 dev enp4s0f0 proto static metric 100
default via 108.223.xxx.222 dev enp4s0f1 proto static metric 101
default via 108.223.xxx.222 dev enp4s0f3 proto static metric 102
108.223.xxx.217 dev enp4s0f1 proto kernel scope link src 108.223.xxx.217 metric 100
108.223.xxx.217 dev enp4s0f3 proto kernel scope link src 108.223.xxx.217 metric 101
108.223.xxx.218 dev enp4s0f1 proto kernel scope link src 108.223.xxx.218 metric 100
108.223.xxx.218 dev enp4s0f3 proto kernel scope link src 108.223.xxx.218 metric 101
108.223.xxx.219 dev enp4s0f1 proto kernel scope link src 108.223.xxx.219 metric 100
108.223.xxx.219 dev enp4s0f3 proto kernel scope link src 108.223.xxx.219 metric 101
108.223.xxx.220 dev enp4s0f1 proto kernel scope link src 108.223.xxx.220 metric 100
108.223.xxx.220 dev enp4s0f3 proto kernel scope link src 108.223.xxx.220 metric 101
108.223.xxx.221 dev enp4s0f1 proto kernel scope link src 108.223.xxx.221 metric 100
108.223.xxx.221 dev enp4s0f3 proto kernel scope link src 108.223.xxx.221 metric 101
108.223.xxx.222 dev enp4s0f1 proto static scope link metric 100
108.223.xxx.222 dev enp4s0f3 proto static scope link metric 101
192.168.1.0/24 dev enp4s0f0 proto kernel scope link src 192.168.1.71 metric 100
192.168.1.71 dev enp4s0f3 proto kernel scope link src 192.168.1.71 metric 100
来自邮件日志的错误
Dec 16 18:14:53 localhost sendmail[77855]: vBGNErI1077873: [email protected], ctladdr=cdata (1000/1000), delay=00:00:00, xdelay=00:00:00, mailer=relay, pri=30014, relay=[127.0.0.1] [127.0.0.1], dsn=2.0.0, stat=Sent (vBGNErDq077874 Message accepted for delivery)
Dec 16 18:24:12 localhost sendmail[77855]: vBGGdu99077513: to=<[email protected]>, ctladdr=<[email protected]> (1000/1000), delay=06:44:16, xdelay=00:10:00, mailer=esmtp, pri=750469, relay=alt4.gmail-smtp-in.l.google.com. [108.177.15.26], dsn=4.0.0, stat=Deferred: Connection timed out with alt4.gmail-smtp-in.l.google.com.
Dec 16 18:24:12 localhost sendmail[77855]: vBGGAGt4077433: to=<[email protected]>, ctladdr=<[email protected]> (1000/1000), delay=07:13:56, xdelay=00:00:00, mailer=esmtp, pri=840469, relay=alt4.gmail-smtp-in.l.google.com., dsn=4.0.0, stat=Deferred: Connection timed out with alt4.gmail-smtp-in.l.google.com.
Dec 16 18:24:12 localhost sendmail[77855]: vBGFweLX077340: to=<[email protected]>, ctladdr=<[email protected]> (1000/1000), delay=07:25:32, xdelay=00:00:00, mailer=esmtp, pri=930469, relay=alt4.gmail-smtp-in.l.google.com., dsn=4.0.0, stat=Deferred: Connection timed out with alt4.gmail-smtp-in.l.google.com.
netstat -tuplen | grep 25检查端口 25 是否打开的输出
$ sudo netstat -tuplen | grep 25
tcp 0 0 0.0.0.0:25 0.0.0.0:* LISTEN 0 93443 10849/sendmail: acc
编辑：这被标记为关于转发 gmail 电子邮件的讨论的重复的答案。我不认为那是我所要求的。我正在尝试从我的服务器、我的域和 IP 地址发起一封电子邮件，并将其发送到远程电子邮件服务器。我阅读了该答案并试图收集一些见解，但我认为它不相关。如果是，请解释它是如何相关的。
接受答案后编辑：CentOS 6.2 sendmail 的答案：如何控制将邮件中继到 mx.google.com 时使用的 ip 号码实际上是正确的答案，但我永远不会这样认为，因为我不认为我正在转发一封电子邮件。感谢大家帮助我完成它。