Como construir um certificado encadeado para o Dovecot?

Question

Eu tenho um certificado padrão Dovecot "dovecot.pem" que é para localhost.
Meu cliente de e-mail usa "domain1" e "domain2" como hosts de e-mail.
Por isso, tenho mais dois certificados auto-assinados "domain1.crt" e "domain2.crt".

Agora, como eu crio um certificado ssl encadeado para o Dovecot, incluindo domain1 e domain2?

    

Answer 1

Now, how do I create a chained ssl certificate for Dovecot, including domain1 and domain2?

O termo certificado encadeado é usado quando há certificados intermediários entre um certificado e o certificado raiz.

Seu objetivo final é fornecer serviço de dovecot com SSL para vários domínios. Sua configuração atual dovecot está usando o padrão localhost.pem e você deseja que o dovecot a sirva com certificado para dois domínios. Então, temos duas soluções alternativas aqui:

1. Gere novo certificado autoassinado com o Subject Alternative Name (SAN). Você pode usar algum tutorial em

   • SO pergunta: Como pode Gerar um certificado autoassinado com SubjectAltName usando o OpenSSL?
   • Pergunta do SF: OpenSSL: como Gere um CSR com Nomes Alternativos de Assunto solicitados de forma interativa

2. Use recursos SNI do Dovecot Server . Infelizmente, isso só funciona com o suporte ao cliente TLS SNI (Server Name Indication). Para fazer isso você precisa do parâmetro local_name .

   local_name imap.example.org {
     ssl_cert = </etc/ssl/certs/imap.example.org.crt
     ssl_key = </etc/ssl/private/imap.example.org.key
   }
   
   local_name imap.example2.org {
     ssl_cert = </etc/ssl/certs/imap.example2.org.crt
     ssl_key = </etc/ssl/private/imap.example2.org.key
   }
   

A outra alternativa é usar o IMAP de domínio único e global para o seu servidor. Por exemplo, em vez de dizer ao cliente para se conectar com "domain1" ou "domain2", você pode dizer para se conectar com "myimap.example.com", que lida com "domain1" e "domain2". Muitos clientes IMAP e POP3 não têm recursos SNI com eles.