O Subject Alternative Name pode acomodar vários domínios de correio virtual?

Question

Atualmente, estou executando um servidor postfix com certificados auto-assinados que atendem a um domínio de e-mail, minhaempresa.com, o servidor de e-mail é mail.minhaempresa.com e também o CN do certificado. Agora, preciso adicionar um novo domínio a ele. O novo nome de domínio é mycompany.net para o mesmo servidor.

Como os usuários já têm a raiz do certificado antigo, gostaria de reutilizá-lo. No entanto, gostaria de emitir um novo certificado para que os usuários que usam o SMTP do Outlook / Thunderbird de mail.mycompany.net não recebam avisos. Se bem entendi, se eu emitir um novo certificado com CN = mail.mycompany.com e subjectAltName = DNS: mail.mydomain.net e ter o postfix para isso, o cliente não reclamará de qualquer maneira sobre o cn não corresponder ao destino nome de anfitrião. Estou correto nesta suposição ou estou entendendo mal o conceito de nome alternativo do sujeito?

Apenas para evitar conversas, não quero que os usuários dos endereços da minhaempresa.net usem o servidor minhaempresa.com porque eu posso (não um problema técnico) ter que dividir em dois locais diferentes e quero produzir um configuração facilmente migrável.

    

Answer 1

Você precisa definir o subjectAltName para todas as entradas de DNS (ou IP) que deseja usar. No seu caso, isso seria

subjectAltName=DNS:mail.mydomain.net,DNS:mail.mycompany.com

O CN é realmente obsoleto no RFC, e pode ser completamente omitido. Se for usado, deve ser configurado para o valor da extensão subjectAltName.

NOTA: Estou falando de RFC2818 aqui, que define o HTTP por TLS. Mas como nem o SMTP nem o RFC TLS genérico mencionam o campo de certificado a ser usado para correspondência de nomes, esta é a melhor aposta que conheço.