Может ли альтернативное имя субъекта содержать несколько виртуальных почтовых доменов?
В настоящее время я использую сервер postfix с самозаверяющими сертификатами, обслуживающими один почтовый домен, mycompany.com, почтовый сервер mail.mycompany.com, а также CN сертификата. Теперь мне нужно добавить новый домен к нему. Новое доменное имя mycompany.net для того же сервера.
Поскольку у пользователей уже есть корень старого сертификата, я хотел бы использовать его повторно. Однако я хотел бы выпустить новый сертификат, чтобы пользователи, использующие SMTP из Outlook/Thunderbird из mail.mycompany.net, не получали предупреждений. Если я правильно понимаю, если я выпущу новый сертификат с CN=mail.mycompany.com и subjectAltName=DNS:mail.mydomain.net и получу postfix, клиент не будет жаловаться на то, что cn не соответствует цели имя хоста. Правильно ли я в этом предположении или я неправильно понимаю концепцию альтернативного имени субъекта?
Просто чтобы избежать разговоров, я не хочу, чтобы пользователи по адресам mycompany.net использовали сервер mycompany.com, потому что мне (не из-за технических проблем) пришлось бы разделиться на два разных места, и я хочу создать легко перенастраиваемую установку,
1 ответ
Вам нужно установить subjectAltName для всех записей DNS (или IP), которые вы хотите использовать. В вашем случае это было бы
subjectAltName=DNS:mail.mydomain.net,DNS:mail.mycompany.com
CN на самом деле не рекомендуется в RFC, и может быть полностью опущен. Если он используется, он должен быть установлен на любое значение расширения subjectAltName.
ПРИМЕЧАНИЕ. Я говорю здесь о RFC2818, который определяет HTTP поверх TLS. Но поскольку ни SMTP, ни универсальный RFC TLS не упоминают поле сертификата, которое будет использоваться для сопоставления имен, это лучшая ставка, о которой я знаю.