SSL-сертификат Dovecot не принимается
У меня есть сертификаты, выданные StartSSL, который является доверенным органом для сертификатов, и мои веб-сайты работают с его сертификатами без проблем и без жалоб со всех браузеров на любые проблемы с доверием.
Теперь я хотел запрограммировать то же самое в Dovecot, чтобы получать мои электронные письма с сертифицированным SSL. Поэтому я использую IMAP для получения почты, скажем, через адрес mail.myweb.com. Я пошел в StartSSL и выдал сертификат для этого субдомена (это то, что я всегда делаю, чтобы получить любой субдомен, который я хочу иметь с SSL через сервер Apache).
Теперь я взял этот сертификат и определил, что это будет сертификат, который я хочу использовать для этого доменного имени (используя SNI) в Dovecot, добавив следующее в dovecot.conf
local_name mail.myweb.com {
ssl_cert = </path/to/certificate/ssl.crt
ssl_key = </path/to/privatekey/priv.key
}
Хотя этот процесс прекрасно работает на сервере Apache, и мои браузеры довольны зеленым замком без проблем с подписью на моих сертификатах, thunderbird настоял, чтобы я подтвердил этот сертификат как исключение.
Я подтвердил, что сертификат, который получает Thunderbird, является правильным, изучив детали сертификата.
В чем может быть причина? Thunderbird просто параноик, и я должен купить сертификат?
Если вам нужна дополнительная информация, пожалуйста, дайте мне знать.
Спасибо.
2 ответа
Возможно, вам не хватает промежуточного сертификата.
AFAIK Dovecot не имеет опции цепочечного сертификата, как, например, в Apache, вам нужно объединить промежуточный сертификат в один файл с вашим общедоступным сертификатом:
- Подписанный сертификат для вашего домена
- Средний CA сертификат
- Root CA-сертификат
Получите правильный промежуточный сертификат по http://www.startssl.com/certs/ (возможно, sub.class1.server.ca.pem), а затем, например:
cp /path/to/certificate/ssl.crt dovecot.crt
cat sub.class1.server.ca.pem >> dovecot.crt
В дополнение к ответу HBruijn я хотел бы поделиться с вами тем, что установка такого созданного сертификата в Webmin/Virtualmin не работает (ошибка: "Строка 46 не похожа на формат PEM"). Я обошел это ограничение, сначала установив сертификат домена, а после установки связав его с промежуточным сертификатом.