Apache Webserver - Zertifikat ungültig (Hostname stimmt nicht überein)

[IceHawk66]

Guten Abend,

ich habe neue Zertifikate auf meinem Debian Server eingebunden (von startssl.com) und bekomme nun bei mailserver checks diese Warnung bzw. diesen Fehler:



Auch im Mail-Programm kommt die Meldung: "Die Identität von smtp.mydomain.de kann nicht überprüft werden" .... "Dieses Zertifikat ist ungültig (Hostname stimmt nicht überein)".

Kann mir dabei jemand helfen?

Danke im vorraus.

 

[Yuuri]

Wahrscheinlich weil du für domain.tld ein Zertifikat hast, nicht aber für smtp.domain.tld.

 

[NameHere]

Du brauchst ein *.domain Zertifikat (Wildcardzertifikat)

 

[IceHawk66]

Ah ok.

Gibt es solche Wildcardzertifikate auch kostenlos bzw. sehr kostengünstig wie bei startssl?

Ich schaue gerade, ob das bei startssl irgendwo geht, aber habe bislang nichts gefunden.

 

[NameHere]

http://www.startssl.com/?app=40 >ab dem 2. Zertifikat so wie es aussieht

oder PSW Group in Deutschland
http://www.psw-group.de/ssl-zertifikate.html

Das Bronze von Geotrust für 39,- Domainvalidierte Multidomainzertifikate

1 Domain + 3 Subdomains. Reicht dir das?

 

[IceHawk66]

Muss leider sagen, dass es mir dann (noch) nicht wert ist, soviel Geld für einen privaten Mailserver auszugeben. Ich vertraue meinem Mailserver ja selbst und bei einigen Checks kam heraus, dass die Mails auch mittels TLS 1.2 und AECDH-AES256-SHA verschickt werden. Oder bringt mir das Zertifikat noch andere Vorteile?

 

[NameHere]

Es sagt das es tatsächlich von dieser Emailaddy (domain) kommt. Zertifikat asugestellt für diese Domain etc.
Hast du versucht ein kostenloses Zertifikat auf smtp.domain auszustellen?

 

[IceHawk66]

Ich habe mydomain.de genommen und dann musste ich während der Registrierung eine Subdomain auswählen (mail.mydomain.de hab ich dann genommen, weil das die des Webinterfaces des Mailserver ist und gleichzeitig Posteingangsserver ist)

 

[metalpinguin]

Du musst das Zertifikat auch im Mailserver einrichten Der Apache ist nur Web nicht der Mail-Server.

 

[Yuuri]

Mal so nebenbei, es ist eigentlich vollkommen egal was du bei IMAP/POP/SMTP-Server einträgst, hauptsache der Server reagiert korrekt auf die Ports und mail./imap./smtp.domain.tld löst auf die gleiche IP auf (der Mail-Server darf natürlich dann nicht Host-basierend reagieren). Von daher kannst du im Thunderbird einfach nur domain.tld angeben, dann klappt das auch mit der Gültigkeit des SSL-Zertifikats und brauchst keinen Wildcard-Blödsinn oder ein Zweites o.ä.

 

[Daaron]

Nun ja, ein Vorteil absolut korrekter Verschlüsselung wäre durchaus denkbar: Andere Mailserver könnten dann verschlüsselt mit deinem kommunizieren.

Insgesamt: Kein Apache-Problem sondern eines des Mailservers (z.B. Postfix, Courier, Dovecot,...). Wenn das Gratis-Cert von StartSSL bereits auf domain.tld und mail.domain.tld eingerichtet wurde (übrigens: ziemlich komisch. normalerweise nimmt man www. als Subdomain. Macht sonst bei Besuchern der Seite gelegentlich Probleme), dann muss man Cert&Key natürlich auch im Mailserver einrichten, nicht nur im Apache.

 

[IceHawk66]

@Yuuri: Ich weiß nicht, ob ich das richtig verstehe, aber wenn ich die Domains mit ping -a mail.domain.de oder smtp.domain.de anpinge, kommt immer die selbe IP. Ich habe jetzt mal Testweise statt smtp.domain.de mail.domain.de eingetragen, dann werde ich vom Mail Programm gefragt: "Mail möchte mit dem Schlüssel "www.startssl.com" Ihres Schlüsselbundes signieren" (Das scheint dann ja geklappt zu haben). Allerdings bekomme ich immer noch den Fehler bei dem Online-Mailserver check (siehe Screenshot im ersten Post).

Was mich wundert: Unter "Hostname/IP Address" steht mail.domain.de.domain.de (also aneinander) und dadrunter steht dann die IP des Servers. Woher kommt der Wert? Ich habe das Gefühl, da ist was falsch.

@Daaron: Zertifikat habe ich im Dovecot, Postfix und Apache eingebunden.

 

[Daaron]

Natürlich ist da was falsch. Dein MX Record ist wahrscheinlich irgendwie bekloppt gesetzt. Mach die Probe aufs Exempel und schau nach, wie genau der MX Record definiert ist. Für Linux kann man dafür wunderbar das Tool "dig" einsetzen,
z.B. "dig computerbase.de mx"
;; ANSWER SECTION:
computerbase.de. 3555 IN MX 10 mail.computerbase.de.

 

[IceHawk66]

Hab das mal mit http://www.digwebinterface.com/ getestet.

Ausgabe ist:

domain.de.	3587	IN	MX	10 mail.domain.de.domain.de.

So sieht das in der Domainverwaltung aus.

 

[Daaron]

Dann schreib in der Verwaltung bloß "mail".

 

[IceHawk66]

MX passt, hatte das eig gestern gestestet, dann konnte ich keine mails mehr verschicken oder empfangen. Läuft aber jetzt.

Allerdings wird mir immer noch angezeigt, dass das Root-Zertifikat unbekannt sei.

Edit: Bei einem anderen Mailserver sieht das so aus (ist auch von startssl glaub ich):



bei mir so:

 

[Daaron]

Du musst die komplette Chain einbinden.

 

[IceHawk66]

Allgemein irgendwo oder bei jedem Programm einzelnd (Postfix, Apache, Dovecot)?

Ich habe folgende Dateien:

csr.pem + privkey.pem (selbst erstellt mittels: "openssl req -nodes -new -newkey rsa:2048 -out csr.pem")
ca.pem, ssl.crt, startssl zertifikat.p12, sub.class1.server.ca.pem (von startssl bekommen)

Ich weiß nicht genau, wie ich die einbinden soll.

Edit:
Habe es nun mit folgendem Tutorial gelöst: https://gerritbeine.com/blog/2014/02/21/postfix-und-dovecot-mit-startssl-zertifikaten/

Falls jemand auf ein ähnliches Problem stoßen sollte und das Tutorial abarbeiten, ein kleiner Hinweis:

cat private/server.crt startssl/sub.class2.server.ca.pem > private/server_with_chain.pem

Am Ende ist das nicht server_with_chain.pem sondern .crt
Weiterhin sah die Datei bei mir in der Mitte so aus:

-----END CERTIFICATE----------BEGIN CERTIFICATE-----

Da ging dann gar nichts mehr, nachdem ich nach 5x "-" nach END CERTIFICATE einen Zeilenumbruch gemacht habe und danach postfix und dovecot neugestartet hatte, lief es.

Danke an alle, die mir hier so viel geholfen haben!!!