Public Mailserver mit Self-Signed-Zertifikat

[Patrick Ben Koetter]

* Stefanie Leisestreichler <stefanie.leisestreichler at peter-speer.de>:
> 
> 
> Am 22.01.19 um 11:19 schrieb Katharina Knuth:
> > Am 22.01.19 um 11:07 schrieb Andreas Reschke:
> > 
> > > Bei mir ist das relativ einfach: auf dem Rechner läuft auch der
> > > Webserver mit https. Da wird das mittels certbot erzeugte Zertifikat
> > > auch für postfix und dovecot mitverwendet.
> > > 
> > > Gruss
> > > 
> > > Andreas
> > > 
> > 
> > und genau das ist das "Problem". Dieses Zertifikat ist leider nicht
> > explizit auf die jeweilige Domain bezogen. Und da meckert jeder
> > Mailclient.
> > 
> 
> Letsencrypt bietet seit einiger Zeit auch Wildcard-Zertifikate. Damit
> meckern die Clients das Zertifikat ggfs. nicht mehr an, oder sehe ich das
> falsch?

Der CN des Zertifikats muss identisch mit dem Hostnamen des MX sein. Dafür
*kannst* Du auch ein Wildcard-Zertifikat einsetzen. Ich rate davon unbedingt
ab, denn bei Kompromittierung kannst Du das dann auch auf allen Hosts, auf
denen das Zertifikat auch noch eingesetzt wird, austauschen. Die
Angriffsfläche lasse ich mir nicht bieten. Auch Argumente wie "weniger Arbeit"
lasse ich nicht mehr gelten. Spätestens seitdem man das mit LE und
$configurationmanagement automatisieren kann, steht bestmögliche Sicherheit
für mich an erster Stelle.

Wenn Du Postfix für mehrere Domains einsetzen willst, dann gib ihm eine (1)
Identität und alle anderen Domains sollen mit ihrem MX auf diesen Host
verweisen. In jeder Domain einen mail.$domain anzulegen und den dann auf die
IP des Mailservers verweisen zu lassen ist falsch.

p at rick

-- 
[*] sys4 AG
 
https://sys4.de, +49 (89) 30 90 46 64
Schleißheimer Straße 26/MG,80333 München
 
Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263
Vorstand: Patrick Ben Koetter, Marc Schiffbauer, Wolfgang Stief
Aufsichtsratsvorsitzender: Florian Kirstein