+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

[РЕШЕНО] SSL для TLS, Proxmox Mail Gateway

zolthar

Guest

23.01.2021 23:51:00

Спасибо заранее всем, кто поможет. Я настроил PMG 6.3-5 и обновил файл: /etc/pmg/pmg-api.pem. Для GUI всё работает нормально, проверка проходит. Вся почта проходит без шифрования. Но когда я пытаюсь подключиться через Thunderbird к портам 25/26 с TLS, он выдаёт предупреждение о самоподписанном сертификате. Я проверил с помощью NetCat, и на обоих портах отображается 250-STARTTLS:

Код:
admin@splaam:~$ nc -v localhost 26
DNS fwd/rev mismatch: localhost.domain.com.au != ip6-localhost
localhost.domain.com.au [127.0.0.1] 26 (?) открыт
220 splaam.domain.com.au Mail Gateway
ehlo test.com
250-splaam.domain.com.au
250-PIPELINING
250-SIZE 52430000
250-VRFY
250-ETRN
250-STARTTLS
250-ENHANCEDSTATUSCODES
250-8BITMIME
250-DSN
250-SMTPUTF8
250 CHUNKING

Я перезагружал сервер — как правильно обновить SSL для этих подключений?

elmo

Guest

16.04.2021 00:15:00

Файл 'pmg-api.pem' и файл 'pmg-tls.pem' могут содержать одну и ту же цепочку сертификатов? Например, если в pmg-api.pem установлен действительный, купленный сертификат, можно ли просто сделать копию командой 'cp pmg-api.pem pmg-tls.pem'?

Stoiko Ivanov Guest	#3 0 16.04.2021 12:01:00 должно работать

elmo Guest	#4 0 17.04.2021 23:01:00 Да, действительно. Спасибо!

CRCinAU

Guest

11.05.2022 19:57:00

Просто чтобы воскресить эту тему... У меня стоит PMG 7.1-2 — и несмотря на то, что у меня есть аккаунт в ACME, а cert pmg-api.pem — это правильный сертификат от Let's Encrypt, файл `pmg-tls.pem`, похоже, самоподписанный сертификат. Если я заменю один на другой, чтобы Оба использовали сертификат Let's Encrypt, будет ли PMG автоматически обновлять их оба через аккаунт ACME для Let's Encrypt? Или будет что-то другое? У меня выбран именно ACME сертификат для использования в smtp;api.

zolthar

Guest

11.05.2022 23:53:00

Я сделал это вручную и объединил сертификат, когда у меня уже был свой сертификат, а потом перестал, как только внедрил ACME — это проще и быстрее, чем создавать второй сертификат для TLS, чем копировать и вставлять, на мой взгляд. Хотя да, можно это сделать, объединив TLS, API и третий ключ, название которого я не помню: https://pmg.proxmox.com/pmg-docs/pmg-admin-guide.html#_keys_and_certificates

Stoiko Ivanov

Guest

12.05.2022 09:26:00

Вам просто нужно выбрать и API, и SMTP для использования сертификата в графическом интерфейсе — смотрите рисунок в разделе «Domains» в пункте 4.6.3 по ссылке: https://pmg.proxmox.com/pmg-docs/pmg-admin-guide.html#sysadmin_certificate_management Надеюсь, это поможет!

CRCinAU

Guest

12.05.2022 09:49:00

Привет, дружище, у меня уже был этот набор:

Но SMTP всё равно использовал самоподписанный сертификат Proxmox. Теперь, когда я скопировал файлы вручную, интересно, означает ли это, что мне не придётся снова это делать через 80-90 дней для обновления сертификата...

Stoiko Ivanov

Guest

12.05.2022 09:55:00

Странно — у меня это работает (по крайней мере, в последний раз, когда я проверял). Ты случайно не менял расположение сертификата для postfix? (/etc/pmg/pmg-tls.pem — именно этот файл использует и заменяет реализация ACME в PMG). Есть ли в логах какие-то ошибки, связанные с созданием сертификата? При нажатии на «Order Certificates Now» -> «Order SMTP Certificate» получается получить правильный сертификат и postfix его использует?

CRCinAU

Guest

#10

12.05.2022 10:13:00

Это текущая конфигурация, которая у меня есть:

Самоподписанный сертификат был установлен как `pmg-tls.pem`. Я скопировал этот файл, поэтому на данный момент даты "Valid Since" и "Expires" совпадают. Если выбрать "Order Certificate" -> "Order SMTP Certificate", то кажется, что обновление прошло успешно:

Думаю, буду следить за этим до августа и посмотрю, сработает ли автообновление и всё будет в порядке, или придется устранять проблему вручную...

Stoiko Ivanov Guest	#11 0 12.05.2022 10:17:00 Хорошо, тогда я думаю, что всё должно отлично работать! Если нет — пожалуйста, сообщайте здесь (или на https://bugzilla.proxmox.com).

CRCinAU

Guest

#12

12.05.2022 10:26:00

Вполне возможно, стоит рассмотреть использование одних и тех же .pem файлов, если оба сертификата должны быть одинаковыми... Нет никакого смысла заставлять LetsEncrypt выдавать второй сертификат с точно такими же данными. Может, если бы я как-то мог добавить это в список желаемого.

Stoiko Ivanov

Guest

#13

12.05.2022 10:43:00

PMG во многом использует одну и ту же реализацию acme, что и наши другие продукты (PVE, PBS), в которых нет такого разделения сертификатов на два типа. Хотя это может показаться более элегантным, на практике это привело бы к значительному расходжению в коде — а значит, новые функции и исправления багов будут появляться в PMG (и в других продуктах) с задержкой. Учитывая возросшую нагрузку на поддержку, я считаю, что вторичная выдача сертификата — вполне приемлемая цена.

CRCinAU Guest	#14 0 12.05.2022 11:33:00 Это справедливо.

Republicus Guest	#15 0 18.12.2023 08:48:00 Как и CRCinAU, я успешно выпустил SMTP-сертификаты, но проверка на checktls.com показывает ошибки сертификатов из-за самоподписанных сертификатов. В режиме отладки действительно видно самоподписанный сертификат Proxmox Mail Gateway. Я никогда не выпускал API-сертификаты, но у меня есть SMTP-сертификаты. Mail Gateway 8.0.7

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры