Apache Webserver - Zertifikat ungültig (Hostname stimmt nicht überein)

IceHawk66 · 22. November 2014

Guten Abend,

ich habe neue Zertifikate auf meinem Debian Server eingebunden (von startssl.com) und bekomme nun bei mailserver checks diese Warnung bzw. diesen Fehler:

Auch im Mail-Programm kommt die Meldung: "Die Identität von smtp.mydomain.de kann nicht überprüft werden" .... "Dieses Zertifikat ist ungültig (Hostname stimmt nicht überein)".

Kann mir dabei jemand helfen?

Danke im vorraus.

Yuuri · 22. November 2014

Wahrscheinlich weil du für domain.tld ein Zertifikat hast, nicht aber für smtp.domain.tld.

NameHere · 22. November 2014

Du brauchst ein *.domain Zertifikat (Wildcardzertifikat)

IceHawk66 · 22. November 2014

Ah ok.

Gibt es solche Wildcardzertifikate auch kostenlos bzw. sehr kostengünstig wie bei startssl?

Ich schaue gerade, ob das bei startssl irgendwo geht, aber habe bislang nichts gefunden.

NameHere · 22. November 2014

http://www.startssl.com/?app=40 >ab dem 2. Zertifikat so wie es aussieht

oder PSW Group in Deutschland
http://www.psw-group.de/ssl-zertifikate.html

Das Bronze von Geotrust für 39,- Domainvalidierte Multidomainzertifikate

1 Domain + 3 Subdomains. Reicht dir das?

IceHawk66 · 22. November 2014

Muss leider sagen, dass es mir dann (noch) nicht wert ist, soviel Geld für einen privaten Mailserver auszugeben. Ich vertraue meinem Mailserver ja selbst und bei einigen Checks kam heraus, dass die Mails auch mittels TLS 1.2 und AECDH-AES256-SHA verschickt werden. Oder bringt mir das Zertifikat noch andere Vorteile?

NameHere · 22. November 2014

Es sagt das es tatsächlich von dieser Emailaddy (domain) kommt. Zertifikat asugestellt für diese Domain etc.
Hast du versucht ein kostenloses Zertifikat auf smtp.domain auszustellen?

IceHawk66 · 22. November 2014

Ich habe mydomain.de genommen und dann musste ich während der Registrierung eine Subdomain auswählen (mail.mydomain.de hab ich dann genommen, weil das die des Webinterfaces des Mailserver ist und gleichzeitig Posteingangsserver ist)

metalpinguin · 23. November 2014

Du musst das Zertifikat auch im Mailserver einrichten

Der Apache ist nur Web nicht der Mail-Server.

Yuuri · 23. November 2014

Mal so nebenbei, es ist eigentlich vollkommen egal was du bei IMAP/POP/SMTP-Server einträgst, hauptsache der Server reagiert korrekt auf die Ports und mail./imap./smtp.domain.tld löst auf die gleiche IP auf (der Mail-Server darf natürlich dann nicht Host-basierend reagieren). Von daher kannst du im Thunderbird einfach nur domain.tld angeben, dann klappt das auch mit der Gültigkeit des SSL-Zertifikats und brauchst keinen Wildcard-Blödsinn oder ein Zweites o.ä.

Daaron · 23. November 2014

Nun ja, ein Vorteil absolut korrekter Verschlüsselung wäre durchaus denkbar: Andere Mailserver könnten dann verschlüsselt mit deinem kommunizieren.

Insgesamt: Kein Apache-Problem sondern eines des Mailservers (z.B. Postfix, Courier, Dovecot,...). Wenn das Gratis-Cert von StartSSL bereits auf domain.tld und mail.domain.tld eingerichtet wurde (übrigens: ziemlich komisch. normalerweise nimmt man www. als Subdomain. Macht sonst bei Besuchern der Seite gelegentlich Probleme), dann muss man Cert&Key natürlich auch im Mailserver einrichten, nicht nur im Apache.

IceHawk66 · 23. November 2014

@Yuuri: Ich weiß nicht, ob ich das richtig verstehe, aber wenn ich die Domains mit ping -a mail.domain.de oder smtp.domain.de anpinge, kommt immer die selbe IP. Ich habe jetzt mal Testweise statt smtp.domain.de mail.domain.de eingetragen, dann werde ich vom Mail Programm gefragt: "Mail möchte mit dem Schlüssel "www.startssl.com" Ihres Schlüsselbundes signieren" (Das scheint dann ja geklappt zu haben). Allerdings bekomme ich immer noch den Fehler bei dem Online-Mailserver check (siehe Screenshot im ersten Post).

Was mich wundert: Unter "Hostname/IP Address" steht mail.domain.de.domain.de (also aneinander) und dadrunter steht dann die IP des Servers. Woher kommt der Wert? Ich habe das Gefühl, da ist was falsch.

@Daaron: Zertifikat habe ich im Dovecot, Postfix und Apache eingebunden.

Daaron · 23. November 2014

Natürlich ist da was falsch. Dein MX Record ist wahrscheinlich irgendwie bekloppt gesetzt. Mach die Probe aufs Exempel und schau nach, wie genau der MX Record definiert ist. Für Linux kann man dafür wunderbar das Tool "dig" einsetzen,
z.B. "dig computerbase.de mx"
;; ANSWER SECTION:
computerbase.de. 3555 IN MX 10 mail.computerbase.de.

IceHawk66 · 23. November 2014

Hab das mal mit http://www.digwebinterface.com/ getestet.

Ausgabe ist:

Code:

domain.de.	3587	IN	MX	10 mail.domain.de.domain.de.

So sieht das in der Domainverwaltung aus.

Daaron · 23. November 2014

Dann schreib in der Verwaltung bloß "mail".

IceHawk66 · 23. November 2014

MX passt, hatte das eig gestern gestestet, dann konnte ich keine mails mehr verschicken oder empfangen. Läuft aber jetzt.

Allerdings wird mir immer noch angezeigt, dass das Root-Zertifikat unbekannt sei.

Edit: Bei einem anderen Mailserver sieht das so aus (ist auch von startssl glaub ich):

bei mir so:

Daaron · 23. November 2014

Du musst die komplette Chain einbinden.

IceHawk66 · 23. November 2014

Allgemein irgendwo oder bei jedem Programm einzelnd (Postfix, Apache, Dovecot)?

Ich habe folgende Dateien:

csr.pem + privkey.pem (selbst erstellt mittels: "openssl req -nodes -new -newkey rsa:2048 -out csr.pem")
ca.pem, ssl.crt, startssl zertifikat.p12, sub.class1.server.ca.pem (von startssl bekommen)

Ich weiß nicht genau, wie ich die einbinden soll.

Edit:
Habe es nun mit folgendem Tutorial gelöst: https://gerritbeine.com/blog/2014/02/21/postfix-und-dovecot-mit-startssl-zertifikaten/

Falls jemand auf ein ähnliches Problem stoßen sollte und das Tutorial abarbeiten, ein kleiner Hinweis:

cat private/server.crt startssl/sub.class2.server.ca.pem > private/server_with_chain.pem

Am Ende ist das nicht server_with_chain.pem sondern .crt
Weiterhin sah die Datei bei mir in der Mitte so aus:

-----END CERTIFICATE----------BEGIN CERTIFICATE-----

Da ging dann gar nichts mehr, nachdem ich nach 5x "-" nach END CERTIFICATE einen Zeilenumbruch gemacht habe und danach postfix und dovecot neugestartet hatte, lief es.

Danke an alle, die mir hier so viel geholfen haben!!!

Suche

Apache Webserver - Zertifikat ungültig (Hostname stimmt nicht überein)

IceHawk66

Ensign

Yuuri

Fleet Admiral

NameHere

Vice Admiral

IceHawk66

Ensign

NameHere

Vice Admiral

IceHawk66

Ensign

NameHere

Vice Admiral

IceHawk66

Ensign

metalpinguin

Lt. Junior Grade

Yuuri

Fleet Admiral

Daaron

Fleet Admiral

IceHawk66

Ensign

Daaron

Fleet Admiral

IceHawk66

Ensign

Daaron

Fleet Admiral

IceHawk66

Ensign

Daaron

Fleet Admiral

IceHawk66

Ensign

Ähnliche Themen