StartSSL Konfiguration und dovecot 2

[isp_geek]

Hallo Leute,

ich versuche schon seit einiger Zeit dovecot mit SSL abzusichern aber ständig bekomme ich einen Zertifikatsfehler und ich weiss nicht mehr weiter.
dovecot.conf

ssl_cert = </etc/ssl/dom/dovecot.crt
ssl_key = </etc/ssl/dom/dom_de.key
ssl_ca = </etc/ssl/dom/startssl_chain.crt
ssl_protocols = !SSLv2 !SSLv3

In der Chainfile sind Startssl Root CA und Class 1 Intermediate Certifikat drin.
dom_de.crt ist das von StartSSL signierte Certifikat.

seconds         test stage and result
[000.119]         Connected to server
[000.237]     <--     220 mail.mydom.de ESMTP Postfix (Debian/GNU)
[000.237]         We are allowed to connect
[000.238]     -->     EHLO checktls.com
[000.355]     <--     250-mail.mydom.de
250-PIPELINING
250-SIZE
250-VRFY
250-ETRN
250-STARTTLS
250-AUTH PLAIN LOGIN
250-AUTH=PLAIN LOGIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
[000.355]         We can use this server
[000.356]         TLS is an option on this server
[000.356]     -->     STARTTLS
[000.472]     <--     220 2.0.0 Ready to start TLS
[000.473]         STARTTLS command works on this server
[000.730]         SSLVersion in use: TLSv1.2
[000.731]         Cipher in use: ECDHE-RSA-AES128-SHA256
[000.731]         Connection converted to SSL
[000.757]       

Certificate 1 of 3 in chain:
subject= /C=DE/CN=mydom.de
issuer= /C=IL/O=StartCom Ltd./OU=StartCom Certification Authority/CN=StartCom Class 1 DV Server CA                                             

[000.783]       

Certificate 2 of 3 in chain:
subject= /C=DE/CN=mydom.de
issuer= /C=IL/O=StartCom Ltd./OU=StartCom Certification Authority/CN=StartCom Class 1 DV Server CA                                               

[000.809]       

Certificate 3 of 3 in chain:
subject= /C=DE/CN=mydom.de
issuer= /C=IL/O=StartCom Ltd./OU=StartCom Certification Authority/CN=StartCom Class 1 DV Server CA                                                 

[000.810]         Cert NOT VALIDATED: unable to get local issuer certificate
[000.810]         this may help: What Is An Intermediate Certificate
[000.810]         So email is encrypted but the domain is not verified
[000.810]         Cert Hostname VERIFIED (mail.mydom.de = mydom.de)
[000.811]     ~~>     EHLO checktls.com
[000.929]     <~~     250-mail.mydom.de
250-PIPELINING
250-SIZE
250-VRFY
250-ETRN
250-AUTH PLAIN LOGIN
250-AUTH=PLAIN LOGIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
[000.930]         TLS successfully started on this server
[000.930]     ~~>     MAIL FROM:<test@checktls.com>
[001.048]     <~~     250 2.1.0 Ok
[001.048]         Sender is OK
[001.049]     ~~>     RCPT TO:<info@mydom.de>
[001.196]     <~~     250 2.1.5 Ok
[001.196]         Recipient OK, E-mail address proofed
[001.196]     ~~>     QUIT
[001.313]     <~~     221 2.0.0 Bye

[000.810] Cert NOT VALIDATED: unable to get local issuer certificate
[000.810] this may help: What Is An Intermediate Certificate
[000.810] So email is encrypted but the domain is not verified
[000.810] Cert Hostname VERIFIED (mail.mydom.de = mydom.de)
Was mach ich hier falsch?

 

[Till]

Startssl wurde von den meisten Browser und OS Herstellern als unsicher markiert. Nim lieber Let's encrypt oder kaufe ein Zertifikat.

 

[isp_geek]

StartSSL haben anscheinend neue Intermediate Certifikate .. aknn es ein dass ich ein veraltetes verwende .. weißt du welche neuen ich für dovecot nehmen müsste damit das erstmal funktioniert ... lets encrypt steht schon auf der liste kommst erst im feb.

 

[Till]

Es sollte immer noch so gehen wie hier beschrieben für die beiden dovecot versionen:

https://www.howtoforge.com/securing...-free-class1-ssl-certificate-from-startssl-p2

Aber, durch den Entzug des Vertrauens durch die Browser und OS hersteller bekommst Du trotz validem cert und richtigem cA Cert einen Fehler bei StartSSL angezeigt. Hatte ich gerade bei einem Kunden, alle Apple Geräte z.B. zeigen StartSSL certs die seit anfang dez 2016 ausgestellt wurden als nicht valide an, da hilft nur eine andere ssl authority zu nehmen wie LE oder ein cert kaufen.

 

[isp_geek]

hallo nochmal .. gibt es denn ein Tutorial, dass den Einsatz und Handhabung von LE unter ISPConfig 3.1.1p1 erklärt .. irgend wie bin ich mir unsicher ob die vielen verschiedenen Anleitunge im Internet das Richtige für mich sind? Da gibt es doch bestimmt was als Referenz?

 

[nowayback]

so wie ich das sehe, willst du deinen imapserver unter mail.deinedomain.de erreichbar machen. wenn es die domain nicht gibt dann kannst du diese einfach in ispconfig anlegen und danach per le ein zertifikat holen.
danach löscht du /etc/ssl/dom/dovecot.crt und /etc/ssl/dom/dovecot.key und erstellst dafür symlinks mit den gleichen namen und dem ziel /var/www/mail.deinedomain.de/ssl/mail.deinedomain.crt bzw. key.
dann nur noch dovecot neustarten und es sollte das korrekt zertifikat geladen sein.

so habe ich das aktuell auch gelöst. habe nur noch im webspace der mail.meinedomain.de eine index.php hinterlegt die ein redirect macht auf meinedomain.de und die index.html gelöscht.

wenn du nämlich ein permanenten redirect über ispconfig einrichtest, kommt le nicht mehr an die datei zur verifizierung der domain. blöd, aber nicht zu ändern

grüße
nwb

 

[isp_geek]

hi nbw .. danke für die weiterführende Infos.. so in der Art wollte ich das auch machen

mein Problem mit LE ist aber noch in der Installationphase, denke ich .. sorry war wohl etwas verwirrend was ich meinte, es ging erstmal allgemein um LE auf eine Webseite zum laufen zu bringen .. ich habe nach dem Perfect Server Setup mit Debian 8.4 und Dovecot auf dem Master-Server LE wie beschrieben installiert (Punkt 11). Ich habe auch die Option SSL und Lets Encrypt SSL für die betr. Webseite verfügbar. Auf dem Master ist der Webserver mit der Domain die ich absichern möchte schon eingerichtet.

per le ein zertifikat holen.

genau das geht nämlich nicht nach dem o.b. Setup ..

WARNING - Let's Encrypt SSL Cert for: subdom.mydomain.de could not be issued.

bekomme eine Mail mit dieser Fehlermeldung.

Habe ich was vergessen zu installieren .. warum geht das nicht?

p.s: Wenn ich es geschafft habe ein Cert zu bekommen, dann muss ich das natürlich auf den betr. Mailserver einrichten.

 

[nowayback]

was sagt denn das logfile unter /var/log/letsencrypt/letsencrypt.log ? da muss ja ein genauer fehler drin stehen

 

[isp_geek]

.. oh man .. so was einfaches ..

.. manchmal hängt es an solchen Kleinigkeiten:

Auto-Subdomain www war eingestellt und das Cert sollte ja schon auf eine Subdomain laufen .. www.subdom.mydom.de gabs natürlich nicht ...

Sowas .. danke für die Tipps .. jetzt gehts für Websites .. Vielen Dank

Ps .. ja an die logs hab ich natürlich nicht gedacht