[Postfix] Meerdere TLS certificaten

[KoBolD54]

ik heb een mail server voor persoonlijk gebruik maar benader deze via twee manieren.

1. Vanaf het internet (incoming en outgoing server adres is dus een FQDN)
2. Via het lokale netwerk (incoming en outgoing server adres is dus een private IP adres)

Nu heb ik een TLS certificaat gemaakt voor de FQDN manier. Omdat de common name in het certificaat moet verwijzen naar de FQDN werkt dit certificaat helaas niet bij het gebruik op de lokale (2) manier. Nu heb ik een nieuw certificaat gemaakt waar de common name dus het private IP adres is. Echter lukt het mij niet om in Postfix gebruik te maken van beide certificaten. In main.cf heb ik het volgende:

code:

smtpd_tls_cert_file = /etc/postfix/cert1.crt
smtpd_tls_key_file = /etc/postfix/cert1.key
smtpd_tls_cert_file = /etc/postfix/cert2.crt
smtpd_tls_key_file = /etc/postfix/cert2.key

Hij pakt dus maar 1 van deze 2 certificaten. Hoe kan ik binnen postfix ervoor zorgen dat ik meerdere certificaten kan gebruiken?

[Osiris]

Hoe bedoel je "benaderen via het lokale netwerk"? Ik neem aan dat de FQDN naar het externe IP-adres van je router verwijst en dat je op dat IP ook van buitenaf benaderbaar bent?

Kun je niet ook lokaal je externe adres gebruiken? Beetje moderne router ondersteunt namelijk gewoon "nat loopback", waardoor je vanaf *binnen* je LAN gewoon naar het externe adres van je internetverbinding kunt connecten (dus met je 'externe' FQDN), terwijl hij wel bij je 'interne' server uitkomt.

[Jaap-Jan]

Dat heb ik opgelost door intern gewoon m'n FQDN naar 192.168.0.2 te laten wijzen op de DNS server.

[Boudewijn]

Je kunt maar 1 certificaat voor encryptie gebruiken geloof ik. Reden is dat postfix je request niet kan lezen zonder de juiste key te hebben, en dan heb je kip+ei probleem (hij kan de key niet selecteren omdat hij het request niet kan lezen).

[KoBolD54]

De reden waarom ik het wil is dat ik twee ADSL lijnen heb en dus ook meerdere IP addressen. Ook is het fijn om grote bijlagen niet via het externe IP adres binnen te halen maar via het LAN.

[blaataaps]

Want als je vanaf je internet netwerk je externe gaat, gaat dat via je ISP? Dat heb je ook geprobeerd? Vreemde setup heb je dan. Als je meerdere certificaten wil, zul je zoals boudewijn aangeeft meerdere instanties van postfix moeten draaien, domweg de directive herhalen in de config werkt niet zomaar natuurlijk

[gertvdijk]

SSL en TLS hebben twee kenmerkende eigenschappen: trust (kan ik die host vertrouwen en is hij wie hij zegt dat hij is? op basis van een boompje wordt dit bekeken.) en versleuteling. Als je alleen versleuteling wil gebruiken kan je de domain mismatch gewoon negeren en moet je imho ook niet gaan klooien in je dns.

Maar dan rest mij nog een prangende vraag: waarom wil je ook lokaal TLS'en? Je lokale netwerk is nog niet evil?

Boudewijn schreef op donderdag 19 juni 2008 @ 18:14:
Je kunt maar 1 certificaat voor encryptie gebruiken geloof ik. Reden is dat postfix je request niet kan lezen zonder de juiste key te hebben, en dan heb je kip+ei probleem (hij kan de key niet selecteren omdat hij het request niet kan lezen).

Dat geldt voor SSL inderdaad. Dan wordt eerst de versleutelingstunnel opgezet.
AFAIK gaat een TLS op SMTP (ESMTP toch?) met een EHLO (gevolgd door de hostname van de client). Daarna worden de keys uitgewisseld en is de verbinding versleuteld. Ik kan me voorstellen dat het mogelijk is met TLS een certificaat te kiezen a.d.h.v. de EHLO. Gebruikelijk is anders.

KoBolD54 schreef op donderdag 19 juni 2008 @ 19:36:
De reden waarom ik het wil is dat ik twee ADSL lijnen heb en dus ook meerdere IP addressen.

Ik zou dan inderdaad twee verschillende instances draaien.

KoBolD54 schreef op donderdag 19 juni 2008 @ 19:36:Ook is het fijn om grote bijlagen niet via het externe IP adres binnen te halen maar via het LAN.

Haha, heb je dat al getest? Loopback zit toch wel in elke router tegenwoordig. Wat Osiris zegt dus.

[ Voor 3% gewijzigd door gertvdijk op 20-06-2008 17:11 ]

[Jaap-Jan]

gertvdijk schreef op vrijdag 20 juni 2008 @ 17:10:

Maar dan rest mij nog een prangende vraag: waarom wil je ook lokaal TLS'en? Je lokale netwerk is nog niet evil?

Ik biedt gewoon alleen mail over SSL aan, het is gewoon onhandig als ik ook nog moet gaan bedenken of ik nu http://bla.net/mail of https://bla.net/mail wil hebben. Idem voor respectievelijk Postfix (SMTPS) en Dovecot (IMAPS) anders moet ik twee accounts aan gaan maken in Evolution, één beveiligde en één onbeveiligde voor onderweg, dan kies ik gewoon voor enkel beveiligd.

Bovendien gebruik ik hem ook wel over wireless, al is dat afgeschermd met een 63-bytes WPA2 key, dus niet echt zinvol om te kraken, maar het kan geen kwaad, imho.

[ Voor 2% gewijzigd door Jaap-Jan op 21-06-2008 16:08 . Reden: Postfix en IMAPS klopt nie :P ]

[_JGC_]

Kan je niet zodanig je master.cf ombouwen dat er 2 verschillende smtpd's met verschillende opties luisteren op beide IP adressen?

[Confusion]

gertvdijk schreef op vrijdag 20 juni 2008 @ 17:10:
Als je alleen versleuteling wil gebruiken kan je de domain mismatch gewoon negeren en moet je imho ook niet gaan klooien in je dns.

Zorgen dat server.domein.tld zowel intern als extern naar dezelfde server resolved, maar in beide gevallen een ander IP oplevert, zou ik niet echt 'klooien' willen noemen. Het lijkt me een normale configuratie.

[Kees]

Je zal inderdaad in de master.cf moeten aangeven dat je de server voor lokaal (interne IP) met andere settings wil gebruiken. Als je server maar 1 interne IP heeft, en de router ervoor forward poort 25 naar je server, dan zou ik twee verschillende poorten gaan gebruiken, een voor inter (poort 25) en een voor extern (26 bv) en dan stuur je poort 25 op je router door naar poort 26 op de server.

Je master.cf komt er dan ongeveer zo uit te zien:

# ==========================================================================
# service type  private unpriv  chroot  wakeup  maxproc command + args
#               (yes)   (yes)   (yes)   (never) (100)
# ==========================================================================
#smtp = poort 25, intern
smtp      inet  n       -       -       -       -       smtpd -o smtpd_tls_cert_file=/etc/postfix/cert1.crt 
    -o smtpd_tls_key_file=/etc/postfix/cert1.key
# poort 26, extern
26      inet  n       -       -       -       -       smtpd -o smtpd_tls_cert_file=/etc/postfix/cert2.crt 
    -o smtpd_tls_key_file=/etc/postfix/cert2.key

Deze configuratie draai ik ook op tweakers.net, extern verkeer komt op de server op poort 26 binnen (de loadbalancer zet 213.239.154.11:25 om naar intern:26). Maar dat heeft in ons geval meer te maken met het skippen van spamchecks die redelijk zwaar kunnen zijn voor het systeem als je ineens 10.000 nieuwsbrieven eruit gooit.

[ Voor 13% gewijzigd door Kees op 21-06-2008 14:42 ]

[axis]

Veel software ondersteunt ook 'alternative names' in SSL certs, dus dan zou je met 1 cert klaar zijn..

Ik gebruik dat op een IIS server, en IE slikt die meerdere hostnames in het cert prima.. Maar ik weet dat het geen industry standard is, en dat iedereen weer andere varianten op dat thema ondersteunt..