[Comm] TLS

[Comm] TLS

[Anton Gorlov]

Здравствуйте, community.

А это как понимать?

Почта сейчас крутится там-же где и ldap. (один хост).  Клиенты ходят к
лдапу нармально. А тут:

04.05.2005, 13:35:59: FETCH - Получение новой почты
04.05.2005, 13:35:59: FETCH - Начинаю приветствие TLS
>04.05.2005, 13:36:00: FETCH - Серийный номер сертификата: 01,
> алгоритм: RSA (1024 бит), поставщик: 21 апр 2005, выдан:
>  21 апр 2006, на хосты в кол-ве 1 шт.: ring.local.
>04.05.2005, 13:36:00: FETCH - Владелец: ru, Privolzhskiy Region,
> Penza, RCC, Admin, ring.local, gorlov@tl.ru.
>04.05.2005, 13:36:00: FETCH - Этот сертификат выдан самим собой.
!04.05.2005, 13:36:00: FETCH - Приветствие TLS не завершено.
Недействительный сертификат сервера (Несовпадение подписи).


Как лечить?


-- 
С уважением,
 Anton                          mailto:Pnz.Stalker@mail.ru

Re: [Comm] TLS

[Mike Lykov]

В сообщении от Среда 04 Май 2005 14:39 Anton Gorlov написал:

> !04.05.2005, 13:36:00: FETCH - Приветствие TLS не завершено.
> Недействительный сертификат сервера (Несовпадение подписи).

и что тут непонятно? по русски прямо написано ;)

> Как лечить?

использовать верный сертификат с совпадающей подписью.

Я думаю, в по количеству писем просто лидер в этой рассылке. У вас что ни этап 
настройки - так пачка писем сюда ;)
Прям жизнь всю можно проследить.

-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

Re[2]: [Comm] TLS

[Anton Gorlov]

Здравствуйте, Mike.

Вы писали 4 мая 2005 г., 14:14:06:

>> !04.05.2005, 13:36:00: FETCH - Приветствие TLS не завершено.
>> Недействительный сертификат сервера (Несовпадение подписи).
> и что тут непонятно? по русски прямо написано ;)

да это не понятно.. вопрос почему другие на это не ругаются...

>> Как лечить?
> использовать верный сертификат с совпадающей подписью.

А как она тут оказалась вдруг не совпадающей? И как в таком случае
получить правильный сертефикат? Генрил с помощью CA.pl (подробно весь
процесс описан на
http://www.freesource.info/wiki/ALTLinux/Dokumentacija/OpenLDAP)


-- 
С уважением,
 Anton                          mailto:Pnz.Stalker@mail.ru

Re: [Comm] TLS

[Alex Gorbachenko]

[-- Attachment #1: Type: text/plain, Size: 204 bytes --]

On Среда 04 Май 2005 14:17, Anton Gorlov wrote:

> да это не понятно.. вопрос почему другие на это не ругаются...
другие не хотят получать сертификатов от cyrus.

-- 
np: Dark Tranquillity - I, Deception

[-- Attachment #2: Type: application/pgp-signature, Size: 190 bytes --]

Re[2]: [Comm] TLS

[Anton Gorlov]

Здравствуйте, Alex.

Вы писали 4 мая 2005 г., 14:30:34:

>> да это не понятно.. вопрос почему другие на это не ругаются...
> другие не хотят получать сертификатов от cyrus.
И как же быть? Как скормить свой сертефикат?




-- 
С уважением,
 Anton                          mailto:Pnz.Stalker@mail.ru

Re: [Comm] TLS

[Alex Gorbachenko]

[-- Attachment #1: Type: text/plain, Size: 434 bytes --]

On Среда 04 Май 2005 14:17, Anton Gorlov wrote:

> А как она тут оказалась вдруг не совпадающей? И как в таком случае
> получить правильный сертефикат?

простейший способ. 

cd /var/lib/ssl/certs
make cyrus.pem

в /etc/imapd.conf

tls_ca_file: /var/lib/ssl/certs/cacert.pem
tls_cert_file: /var/lib/ssl/certs/cyrus-imapd.pem
tls_key_file: /var/lib/ssl/certs/cyrus-imapd.pem

по моему так (с).

-- 
np: Dark Tranquillity - I, Deception

[-- Attachment #2: Type: application/pgp-signature, Size: 190 bytes --]

Re[2]: [Comm] TLS

[Anton Gorlov]

Здравствуйте, Alex.

Вы писали 4 мая 2005 г., 14:36:02:

>> А как она тут оказалась вдруг не совпадающей? И как в таком случае
>> получить правильный сертефикат?
> простейший способ.
> cd /var/lib/ssl/certs
> make cyrus.pem

Щас попробую так сделать...

> в /etc/imapd.conf
> tls_ca_file: /var/lib/ssl/certs/cacert.pem
> tls_cert_file: /var/lib/ssl/certs/cyrus-imapd.pem
> tls_key_file: /var/lib/ssl/certs/cyrus-imapd.pem
> по моему так (с).

CA получать так же с помощью ./CA.pl?




-- 
С уважением,
 Anton                          mailto:Pnz.Stalker@mail.ru

Re[2]: [Comm] TLS

[Anton Gorlov]

Здравствуйте, Alex.

Вы писали 4 мая 2005 г., 14:36:02:

>> А как она тут оказалась вдруг не совпадающей? И как в таком случае
>> получить правильный сертефикат?
> простейший способ.
> cd /var/lib/ssl/certs
> make cyrus.pem
Взлетло.
А в чём разница между генерацией сертефиката с помощью make cyrus.pem
и openssl req -new -nodes -keyout newreq.pem -out newreq.pem?

Что бы развеять немного мелкие сомнения по поводу создания
сертефикатов --когда я создаю "cacert" --здесь нужно указывать данные
того хоста, на котором я его создаю или того, где будет крутится
конечный сертефикат?

когда создаю cyrus.pem тут что нужно указывать в качестве CN?



То что идёт ниже и так понятно --чтения манов хватило.
> в /etc/imapd.conf
> tls_ca_file: /var/lib/ssl/certs/cacert.pem
> tls_cert_file: /var/lib/ssl/certs/cyrus-imapd.pem
> tls_key_file: /var/lib/ssl/certs/cyrus-imapd.pem
> по моему так (с).




-- 
С уважением,
 Anton                          mailto:Pnz.Stalker@mail.ru

Re: [Comm] TLS

[Alex Gorbachenko]

[-- Attachment #1: Type: text/plain, Size: 268 bytes --]

On Среда 04 Май 2005 15:41, Anton Gorlov wrote:

> А в чём разница между генерацией сертефиката с помощью make cyrus.pem
> и openssl req -new -nodes -keyout newreq.pem -out newreq.pem?

посмотрите внутрь /var/lib/ssl/certs/Makefile

-- 
np: Rainbow - Wolf To The Moon

[-- Attachment #2: Type: application/pgp-signature, Size: 190 bytes --]

Re: [Comm] TLS

[Boldin Pavel]

Anton Gorlov пишет:

>Здравствуйте, community.
>
>А это как понимать?
>
>Почта сейчас крутится там-же где и ldap. (один хост).  Клиенты ходят к
>лдапу нармально. А тут:
>
>04.05.2005, 13:35:59: FETCH - Получение новой почты
>04.05.2005, 13:35:59: FETCH - Начинаю приветствие TLS
>  
>
>>04.05.2005, 13:36:00: FETCH - Серийный номер сертификата: 01,
>>алгоритм: RSA (1024 бит), поставщик: 21 апр 2005, выдан:
>> 21 апр 2006, на хосты в кол-ве 1 шт.: ring.local.
>>04.05.2005, 13:36:00: FETCH - Владелец: ru, Privolzhskiy Region,
>>Penza, RCC, Admin, ring.local, gorlov@tl.ru.
>>04.05.2005, 13:36:00: FETCH - Этот сертификат выдан самим собой.
>>    
>>
>!04.05.2005, 13:36:00: FETCH - Приветствие TLS не завершено.
>Недействительный сертификат сервера (Несовпадение подписи).
>
>
>Как лечить?
>
>  
>

выдать этот сертификат в качестве cacert.

Самый большой прикол - то что если подпись и issuer совпадают, то вы 
можете "доверять" сертификату - то есть считать его за CA сертификат.

ЗЫ. настроите - опишите...

-- 

Болдин Павел aka davinchi

    ldavinchi@inbox.ru or davinchi@zu.org.ru or boldin.pavel@gmail.com

    ZU - Zagovor Unixoidov. SSAU 303.

Re: [Comm] TLS

[Boldin Pavel]

Alex Gorbachenko пишет:

>On Среда 04 Май 2005 15:41, Anton Gorlov wrote:
>
>  
>
>>А в чём разница между генерацией сертефиката с помощью make cyrus.pem
>>и openssl req -new -nodes -keyout newreq.pem -out newreq.pem?
>>    
>>
>
>посмотрите внутрь /var/lib/ssl/certs/Makefile
>  
>

а он выдает сразу подписанный сертификат? а кто его тогда подписывает?

там только вид шифрования другой... странно, что взлетело!


-- 

Болдин Павел aka davinchi

    ldavinchi@inbox.ru or davinchi@zu.org.ru or boldin.pavel@gmail.com

    ZU - Zagovor Unixoidov. SSAU 303.

Re: [Comm] TLS

[Boldin Pavel]

Anton Gorlov пишет:

>CA получать так же с помощью ./CA.pl?
>  
>

CA чем получали? CA.pl? или нет?

где он сертификат для подписи берет, я не пойму ?

-- 

Болдин Павел aka davinchi

    ldavinchi@inbox.ru or davinchi@zu.org.ru or boldin.pavel@gmail.com

    ZU - Zagovor Unixoidov. SSAU 303.

Re: [JT][Comm] TLS

[Boldin Pavel]

Boldin Pavel пишет:

>
> а он выдает сразу подписанный сертификат? а кто его тогда подписывает?
>
> там только вид шифрования другой... странно, что взлетело!
>
сорри, разобрался, там самоподписанный сертификат (все равно странно, но 
видимо если он самоподписан, то он должен быть cacert)


-- 

Болдин Павел aka davinchi

    ldavinchi@inbox.ru or davinchi@zu.org.ru or boldin.pavel@gmail.com

    ZU - Zagovor Unixoidov. SSAU 303.

Re[2]: [Comm] TLS

[Anton Gorlov]

Здравствуйте, Boldin.

Вы писали 4 мая 2005 г., 22:16:29:



>>!04.05.2005, 13:36:00: FETCH - Приветствие TLS не завершено.
>>Недействительный сертификат сервера (Несовпадение подписи).
>>Как лечить?
> выдать этот сертификат в качестве cacert.

Угу.. только он сразу отфутболил... даже не предложил установить.

> Самый большой прикол - то что если подпись и issuer совпадают, то вы
> можете "доверять" сертификату - то есть считать его за CA сертификат.
> ЗЫ. настроите - опишите...

Да вроде теперь летает... Сертефикат перегенирил с помощью make
cyrus.pem. CA сгенерил с помощью ./CA.pl. Вроде работает.




-- 
С уважением,
 Anton                          mailto:Pnz.Stalker@mail.ru

Re[2]: [Comm] TLS

[Anton Gorlov]

Здравствуйте, Boldin.

Вы писали 4 мая 2005 г., 22:31:15:


>>>А в чём разница между генерацией сертефиката с помощью make cyrus.pem
>>>и openssl req -new -nodes -keyout newreq.pem -out newreq.pem?
>>посмотрите внутрь /var/lib/ssl/certs/Makefile
> а он выдает сразу подписанный сертификат? а кто его тогда подписывает?
> там только вид шифрования другой... странно, что взлетело!

Я сам толком пока не понял как же оно летает...но факт что летает.





-- 
С уважением,
 Anton                          mailto:Pnz.Stalker@mail.ru

Re[2]: [Comm] TLS

[Anton Gorlov]

Здравствуйте, Boldin.

Вы писали 4 мая 2005 г., 22:32:19:

> Anton Gorlov пишет:

>>CA получать так же с помощью ./CA.pl?
> CA чем получали? CA.pl? или нет?

ага им самым.

> где он сертификат для подписи берет, я не пойму ?
Если резберётесь --свистните....




-- 
С уважением,
 Anton                          mailto:Pnz.Stalker@mail.ru

Re[2]: [JT][Comm] TLS

[Anton Gorlov]

Здравствуйте, Boldin.

Вы писали 4 мая 2005 г., 22:35:20:


>> а он выдает сразу подписанный сертификат? а кто его тогда подписывает?
>> там только вид шифрования другой... странно, что взлетело!
> сорри, разобрался, там самоподписанный сертификат (все равно странно, но
> видимо если он самоподписан, то он должен быть cacert)

Кстати да... и об этом крымс меня предупредил.. Но хочется всё же
заставить работать с сертефикатом сгенерённым с помощью того же
метода, что я к лдапу генрил... А то 2 сертефиката держать на одном
хосте....





-- 
С уважением,
 Anton                          mailto:Pnz.Stalker@mail.ru