[Comm] SSL cert for multidomain pop3 server

[Comm] SSL cert for multidomain pop3 server

[Pavel S. Khmelinsky]

Задачка по SSL: есть почтовый сервер на нем крутятся два почтовых домена 
@yauza.ru и @rostokino.net , пользователям разных доменов в качестве pop3 выданы 
разные DNS имена: pop.yauza.ru и pop.rostokino.net соотв. .
Вопрос если оба домена обслуживаются одним демоном на какой домен выдавать SSL 
сертификат?
Если выдать на pop.yauza.ru то у пользователей pop.rostokino.net почтовый клиент 
будет верещать что сертифика не соотв. доменому имени and vice versa.

В качестве демона исполюзую courier-imap.

-- 
Pavel S. Khmelinsky <hmepas@yauza.ru>
System Administrator,
ISP Yauza Telecom
http://www.yauza.ru

Re: [Comm] SSL cert for multidomain pop3 server

[Pavel Usischev]

Pavel S. Khmelinsky пишет:
> Задачка по SSL: есть почтовый сервер на нем крутятся два почтовых домена 
> @yauza.ru и @rostokino.net , пользователям разных доменов в качестве 
> pop3 выданы разные DNS имена: pop.yauza.ru и pop.rostokino.net соотв. .
> Вопрос если оба домена обслуживаются одним демоном на какой домен 
> выдавать SSL сертификат?
> Если выдать на pop.yauza.ru то у пользователей pop.rostokino.net 
> почтовый клиент будет верещать что сертифика не соотв. доменому имени 
> and vice versa.

Я взял за основу файл /etc/courier-imap/imapd.cnf и сделал из него такой:

#RANDFILE можно оставить как было

[ req ]
default_bits = 1024
encrypt_key = yes
distinguished_name = req_dn
x509_extensions = my_options
prompt = no

[ req_dn ]
C=RU
L=Moscow
O=My Company Name
OU=Internet Mail Service
CN=mail.primary-domain.ru

[ my_options ]
nsCertType = server
subjectAltName=@our_dns_names

[ our_dns_names ]
DNS.1=mail.secondary-domain.ru
DNS.2=mail.another-secondary-domain.ru
DNS.3=mail.yet-another-secondary-domain.ru

Затем сгенерировал по нему сертификат с четырьмя доменными именами 
почтового сервера.

-- 
С уважением,
Павел Усищев

Re: [Comm] SSL cert for multidomain pop3 server

[Pavel S. Khmelinsky]

Pavel Usischev wrote:
> Pavel S. Khmelinsky пишет:
> 
>> Задачка по SSL: есть почтовый сервер на нем крутятся два почтовых 
>> домена @yauza.ru и @rostokino.net , пользователям разных доменов в 
>> качестве pop3 выданы разные DNS имена: pop.yauza.ru и 
>> pop.rostokino.net соотв. .
>> Вопрос если оба домена обслуживаются одним демоном на какой домен 
>> выдавать SSL сертификат?
>> Если выдать на pop.yauza.ru то у пользователей pop.rostokino.net 
>> почтовый клиент будет верещать что сертифика не соотв. доменому имени 
>> and vice versa.
> 
> 
> Я взял за основу файл /etc/courier-imap/imapd.cnf и сделал из него такой:
> 
> #RANDFILE можно оставить как было
> 
> [ req ]
> default_bits = 1024
> encrypt_key = yes
> distinguished_name = req_dn
> x509_extensions = my_options
> prompt = no
> 
> [ req_dn ]
> C=RU
> L=Moscow
> O=My Company Name
> OU=Internet Mail Service
> CN=mail.primary-domain.ru
> 
> [ my_options ]
> nsCertType = server
> subjectAltName=@our_dns_names
> 
> [ our_dns_names ]
> DNS.1=mail.secondary-domain.ru
> DNS.2=mail.another-secondary-domain.ru
> DNS.3=mail.yet-another-secondary-domain.ru

ясно, спасибо!

-- 
Pavel S. Khmelinsky <hmepas@yauza.ru>
System Administrator,
ISP Yauza Telecom
http://www.yauza.ru

Re: [Comm] SSL cert for multidomain pop3 server

[Pavel S. Khmelinsky]

Pavel Usischev wrote:
> Pavel S. Khmelinsky пишет:
> 
>> Задачка по SSL: есть почтовый сервер на нем крутятся два почтовых 
>> домена @yauza.ru и @rostokino.net , пользователям разных доменов в 
>> качестве pop3 выданы разные DNS имена: pop.yauza.ru и 
>> pop.rostokino.net соотв. .
>> Вопрос если оба домена обслуживаются одним демоном на какой домен 
>> выдавать SSL сертификат?
>> Если выдать на pop.yauza.ru то у пользователей pop.rostokino.net 
>> почтовый клиент будет верещать что сертифика не соотв. доменому имени 
>> and vice versa.
> 
> 
> Я взял за основу файл /etc/courier-imap/imapd.cnf и сделал из него такой:
> 
> #RANDFILE можно оставить как было
> 
> [ req ]
> default_bits = 1024
> encrypt_key = yes
> distinguished_name = req_dn
> x509_extensions = my_options
> prompt = no
> 
> [ req_dn ]
> C=RU
> L=Moscow
> O=My Company Name
> OU=Internet Mail Service
> CN=mail.primary-domain.ru
> 
> [ my_options ]
> nsCertType = server
> subjectAltName=@our_dns_names
> 
> [ our_dns_names ]
> DNS.1=mail.secondary-domain.ru
> DNS.2=mail.another-secondary-domain.ru
> DNS.3=mail.yet-another-secondary-domain.ru
> 
> Затем сгенерировал по нему сертификат с четырьмя доменными именами 
> почтового сервера.

Еще раз спасибо, все работает.
Немного раскажу что получилось у меня. У меня есть openssl.cnf по которому 
сгенерен CA. Этим CA я подписываю все ключи. В данном случае я скопировал 
openssl.cnf добавил туда мультидоменный строчки и по этому новому .cnf 
сгенерировал req уже по которому создал подписанный сертификат, подписывал 
используя старый openssl.cnf.

-- 
Pavel S. Khmelinsky <hmepas@yauza.ru>
System Administrator,
ISP Yauza Telecom
http://www.yauza.ru