Nu se pot primi e-mailuri prin TLS pentru Postfix SMTP Relay

Am un Postfix Ubuntu VM care acționează ca un server de retransmisie de corespondență, care acceptă e-mailul pe portul 25 și le transmite online la Microsoft Exchange pentru livrare. Acesta a funcționat bine de luni de zile.

Acum trebuie să permit unui client SMTP, care trebuie să folosească TLS, să trimită, de asemenea, e-mailuri prin releu. Am adăugat următoarele la Main.cf Postfix:

smtpd_tls_security_level = mai
smtpd_tls_protocols = !SSLv2, !SSLv3, !TLSv1
smtpd_tls_chain_files =
        ${cert_path}/cert.pem,
        ${cert_path}/chain.pem

Cu toate acestea, când încerc swaks cu steag-ul --tls-on-connect, primesc un „Conexiune refuzată” pe porturile 465 și 587. Vechiul port 25 necriptat încă funcționează. Fișierele pem sunt generate de Let's Encrypt, iar părțile contorului cheii private funcționează pentru criptarea e-mailurilor trimise către Exchange online. Le-am verificat cu:

openssl verify -purpose sslserver -partial_chain -CAfile /etc/letsencrypt/live/<server FQDN>/chain.pem /etc/letsencrypt/live/<server FQDN>/cert.pem

Cu toate acestea, când încerc să fac conexiuni TLS de la un client SMTP, acest lucru apare în jurnal:

18 mar 14:41:49 hermes postfix/smtpd[578652]: avertisment: eroare la încărcarea lanțului din /etc/letsencrypt/live/<server FQDN>/cert.pem: cheia nu mai întâi
18 mar 14:41:49 hermes postfix/smtpd[578652]: avertisment: eroare la încărcarea cheilor private și a certificatelor de la: /etc/letsencrypt/live/<server FQDN>/cert.pem,?/etc/letsencrypt/live/< server FQDN>/chain.pem: dezactivarea suportului TLS

Presupun că întrebarea cu care mă confrunt este cum să folosesc certificatul Let's Encrypt SSL pentru a activa TLS pe ​​serverul meu de retransmisie de e-mail.

Ambele lui Certbot lanţ și cert fișierele nu conțin cheia privată a serverului. Ambele mesaje de eroare sunt doar plângeri cu privire la asta. Cheia este conținută doar în privkey fişier.

Dacă doriți să utilizați un singur fișier atât cu cheie, cât și cu certificate, trebuie să concatenați manual fișierele (de exemplu, într-un post-hook) și să vă asigurați că privkey conținutul merge mai întâi, apoi cert, apoi lanţ, în această ordine exactă.

Observați, lanţ complet fișierul este deja o concatenare a lanţ și cert in ordinea corecta. Indicați doar acest fișier certificat gata făcut. De asemenea, Postfix nu are nevoie ca totul să fie într-un singur fișier; există o opțiune specifică pentru a indica fișierul cheie.

Folosesc certbot cu Postfix astfel:

smtpd_tls_cert_file = /etc/letsencrypt/live/example.org/fullchain.pem
smtpd_tls_key_file = /etc/letsencrypt/live/example.org/privkey.pem