Cert Hostname DOES NOT VERIFY

SilverPC 2021-09-17 06:31:10 UTC #1

Hallo,

bei mir läuft E-Groupware auf Debian 10.
Ich nutze auch den Integrierten Mailserver.

Das Zertifikat wird mit letsencrypt erstellt, die https Verbindung zu E-Groupware funktioniert auch.

Main Problem ist das Zertifikat bzw. der hostname.
Wenn ich bei CheckTLS.com den Mailservertest mach bekomm ich die Meldung:

Cert VALIDATION ERROR(S): self signed certificate
So email is encrypted but the recipient domain is not verified
Cert Hostname DOES NOT VERIFY (*****.de != localhost)
So email is encrypted but the host is not verified

Das würde nicht weiter stören, aber leider kommen Teilweise Mails zurück weil sie als Spam eingestuft werden.
Ich habe die letzten Tage viel gelesen und gesucht, bin aber zu keiner Lösung gekommen.

Kann mir evtl. jemand helfen?

StefanU 2021-09-17 06:41:24 UTC #2

Hallo Oliver.

Bist du

mal durchgegangen?
So ins Blaue…

Stefan

RalfBecker 2021-09-17 07:15:51 UTC #3

Hat in der Anleitung im Wiki noch gefehlt, in der docker-compose.override.yml stand es schon (auskommentiert) drin:

Ralf

SilverPC 2021-09-17 07:32:32 UTC #4

Vielen Dank für die Antworten,

ich habe die hostnames schon vor längerem gefunden und eingetragen, scheint nur nicht für das Zertifikat zu helfen.

mail:
# networks:
# - egroupwaredocker_default
hostname: ****.de
# extra_hosts:
# # pre 20.1 installs run MariaDB on the host and need to change bind_address to docker0 172.17.0.1
# - “db:172.17.0.1” …

smtp:
# networks:
# - egroupwaredocker_default
hostname: ****.de
# extra_hosts:
# # pre 20.1 installs run MariaDB on the host
# - “db:172.17.0.1” …

RalfBecker 2021-09-17 07:58:15 UTC #5

Mach mal folgendes (example.org mit Deiner Domain ersetzen):

dig -t MX example.org

Wenn ja jetzt z.B. mail.example.org raus kommt, führe folgendes von außen aus:

nc -v mail.example.org 25
^C

Dann sollte folgendes angezeigt werden:

localhost [127.0.0.1] 25 (smtp) open
220 mail.example.org ESMTP Postfix

Danach baue ein startTLS Verbindung auf mit:

echo "quit" | openssl s_client -connect mail.example.org:25 -starttls smtp

Da sollte dann unter anderem folgendes angezeigt werden:

Certificate chain
 0 s:CN = mail.example.org
   i:C = US, O = Let's Encrypt, CN = R3
 1 s:C = US, O = Let's Encrypt, CN = R3
   i:C = US, O = Internet Security Research Group, CN = ISRG Root X1
 2 s:C = US, O = Internet Security Research Group, CN = ISRG Root X1
   i:O = Digital Signature Trust Co., CN = DST Root CA X3

Ralf

SilverPC 2021-09-17 08:10:53 UTC #6

alles gemacht:

Der Fehler liegt bei der Chain

> echo “quit” | openssl s_client -connect .*.de:25 -starttls smtp
> CONNECTED(00000003)
> depth=0 CN = localhost
> verify error:num=18:self signed certificate
> verify return:1
> depth=0 CN = localhost
> verify return:1
> —
> Certificate chain
> 0 s:CN = localhost
> i:CN = localhost
> —
> Server certificate
> -----BEGIN CERTIFICATE-----
> …AAOCAQ8AMIIBCgKCAQEAptALvV7uWUVJ8Vt4mdI5Zou4hseSfZdJ7z9+M+X1+Gdr
> …
> -----END CERTIFICATE-----
> subject=CN = localhost
_> _
> issuer=CN = localhost

RalfBecker 2021-09-17 09:09:08 UTC #7

Willst Du mir erzählen Du hast ein selbst-signiertes Zertifikat und es liegt an unserem Mail-Server das andere das nicht mögen …

Ralf

SilverPC 2021-09-17 09:33:16 UTC #8

Ich behaupte ja nicht das der Mailserver das Problem ist.
Ich wil doch nur wissen wo ich ansetzen muss um den Fehler zu beheben.

Ist der Fehler des Letsencrypt Zertifikat??
Soll ich besser eins Kaufen?

Oder wo liegt der Fehler?

RalfBecker 2021-09-17 10:03:23 UTC #9

Du hast dem Mailserver NICHT das Let’s Encrypt Zertifikat angegeben, sondern ein selbst signiertes, oder evtl. das default Zertifikat, wenn man keines angegeben hat.

Vergleiche mal Deine docker-compose.override.yml mit dem was im Wiki für das Zertifikat steht:

services:
  mail:
    # to use a recognized (not self-signed) certificate, add it here (certificate.pem is the certificate plus the chain!)
    # eg. to use the one created by LetsEncrypt's Certbot for the webserver use the following (replace your domain!)
    hostname: <fully-qualified-hostname-as-used-in-certificate>
    volumes:
      - /etc/letsencrypt:/etc/letsencrypt
      - /etc/letsencrypt/live/egw.example.org/privkey.pem:/etc/dovecot/certificate.key
      - /etc/letsencrypt/live/egw.example.org/fullchain.pem:/etc/dovecot/certificate.pem
  smtp:
    # to use a recognized (not self-signed) certificate, add it here (certificate.pem is the certificate plus the chain!)
    # eg. to use the one created by LetsEncrypt's Certbot for the webserver use the following (replace your domain!)
    hostname: <fully-qualified-hostname-as-used-in-certificate>
    volumes:
      - /etc/letsencrypt:/etc/letsencrypt
      - /etc/letsencrypt/live/egw.example.org/privkey.pem:/etc/postfix/certificate.key
      - /etc/letsencrypt/live/egw.example.org/fullchain.pem:/etc/postfix/certificate.pem
    # run the following command once to make sure mail-services get restarted on certificate renewal:
    # certbot renew --force-renew --post-hook "docker-compose -f /etc/egroupware-mail/docker-compose.yml restart"

Und nach Änderung natürlich restart (docker-compose -f /etc/egroupware-mail/docker-compose.yml restart) nicht vergessen.

Ralf

SilverPC 2021-09-17 10:14:20 UTC #10

Danke für die Antwort,

steht aber alles schon drin, hab das ganze auch nach dem Wiki abgearbeitet.

hier meine docker-compose.override.yml

version: '3'
# we need access to networks of egroupware to be able to access the db, if running in a container
# some distros (eg. Ubuntu 20.04) remove the dash from egroupware-docker_default (uncomment all 3 networks sections!)
#networks:
#  egroupware-docker_default:
#    external: false
#  egroupwaredocker_default:
#    external: true
services:
  mail:
#    networks:
#      - egroupwaredocker_default
    hostname: ***.***.de
#    extra_hosts:
#    # pre 20.1 installs run MariaDB on the host and need to change bind_address to docker0 172.17.0.1
#      - "db:172.17.0.1"
    volumes:
#      # to use a recognized (not self-signed) certificate, add it here (certificate.pem is the certificate plus the chain!)
#      # eg. to use the one created by LetsEncrypt's Certbot for the webserver use the following (replace your domain!)
      - /etc/letsencrypt:/etc/letsencrypt
      - /etc/letsencrypt/live/***.****.de/privkey.pem:/etc/dovecot/certificate.key
      - /etc/letsencrypt/live/***.****.de/fullchain.pem:/etc/dovecot/certificate.pem
#
  smtp:
#    networks:
#      - egroupwaredocker_default
    hostname: ***.***.de
#    extra_hosts:
#    # pre 20.1 installs run MariaDB on the host
#      - "db:172.17.0.1"
    volumes:
#      # to use a recognized (not self-signed) certificate, add it here (certificate.pem is the certificate plus the chain!)
#      # eg. to use the one created by LetsEncrypt's Certbot for the webserver use the following (replace your domain!)
      - /etc/letsencrypt:/etc/letsencrypt
      - /etc/letsencrypt/live/***.***.de/privkey.pem:/etc/postfix/certificate.key
      - /etc/letsencrypt/live/***.***.de/fullchain.pem:/etc/postfix/certificate.pem
#      # run the following command once to make sure mail-services get restarted on certificate renewal:
       # certbot renew --force-renew --post-hook "docker-compose -f /etc/egroupware-mail/docker-compose.yml restart"

SilverPC 2021-09-17 10:17:36 UTC #11

Beim SSL check für die groupware selber kommt auch das Richtige Zertifikat an. Nur für den Mailserver scheint das nicht zu klappen.

SilverPC 2021-09-17 11:23:22 UTC #13

Jetzt geht’s???

Ich habe keine Einträge geändert, nur gesucht, und jetzt nimmt er das richtige Zert.

Ich versteh’s nicht???

Danke Trotzdem.

StefanU 2021-09-17 11:49:01 UTC #14

Reboot oder docker-compose up -d?
Vielleicht war die docker-compose.override.yml nicht angewendet.

Ralf hat das auch schon zu Anlass genommen weiter zu dokumentieren:

Vielen Dank für dein Problem

Stefan

SilverPC 2021-09-17 12:04:03 UTC #15

Ich habe gestöbert und gesucht, reboot hatte ich schon mehrfach gemacht.
Ich hatte docker-compose up ausgeführt um evtl. nen Fehler zu finden, war aber nix.
Dann mit strg+c beendet und mit docker-compose restart gestartet. Das wars??

Danke trotzdem für eure schnellen antworten.

SilverPC 2021-09-17 12:16:24 UTC #16

Es wäre toll wenn man die anderen Standarts wie MTA-STS und TLS, Dane auf dem Mailserver einrichten könnte.

MFG

RalfBecker 2021-09-17 12:43:59 UTC #17

Für MTA-STS musst der Mail-Server gar nichts machen, außer gültige Zertifikate zu haben.
Alles andere muss im DNS und auf einem Webserver gemacht werden, z.B. durch einen zusätzlichen vHost auf dem Nginx der die policy ausliefert.

Die Postfix Konfiguration kannst Du “ganz normal” unter /etc/egroupware-mail/postfix anpassen, statt unter /etc/postfix. Postfix Kommandos setzt Du einfach durch ein voran gestelltes docker exec -it egroupware-smtp ab. Z.B. docker exec -it egroupware-smtp postfix reload.

Da alle von Dir erwähnten Dinge Einstellungen im DNS sind und gültige Zertifikate voraus setzen, sind sie nichts was wir so einfach automatisch bei der Installation mit machen können. Du solltest allerdings jedes reguläre Postfix Tutorial dafür verwenden können.

Oder Du verwendest einen Service wie unseren gehosteten SpamTitan oder anderen vorgelagerten MTA der neben SPAM und Virencheck auch DANE unterstützt (wird als MX eingetragen, relayed an Deinen Server und wird von dem als Smarthost zum Ausliefern verwendet).

Ralf