Postfix TLS Problem

[GodHunter]

Hallo,

ich benutze seit geraumer Zeit Postfix allerdings bislang ohne TLS / SSL Support. Für meine Website selbst besitze ich ein SSL Zertifikat mit dem ich ja an sich auch die Emails schützen könnte. Also hab ich das ganze mal ausprobiert und bin einem HowTo gefolgt.

An sich funktioniert es auch, ich erhalte aber von MS Outlook folgende Meldung:

Von dem Server mit dem Sie verbunden sind, wird ein Sicherheitszertifikat verwendet, das nicht überprüft werden kann.

Der Zielprinzipalname ist falsch.

Wenn ich mir das Zertifiakt anzeigen lassen scheinen aber alle Daten zu stimmen, TLS habe ich unter Postfix wie folgt eingerichtet:

#TLS Support
smtpd_tls_auth_only = no
smtp_use_tls = yes
smtpd_use_tls = yes
smtp_tls_note_starttls_offer = yes
smtpd_tls_key_file = /PFAD/ZUM/KEYFILE.key
smtpd_tls_cert_file = /PFAD/ZUM/CERT/FILE.crt
smtpd_tls_CAfile = /PFAD/ZUM/CA/FILE.ca-bundle
smtpd_tls_loglevel = 1
smtpd_tls_received_header = yes
smtpd_tls_session_cache_timeout = 3600s
tls_random_source = dev:/dev/urandom

Das einzige was bei mir im Gegensatz zum HowTo abweicht ist das CA File, im HowTo wird ein *.pem File benutzt, ich habe aber dieses CA Bundle File erhalten. Evtl. ist das ein problem, kann ich mir aber erlich gesagt nicht vorstellen da die Fehlermeldung eher darauf schließen lässt das er das Zertifikat für nicht gültig erklärt.

Vielleicht kennt ja jemand dieses Problem und kann da behilflich sein.

 

[Roger Wilco]

Outlook sagt, dass der Common Name in deinem Zertifikat nicht mit dem Hostname übereinstimmt, zu dem verbunden wurde.

Ob dem so ist, kannst du bspw. mit `openssl s_client […]` prüfen, siehe `man s_client`.

 

[MTLServices]

[...] dass der Common Name in deinem Zertifikat nicht mit dem Hostname übereinstimmt, zu dem verbunden wurde

Mit anderen Worten:
Du hast deine Webseite in Form von ssl.domain.com mit einem SSL-Zertifikat geschützt. Nun versuchst du deinen Mailserver, der beispielsweise unter mail.domain.com läuft mit dem gleichen Zertifikat, welches auf ssl.domain.com ausgestellt wurde zu sichern. Ergo, geht nicht.
Du benötigst ein Zertifikat, welches einen gleichnamigen CommonName mit dem Mailserver hat.