webmail und ssl

stefan-becker · Nov 10, 2009

Hallo,

ich habe für mein webmail ein Zertifikat erworben, weil meine kollegen sich immer über die Fehlermeldung aufgeregt hat. So nun habe ich das Zertifikat in Plesk geladen, es wurde auch aktzeptiert. Ich habe es als Default ausgewählt, es allen IPs zugeordnet und das Plesk gelöscht, aber es wird immer noch das alte verwendet.

In der error.log vom apache fand ich das

Code:

[Tue Nov 10 22:26:28 2009] [warn] RSA server certificate CommonName (CN) `plesk' does NOT match server name!?
[Tue Nov 10 22:26:28 2009] [warn] RSA server certificate CommonName (CN) `webmail.stefanshome.com' does NOT match server name!?
[Tue Nov 10 22:26:28 2009] [warn] RSA server certificate CommonName (CN) `webmail.stefanshome.com' does NOT match server name!?
[Tue Nov 10 22:26:28 2009] [warn] RSA server certificate CommonName (CN) `plesk' does NOT match server name!?

Wieso das und wie kann ich das hinbiegen?

Stefan

Huschi · Nov 11, 2009

Zeig mal Deine VirtualHost-Einstellungen dazu.

huschi.

stefan-becker · Nov 11, 2009

Also in der /etc/apache2/conf.d/zzz_horde_vhost.conf finde ich:

Code:

SSLCertificateFile /etc/apache2/httpd.pem

Die habe ich mir angesehen, aber das ist nicht mein Code ?!

P.S. Ich hoffe du meintest diese vhost

Stefan

Huschi · Nov 11, 2009

Nach Deinem Log zu urteilen, zieht er insgesamt 4 Zertifikate. (Hast Du zufällig 4 IP's?)
Das ist nur eins davon. Und dann auch noch komplett aus dem Kontext gerissen.

Aber es scheint zumindest das von Horde zu sein. Wenn Horde Dein Webmailer ist, den Du nutzt, dann könnte es bereits die richtige Stelle sein. Aber das Drumherum fehlt.

Dazu solltest Du Dich schon mal mit "openssl rsa -in ssl.pem -pubout –text" vertraut machen. Damit Du die Zertifikate entsprechend identifizieren kannst.
Schritt 1: Finde in /usr/local/psa/var/certificates/cert Dein neues Zertifikat.

huschi.

stefan-becker · Nov 11, 2009

Ich habe 2 IP Adressen, aber allen das gleiche Zertifikat zugewiesen...

/usr/local/psa/var/certificates/

Code:

-r--------  1 root   root   2609 2009-05-26 16:33 cert-81hTiR
-r--------  1 root   root   1797 2009-05-26 16:33 cert-Loe4mV

Wobei das obere meins ist.

Auf welche pem soll ich den Befehl ausführen?

Stefan

Huschi · Nov 11, 2009

"ssl.pem" ist nur als Beispiel-Datei gedacht. Du kannst jede beliebige Datei einsetzten.
Warum haben beide Dateien den selben Zeitstempel?

huschi.

stefan-becker · Nov 11, 2009

Huschi said:
"ssl.pem" ist nur als Beispiel-Datei gedacht. Du kannst jede beliebige Datei einsetzten.

Also auf die httpd.pem?

Huschi said:
Warum haben beide Dateien den selben Zeitstempel?

Das frage ich mich auch ....

Whistler · Nov 11, 2009

Code:

grep -R SSLCertificate /etc/apache2

stefan-becker · Nov 11, 2009

So, da haben wir dann das hier:

Code:

/etc/apache2/conf.d/zz010_psa_httpd.conf:       SSLCertificateFile /opt/psa/var/certificates/cert-81hTiR
/etc/apache2/conf.d/zz010_psa_httpd.conf:       SSLCertificateFile /opt/psa/var/certificates/cert-81hTiR
/etc/apache2/conf.d/zzz_horde_vhost.conf:       SSLCertificateFile /etc/apache2/httpd.pem
/etc/apache2/conf.d/zzz_atmail_vhost.conf:      SSLCertificateFile /etc/apache2/httpd.pem
/etc/apache2/httpd.conf:        SSLCertificateFile /etc/apache2/httpd.pem

Huschi · Nov 11, 2009

Lieber Stefan,

nach inzwischen 332 Beiträgen sollte Dir klar sein, dass dies nicht ausreichende Informationen sind. ("nicht ausreichend" == "mangelhaft")
Ich hatte vorhin schon bemängelt: "aus dem Kontext gerissen" und "das drumherum fehlt".

Bitte trage alle Fakten zusammen, damit wir sie bewerten können.
Wir helfen Dir auch die Fakten zu ermitteln.
Aber bitte verstehe, dass wir Dir nicht die Würmer aus der Nase ziehen.

Oder anders formuliert:
Wenn Du schon die Dateien vor der Nase hast, warum lieferst Du uns die Dateiname und nicht deren Inhalt? (Und zwar jeweils den ganzen SSL-Vhost ohne die überflüssigen Kommentare.)

PS: Und damit sind wir übrigens bei meinem ersten Beitrag von oben angekommen:

Huschi said:
Zeig mal Deine VirtualHost-Einstellungen dazu.

huschi.

stefan-becker · Nov 11, 2009

Ich will ja alles zeigen ;-)

zzz_horde_vhost.conf

Code:

<VirtualHost  xxx.xxx.xxx.xxx:80 xxx.xxx.xxx.xxx:80>
        ServerName horde.webmail
        ServerAlias horde.webmail.*
        ServerAdmin [email protected]

        Include /etc/psa/webmail/horde/conf.d/*

        UseCanonicalName Off

        DocumentRoot /usr/share/psa-horde
        Alias /horde/ /usr/share/psa-horde/
        Alias /imp/ /usr/share/psa-horde/imp/



        <Directory /usr/share/psa-horde>
                <IfModule mod_php4.c>
                        php_admin_flag engine on
                        php_admin_flag magic_quotes_gpc off
                        php_admin_flag safe_mode off

                        php_admin_value open_basedir "/usr/share/psa-horde:/etc/psa/webmail/horde:/etc/psa:/tmp:/var/tmp:/var/log/psa-horde:/usr/share/doc:/$
                        php_admin_value include_path "/usr/share/psa-horde:/usr/share/psa-horde/lib:/usr/share/psa-pear:."
                </IfModule>

                <IfModule mod_php5.c>
                        php_admin_flag engine on
                        php_admin_flag magic_quotes_gpc off
                        php_admin_flag safe_mode off

                        php_admin_value open_basedir "/usr/share/psa-horde:/etc/psa/webmail/horde:/etc/psa:/tmp:/var/tmp:/var/log/psa-horde:/usr/share/doc:/$
                        php_admin_value include_path "/usr/share/psa-horde:/usr/share/psa-horde/lib:/usr/share/psa-pear:."
                </IfModule>

                Order allow,deny
                Allow from all
        </Directory>
</VirtualHost>

<IfModule mod_ssl.c>
<VirtualHost  xxx.xxx.xxx.xxx:443 xxx.xxx.xxx.xxx:443>
        ServerName horde.webmail
        ServerAlias horde.webmail.*
        ServerAdmin [email protected]

        Include /etc/psa/webmail/horde/conf.d/*

        UseCanonicalName Off

        DocumentRoot /usr/share/psa-horde
        Alias /horde/ /usr/share/psa-horde/
        Alias /imp/ /usr/share/psa-horde/imp/

        SSLEngine on
        SSLVerifyClient none
        SSLCertificateFile /etc/apache2/httpd.pem



        <Directory /usr/share/psa-horde>
                <IfModule mod_php4.c>
                        php_admin_flag engine on
                        php_admin_flag magic_quotes_gpc off
                        php_admin_flag safe_mode off

                        php_admin_value open_basedir "/usr/share/psa-horde:/etc/psa/webmail/horde:/etc/psa:/tmp:/var/tmp:/var/log/psa-horde:/usr/share/doc:/$
                        php_admin_value include_path "/usr/share/psa-horde:/usr/share/psa-horde/lib:/usr/share/psa-pear:."
                </IfModule>

                <IfModule mod_php5.c>
                        php_admin_flag engine on
                        php_admin_flag magic_quotes_gpc off
                        php_admin_flag safe_mode off

                        php_admin_value open_basedir "/usr/share/psa-horde:/etc/psa/webmail/horde:/etc/psa:/tmp:/var/tmp:/var/log/psa-horde:/usr/share/doc:/$
                        php_admin_value include_path "/usr/share/psa-horde:/usr/share/psa-horde/lib:/usr/share/psa-pear:."
                </IfModule>

                SSLRequireSSL

                Order allow,deny
                Allow from all
        </Directory>
</VirtualHost>
</IfModule>

stefan-becker · Nov 14, 2009

Huschi said:
Warum haben beide Dateien den selben Zeitstempel?

Kann das eventuell mit dem Zwischenzertifikat zusammenhängen, welches bei meinem Zertifikat erforderlich ist?

JanJ · Nov 16, 2009

Mal ganz dumm gefragt ...

Das Zertifikat ist auch auf webmail.stefanshome.com ausgestellt oder ein Wildcard-Zertifikat ?!

stefan-becker · Nov 16, 2009

Negativ ... leider

Ich habe aber jetzt die httpd.pem durch die cert-XXX ersetzt, nun geht es :-(

webmail und ssl

stefan-becker

New Member

Huschi

Moderator

stefan-becker

New Member

Huschi

Moderator

stefan-becker

New Member

Huschi

Moderator

stefan-becker

New Member

Whistler

Well-Known Member

stefan-becker

New Member

Huschi

Moderator

stefan-becker

New Member

stefan-becker

New Member

JanJ

New Member

stefan-becker

New Member