Quelltext der Seite Zentrale Einbindung von TLS-Zertifikaten für Mail- und Webdienste

= Zentrale Einbindung eines TLS-Zertifikats für Postfix, Dovecot und Apache2 =
Diese Anleitung beschreibt die zentrale Einbindung eines internen TLS-Zertifikats für folgende Dienste:
;Postfix (SMTPS)
;Dovecot (IMAPS)
;Apache2 (HTTPS)

= Verwendete Dateien =
 mail.it1xx.int.crt       → Serverzertifikat  
 mail.it1xx.int.key       → Privater Schlüssel  
 ca.crt                   → Interne CA  
 mail.it1xx.int.csr       → Optional, wird nicht benötigt

= ca.crt in das System einbauen =
*cp ca.crt /usr/local/share/ca-certificates/
*update-ca-certificates 
 Updating certificates in /etc/ssl/certs...
 rehash: warning: skipping ca-certificates.crt,it does not contain exactly one certificate or CRL
 1 added, 0 removed; done.
 Running hooks in /etc/ca-certificates/update.d...
 done.

= Zertifikate verschieben =
*mkdir -p /etc/ssl/mail.it1xx.int  
*mv mail.it1xx.int.crt /etc/ssl/mail.it1xx.int/  
*mv mail.it1xx.int.key /etc/ssl/mail.it1xx.int/

= Berechtigungen setzen =
*chown root:root /etc/ssl/mail.it1xx.int/
*chmod 600 /etc/ssl/mail.it1xx.int/mail.it1xx.int.key

= Apache2 Konfiguration =
ssl aktivieren
*a2enmod ssl
Die Datei ergänzen
*vi /etc/apache2/sites-available/mail.it1xx.int.conf
<pre>
SSLEngine on  
SSLCertificateFile /etc/ssl/mail.it1xx.int/mail.it1xx.int.crt  
SSLCertificateKeyFile /etc/ssl/mail.it1xx.int/mail.it1xx.int.key  
</pre>

= Postfix Konfiguration =
Die Datei Parameter anpassen
*vi /etc/postfix/main.cf
<pre>
smtpd_tls_cert_file = /etc/ssl/mail.it1xx.int/mail.it1xx.int.crt  
smtpd_tls_key_file = /etc/ssl/mail.it1xx.int/mail.it1xx.int.key  
</pre>

= Dovecot Konfiguration =
Die Datei Parameter anpassen
*vi /etc/dovecot/conf.d/10-ssl.conf
<pre>
ssl_cert = </etc/ssl/mail.it1xx.int/mail.it1xx.int.crt  
ssl_key = </etc/ssl/mail.it1xx.int/mail.it1xx.int.key  
</pre>

= Dienste neu starten =
*systemctl restart apache2  
*systemctl restart postfix  
*systemctl restart dovecot

= Optional: Systemweite Einbindung der CA =
Wenn Clients dem Zertifikat ebenfalls vertrauen sollen:
*cp /etc/ssl/mail.it1xx.int/ca.crt /usr/local/share/ca-certificates/mail-it1xx-ca.crt  
*update-ca-certificates

= Ergebnis =

Alle Dienste verwenden dasselbe TLS-Zertifikat, das zentral verwaltet wird. Die interne CA kann optional systemweit eingebunden werden.