Mehrere Domains mit eigenem SSL Zertifikat (Proftpd + Mailserver)

Servus, ich misch mich mal wieder ein…

Zitat von MoritzJ

Wie kriege ich es nun hin das beide Services (Proftpd und Dovecot/Postfix) jeweils das richtige Zertifikat auswählen?
Stichwort SNI wurde genannt aber ich habe nicht so den Durchblick wie mir das beim FTP und beim Mailserver hilft und vorallem wie ich das einrichten kann.

Simple Antwort auf den hervorgehobenen Teil: Gar nicht in der Praxis!

Normalerweise macht man es bei solchen Diensten einfach so, dass man sich für einen Domainnamen entscheidet, den man den Usern dann einfach mitteilt, dass sie den verwenden sollen, damit es keine Warnmeldungen gibt. Also z.B. einfach der Hostname vom Server.

Beispiel: Du hast die Domains example.com und example.net, alles schön mit HTTPS eingerichtet. Für FTP/Mail/usw. nimmst Du z.B. eine komplett unabhängige (Sub-) Domain (mein-toller-server.example.net) und richtest alles entsprechend ein. Wenn man keinen Bezug zu den anderen beiden Domains sehen soll, wirst Du halt leider um eine ganz andere Domain nicht herumkommen, z.B. server1.moritz-network.net. Den Mail und FTP Usern der vorher genannten Domains sagst Du einfach, dass sie mein-toller-server.example.net zum Verbinden verwenden sollen. Keine Zertifikatsfehlermeldungen, Problem gelöst. im Falle vom Mailserver musst Du nur darauf achten, dass der Hostname vom Zertifikat mit dem Mailhostnamen, dem rDNS-Eintrag und dem MX-Eintrag der zu empfangenden Domains zusammenpasst. Ansonsten könnte die sichere Übertragung eingehender Mails fehlschlagen.

Beispiel aus der Praxis: Ich habe mehrere Domains auf einem System laufen (z.B. killerbees19.at oder happytec.at), mit HTTPS und ich würde nicht wollen, dass der Hostname vom Server bei Mailverbindungen (FTP betreibe ich nicht) irgendeinen direkten Rückschluss auf diese Domains zulässt. Ich verwende dafür eine komplett eigene Domain, wo jedes System eine eigene Subdomain als Hostname bekommt (z.B. srv-001.fnx.li). Die MX-Records der Domains verweisen alle auf diesen Hostnamen und zum sicheren Verbinden mit IMAP/POP3/SMTP muss man auch diesen Hostnamen verwenden.

Das ist aus Usersicht natürlich blöd. Falls man irgendwann alles auf einen anderen Server verschiebt, wo sich der Hostname ändern würde, müsste der User seine lokale Konfiguration im Mail oder FTP-Programm anpassen, was gerne für Unverständnis sorgt. Die großen Anbieter lösen das meistens durch Wildcard-Zertifikate (*.example.org) und sagen dem Kunden: Verbinde Dich auf deine-domain-tld.example.org, da sie diesen Eintrag beliebig auf andere Server zeigen lassen können, ohne dass der Kunde es merkt. Für uns, als kleine Mitspieler mit privaten Servern, sollte das egal sein. Wildcard-Zertifikate sind für uns normalerweise übertrieben und kosten auch zu viel.

Ich hoffe das war halbwegs verständlich, falls nicht, bitte einfach nachfragen!

MfG Christian

Zitat von MoritzJ

Das mit der Subdomain wäre natürlich n Ansatz, nur sind da meine SSL Zertifikate gleich wieder sinnfrei da ich ein neues Zertifikat bräuchte.

Das könnte man ja auch mit einem kostenlosen Zertifikat lösen. Die erfüllen ihren Zweck genauso und erzeugen auch keine Fehlermeldungen, siehe nachfolgende Testseite: https://wosign-test.happytec.at/ (ein Testbeispiel für IMAPS/POP3S/SMTPS gibt es auf Wunsch per PN)

Zitat von MoritzJ

Wie verhält sich das denn bei einer 2. IP? Da würde doch die Mailserverinstanz unter beiden IPs laufen oder ist es immer noch eine IP?

Einmal unabhängig davon, dass das als Begründung für eine weitere IPv4-Adresse nicht durchgehen wird, da es kaum noch welche gibt: Das hängt von der Software ab. Rein theoretisch ist es natürlich einmal die gleiche Instanz mit der gleichen Konfiguration. Das könnte man mit weniger oder auch mehr Aufwand zwar ändern, bringt Dich aber vermutlich nicht sonderlich weit. Bei FTP könntest Du es auch ohne andere IP mit einem zusätzlichen Port lösen. Bei IMAPS/POP3S/SMTPS ebenfalls. Nur Port 25, auf dem andere Mailserver einliefern, wirst Du nicht umbiegen können. Wozu auch? Den bekommt eh keiner direkt zu Gesicht.

Ich kann Dir nur nochmals raten: Mach Dir nicht so viele Gedanken über das FTP/Mail Zertifikats Zeugs. Du verrennst Dich da in etwas, was es nicht wert ist. Entscheide Dich für eine (Sub-) Domain, richte sie fertig ein, nutze sie und alles läuft einwandfrei. Die Nutzer können dann ja trotzdem noch andere Domains zum Verbinden verwenden. Sie müssen dann halt die Warnmeldung im FTP oder Mailprogramm wegklicken.

MfG Christian

Zitat von MoritzJ

Naja, für Mail und FTP bin ich der einzige Nutzer (ev. kommen max. 2 dazu)

Naja, dann ist es vorsichtig ausgedrückt doch sowas von egal, welche Domain zum Verbinden im FTP-/Mailprogramm verwendet wird, oder?

MfG Christian