SSL-сертификат для почтового домена

Почтовый клиент подключается к серверу по имени, например mail.domain.com, и проверяет, что это имя есть в SSL-сертификате. По умолчанию все почтовые домены используют общий сертификат Exim, выпущенный на имя сервера. Поэтому клиент может показать предупреждение. Чтобы этого не было, подключите почтовому домену собственный сертификат.

Про сертификат почтового сервера читайте в статье Основной SSL-сертификат Exim.

Подготовка к установке сертификата почтового домена

Перед установкой SSL-сертификата для почтового домена убедитесь, что соблюдены следующие условия:

• установлены почтовые серверы Exim и Dovecot
• в панели создан пользователь — владелец почтового домена
• почтовый домен зарегистрирован и доступен в сети
• A- или AAAA-запись имени из сертификата направлена на IP-адрес, выбранный в настройках почтового домена в панели: это само имя почтового домена, если сертификат без псевдонима, или имя псевдонима, если он указан

Способы добавления сертификата для почтового домена

В панели есть два способа добавления сертификата почтовому домену:

• сгенерировать новый в настройках почтового домена
• добавить свой сертификат в разделе SSL-сертификаты

Независимо от метода добавления сертификата, почтовый домен начнет использовать собственный SSL вместо сертификата Exim.

Выпуск нового сертификата

1. Авторизуйтесь в ispmanager под нужной учетной записью.
2. Перейдите в раздел Почтовые домены.
3. Создайте или отредактируйте существующий почтовый домен. 
4. В настройках установите галочку на Защищенное соединение (SSL). 
5. Заполните данные: 

   • Псевдоним для сертификата — имя, на которое выпускается сертификат. Это же имя указывают как адрес сервера IMAP, POP3 и SMTP в почтовом клиенте. По умолчанию: mail.ИМЯ_ПОЧТОВОГО_ДОМЕНА. Пример: mail.domain.com.

     Подробнее

     Сервер выбирает сертификат по имени, к которому подключается клиент. Если клиент подключается по другому имени или по IP-адресу, он получит сертификат Exim. В этом случае укажите в почтовом клиенте адрес сервера, совпадающий с псевдонимом, или измените псевдоним и перевыпустите сертификат.

   • SSL-сертификат:
     • Новый самоподписанный — бесплатный недоверенный сертификат. Для публичных серверов соединение будет считаться небезопасным
     • Новый Let's Encrypt — бесплатный доверенный сертификат
     • НАЗВАНИЕ_СЕРТИФИКАТА — сертификат, уже добавленный в раздел SSL-сертификаты
   • Email — почта владельца сертификата для уведомлений
6. Нажмите Создать или Сохранить.

Добавление существующего сертификата

1. Авторизуйтесь в ispmanager под нужной учетной записью.
2. Перейдите в раздел SSL-сертификаты.
3. На панели инструментов нажмите Добавить сертификат. 
4. Выберите тип сертификата:
   
   • Let's Encrypt
   • Самоподписанный
   • Существующий

5. Заполните данные. Владельцем укажите пользователя, которому принадлежит почтовый домен. Имя в сертификате должно совпадать с псевдонимом для сертификата, например mail.domain.com.

   Если псевдоним не используется, имя сертификата должно соответствовать названию почтового домена.

6. Нажмите Создать. 
7. Вернитесь в настройки почтового домена и выберите сертификат в списке SSL-сертификат.
   
8. Сохраните изменения.

Отключение и удаление сертификата почтового домена 

Если сертификат привязан к почтовому домену, его можно только отключить. Для этого в настройках почтового домена снимите галочку Защищенное соединение (SSL) и сохраните изменения. После этого сертификат станет доступен для удаления.

Чтобы удалить сертификат, перейдите в раздел SSL-сертификаты, выберите нужный и нажмите Удалить на панели инструментов. 

При удалении пользователя-владельца почтового домена автоматически удаляются и его сущности: DNS-записи, домен, почтовый домен и его SSL-сертификат.

Файлы сертификата почтового домена

Все подключенные пользователю SSL-сертификаты хранятся в директории: /var/www/httpd-cert/ПОЛЬЗОВАТЕЛЬ. 

После редактирования или создания почтового домена сертификаты подключаются следующим образом:

local_name ПСЕВДОНИМ {
        ssl_cert = </etc/email/certs/ПСЕВДОНИМ.crt 
        ssl_key = </etc/email/certs/ПСЕВДОНИМ.key
}