Exim 和 TLS AUTH 对某些客户端不起作用

Question 1

使用 openssl s_client 命令的 -showcerts 选项。它会打印出整个服务器提供的证书链，而不仅仅是服务器证书（它还会显示中间证书）。对于您来说，错误只是表明您未能将必要的中间证书与服务器证书一起安装。正如前面的发帖人提到的，您必须连接服务器和中间证书 - 实际上，作为最佳实践，还要添加根证书，这样服务器就会显示整个证书链，而不仅仅是单独的叶证书。服务器证书不能单独存在，因为中间证书不是特别受信任的，而是只有根证书才受信任。您必须完全追溯到其中一个证书。一旦您正确链接了所有内容，openssl s_client 测试将指示“链中的自签名证书”或“已验证”，但不会指示“无法找到本地颁发者证书” - 至少如果您也绑定了根证书，这就是我所推荐的。

Answer

使用 openssl s_client 命令的 -showcerts 选项。它会打印出整个服务器提供的证书链，而不仅仅是服务器证书（它还会显示中间证书）。对于您来说，错误只是表明您未能将必要的中间证书与服务器证书一起安装。正如前面的发帖人提到的，您必须连接服务器和中间证书 - 实际上，作为最佳实践，还要添加根证书，这样服务器就会显示整个证书链，而不仅仅是单独的叶证书。服务器证书不能单独存在，因为中间证书不是特别受信任的，而是只有根证书才受信任。您必须完全追溯到其中一个证书。一旦您正确链接了所有内容，openssl s_client 测试将指示“链中的自签名证书”或“已验证”，但不会指示“无法找到本地颁发者证书” - 至少如果您也绑定了根证书，这就是我所推荐的。

Question 2

首先，您的openssl s_client连接没有失败，它表示已成功使用该DHE-DSS-AES256-SHA密码协商 TLSv1 加密。然后您告诉它退出。

OpenSSL做过抱怨你的证书。你的证书是由GeoTrust DV SSL CAOpenSSL 似乎不知道的机构签署的。要么有一个中间证书（这是由 CA 签署的“GeoTrust DV SSL CA”的证书，是在你的列表中）你需要附加到 exim 证书文件中证书的末尾或者您需要更新 openssl 的受信任 CA 列表（在 debian 中，这可以使用软件包完成ca-certificates）。请注意，Firefox 维护其自己的受信任证书颁发机构。

从 GeoTrust 获取中间证书并设置 exim 使用它可能比告诉所有客户更新其受信任的 CA 证书列表更好的解决方案。

编辑

来自的“可接受的客户端 CA 名称”消息openssl s_client表明 exim 正在询问你的客户证书，并且该证书需要来自其中一个 CA（“那些 CA”是 exim 中配置的 CA 列表tls_verify_certificates）。如果您不使用客户端证书来识别您的用户，请禁用tls_try_verify_*exim 中的任何设置并重试。

Answer

首先，您的openssl s_client连接没有失败，它表示已成功使用该DHE-DSS-AES256-SHA密码协商 TLSv1 加密。然后您告诉它退出。

OpenSSL做过抱怨你的证书。你的证书是由GeoTrust DV SSL CAOpenSSL 似乎不知道的机构签署的。要么有一个中间证书（这是由 CA 签署的“GeoTrust DV SSL CA”的证书，是在你的列表中）你需要附加到 exim 证书文件中证书的末尾或者您需要更新 openssl 的受信任 CA 列表（在 debian 中，这可以使用软件包完成ca-certificates）。请注意，Firefox 维护其自己的受信任证书颁发机构。

从 GeoTrust 获取中间证书并设置 exim 使用它可能比告诉所有客户更新其受信任的 CA 证书列表更好的解决方案。

编辑

来自的“可接受的客户端 CA 名称”消息openssl s_client表明 exim 正在询问你的客户证书，并且该证书需要来自其中一个 CA（“那些 CA”是 exim 中配置的 CA 列表tls_verify_certificates）。如果您不使用客户端证书来识别您的用户，请禁用tls_try_verify_*exim 中的任何设置并重试。

Question 3

看起来您正在使用自签名证书。客户端软件通常不信任这些密钥。如果您可以安排将您的 CA 证书添加到客户端的信任链中，那么您应该不会有问题。否则，用户将需要在第一次使用时接受该证书。

通常，接受对话框将默认永久接受例外。Thunderbird 以这种方式工作，但似乎要求您接受一次 IMAP/POP 服务器和一次 SMTP 服务器，即使使用相同的证书也是如此。Eudora 和 Exchange 应该以相同的方式工作。

据我所知，大多数电子邮件服务器不会验证所提供的证书。如果它们会验证，则需要配置 ACL 以防止向这些服务器提供 StartTLS。

编辑：OpenSSL 受信任证书保存在一个目录中（/etc/ssl/certs在 Ubuntu 上）。证书通常根据签名机构命名。还有一个基于密钥哈希的符号链接，用于查找。您可以添加自己的受信任证书。

Answer