![Postfix 是否需要每个目标域的 TLS 证书?](https://linux22.com/image/621557/Postfix%20%E6%98%AF%E5%90%A6%E9%9C%80%E8%A6%81%E6%AF%8F%E4%B8%AA%E7%9B%AE%E6%A0%87%E5%9F%9F%E7%9A%84%20TLS%20%E8%AF%81%E4%B9%A6%EF%BC%9F.png)
当 Postfix 是多个域的目标时,它是否需要为每个域提供 TLS 证书,还是只需要为 $myhostname 中的域提供 TLS 证书?
也就是说,是否存在 smtp 客户端会根据用于查找我们的 MX 检查证书,或者它们是否都足够智能,可以等待 220 响应和/或执行反向 DNS,并据此进行检查?
不先检查证书就能收到 220 吗?
但除此之外,Postfix 是否可能知道客户端想要什么证书?
编辑:即使他们确实进行了反向 DNS,如果客户端愿意接受解析为任意域的 MX 地址,那么这对 MITM 来说不是微不足道吗?或者解决方案是,如果我想要 TLS,就永远不要使用虚荣 MX?
答案1
在我看来,这样做的方法是避免虚荣 MX。无论如何,这几乎毫无意义——有多少人真正能看到你的 MX 记录?虚荣域名很好,但如果你的 MX 记录在所有情况下都是嵌入在证书中的 CN,TLS 会更简单。