后缀 + Gmail。证书验证失败

Question

我已将系统设置为通过 Gmail 发送电子邮件。

系统在我可以发送电子邮件的范围内工作，但是我收到有关安全证书的错误。

这是 mail.log 中的一个示例条目：

    Oct 29 12:17:27 durban postfix/smtp[20742]: setting up TLS connection
    to smtp.gmail.com[209.85.143.108]:587

    Oct 29 12:17:27 durban postfix/smtp[20742]: certificate verification
    failed for smtp.gmail.com[209.85.143.108]:587: untrusted issuer
    /C=US/O=Equifax/OU=Equifax Secure Certificate Authority

    Oct 29 12:17:27 durban postfix/smtp[20742]: Untrusted TLS connection
    established to smtp.gmail.com[209.85.143.108]:587: TLSv1 with cipher
    RC4-SHA (128/128 bits)

    Oct 29 12:17:29 durban postfix/smtp[20742]: BA4852A1BFA:
    to=<some@email.com>, relay=smtp.gmail.com[209.85.143.108]:587,
    delay=2.9, delays=0.1/0.1/1.3/1.4, dsn=2.0.0, status=sent (250 2.0.0
    OK 1319887049 l20sm20686943wbo.6)

我在 google 上搜索了这个问题，并找到了其他有问题的人，他们可以通过更新 /etc/postfix 目录中名为 cacert.pem 的文件来解决它。

在我的 main.cf 我有以下行（除其他外）：

smtpd_tls_CAfile=/etc/postfix/cacert.pem

我有这个文件：

-rw-r--r-- 1 root root 2298 2011-10-29 12:16 cacert.pem

我用以下命令填充了这个文件：

# cat /usr/lib/ssl/certs/Equifax_Secure_CA.pem >> /etc/postfix/cacert.pem
# cat /usr/lib/ssl/certs/Thawte_Premium_Server_CA.pem >>
      /etc/postfix/cacert.pem

我相信第一行应该足够了，第二行（证书）是一个旧的不再使用的（由谷歌）证书。

我不知道我还能更改什么，也不知道要搜索什么或要检查哪些日志文件。

任何提示表示赞赏。

Answer 1

我遇到了同样的问题，当我发出“postconf |grep smtp|grep CA”时，所有变量都是空的：smtp_tls_CAfile = smtp_tls_CApath = smtpd_tls_CAfile = smtpd_tls_CApath =

这是我修复它的方法；

我假设您的 Ubuntu 安装创建了包含 Internet 上所有已知 CA 的 CA 路径：/etc/ssl/certs，Equifax 就在那里。

您在 Postfix 配置中缺少的只是 CApath：smtp_tls_CApath = /etc/ssl/certs

之后 Postfix 将能够验证 smtp.gmail.com 的证书为合法 CA，因为它在 /etc/ssl/certs 目录中。

Answer 2

我认为你的问题是你正在设置smtpd_tls_CAfile而不是smtp_tls_CAfile.

您可以对 postfix TLS 配置使用自签名证书。

Answer 3

我遇到了类似的问题，我在这篇博文的帮助下解决了这个问题。

补救措施似乎是我只需要一个有效的 SSL 证书（而不是自签名证书），然后我将 StartSSL 和 Equifax CA 捆绑包连接在一起。