您从哪里获得用于 postfix 的 CA 包 (crt)?

Dar*_*ius 3 ssl postfix centos6

学习 postfix,我已经在我的服务器上设置了 SSL,一切正常。

Untrusted TLS connection established直到我下载了 Equifax SSL CA 包并将其添加到我的 CA 包之前,Google/Gmail 一直在说。现在它说trusted connection每当向 Google 发送电子邮件时。

所以现在我正在尝试为 Yahoo 和 Outlook365 连接做同样的事情。Untrusted TLS connection established每当我向他们发送电子邮件时,联系就会说。

我会以正确的方式解决这个问题吗?通过下载 CA 包并将它们放入我的 CA 包中?我试过ssl_CA_path,只是把它们放在那里,但这没有用,只是smtp_tls_CAfile似乎有效。

  • Centos 6.7
  • 后缀 3.2.2

Ger*_*der 6

每个(主要)Linux 发行版都附带来自通常受信任的所有主要机构的 CA 证书。

这是 CentOS 的默认位置:

smtpd_tls_CAfile = /etc/ssl/certs/ca-bundle.crt
Run Code Online (Sandbox Code Playgroud)

这应该是默认使用的,所以除非你只想信任你自己的 CA,否则你不需要这条线。

CA 文件由包提供ca-certificates。如果由于某种原因 CA 包不存在,您可以使用yum install ca-certificates.

  • Google _可能会成为_一个特殊情况,_如果_他们将中间 CA 证书扩展到 2018-08(目前为 2017-12)之后,我预计他们将_并且_继续为 Geotrust-bridge-to-Equifax 路径提供服务_并且_Postfix 正在使用 OpenSSL不会“切换”到直接 Geotrust 根目录,这对于 CentOS 6 中的 1.0.1 可能仍然适用;在 https://security.stackexchange.com/questions/66487/what-happens-when-certificates-further-up-the-chain-expires-before-mine 查看我的回答 (2认同)