将 pem 附加到另一个

Question

我找到了一个博客，它帮助我通过 smtp.gmail.com 使用 SASL 身份验证中继 postfix。其中一个步骤是：

cat /etc/ssl/certs/Thawte_Premium_Server_CA.pem | \
              sudo tee -a /etc/postfix/smtp_cacert.pem

当我读到这样的东西时，我有点担心，因为我不完全确定如果我将 Thawte 附加.pem到我的会发生什么。我构建了.pem：

openssl req -new -x509 -days 365 -nodes -out smtp_cacert.pem \
             -keyout smtp_cacert.key`...

• .pem在我生成的 Thawte上附加 Thawte 有什么风险？
• 当我将 Thawte 附加.pem到我的时，这对 SSL 有什么作用？

Answer 1

组合多个 PEM 文件的正确顺序是：

正确的 PEM 顺序如下：

-----BEGIN RSA PRIVATE KEY-----
(Your Private Key: your_domain_name.key)
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
(Your Primary SSL certificate: your_domain_name.crt)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(Your Intermediate certificate: IntermediaryCA.crt)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(Your Root certificate: TrustedRoot.crt)
-----END CERTIFICATE-----

您没有（或不想包含在一个文件中）的任何一个都可以省略。但顺序是从最具体到最不具体。

1. 钥匙
2. 你的证书
3. 中间CA证书
4. 根CA证书

如果有多个中介，只需按照与链相同的顺序依次列出它们。

并非所有程序都需要此顺序，有些程序会自行解决。但是我经历过 Postfix 和 stunnel 都需要这个命令。