Certbot Zertifikat für SMTP/IMAP/POP3/MAPI unvollständig

gbailey

Heute hat sich bei meinem Grommunio Server das SSL Zertifikat mit Let's Encrypt verlängert, und ab da haben die Clients Zertifikats Warnungen angezeigt.
Webmail und Active Sync lief einwandfrei.

Nach etwas Suchen bin ich drauf gekommen, dass das Skript /usr/share/grommunio-setup/grommunio-certbot-renew-hook mit openssl nur das erste Zertifikat aus der Zertifikatskette holt.
Und das ist anscheinend seit 2022 nicht mehr notwendig, da 2021 der große DST war.

Mein schneller Dirty Patch ist es also den OpenSSL Part zu entfernen und es so angepasst in einem anderen Verzeichnis zu speichern.

#!/bin/bash
# server-bundle = Leaf + ALLE Intermediates (vollständige Kette)
cat "$RENEWED_LINEAGE/fullchain.pem" > "/etc/grommunio-common/ssl/server-bundle.pem"
cp "$RENEWED_LINEAGE/privkey.pem" "/etc/grommunio-common/ssl/server.key"
find /etc/grommunio-common/ssl/ -type f -exec chown -h gromox:gromox {} +
systemctl restart postfix gromox-http gromox-imap gromox-pop3 gromox-delivery-queue

Jetzt hoffe ich, das alles wieder einwandfrei läuft.

Ist nur zur Info, falls das noch nicht im aktuellen Paket sowieso schon gepatched wurde.

LG Bailey

auh

Ich hatte gestern auch das Problem, habe den hook dann angepasst

/usr/share/grommunio-setup/grommunio-certbot-renew-hook 

#!/bin/bash
# SPDX-License-Identifier: AGPL-3.0-or-later
# SPDX-FileCopyrightText: 2021 grommunio GmbH

cp "$RENEWED_LINEAGE/fullchain.pem" "/etc/grommunio-common/ssl/server-bundle.pem"
cp "$RENEWED_LINEAGE/privkey.pem" "/etc/grommunio-common/ssl/server.key"

find /etc/grommunio-common/ssl/ -type f -exec chown -h gromox:gromox {} +
chmod 640 /etc/grommunio-common/ssl/server-bundle.pem
chmod 600 /etc/grommunio-common/ssl/server.key

systemctl restart postfix nginx gromox-http gromox-imap gromox-pop3 gromox-delivery-queue

Aber beim nächsten Update fliegt mir das wohl um die Ohren ;-)

WalterH

auh Code immer auch als Code formatierern, ist sonst unlesbar.

Duese6

Danke für den Tipp 😃

Kann ich bestätigen.

Der originale Hook liefert je nach Chain nicht immer die vollständige Zertifikatskette (nur Leaf + ein Intermediate). Das fällt oft nicht auf, weil viele Clients das kompensieren.

Mit fullchain.pem ist die Chain sauber vollständig und s_client zeigt das entsprechend korrekt.

Mit R12/R13 sieht man den Effekt oft nicht, weil nur ein Intermediate existiert – bei den neueren LE Chains kann es aber relevant werden.

WalterH

Duese6 bei den neueren LE Chains kann es aber relevant werden.

Ist inzwischen relevant, Android Geräte melden ganz neue Zertifikate als unguilting weil die Chain unvollständig ist.

Duese6

Kurzer Nachtrag von mir:
Mit dem neueren grommunio-setup scheint der Hook ja schon angepasst zu sein und direkt mit fullchain.pem zu arbeiten.
Mir ist in dem Zusammenhang noch die Deprecation-Warning zu
service nginx stop/start
aufgefallen.
Die kam bei mir aus dem ExecStart der grommunio-certbot-renew.service.
Ich habe das jetzt testweise auf systemctl stop/start nginx geändert und beobachte mal die nächsten Renew-Läufe.
Die Frage wäre für mich noch:
Ist das aus eurer Sicht überhaupt sinnvoll bzw. relevant, oder am Ende eher nur ein kosmetischer Punkt?
Und falls ja: wäre das nicht eigentlich etwas, das man direkt in grommunio-setup (oder wo auch immer) sauber anpassen könnte?