Dane konfigurieren

h725rk

Hallo,

ich habe auf meinem Server Mailcow installiert und dies funktioniert super. Leider bekomme ich bei der Domain-Einstellung keine Information zu dem Eintrag “25.tcp.mail.domain.de”.

Ich muss dazu auch erklären, dass ich Mailcow nicht über Port 80 und 443 laufen lasse, da ich einen Reverse Proxy davor habe. Ich habe dadurch das acme-Protokoll installiert und dies verteilt die Zertifikate. Nicht das acme-Protokoll von Mailcow, sondern ein separat eingerichtetes. Das funktioniert auch super.
Daher meine Frage, was muss ich für ein Zertifikat ausstellen, damit ich Dane konfigurieren kann?

Danke und schöne Grüße,
Robert

esackbauer

Für DANE brauchst du einen TLSA record. Vielleicht hilft das hier weiter:
https://community.mailcow.email/d/3624-tlsa-dns-setup

h725rk

Das mit dem Eintrag verstehe ich. Ich habe den nicht gesetzt, weil mir das Cert dafür fehlt.
Unter den DNS Einstellungen der Domain finde ich keinen Eintrag beim Wert, was ja die Vorgabe für den DNS Eintrag ist. Sieht man in meinen Screenshot.
Meine Frage ist halt, wie erzeuge ich den mit meinem Setup?

accolon

h725rk Unter den DNS Einstellungen der Domain finde ich keinen Eintrag beim Wert, was ja die Vorgabe für den DNS Eintrag ist.

mailcow erzeugt dir den Eintrag nicht, sondern zeigt dort nur an, was im DNS hinterlegt ist.

Diese Anleitung beschreibt ausführlich, wie man einen TLSA-Record erzeugt:
https://dokuwiki.tachtler.net/doku.php?id=tachtler:let_s_encrypt_-_tlsa-record_-_dane

h725rk

Danke, ich schaue mir das mal an.

h725rk

Also wenn ich das so verstehe, muss ich mir einfach nur den Fingerprint von dem Zertifikat mail.domain.de auslesen und diesen dann im DNS eintragen. Ändert sich nicht der Fingerprint bei der Erneuerung?

DocFraggle

h725rk muss ich mir einfach nur den Fingerprint von dem Zertifikat mail.domain.de auslesen und diesen dann im DNS eintrage

Genau, das ist im Grunde der Public Key:

h725rk Ändert sich nicht der Fingerprint bei der Erneuerung?

Damit man das nicht machen muss sind die 3 Werte vor dem Public Key da, siehe auch die oben verlinkte Doku

Bei „3 1 1“-Datensätzen müssen Sie sicherstellen, dass die Erneuerung von Let’s Encrypt-Zertifikaten kein neues Paar aus privatem und öffentlichem Schlüssel erzeugt, sondern dass bei künftigen Aktualisierungen des Zertifikats dasselbe Paar aus öffentlichem Schlüssel verwendet wird.

Und genau das ist im ACME Container schon so konfiguriert, Du musst es halt bei Dir auch sicherstellen wenn Du es selbst machst

accolon

Genau. Wenn mailcow deine Zertifikate erzeugt, ist das der Fingerprint von /data/assets/ssl/cert.pem im mailcow-Verzeichnis.

Da mailcow kein neues Schlüsselpaar bei der Neubeantragung von Zertifikaten erzeugt, ist dass dann ein “3 1 1”-Eintrag.

Als Fallback bietet es sich an, wie bei Tachtler beschrieben auch noch “2 1 1”-Einträge für die Schlüssel der CA anzulegen. Let’s Encrypt hat die unlängst erneuert, aktuell sind R10 und R11 in Verwendung:
https://dnssec-stats.ant.isi.edu/~viktor/x3hosts.html

h725rk

Ahh, ok. Das habe ich verstanden.
Ich muss nur schauen, wie ich mit acme.sh das Zertifikat erneuere, aber der fingerprint immer gleich bleibt.
Mal schauen, wie ich das hinbekomme.

Danke.

h725rk

Vielen Dank.
Hat funktioniert. Habe es auch vorher mit acme.sh getestet und der renewal-Prozess belässt den Fingerprint drin.