Несколько почтовых доменов на одном ip — почему не работает?

Question

[Alerrll]

Есть домашний сервер, один ip на несколько доменов и hMail.
SSL создаю в Let's Encrypt.
В качестве почтового клиента использую Thunderbird.
На каждом домене висит сайт (с SSL) и почта:
- domain1.ru (на reg.ru) Здесь все хрошо настроено + Ptr прописана.
- domain2.ru (на 2domains.ru)
Для эксперимента антивирусник выключил.

На domain1.ru поставил почту + SSL и она работает, проблем с ней нет.
На domain2.ru недавно поставил почту + SSL и с ней есть проблемa при добавлени нового аккаунта:

Красным затерт imap.domain2.ru:143

Ресурсные записи domain1.ru (reg.ru):
Скриншот фрагмента кода удалён модератором.

Ресурсные записи domain2.ru (2domains.ru):
Скриншот фрагмента кода удалён модератором.

Пробовал прописывать A-запись: @ -> 176.XX.XX.XX, не помогло.

Не мойму почему Thunderbird ругается.
На запросы domain2 почему-то отвечает domain1.ru:
Скриншот фрагмента кода удалён модератором.

В чем может проблема, почему Thunderbird не хочет добавлять почтовые аккаунты с domain2?

Comments

[Модератор]

Не надо ставить как можно больше тэгов. Лучше оставить один, но конкретный, с которым проблема.
См.п.3.1 Регламента. Также обратите внимание на п.3.6

[Модератор]

Скриншот фрагмента кода удалён модератором.
Фрагменты кода надо размещать в виде текста и оборачивать тэгом code для корректного отображения. Удобно делать кнопкой </>
Это обязательно, см.п.3.8 Регламента.
Сюда же относится traceback, ввод и вывод в консоли и другая структурированная текстовая инфа.

Answer 1

[AUser0]

В конфигурации hMail сертификат второго домена не соответствует самому домену. Жмите "View" в окошке ошибки, там увидите прописанный в сертификате домен. Самое простое - сгенерировать сертификат сразу для обоих доменов.

Comments

[Alerrll]

Да, я видел, что при нажатии на View показывается сертификат domain1.
То есть на два домена в Let's Encrypt можно сгенерировать 1 сертификат?
Попробую, конечно, в качестве эксперимента это сделать.

Один сертификат у меня на год, второй максимум на 3 месяца.
Как можно сделать так, чтобы было 2 сертификата по одному на каждый домен и все работало?

[AUser0]

Хмммм, что-то в документации hMail про разные сертификаты на одном IP - ни слова, ни пол слова. Соболезную.

[AUser0]

Ну или можно для второго домена указать MX mail.domain1.ru, вполне должно работать. SSL будет по сертификату первого домена.

[Alerrll]

AUser0,
Спасибо, вроде пробовал уже. Сейчас проверил, не работает (Thunderbird ругается, та же ошибка).
MX отдается верно (для domain2.ru выдается mail.domain1.ru), проверил здесь: https://www.reg.ru/nettools/dig

Еще попробовал прописать CNAME: mail.domain2.ru -> domain1.ru, что-то он очень долго обновляется. Имеет смысл? Есть еще предложения?

[Alerrll]

Все записи, вроде как, бновились. Ошибка не исправилась:

[AUser0]

Из A записи тектовый домен уберите, там разрешены только IP.

Ну а MX прописан верно. Хм, и всё равно ругается на некорректный домен в сертификате? А домен-то тот, mail.domain1.ru?

В CNAME смысла нет.

[AUser0]

Погодите, вы ПРОВЕРЯЕТЕ imap.domain1.ru? А сертификат на это imap. доменное имя выписан?

[Alerrll]

AUser0,
сертификат выписан на:
www.domain1.ru
autodiscover.domain1.ru
mail.domain1.ru
owa.domain1.ru
domain1.ru

на imap сертификат mail.domain1.ru не подойдет?

[Alerrll]

AUser0,

Ну а MX прописан верно. Хм, и всё равно ругается на некорректный домен в сертификате? А домен-то тот, mail.domain1.ru?

Ну да, вот скрин всего что есть прямо сейчас:

А домен-то тот, mail.domain1.ru?

Да, на нем почтовый сервер работает успешно

[AUser0]

Alerrll, проверьте свой сертификат через этот сайт. Введите там imap.domain1.com:993, жамкните "Check SSL", и смотрите...

[AUser0]

Alerrll, по поводу того, что прямо сейчас: A domain1.ru стереть, CNAME mail.domain2.ru стереть, A www стереть.

[Alerrll]

Спасибо стер.

imap.domain1.com:993

Проверил сертификат:
imap.domain1.com:993 - нет.
mail.domain1.ru do not resolves to 176.XX.XX.XX

imap.domain1.com:143(Thunderbird просит этот порт) - нет
1) mail.domain1.ru resolves to 176.XX.XX.XX
2) No SSL certificates were found on mail.domain1.ru. Make sure that the name resolves to the correct server and that the SSL port (default is 443) is open on your server's firewall.

Тогда попробовал так:
mail.domain1.ru:443 и тест прошел:
- The certificate should be trusted by all major web browsers (all the correct intermediate certificates are installed).
- The certificate was issued by GlobalSign.
- The certificate will expire in 256 days.
- The hostname (mail.domain1.ru) is correctly listed in the certificate.

Пошел в Thunderbird:
1) mail.domain2.ru:143 нажал Get certificate и получил: no information available
Тогда прописал в тандербирд 443:
1) mail.domain2.ru:443 нажал Get certificate и получил: valid certificate
Нажал посмотреть и увидел свой сертификат domain2.ru

Не понял что произошло. Можете пояснить почему 443 дает верный сертификат, а 143 - нет? 443 - , насколько понимаю, порт вебсайта. То есть логично что его сертификат рабочий.

Тестировал SSL imap.domain1.ru:993 и 143 и 443 - везде неуспех

[AUser0]

143 порт - это IMAP без шифрования, на нем SSL тест вообще невозможен. Хотя с другой стороны, есть же STARTTLS...
993 - это IMAP с шифрованием, его и нужно тестировать, но у вас сертификата под imap нет.
443 - это HTTPS, и его SSL тест тестирует по протоколу HTTP с SNI, он все порты и протоколы знает.

[Alerrll]

Сгенерировал сертификат Let's Encrypt-ом на www, imap, mail... :
Попробовал протестировать: и система говорит, что нет сертификата. А чуть нижу сертификат уже есть (вернее imap.domain1.ru):

[Alerrll]

Не пониаю почему https://www.sslshopper.com/ssl-checker.html выдает на imap.domain1.ru:993 cледующее:

imap.domain1.ru resolves to 176.xx.xx.xx
No SSL certificates were found on imap.domain1.ru Make sure that the name resolves to the correct server and that the SSL port (default is 443) is open on your server's firewall.

А https://www.leaderssl.ru/tools/ssl_checker выдает на domain1.ru следующее:
Домен www.domain1.ru
Сертификат
Альтернативные имена (SANs)
autodiscover.domain1.ru
domain1.ru
imap.domain1.ru
mail.domain1.ru
owa.domain1.ru
smtp.domain1.ru
www.domain1.ru
Тип сертификата Проверка домена (DV)
Подлинность Действеннен с 16 мая 2023
...

Сертификат же есть и он покрывает imap, почему sslshopper говорит, что сертификата нет?

[AUser0]

Alerrll, проверяйте почтовой программой, есть там сейчас сертификат, и на какое имя?

[AUser0]

Сертификат же есть и он покрывает imap, почему sslshopper говорит, что сертификата нет?

Потому что почтовый сервер не отдаёт вообще ни шифрования, ни сертификата на порту 993. Нет сертификата - нет и информации из этого сертификата. Из-под Linux-а проверять командой openssl s_client -connect imap.domain1.ru:993.

SSL_checker проверяет HTTPS на порту 443 - и там всё есть, всё настроено, поэтому и OK. Но это HTTP/WEB, а не почтовый сервер.

[Alerrll]

AUser0, да, это истинное имя, переписал его. Замените, пожалуйста, у себя его тоже.

[Alerrll]

Спасибо!
Нашел в чем была проблема. В hMail нужно было указать SSL / TLS (Select "Use SSL" and the certificate.).
Подробнее здесь:
https://www.hmailserver.com/documentation/v5.4/?pa...

[Alerrll]

С десктопной версией Thunderbird вроде как теперь успех: ввел [e-mail] + пароль, зашел без предупреждения о проблеме с сертификатом.

На телефоне у меня стоит K-9 Mail. Ввел те же данные и получил предупреждение:
The server presents an invalid SSL certificate. ...
REJECT KEY | ACCEPT KEY
В общем-то это то же самое что и было на десктопе.

domain2 возвращает это:

Так и должно быть? Почему мобильная почта может ругаться на сертификат?

[AUser0]

Alerrll, а в мобильной почте вы указали imap.domain1.ru:993?

[Alerrll]

AUser0, нет.
На мобильной и десктопной версии указал imap.domain2ru:993
На десктопной версии предупреждения не было.

Если на мобильной весии указать imap.domain1.ru:993, то предупреждения нет. Почему?
Можно на бомильной весии сделать так, чтобы там не было нигде domain1.ru ?

[AUser0]

Alerrll, не можно. Нет двух разных сертификатов в hMail - нет и коннекта под вторым сертификатом... Или сделайте общий сертификат.

[Alerrll]

AUser0, то есть если сгенерировать сертификат в котором прописать domain1.ru, www.domain1.ru ..., domain2.ru, www.domain2.ru, ...., то можно будет указывать соответствующий imap.domain[i] ?

[AUser0]

Alerrll, именно!

[Alerrll]

Спасибо, получилось !

[AUser0]

Alerrll, этот вариант решения был написан в самом ответе, и понадобилось 25 комментариев, что бы он был использован, хе-хе.