Re: Faire cohabiter certificats POP et IMAP
Bonjour
Dans le tuto que j'ai partagé pour monter un postfix / dovecot, j'ai la base pour permettre l'utilsiatin de nginx comme reverse proxy SMTP, POP et IMAP.
C'est pas documenté mais j'ai fait des exprimentations dans cette direction (les notes ne sont pas publiées). NGINX peut utiliser un script servi par HTTP (dans le LAN) pour authentifier les utilsiateurs et par la même occasion aiguiller le trafic vers un serveur un un autre, selon la volonté du script.
Voilà un lien vers une implémentation de ce genre, pour donner un aperçu de la solution (ici avec un script perl).
Il y a pas mal d'avantages:
- un serveur frontal qui essuie les attaques sans exposer les données (puisqu'elles sont sur un autre serveur)
- les certificats sont présentés par le frontal NGINX, et pas besoin de configurer certificat et chiffrement sur postfix / dovecot (même si je préférerais le faire personnellement).
- séparer différents domaines : un domaine par couple postfix / dovecot (mon objectif)
- un peu plus de souplesse
A mon avis, pour le SMTP, il faudrait directement utilsier un Postfix comme frontal. J'ai expérimenté avec NGINX mais j'ai trouvé la solution guère satisfaisante. Cela dit, c'est sans doute par manque de connaissance et recul au moment des essais. Je crois que maintenant je pourrais mener cette construction plus facilement.
Le mardi 16 mai 2017 à 19:46 +0200, Pascal Hambourg a écrit :
Le 16/05/2017 à 19:17, andre_debian@numericable.fr a écrit :
On Tuesday 16 May 2017 18:53:06 Erwan David wrote:
Déjà ça sera postfix en smtp dovecot en pop et imap, donc tu peux
séparer le certificat de postfix :
Je comprends pas "séparer le certificat de postfix".
Postfix ne s'occupe que du SMTP, donc tu peux lui faire utiliser un
certificat différent de dovecot.
Ensuite pour pop et imap, je m'en tire en utilisant le même nom d'hôte,
pas besoin d'un certificat différent par protocole.
Le serveur a un nom d'hôte unique,
et
pop = pop.serveur.org
imap = imap.serveur.org
Ce sont deux noms différents.
les deux bien indiqués dans le serveur DNS,
avec le même IP (serveur).
Peu importe qu'ils aient la même adresse. Ce que le client vérifie,
c'est l'adéquation entre le nom d'hôte qu'il a utilisé et celui figurant
dans le certificat servi.
Reply to: