Let's Encrypt - Renouvellement de certificat

[VirtuBox]

Pour le script, si je me trompe pas, c'est surtout pour relancer Postfix automatiquement après le renouvellement des certificats.

Bonjour @MrLLp,

quand je dis "la messagerie de tous les domaines n'utilise qu'un seul et unique certificat", c'est dans le cadre d'une configuration standard avec Plesk. Ce qui ne nécessite pas de mettre en place un script ou autre chose pour le renouvellement, puisque Plesk s'occupe de renouveller les certificat Let's Encrypt tous les 30 jours, et de redémarrer Postfix après chaque renouvellement.

Par contre j'ai un peu de mal à suivre concernant la phrase :

je me suis déjà pas mal cassé la tête pour que les reverse soient cohérents avec leur domaine

Est ce que tu utilises une IP différente pour chaque domaine avec le smtp configuré pour envoyer les emails via son IP ?

[MrLLp]

Bonjour @VirtuBox,

J'avoue que je pensais utliser Plesk de la manière la plus standard qu'il soit...

Est ce que tu utilises une IP différente pour chaque domaine avec le smtp configuré pour envoyer les emails via son IP ?

Oui j'ai une ip par site/domaine, ça me semblait plus propre et plus secure en cas de blacklisting...
Et donc chaque domaine utilise mail.domaine.tld comme adresse de serveur mail. J'ajoute un smtp_helo_name à une ligne existante dans master.cf quand j'ajoute un domaine dans Plesk.

Tout va très bien, j'ai juste 2 ou 3 clients, je ne sais pas pourquoi pas les autres, qui ont des soucis avec leur mailbox lorsque les certificats se renouvellent tous les 3 mois (tu parles de 30 jours, je ne sais pas trop si y'a un rapport).

Tu me conseillerais de faire comme tu m'expliquais dans ton post précédent ?
Mais si j'utilises mon hostname comme serveurs pop/smtp, je vais devoir modifier la configuration chez chacun des mes clients j'imagine ? Tu n'aurais pas une autre idée à part cella-là ? :-)

Merci à toi,
LLp

[MrLLp]

Bonjour,

J'ai suivi l'idée de @VirtuBox et d'utiliser mon hostname comme serveur mail. J'avais le nom par défaut "nsxxxxxxx.ip-.....eu" que j'ai remplacé par mon domaine "mistersmith.net".

J'ai donc fait un test avec mon domaine "laurentdhoop.com", pensé à remplacer le champ MX par "laurentdhoop.com. MX (10) mail.mistersmith.net." et créé une mailbox que j'ai installé sur divers clients, en utilisant donc bien mail.mistersmith.net en POP et SMTP mais j'ai toujours le même souci de certificat qui n'est pas valide dès l'ajout de la mailbox.

Dans Plesk, j'ai aussi bien spécifié dans Tools & Settings > SSL/TLS Certificates : Certificate for securing mail > Lets Encrypt mistersmith.net from mistersmith.net

Malheureusement, checktls.com me dit toujours ceci :

Cert Hostname DOES NOT VERIFY (mail.mistersmith.net != mistersmith.net | DNS:mistersmith.net | DNS:webmail.mistersmith.net | DNS:www.mistersmith.net)
So email is encrypted but the host is not verified

Je ne sais pas ce que je dois encore faire... Le reverse du serveur ? Quelque chose dans Postfix ?

Merci d'avance,
MrLLp

[janus57]

Bonjour,

Vu que vous n'avez pas inclus "mail.mistersmith.net" dans le certificat c'est normale.

Cordialement, janus57

[VirtuBox]

Bonjour,

Je me suis peut-être mal exprimé, mais je pense que c'est surtout les templates DNS par défaut de Plesk qui vous induisent en erreur.

Pour résumer :

• Le domaine ou sous-domaine utilisé en tant que MX n'a pas vraiment d'importante. Vous pourriez utiliser mail.mistersmith.net ou mistersmith.net du moment que les deux pointent vers l'IP du serveur
• Si vous avez définit mistersmith.net en tant que certificat SSL/TLS pour sécuriser le serveur mail, alors il vous faut utiliser mistersmith.net en tant qu'adresse POP, IMAP & SMTP, et non mail.mistersmith.net.
• Vous pouvez très bien créer un sous-domaine mail.mistersmith.net et générer un certificat SSL avec Let's Encrypt avant de le sélectionner dans Tools & Settings > SSL/TLS Certificates pour sécuriser le serveur mail. Dans ce cas vous pourrez utiliser mail.mistersmith.net en tant que qu'adresse de serveur POP, IMAP & SMTP.

J'espère avoir été un peu plus clair.

Edit : J'en profite au passage pour rappeler que le hostname d'un serveur doit toujours être un FQDN (Fully Qualified Domain Name), donc il faut utiliser un sous-domaine (ex : plesk.votredomaine.tld) et non un domaine

[MrLLp]

@VirtuBox tu vas me dire quel est ton alcool préféré et je t'envoie une bouteille !

Cela fait longtemps que je galère avec ces histoires de certificats avec les mails, en effet utiliser mistersmith.net tout court comme adresse de serveur mail est ok, je n'ai reçu aucun message d'erreur de certificat quand je configure dans Outlook ou sur iOS !

Je me permets quelques dernières questions :

Le domaine ou sous-domaine utilisé en tant que MX n'a pas vraiment d'importante. Vous pourriez utiliser mail.mistersmith.net ou mistersmith.net du moment que les deux pointent vers l'IP du serveur

Que dois-je mettre comme MX pour que ce soit propre ?

Si vous avez définit mistersmith.net en tant que certificat SSL/TLS pour sécuriser le serveur mail, alors il vous faut utiliser mistersmith.net en tant qu'adresse POP, IMAP & SMTP, et non mail.mistersmith.net.

C'est ce que j'ai fait et c'est là que je vois que ça fonctionne à merveille !

Vous pouvez très bien créer un sous-domaine mail.mistersmith.net et générer un certificat SSL avec Let's Encrypt avant de le sélectionner dans Tools & Settings > SSL/TLS Certificates pour sécuriser le serveur mail. Dans ce cas vous pourrez utiliser mail.mistersmith.net en tant que qu'adresse de serveur POP, IMAP & SMTP.

J'imagine que je peux laisser comme ça vu que ça fonctionne.

J'en profite au passage pour rappeler que le hostname d'un serveur doit toujours être un FQDN (Fully Qualified Domain Name), donc il faut utiliser un sous-domaine (ex : plesk.votredomaine.tld) et non un domaine

Là je n'ai pas bien saisi, je dois utiliser un sous-domaine pour l'accès à Plesk ? Il me semble que tout roule comme ça...

Encore milles merci, je vais m'assurer que c'est ok comme ça et transmettre les infos à un premier client pour voir comment ça se passe à son niveau.

MrLLp

[Gaston_Phone]

Château d'Yquem 1947

[MrLLp]

Château d'Yquem 1947

Haha très bon choix ;-)

Encore une question :
Au niveau de Postfix, mes "smtp_helo_name" et "myhostname", je ne dois rien changer ? J'imagine que non pour que l'authentification reste propre mais je préfère m'en assurer.

[Gaston_Phone]

Haha très bon choix ;-)

Quoique rare et hors de prix.

Ceci dit, je ne suis pas @VirtuBox qui t'a mis sur la bonne voie.
Je ne peux pas répondre à tes dernières réponses.

[MrLLp]

Pas de souci, j'en offre une à @Nowwhat et à @janus57 qui sont toujours au taquet pour aider sur ce forum. @Gaston_Phone tu te contenteras d'une année plus récente ;-)

Je suis joie d'avoir enfin solutionné mon problème ! Enfin j'espère...

Edit: Je viens de tester un nouveau compte mail sur un nouveau domaine en utilisant "mistersmith.net" et ça marche aussi ! Bien que son champs MX est toujours celui par défaut, à savoir mail.domaine.tld - Donc tout va bien ? J'ai peur de crier victoire trop vite...

[Gaston_Phone]

Je me contenterai donc du Château d'Yquem 1967 ou 2001. :)

J'arrête de dire des bêtises. Bonne soirée @MrLLp.

[MrLLp]

Pas de souci @Gaston_Phone, bonne soirée à toi aussi ;-)

[Gaston_Phone]

MrLLp ou MisterSmith ? ? ?

[MrLLp]

MrLLp pour le nickname et Mr. Smith pour le boulot ;-)

[VirtuBox]

@VirtuBox tu vas me dire quel est ton alcool préféré et je t'envoie une bouteille !

Haha, il m'a fallu un certain temps pour maîtriser totalement Plesk donc quand je peux aider c'est avec plaisir.
Pour répondre aux dernières questions :

Que dois-je mettre comme MX pour que ce soit propre ?

C'est uniquement une question de préférences. La logique Plesk est de créer un enregistrement DNS pour mail.ledomaine.tld et de l'utiliser comme MX. Personnellement, je définit quel sous-domaine je veux utiliser pour la partie mail sur un serveur, et je l'utilise pour tous les domaines : en tant que MX et en tant qu'adresse de serveur POP/IMAP/SMTP.

J'imagine que je peux laisser comme ça vu que ça fonctionne.

Oui tout à fait

Là je n'ai pas bien saisi, je dois utiliser un sous-domaine pour l'accès à Plesk ? Il me semble que tout roule comme ça...

Je parlais uniquement du hostname du serveur, qui est définit dans Tools & Settings > Server Settings
Il faut absolument utiliser un FQDN du type sous.ledomaine.tld ou laisser le hostname définit initialement par OVH (puis ajuster le rDNS en fonction de ce hostname)
Mais il n'y a pas de relation directe entre l'adresse utilisée pour accéder à Plesk et le hostname. On peut utiliser un domaine ou sous-domaine pour accéder à Plesk, sans que ce soit le hostname du serveur.

[MrLLp]

Merci pour tes réponses et encore quelques questions ;-)

Il faut absolument utiliser un FQDN du type sous.ledomaine.tld ou laisser le hostname définit initialement par OVH

Ca fonctionnait malgré tout mais je suis ton conseil, j'ai bien remis nsxxxx-ip... comme hostname.

puis ajuster le rDNS en fonction de ce hostname

C'est bien le reverse dans le manager OVH ? Donc au niveau du reverse de l'ip du serveur, je mets nsxxxx-ip... ?

On peut utiliser un domaine ou sous-domaine pour accéder à Plesk, sans que ce soit le hostname du serveur.

Effectivement je peux toujours me connecter avec mistersmith.net:8443 mais où/comment est défini le domaine qui permet d'accéder à Plesk ? C'est via le domaine qui correspond à l'ip du serveur je suppose ?

[janus57]

Bonjour,

Ca fonctionnait malgré tout mais je suis ton conseil, j'ai bien remis nsxxxx-ip... comme hostname.

Mauvais conseil, le nom de baptême du serveur ne devrait jamais être utilisé en production vu qu'on a aucun contrôle sur le domaine, que c'est un nom générique que certains RBL blackliste et que c'est OVH qui à la contrôle uniquement.

Cordialement, janus57

[VirtuBox]

Ca fonctionnait malgré tout mais je suis ton conseil, j'ai bien remis nsxxxx-ip... comme hostname.

Cela fonctionne avec n'importe quel hostname, cependant sans un FQDN, le premier système anti-spam venu refusera les emails envoyés par le serveur Plesk.
Par contre, comme le souligne @janus57, il est vrai que c'est OVH qui a la main sur les domaines utilisés pour nommer les serveur par défaut. L'idéal est donc d'utiliser un des vos sous-domaine pour nommer le serveur. Il faut bien faire pointer ce sous-domaine vers l'IP du serveur et définir le rDNS en fonction du hostname

C'est bien le reverse dans le manager OVH ? Donc au niveau du reverse de l'ip du serveur, je mets nsxxxx-ip... ?

Oui, le reverse DNS doit correspondre au hostname du serveur.

Effectivement je peux toujours me connecter avec mistersmith.net:8443 mais où/comment est défini le domaine qui permet d'accéder à Plesk ? C'est via le domaine qui correspond à l'ip du serveur je suppose ?

Au même endroit que pour le certificat SSL du serveur mail. Vous pouvez choisir quel certificat utiliser pour sécuriser l'interface Plesk, et il faudra donc en toute logique utiliser le domaine/sous-domaine du certificat SSL pour accéder au serveur.

[MrLLp]

Ok nickel, merci pour ces compléments d'infos ! Et encore merci pour l'aide.
Je vais voir si tout va bien niveau mails sinon je repasserai par ici ;-)

[MrLLp]

Bon, je reviens encore te dire un grand merci @VirtuBox, question mails et certificats, c'est bien en ordre !
Je sais pas pourquoi je m'obstinais à vouloir utiliser chaque domaine comme serveur pop et smtp alors qu'utiliser un nom unique était la solution ultime !