Podpora ACME přímo v Apache (diskuse)

[Harvie.CZ]

No hura. Sem zvedavej jak to bude fungovat, kdyz ty certifikaty budu pak chtit este treba pouzit vedle v mailserveru. Ale podle vseho by je to melo ukladat nekam na disk.

[MP]

No to mate blby. Protoze mailserver se urcite nebude reloadovat po zmene certifikatu bez nejakeho impulsu. A za druhe, pokud nepouzijete multidomain certifikat, tak urcite hostname mailserver != webserver.

[masca]

1. Tohle je udělané právě na ten impuls.

2. LetsEncrypt nemá problém se SAN, ale všechny domény musí ověřit přes web. Je fakt, že to vyžaduje web server na smtp.example.com, ale např. přesměrovávat na webmail nebo odpovídat jen na challenge je za certifikát celkem přijatelná cena.

[Marcel Šebek]

2. LetsEncrypt nemá problém se SAN, ale všechny domény musí ověřit přes web.

To není tak úplně pravda, existuje i cosi jako DNS challenge.

[Jendа]

tak urcite hostname mailserver != webserver

Proč? Když to běží na tom stejném stroji…

Je fakt, že to vyžaduje web server na smtp.example.com

Když je to jeden stroj, tak stačí nastavit defaultní virtualhost. Ověřuje se to postupně a třeba můj oblíbený klient acme-tiny s tím nemá problém.

[R]

To by mohlo byt zaujimave. Certbot-apache ma dost serie - ked chce clovek urobit nieco nestandardne, tak zisti, ze neexistuje poriadna dokumentacia...

[Jendа]

Proto mám nejradši acme-tiny, což je v podstatě skript kolem řádkového openssl a můžeš si tam snadno nastavit cokoli co openssl umí.