Wie man ein SSL-Zertifikat auf SurgeMail installiert

Dieses Tutorial zeigt Ihnen, wie Sie ein SSL-Zertifikat auf SurgeMail installieren, dem Mailserver von Netwin, der SMTP, IMAP, POP3 und Webmail in einem einzigen Daemon abwickelt. Sie fügen das ausgestellte Zertifikat und dessen Zwischenzertifikatskette in die SurgeMail-Weboberfläche ein, starten den Dienst neu und überprüfen, ob jeder sichere Port (Submission, SMTPS, IMAPS, POP3S und Webmail HTTPS) das neue Zertifikat vorweist.

Die folgenden Schritte gelten für aktuelle SurgeMail-8.x-Builds unter Windows, Linux und macOS. Das Layout der Weboberfläche ist seit vielen Releases stabil geblieben, sodass ältere 7.x-Installationen demselben Ablauf folgen.

Einen CSR auf SurgeMail erstellen

Wenn Sie Ihren CSR bereits erstellt und die SSL-Dateien von Ihrer Zertifizierungsstelle erhalten haben, überspringen Sie Teil 1 und springen Sie direkt zu den Installationsschritten.

Ein CSR (Certificate Signing Request) ist ein Block aus codiertem Text, der Ihre Kontaktdaten und den öffentlichen Schlüssel enthält, der mit dem auf dem Server aufbewahrten privaten Schlüssel zusammenpasst. Die Zertifizierungsstelle (CA) verwendet den CSR, um Ihre Angaben zu überprüfen, bevor sie das Zertifikat ausstellt. Sie haben zwei Möglichkeiten:

• Verwenden Sie unseren CSR-Generator, um den CSR automatisch zu erstellen. Wenn Sie diesen Weg wählen, wird der private Schlüssel außerhalb von SurgeMail erzeugt, sodass Sie das Zertifikat zusammen mit dem Schlüssel bei der Installation importieren müssen.
• Erstellen Sie den CSR direkt in SurgeMail, indem Sie unserem Tutorial wie man einen CSR auf SurgeMail erstellt folgen. Der private Schlüssel verbleibt auf dem Server, und das signierte Zertifikat wird direkt daneben eingefügt.

Wenn Sie die SSL-Bestellung aufgeben, kopieren Sie den gesamten CSR-Text einschließlich der Zeilen BEGIN CERTIFICATE REQUEST und END CERTIFICATE REQUEST und fügen Sie ihn in das Bestellformular ein. Den CSR direkt in SurgeMail zu erstellen ist der einfachere Weg, da der private Schlüssel bereits auf dem Server vorhanden ist und nur noch mit dem von der CA zurückgesendeten signierten Zertifikat kombiniert werden muss.

Ein SSL-Zertifikat auf SurgeMail installieren

Nachdem die CA Ihre Anfrage geprüft und das Zertifikat ausgestellt hat, erhalten Sie in der Regel ein ZIP-Archiv per E-Mail. Entpacken Sie es auf Ihrem Computer; Sie sollten Ihr primäres (Server-)Zertifikat sowie ein oder mehrere Zwischenzertifikate (CA) erhalten. SurgeMail erwartet diese im PEM-Format, dem standardmäßigen Klartextformat, das die meisten CAs liefern (die Datei beginnt mit —–BEGIN CERTIFICATE—–). Wenn Ihre Dateien als .crt, .cer oder .pem geliefert wurden, öffnen Sie sie in einem Klartext-Editor (Notepad unter Windows oder nano bzw. vi unter Linux und macOS), um zu bestätigen, dass die PEM-Kopfzeilen vorhanden sind.

Schritt 1: Die Seite SSL Certificates in der Weboberfläche öffnen

Melden Sie sich in Ihrem Browser bei der SurgeMail-Weboberfläche an. Standardmäßig befindet sich die sichere Admin-Oberfläche auf Port 7025 (zum Beispiel https://mail.example.com:7025); der unverschlüsselte Admin-Port ist 7026. Sobald Sie angemeldet sind, öffnen Sie Globals > SSL Certificates Configure. Diese Seite listet alle SurgeMail bekannten Zertifikate auf und ist der Ort, an dem Sie ein signiertes Zertifikat importieren, ein vorhandenes ersetzen oder ein domänenspezifisches Zertifikat festlegen.

Schritt 2: Das Zertifikat und die Zwischenzertifikatskette einfügen

Öffnen Sie den Eintrag für die Domäne, für die Sie den CSR erstellt haben, und suchen Sie das Textfeld SSL Certificate(s). Fügen Sie zuerst den Text des ausgestellten Zertifikats ein, direkt darunter die Zwischenzertifikate, ohne Leerzeile dazwischen. Der kombinierte Block sollte wie folgt aussehen:

-----BEGIN CERTIFICATE-----
(Your primary / server certificate)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(Your intermediate certificate)
-----END CERTIFICATE-----

Jede Markierung BEGIN CERTIFICATE und END CERTIFICATE verwendet genau fünf Bindestriche auf jeder Seite, ohne Leerzeichen. Eine fehlerhafte Markierungszeile (geschwungene Striche, fehlende Bindestriche oder überflüssige Leerzeichen) ist der häufigste Grund, warum ein SurgeMail-SSL-Import fehlschlägt. Wenn Ihre CA mehr als ein Zwischenzertifikat geliefert hat, fügen Sie diese in der von der CA dokumentierten Reihenfolge ein, jeden Block direkt unter dem vorherigen.

Wenn der CSR außerhalb von SurgeMail erstellt wurde (zum Beispiel mit unserem CSR-Generator), akzeptiert diese Seite auch den passenden privaten Schlüssel. Fügen Sie ihn in das Feld für den privaten Schlüssel im Formular ein, damit SurgeMail ihn mit dem Zertifikat kombinieren kann. Wenn Sie den CSR innerhalb von SurgeMail erstellt haben, befindet sich der private Schlüssel bereits auf dem Server und Sie müssen nur die Zertifikatskette einfügen.

Klicken Sie unten auf der Seite auf Save. Im Hintergrund schreibt SurgeMail die Zertifikatskette in ssl/surge_cert.pem und den privaten Schlüssel in ssl/surge_priv.pem innerhalb seines Installationsverzeichnisses.

Schritt 3: SurgeMail neu starten

SurgeMail lädt das Zertifikat beim Start, sodass das neue Zertifikat erst nach einem Neustart verwendet wird. Nutzen Sie die zu Ihrer Plattform passende Methode:

• Weboberfläche: öffnen Sie Status > Restart Server (oder verwenden Sie die entsprechende Schaltfläche Restart im Dashboard).
• Windows: starten Sie den Dienst SurgeMail über services.msc neu.
• Linux: führen Sie als root tellmail shutdown aus und lassen Sie den Service-Supervisor SurgeMail wieder starten, oder verwenden Sie die init-/systemd-Einheit, die Ihr Installationsprogramm registriert hat (üblicherweise systemctl restart surgemail).
• macOS: verwenden Sie die Schaltflächen Stop und Start im SurgeMail Manager, oder starten Sie den launchd-Job neu, den Ihr Installationsprogramm registriert hat.

Ein Neustart ist auch nach jeder Verlängerung oder erneuten Ausstellung erforderlich, selbst wenn sich die Domain nicht geändert hat.

Optional: SSL-Einstellungen härten

Solange Sie sich in der Weboberfläche befinden, nutzen Sie die Gelegenheit, um eine aktuelle Sicherheitsbasis anzuwenden. SurgeMail liefert eine einzeilige Voreinstellung, die moderne Cipher Suites aktiviert und veraltete Protokollversionen deaktiviert:

g_ssl_perfect "true"

Auf älteren Installationen können Sie zudem die veralteten SSL- und frühen TLS-Versionen explizit deaktivieren:

g_ssl_disable "sslv2,sslv3,tlsv1,tlsv1_1"

Diese Direktiven befinden sich zusammen mit den anderen globalen Einstellungen (setzen Sie sie über Globals > SSL in der Weboberfläche, oder bearbeiten Sie surgemail.ini direkt). Speichern Sie die Änderungen und starten Sie SurgeMail neu, damit sie für jeden TLS-fähigen Dienst wirksam werden.

Optional: Verlängerungen mit Let’s Encrypt automatisieren

Wenn Sie den manuellen Ablauf aus Einfügen und Neustart nicht selbst durchführen möchten: SurgeMail bietet ab Version 7.3j2 integrierte Unterstützung für Let’s Encrypt. Fügen Sie Folgendes zu Ihren globalen Einstellungen hinzu, stellen Sie sicher, dass Port 80 direkt für SurgeMail erreichbar ist (nicht für Apache oder IIS), damit die HTTP-01-Challenge abgeschlossen werden kann, und führen Sie dann den Update-Befehl aus:

g_ssl_per_domain "true"
g_ssl_auto "true"
g_webmail_port "80,7080"

tellmail ssl_update

Dieser Modus eignet sich am besten für Neuinstallationen. Wenn Sie ein kommerzielles Zertifikat (Extended Validation, mehrjährige Laufzeit oder ein Wildcard-Zertifikat) erworben haben, bleiben Sie bei dem oben beschriebenen manuellen Einfügen.

Ihre SSL-Installation testen

Sobald SurgeMail wieder läuft, überprüfen Sie jeden Dienst, der das Zertifikat ausliefern soll. Da SurgeMail mehrere Protokolle über einen einzigen Daemon abwickelt, kann ein falsch konfigurierter Port Clients beeinträchtigen, ohne das Webmail zu beeinflussen (oder umgekehrt). Testen Sie:

• Webmail HTTPS auf Port 7443 (oder 443, falls Sie SurgeMail hinter einem Reverse-Proxy betreiben).
• SMTP-Submission auf Port 587 (STARTTLS) und SMTPS auf Port 465.
• IMAPS auf Port 993 und IMAP STARTTLS auf Port 143.
• POP3S auf Port 995 und POP3 STARTTLS auf Port 110.

Verwenden Sie unseren SSL Checker, um das Zertifikat und die vollständige Zwischenzertifikatskette auf dem Webmail-Port zu überprüfen. Für die Mail-Protokoll-Ports verwenden Sie ein TLS-fähiges Kommandozeilenwerkzeug vom Server aus (zum Beispiel openssl s_client -connect mail.example.com:993 für IMAPS, oder openssl s_client -starttls smtp -connect mail.example.com:587 für SMTP-Submission). Das zurückgelieferte Zertifikat, die Ausstellerkette und das Ablaufdatum sollten mit dem gerade installierten Zertifikat übereinstimmen.

Wenn ein Client nach der Installation eine Warnung zum Zertifikat anzeigt, liegt die Ursache fast immer an einem fehlenden Zwischenzertifikat. Überprüfen Sie erneut, ob die Kette im Feld SSL Certificate(s) das Zwischenzertifikat der CA enthält, speichern Sie erneut und starten Sie SurgeMail neu.

Häufig gestellte Fragen