SSL-сертификат для Ejabberd

Почему нельзя выпустить wildcard сертификат и не мучиться?

Сертификат должен быть на somehost.ee. Это если клиенты подключаются с помощью STARTLS. Если же они используют legacy SSL (обычно на 5223 порту висит), то тогда xmpp.somehost.ee. Но опять же, другие серверы только через STARTLS подключаются.

В wildcard *.somehost.ee есть точка. Для somehost.ee он не подойдет.

Почему же не подойдет? А как тогда весь остальной интернет использует wildcard? Почему когда я захожу на чью-то главную страницу типа somehost.zone, он мне не ругается на небезопасное подключение? Или я что-то путаю?

Ты путаешь subjectAltName и wildcard.

annerleen, выпусти сертификат для domain.tld с subjectAltName DNS:sub.domain.tld.

Ушел читать, спасибо!

Делай DNS Alt Name на оба, тогда точно не ошибёшься.

спасибо.

А что насчёт Mail-сервера? условия такие же — MX-запись на sub.domain.ltd, принимает почту на domain.ltd

В этих ваших интернетах мнения противоречивые.

Сертификатом здоровается тот хост, куда осуществляется подключение. Субъект сертификата должен совпадать с адресом, к которому осуществляется подключение, и пофиг, для каких доменов вся эта мама принимает почту / обслуживет чатик, для TLS handshake существует только DNS-имя хоста.
Для многодоменных случаев боженька создал subjectAltName, жрать оно не просит, сколько надо - столько задавай.

Я бы вписывал все варианты в альтнейм и не мучался, благо летсенкрипт позволяет достаточно много хостов в один сертификат впихнуть.

thesis, INFOMAN, спасибо.

Попытался выпустить сертификат с альт-неймом у GeoTrust — в итоге послали нафиг меня с таким запросом :)

Но вроде бы работает сертификат только для того хоста, который указан в MX-записи.

Потому что всякие геотрасты нафиг не нужны

sudo acmetool want <список альтнеймов>