Доверяйте сертификату x509, которому уже доверяют на другом хосте

Установить пакет сертификатов ЦС

Прежде всего, вам необходимо убедиться, что пакет сертификатов Root CA установлен на вашей машине Debian.

Выполнить:

$ apt list --installed 2>/dev/null | grep ca-certificates

Если в конце строки вывода есть [installed], значит, он установлен, но в пакете отсутствует сертификат корневого ЦС -, перейдите к следующему разделу.

Если команда ничего не выводит, вам необходимо установить сертификаты ЦС с помощью:

$ sudo apt install ca-certificates

Теперь еще раз проверьте свою команду.

Если это все еще не удается, вам нужно будет добавить сертификат Root CA вручную, как показано ниже:

Добавление корневого сертификата ЦС в доверие -Anchor Store

Если вы прочитаете здесь , вы увидите, что правильным корнем является Let's Encrypt’s ISRG Root X1 . Выпускающий ЦС Let's Encrypt(Центр сертификации Let's Encrypt X3)был подписан выше, а также перекрестно -подписан корневым ЦС Identrust для улучшения совместимости со старыми системами. Это последнее, что использует ваша коробка CentOS, но срок ее действия истекает в следующем году, поэтому ее не стоит устанавливать в вашу коробку Debian.

Чтобы ваша машина Debian заработала, загрузите Let’s Encrypt ISRG Root X1 по ссылке выше и сохраните ее в своей системе Debian как (, например)ISRG_Root_X1.pemto /usr/local/share/ca-certificates/

Убедитесь, что вы подтверждаете, что предоставленная мной ссылка является подлинной (сайтом Let's Encrypt )и безопасным (HTTPS ), а не попыткой заставить вас установить поддельный Root Сертификат ЦС, прежде чем перейти к следующему шагу.

Теперь запустите:

$sudo update-ca-certificates

, чтобы добавить новый сертификат в хранилище доверия -.

Если вы действительно хотите вместо этого использовать сертификат Identrust Root CA, вы можете загрузить его с здесь . Это последняя ссылка на странице.

Попробуйте ввести команду еще раз, надеюсь, она сработает.

Неправильно настроенный SMTP-сервер

Если это все еще не удается, необходимо проверить, отправляет ли SMTP-сервер цепочку сертификатов как часть рукопожатия TLS. Довольно часто администраторы серверов настраивают только конечный сертификат объекта -и опускают цепочку ЦС. Добавьте -showcertsк команде в окне Debian и проверьте, отображаются ли все сертификаты (в формате PEM ).

Если они отсутствуют, поговорите с администраторами сервера и попросите их (вежливо )настроить сервер правильно.