サーバ証明書の構成について

Question

HTTPやSMTPサーバなどに使用するSSLサーバ証明書の構成についてわからないことがあるため質問します。

今、１台でHTTP・FTP・メール(SMTP・POP3)の３つの機能を持たせたサーバがあります。(=IPがすべて同じ)
(本来は別々にするべきですが、理由があって同じにしています)
(名前はabc.comとします)
そのサーバには３つのドメインabc.com,www.abc.com,sub.abc.comがあるのですが、
証明書をどのように使用すればよいのか悩んでいます。
WEBサーバはすべてのドメインでSSL通信ができるようにして、メールは@abc.comでPOP3SやSMTPSを使えるようにしたいと思っています。
いろいろ調べてみたところ証明書は一つのサーバに一台しか導入できないとのことですが、
３つのドメインをそれぞれ取得して、WEBサーバには３つ設定し、メールサーバはabc.comの証明書を設定するいとうのは不可能でしょうか？

SNIはWebサーバのみなのでダメだと思うのですが、このようなケースの場合はワイルドカード証明書でなければならないのでしょうか？

足りない情報がもしありましたら補足いたします。
よろしくお願いします。
環境

OS:CentOS7
HTTPサーバ:nginx 1.9
メールサーバ:postfix,dovecot

Answer 1

サーバ証明書はソフトウェア毎に設定できますので、nginx、Postfix、Dovecotそれぞれ別のサーバ証明書を使うことは可能です。ですので、Webサーバとば全く別に、メールサーバ(Postfix、Dovecot)にはabc.comの証明書だけを指定することは全く問題ありません。

問題はWebサーバですが、もし三つの証明書を既に取得済みならSNIを使う方法で問題ないと思います。ガラケーとかで無い限り対応していないブラウザはさすがにもうないでしょう。それ以外にも証明書に別名(SAN、Subject Alternative Name)を付けておくという方法があります。SANが付与できるかは発行元によって異なりますが、大手であればほとんど対応しているようです。追加料金等も不要なところもありますので、証明書を三つも買ったり、ちょっとお高いワイルドカード買ったりするよりは良いと思います。ただ、こちらもガラケーは対応していないようで、かといってワルドカードもガラケーは対応していないので、どんな方法を取ろうがガラケーはマルチIPアドレスにする方法以外は対応策はないと思います。

Comments

[p_np]

ご回答いただきありがとうございます。ソフトウェア毎に設定できるということは、ポートが異なればよろしいのですね。勘違いをしていました。
ほとんどの疑問はおかげさまで解決できたのですが、もう一つ質問があります。
仮にPostfix・Dovecotで複数ドメインを扱う場合(例：aaa.com,sub.aaa,com)
は、Webサーバの”SNI”のような機能はあるのでしょうか？
調べてはみたのですが、解決に至りませんでした。

よろしくおねがいします。

[raccy]

はい、ポートが異なれば大丈夫です。IPアドレスが異なれば別々のサーバ証明書を設定できるのと同じと思って下さい。WebサーバもIPアドレスが同じでもポートが異なれば別にできます。また、Dovecotの場合、IMAPSとPOPSについても別々に設定できたと思いました(ちょっと変わった設定が必要だったと思いますが)。
PostfixとDovecotでSNIのような機能はなかったと思います。少なくとも私は聞いたことも、そのような設定があるのを見たこともありません。また、SAN付きの証明書は使えると思いますが、SANに記載された別名でもOKとしてくれるかはクライアント次第になりますので、Webサーバのようにうまくいく可能性は低いと思います。

[TaichiYanagiya]

Postfix, Dovecot の場合、メールアドレスのドメインパートではなく、SMTP, IMAP, POP サーバーのホスト名(mail.abc.com など)が証明書の CN と一致すればいいです。
なので、サーバー名を共通のものにして(証明書を 1つにして)、ログインユーザー名を [e-mail] や [e-mail] とメールアドレスにするといいと思います。

[p_np]

返信の方、遅れてしまい申し訳ございません。
Webサーバのようにうまくいく可能性は低いとのことなので、同じサーバで、複数のドメインを扱うことはやめることにしました。
しかし、証明書・サーバの仕組みについては大変勉強になりましたので、次に生かしたいと思います。
raccy 様、TaichiYanagiya 様、ご回答いただきありがとうございました。

Answer 2

Postfixは2.1からProxy Protocolに対応してるので、おそらくSNIいけますよ。
ApacheもSNIで。IEは9から対応かな？

というわけで、ワイルドカード証明書で良いんじゃないですかね。