Postfix通过TLS发邮件时提示azdcs-gov证书过期问题求助

看起来你遇到的这个问题有点棘手——明明tcpdump抓包显示证书有效，但Postfix偶尔会抛出“invalid cert: Certificate is expired”的错误。结合你使用的Postfix 2.8.2和OpenSSL 1.0.1u（都是停更多年的旧版本），我整理了几个可能的排查方向：

1. 旧版本软件的兼容性隐患 #

Postfix 2.8.2是2012年发布的，OpenSSL 1.0.1u停更于2016年，这两个版本对现代TLS特性和新证书类型的支持存在很多局限性。比如Outlook的邮件防护服务器可能会动态切换证书链（比如使用EC证书、SHA-256以上签名算法的证书），旧版本的OpenSSL在处理这些场景时偶尔会出现验证逻辑错误，把“无法识别证书链”或“签名算法不支持”这类问题误报成“证书过期”。

2. 证书链完整性验证问题 #

虽然tcpdump抓到的服务器证书本身有效，但Postfix在TLS握手时可能没有获取到完整的中间证书链，导致验证失败。你可以手动用OpenSSL模拟握手，检查证书链是否完整：

openssl s_client -connect azdcs-gov.mail.protection.outlook.com:25 -starttls smtp

在输出中找到Certificate chain部分，确认是否包含从服务器证书到根CA的完整链路。如果中间有缺失，检查Postfix配置中的smtp_tls_CAfile或smtp_tls_CApath是否指向了包含最新CA证书的文件/目录——旧系统默认的CA库可能没有收录Outlook服务器使用的中间CA证书。

3. 调高TLS日志级别获取详细错误信息 #

默认的Postfix日志可能只给出模糊的“证书过期”提示，你可以临时调高TLS日志级别，下次出现错误时就能看到更具体的验证失败原因：
在Postfix的main.cf中添加或修改：

smtp_tls_loglevel = 3

重启Postfix后，查看/var/log/maillog（或对应系统的邮件日志文件），当错误再次出现时，日志会记录证书验证的每一步细节，比如是哪一步失败、具体的错误代码，这能帮你区分真的证书过期还是其他验证问题被误报。

4. 系统时间同步检查 #

虽然你提到tcpdump显示证书有效，但还是要确认Postfix服务器的时间是否同步准确。如果服务器时间偶尔出现漂移（比如快于实际时间），可能会导致证书验证时被判定为“已过期”。可以用以下命令检查NTP同步状态：

ntpq -p
date

确保服务器时间和NTP服务器同步，误差在几秒以内。

5. 尝试更新CA证书库 #

旧系统的CA证书库可能没有收录Outlook服务器使用的最新中间CA，你可以手动更新CA证书包：

• 对于Debian/Ubuntu系：运行update-ca-certificates
• 对于RHEL/CentOS系：下载最新的ca-certificates包并安装
  之后确认Postfix的smtp_tls_CAfile指向更新后的CA文件（比如/etc/ssl/certs/ca-certificates.crt）。

根本解决建议：升级Postfix和OpenSSL #

由于你使用的版本都已经停止维护，不仅存在安全漏洞，兼容性问题也会越来越多。建议升级到支持现代TLS的版本：

• Postfix 3.6及以上版本
• OpenSSL 1.1.1及以上版本（LTS版本）
  升级后，旧版本的兼容性问题大概率会被解决。

内容的提问来源于stack exchange，提问作者Sumit