Postfix修改证书路径后出现TLS Library Problem错误码45求助

关于报错中../ssl/record/rec_layer_s3.c:1544的说明 #

这个路径是OpenSSL编译时的源码相对路径，仅用于标识报错对应的OpenSSL代码位置，不属于你服务器上的实际文件，找不到属于正常情况，无需额外关注。报错里的SSL alert number 45核心含义是对端（连接到你Postfix服务的客户端/其他邮件服务器）检测到你返回的证书已过期。

已确认基础配置正确时的遗漏排查项 #

• 检查vmail_ssl.map映射是否更新
  如果你使用了/etc/postfix/vmail_ssl.map配置多域名证书，修改文件内容后必须执行postmap /etc/postfix/vmail_ssl.map生成对应的.db哈希文件，Postfix才会读取新的配置，修改完后要执行systemctl reload postfix重载服务。
• 证书/私钥的读取权限检查
  Postfix运行身份默认是postfix用户，存放在Nginx目录下的证书/私钥通常权限为root:root 600，Postfix无读取权限时会 fallback 加载旧的过期证书。可以执行namei -l 你的证书完整路径检查每一级目录的读取权限，确保postfix用户有读权限。
• SELinux上下文检查（仅针对CentOS/RHEL/Fedora等发行版）
  默认开启SELinux的系统中，Postfix的进程安全上下文不允许读取Nginx目录下的文件。可以先临时关闭SELinux验证：setenforce 0，如果重启Postfix后报错消失，就需要给证书目录配置正确的安全上下文：

  semanage fcontext -a -t cert_t "/etc/nginx/你的证书目录(/.*)?"
  restorecon -Rv /etc/nginx/你的证书目录
  

• 证书有效性手动验证
  执行以下命令确认你配置的证书确实未过期、证书与私钥匹配：

  # 查看证书有效期
  openssl x509 -in 你的证书完整路径 -noout -dates
  # 验证证书与私钥是否匹配，两个命令输出的MD5值必须一致
  openssl x509 -noout -modulus -in 你的证书路径 | openssl md5
  openssl rsa -noout -modulus -in 你的私钥路径 | openssl md5
  

关于软链接到postfix/ssl目录的说明 #

不需要强制软链接，只要路径配置正确、权限/SELinux配置合规，Postfix可以正常读取任意位置的证书。如果你想要简化权限配置，也可以将证书软链接到/etc/postfix/ssl目录下，软链接后同样要保证源文件的读取权限正常。

内容的提问来源于stack exchange，提问作者Aonodensetsu