Postfix客户端TLS提交邮件时远程证书无效问题求助

兄弟，我来帮你排查这个证书无效的问题！从你描述的情况来看，Postfix到Office365的转发没问题，但客户端用SSL连接Postfix发件时触发证书错误，大概率是证书链不完整、域名不匹配或者客户端信任逻辑的问题，给你列几个实用的排查方向：

• 先确认Postfix的证书链是否完整
  你配置了中间证书，但很多客户端需要完整的证书链（服务器证书+中间证书+根证书）才能信任。可以把这三个证书按顺序合并成一个文件：

  cat /etc/ssl/relay_cert.cer /etc/ssl/inter_cert.cer /etc/ssl/root_cert.cer > /etc/ssl/full_chain.cer
  

  然后修改main.cf里的smtpd_tls_cert_file指向这个完整链文件，重启Postfix试试。

• 检查证书的域名/IP是否匹配客户端连接地址
  客户端连接Postfix时用的域名或IP，必须和证书里的CN（通用名称）或者SAN（主题备用名称）一致。你可以用这个命令查看证书信息：

  openssl x509 -in /etc/ssl/relay_cert.cer -text -noout
  

  重点看Subject:里的CN字段，还有X509v3 Subject Alternative Name:里的条目，如果客户端用IP连接，证书里得有对应的IP条目；用主机名的话就得有对应域名。

• 排查客户端的证书信任问题
  从报错的Send-MailMessage来看，你应该是用PowerShell测试的。Windows系统的根证书存储里可能没有你证书的根CA，所以会判定证书无效。可以手动把根证书导入到Windows的「受信任的根证书颁发机构」，或者临时加-SkipCertificateCheck参数测试（生产环境别这么干）：

  Send-MailMessage -From "test@example.com" -To "recipient@example.com" -SmtpServer "your-postfix-server" -Port 465 -UseSsl -Credential $cred -SkipCertificateCheck
  

• 确认Postfix 465端口的配置是否正确
  你在master.cf里启用了465端口，要确保对应的配置里开启了SSL封装模式，比如：

  smtps     inet  n       -       y       -       -       smtpd
    -o syslog_name=postfix/smtps
    -o smtpd_tls_wrappermode=yes
    -o smtpd_sasl_auth_enable=yes
  

  其中smtpd_tls_wrappermode=yes是465端口必须的，因为它是一开始就建立SSL连接的端口，和587的STARTTLS模式不一样。

• 查看Postfix日志找详细错误
  你已经开了smtp_tls_loglevel=2，可以查看邮件日志（一般是/var/log/mail.log或者/var/log/mail.err），里面会有TLS握手时的详细错误信息，比如是证书链缺失、域名不匹配还是其他问题，这能帮你精准定位。

附上你提到的报错信息：

Send-MailMessage : The remote certificate is invalid according to the validation procedure.

备注：内容来源于stack exchange，提问作者smwk