Mailu项目中DANE验证失败问题的分析与解决方案

问题背景

在Mailu邮件服务器项目中，用户报告了一个关于DANE验证失败的问题。DANE(DNS-Based Authentication of Named Entities)是一种利用DNS记录来验证TLS证书的技术，它通过TLSA记录存储证书认证数据，为SMTP等协议提供额外的安全层。

问题现象

当使用Let's Encrypt证书时，Mailu服务器返回的证书链不完整，缺少根证书ISRG Root X1。这导致DANE验证失败，因为客户端无法构建完整的证书信任链。具体表现为：

1. 通过openssl s_client工具检查时，只看到两个证书：服务器证书和中间证书
2. 缺少根证书ISRG Root X1
3. 配置的TLSA记录2 1 1 0b9fa5a59eed715c26c1020c711b4f6ec42d58b0015e14337a39dad301c5afc3验证失败

技术分析

证书链完整性的重要性

在TLS握手过程中，服务器需要提供完整的证书链（从终端实体证书到根证书），以便客户端能够验证证书的有效性。虽然根证书通常已经内置在客户端信任库中，但提供完整的证书链仍然是推荐做法，特别是对于DANE验证。

Mailu中的证书处理机制

Mailu使用certbot管理Let's Encrypt证书。在之前的版本中，Mailu通过add_DANE_pin函数确保证书链完整。但在某个更新中，这个功能被移除，导致现在返回的证书链不完整。

Let's Encrypt证书链变更

Let's Encrypt的证书链经历了多次变更：

1. 最初使用DST Root CA X3作为根证书
2. 后来切换到ISRG Root X1
3. 现在提供ISRG Root X2作为新的根证书

解决方案

Mailu开发团队已经修复了这个问题，解决方案包括：

1. 恢复证书链完整性检查机制
2. 确保fullchain.pem包含完整的证书链（终端证书+中间证书+根证书）
3. 在2.0.39版本中正式发布该修复

最佳实践建议

对于使用DANE验证的Mailu管理员：

1. 及时升级到2.0.39或更高版本
2. 考虑同时为ISRG Root X1和X2创建TLSA记录
3. 定期检查证书链完整性
4. 使用openssl工具验证服务器返回的证书链

验证方法

管理员可以使用以下命令验证修复效果：

echo | openssl s_client -connect your.mail.server:25 -starttls smtp -showcerts

正常情况下应该看到三个证书：服务器证书、中间证书和根证书。

总结

证书链完整性对于邮件服务器的安全至关重要，特别是当使用DANE验证时。Mailu项目团队已经修复了证书链不完整的问题，建议所有用户及时升级以获得最佳的安全性和兼容性。