Certificati, posta e DNS

Il certificato del pannello

Server › Certificati SSL gestisce il certificato che il pannello usa per l'HTTPS sul nome del server. Lo stesso certificato serve anche la porta TLS di CSP (Central Syslog): un certificato valido permette agli apparati e agli agenti di verificare il server.

Tipo	Quando usarlo
Let's Encrypt	La scelta normale: gratuito, accettato dai browser, rinnovato dal pannello 30 giorni prima della scadenza
Carica un certificato	Un certificato di un'altra autorità, per esempio quello aziendale
Certificato autofirmato	Generato dal server, valido 10 anni. Cifra la connessione, ma ogni browser lo segnala. L'installazione parte con uno di questi

Let's Encrypt

Let's Encrypt verifica il nome in HTTP sulla porta 80:

• il nome del server deve puntare al server nel DNS;
• la porta 80 deve essere raggiungibile da Internet. Il firewall del pannello la apre; anche un router o un provider davanti al server devono lasciarla passare.

La richiesta richiede un minuto; il pannello tiene il suo certificato finché il nuovo non è installato. Se la richiesta fallisce, la pagina mostra il motivo: correggilo e richiedi di nuovo. Quando un rinnovo fallisce, gli amministratori ricevono un solo messaggio e il pannello riprova ogni giorno.

Caricare un certificato

Incolla, in formato PEM:

• il certificato del server;
• i certificati intermedi dell'autorità: senza, alcuni client rifiutano il certificato;
• la chiave privata, senza password. Viene salvata cifrata e non viene più mostrata.

Il pannello controlla che la chiave appartenga al certificato, che copra il nome del server, che non sia scaduto e che porti a un'autorità attendibile. Un certificato caricato non viene rinnovato: il pannello avvisa 30 e 7 giorni prima della scadenza e il giorno in cui scade.

La posta

Server › Posta: la posta che il pannello invia (notifiche, inviti, esiti dei backup) passa da postfix su questo server. postfix si limita a spedire: non accetta posta dall'esterno.

Impostazione	Che cosa contiene
Mittente	L'indirizzo e il nome da cui arriva la posta; vuoto, panel@ seguito dal nome del server. Salvare la pagina lo conferma: fino ad allora ogni pagina te lo ricorda
Destinatario della posta di sistema	Dove va la posta del server per root e postmaster, e quella non consegnata. Imposta un indirizzo che leggi
Consegna	Diretta: postfix consegna ai server dei destinatari, oppure Tramite un relay: postfix passa tutto a un altro server SMTP, come quello della tua azienda, Microsoft 365 o un servizio di invio

La posta ai clienti di un reseller mantiene il mittente del server, ma porta il nome del marchio del reseller, e le risposte vanno all'indirizzo di assistenza del suo marchio.

Usa un relay quando il fornitore del server blocca la porta 25, o quando la posta finisce nello spam.

Perché la posta arrivi

Per la consegna diretta, i server dei destinatari si fidano della posta quando:

• il nome inverso di ogni indirizzo da cui il server spedisce, IPv4 e IPv6, è il nome del server. Lo imposta il fornitore dell'indirizzo;
• il record SPF del dominio del mittente autorizza il server. Con il mittente predefinito basta il record v=spf1 a -all sul nome del server.

Se l'SPF non autorizza il server, la pagina mostra il record da pubblicare e la politica DMARC del dominio, che dice che cosa succede alla posta nel frattempo; ogni pagina te lo ricorda finché non è a posto. Con un relay, l'SPF riguarda il fornitore del relay.

La Coda mostra la posta che postfix non ha ancora potuto consegnare: riprova da solo per alcuni giorni. Il Messaggio di prova verifica che un messaggio esca e arrivi.

Il DNS

Server › DNS imposta, in Come trova i nomi, il resolver del server, che trova gli indirizzi dei nomi per il pannello, la posta, i certificati e i moduli. Tiene le risposte nella sua cache e risponde solo al server stesso.

Modo	Quando usarlo
Da solo, a partire dai server radice, controllando le firme DNSSEC	La scelta normale: il resolver chiede direttamente ai server di ogni dominio e controlla le firme DNSSEC. Non dipende dal DNS del fornitore, e le liste antispam, che rifiutano le domande dei resolver pubblici, gli rispondono
Chiedendo ad altri resolver, ad esempio quelli del fornitore	Quando il fornitore blocca il DNS verso Internet: il resolver chiede ai resolver che indichi, di solito quelli del fornitore. Le firme non vengono controllate

Domini privati: i domini che esistono solo nella tua rete, come azienda.lan, non sono noti su Internet: indica il DNS della rete che li conosce. Servono, per esempio, ai check di UCP (Uptime Check) verso macchine interne.

Il cambio di modo svuota la cache: per un momento i nomi vengono cercati di nuovo. Se il resolver non risponde, l'installazione mantiene il resolver che il server aveva.