メールサーバや、FTPサーバ、Webサーバが同一筐体の場合、ワイルドカードをご利用いただくことで、1枚の証明書で運用することが可能です。詳しくはこちらをご覧ください。

マニュアルの手順にて動作検証をおこなっておりますが、メールサーバの動作を保証するものではございません。また、証明書の設定部分のみの解説となっておりますので、サーバ構築方法やアプリケーションの詳細については付属のドキュメントや関連書籍等でご確認ください。

Qpopperはオープンソースのアプリケーションです。脆弱性などの問題がないか、随時情報を確認いただき、万一問題が発見された場合は、該当サービスの停止や、対応パッチがリリースされている場合は速やかに適用するなど、運用には十分ご注意ください。

※本例では以下環境を前提としています。 各ファイル名やパスは、お客様の環境に合わせて任意に読み替えてご覧ください。

POPサーバ	qpopper4.0
スーパーサーバ	xinetd
SSLライブラリ（Openssl）	/usr/share/ssl
コモンネーム	pop.toritonssl.com
証明書・鍵の保存ディレクトリ	/etc/mail/certs
qpopper設定用証明書ファイル （秘密鍵・証明書が統合されたファイル）	cert.pem
CSRファイル名	req.pem
証明書ファイル名	server.crt
中間証明書ファイル名	cacert.crt

１お申込みの準備

※秘密鍵と、お申し込み画面に貼り付けるCSRを生成します。

1．qpopper用の証明書を保存するディレクトリを作成します。
mkdir -p -m 660 /etc/mail/certs

2．ディレクトリの権限を設定します。
chown root:mail /etc/mail/certs

3.秘密鍵を作成します。
openssl genrsa -out cert.pem 2048

4.CSRファイルを作成します。
openssl req -new -key cert.pem -out req.pem

※Common Nameは、半角英数文字 および ハイフン[-]、ドット[.]が利用可能です。
※Common Name、Country Name以外は、半角英数文字 および半角スペース[ ]、ハイフン[-]、ドット[.]、アンダースコア[_]、カンマ[,]、プラス[+]、 スラッシュ[/]、かっこ[(]、閉じかっこ[)]がご利用可能です。
※ワイルドカードオプションをご利用の場合は、Common Nameにアスタリスク[*]を含めてください。例： *.toritonssl.com

フィールド	説明	例
Country Name	国を示す2文字のISO略語です。	JP
State or Province Name	組織が置かれている都道府県です。	Tokyo
Locality Name	組織が置かれている市区町村です。	Shibuya-ku
Organization Name	組織の名称です。	AlphaSsl
Organization Unit Name	組織での部署名です。 指定がない場合は - （ハイフン）を入力してください。	Sales
Common Name	ウェブサーバのFQDNです。	pop.toritonssl.com
Email Addres	入力不要です。	-
A challenge password	入力不要です。	-
An optional company name	入力不要です。	-

生成されたCSR（req.pem）を、お申し込みの際にフォームに貼り付けてください。 [-----BEGIN CERTIFICATE REQUEST-----] から[-----END CERTIFICATE REQUEST-----] までをコピーペーストして下さい。

5.秘密鍵のアクセス権の変更
chmod 600 /etc/mail/certs/cert.pem

２証明書のインストール

証明書が発行されますと、サーバ証明書が契約者宛てにメールで届きます。

1.証明書の保存
メール本文中の「◆証明書」の部分 [-----BEGIN CERTIFICATE-----] から[-----END CERTIFICATE-----] までをコピーし、サーバに保存します。 /etc/mail/certs/server.crt

2.中間証明書の保存
メール中の「◆中間証明書」をコピーしてサーバに保存します。
中間証明書は、リポジトリのページからも取得できます。

/etc/mail/certs/cacert.crt

3.証明書ファイルの結合
qpopperでは1つのファイルに秘密鍵、証明書をまとめて設定します。 お客様の証明書（server.crt）と中間証明書（cacert.crt）を、秘密鍵ファイル(cert.pem)に追記して使用します。

cat server.crt >> cert.pem

中間証明書の書き込み

cat cacert.crt >> cert.pem

3Qpopperの設定

POP orver SSLを使用する場合、QpopperがSSLに対応している必要があります。 もしSSL対応のオプションをつけていない場合は、コンパイルしなおす必要があります

SSLのライブラリーにOpensslを使用する場合は、コンパイルオプションに --with-openssl=path　をつけてqpopperをコンパイルします。

※お客様が独自にオプションを設定されている場合は、そのオプションも合わせてご指定ください。

例）
# ./configure --with-openssl=/usr/share/ssl
# make
# make install

4Qpopper設定(qpopperr.config)ファイルの作成

設定ファイルにて、QpopperのSSLサーポートの有効化と、キーペアファイルを指定します。

設定ファイル保存用のディレクトリを作成します。
mkdir /etc/mail/pop

viコマンドで、configファイルを作成します。内容は、以下背景色のついている2行です。
vi /etc/mail/pop/qpopper.config

set tls-support = stls
set tls-server-cert-file = /etc/mail/certs/cert.pem

5xinetdの設定

pop3sの定義を作成します。

xinetdを設定するディレクトリに移動します。
cd /etc/xinetd.d/

viコマンドでpop3sファイルを作成します。内容は、以下背景色をつけている9行です。
vi pop3s

Service pop3s
{
disable = no
socket_type =stream
wait = no
user = root
server = /usr/local/sbin/popper
server_args = popper -s -f /etc/mail/pop/qpopper.config -l 2
}

※ server_argsに作成した、設定ファイルの指定とTSL、SSLを有効にする ”-l 2” のオプションを 指定してください。

6servicesファイルの確認

serviceファイルにpop3s のサービスと使用ポートが記載されている必要があります。記載がない 場合は、viなどのエディタで追記してください。

servicesファイルの中身を確認します。
cat /etc/services

pop3s 995/tcp # POP-3 over SSL
pop3s 995/udp # POP-3 over SSL

上記記載があれば問題ありません。#以下はコメントなので記載しなくても結構です。

7サービスの再起動

スーパーサーバプロセスxinetdの再起動を行います。

 /etc/init.d/xinetd restart

以上で完了です。

OpenSSLのs_clientオプションを利用することにより、SSL通信途中の証明書のやり取りを確認することが可能です。 参考：Apacheで証明書のインストール時に、鍵が合わないとのエラーになります。