Доброго.
В main.cf для tls прописываю:

smtpd_tls_cert_file = /usr/local/etc/letsencrypt/fullchain.pem
smtpd_tls_key_file = /usr/local/etc/letsencrypt/privkey.pem
smtpd_tls_CAfile= /usr/local/etc/letsencrypt/chain.pem

- всё работает.

Но можно ли сделать так для двух разных доменов?

т.е. DNS
зона dom1.com

...
mail A 111.222.333.444
@ MX 10 mail.dom1.com

зона dom2.com

....
mail A 111.222.333.444
@ MX 10 mail.dom2.com

--------
ip - один.
возможно ли сделать, чтобы при обращении к mail.dom1.com отдавался один сертификат,
а при обращении к mail.dom2.com - другой?

куда рыть хотя-бы..

• Postfix как почтовик на два домена - возможно ли (сертификаты),ALex_hha, 21:59 , 08-Сен-18
  • Postfix как почтовик на два домена - возможно ли (сертификаты),PavelR, 07:29 , 09-Сен-18
    • Postfix как почтовик на два домена - возможно ли (сертификаты),OldMonster, 15:28 , 10-Сен-18
• Postfix как почтовик на два домена - возможно ли (сертификаты),XaMM, 12:36 , 10-Сен-18
  • Postfix как почтовик на два домена - возможно ли (сертификаты),OldMonster, 15:31 , 10-Сен-18

> ip - один.
> возможно ли сделать, чтобы при обращении к mail.dom1.com отдавался один сертификат,
> а при обращении к mail.dom2.com - другой?
> куда рыть хотя-бы..

с одним ip нельзя. Либо для каждого домена свой ip, либо юзать один сертификат для всех доменов

P.S.
если прямо очень надо на одном ip, можно посмотреть в сторону nginx и его почтового модуля - https://docs.nginx.com/nginx/admin-guide/mail-proxy/mail-proxy/

P.P.S
еще можно посмотреть в сторону - http://www.postfix.org/MULTI_INSTANCE_README.html

> с одним ip нельзя. Либо для каждого домена свой ip, либо юзать
> один сертификат для всех доменов
> P.S.
> если прямо очень надо на одном ip, можно посмотреть в сторону nginx
> и его почтового модуля - https://docs.nginx.com/nginx/admin-guide/mail-proxy/mail-proxy/

IP+порт - одно значение, SNI нет. Определить, к какому нашему MX-хосту стремится подключиться отправитель - невозможно.
Что-то мне не особо понятно, как это технически может быть возможно.

> IP+порт - одно значение, SNI нет. Определить, к какому нашему MX-хосту стремится
> подключиться отправитель - невозможно.
> Что-то мне не особо понятно, как это технически может быть возможно.

отож. Я суть понял - теоретически можно накрутить, но не совсем факт.
Вопрос снимаю - буду смотреть в сторону второго сервера. Хотя бы в качестве прокси, а на основном - второй инстанс запустить на туннеле к проксёвому. Или уж раскошелиться на нормальный второй.
Не горит, буду думать.
Спасибо ответившим за наводки!

>[оверквотинг удален]
>

 
> ....
> mail A 111.222.333.444 
> @ MX 10 mail.dom2.com 
> 

> --------
> ip - один.
> возможно ли сделать, чтобы при обращении к mail.dom1.com отдавался один сертификат,
> а при обращении к mail.dom2.com - другой?
> куда рыть хотя-бы..

mail A 111.222.333.444
      A 222.222.222.222
      A 111.111.111.111

>  mail A 111.222.333.444
>       A 222.222.222.222
>       A 111.111.111.111

нет, ip один.
Хотя... Да, купить второй IP туда - дешевле второго сервера!