> Сервер _должен_ анонсировать себя как domain.tld и в конфиге должен быть
> только этот адрес. Соответственно и сертификат должен быть с subject'ом
> или как минимум с SAN domain.tld.
Это странно, что он должен себя анонсировать в рамках запуска TLS именно
как domain.tld. Твоё мнение я понял, но не понял, почему это обязательно
для фазы запуска TLS ? Мне не очень нравится ситуация, когда машина с
другим доменом (xmpp.domain.tld) получит также сертификат на другой, по
сути, домен (domain.tld). Как хак - сертификат с SAN - я догадываюсь,
что можно сделать, но сама концепция мне кажется сомнительной.
Например: твой почтовый сервер в подобной ситуации бы мог обойтись
сертификатом без SAN. Потому, что TLS заводится отдельно от протокола
внутри него.
Ну или, если есть какие-нибудь пруфы - покажи, плз, хочу разобраться.
> SASL к TLS в общем-то отношения не имеет. Скорее всего SASL не находит
> подходящий бэкенд для указанного тобой fqdn. Т.е. не "tls не заводится",
> а аутентификация.
Тоже непонятно, какой такой бэкенд ? Читаю доку на gsasl, но пока не
дошёл до понимания принципов работы. Вроде бы всё для работы находится
внутри приложения, все бэкенды в нём. Ну или я тут тоже не понял.
