Коротенько )

/etc/postfix/main.cf:

smtpd_use_tls = yes
smtpd_tls_auth_only = no

smtpd_tls_key_file = /etc/postfix/tls/mymail.key
smtpd_tls_cert_file = /etc/postfix/tls/mymail.crt
smtpd_tls_CAfile = /etc/postfix/tls/CA_bundle.pem

Создаём новый приватный ключ:

openssl genrsa -des3 -out mymail.key 2048

Создаём запрос для получения сертификата:

openssl req -new -key mymail.key -out mymail.csr

Заказываем сертификат на сайте регистратора. Я пользуюсь услугами Dynadot.com.

Создаём ключ без пароля:

openssl rsa -in mymail.key -out mymail-nopwd.key

Копируем ключ и сертификат в нужную папку:

cp mymail-nopwd.key /etc/postfix/tls/
cp mymail.crt /etc/postfix/tls/

Создаём промежуточный сертификат: берём отсюда корневой сертификат и сертификат нужного цетра сертификации (в данном случае AlphaSSL) и копируем в один файл CA_bundle.pem:

-----BEGIN CERTIFICATE-----
Корневой сертификат
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Промежуточный сертификат AlphaSSL
-----END CERTIFICATE-----

Ну и перезапускаем postfix.

Конечно, после обновления сертификата (если приватный ключ остался прежний) не нужно всё это делать заново, достаточно просто скопировать новый сертификат в файл mymail.crt. Ну и на всякий случай убедиться, что корневой и промежуточный сертификаты не изменились.