Por lo que puedo determinar, generas un certificado LetsEncrypt que incluye la cadena de certificados completa, por lo que:
# run lets-enc the usual way
# then ..:
wget -O intermediate.pem https://letsencrypt.org/certs/lets-encrypt-x1-cross-signed.pem
cat DOMAIN.crt intermediate.pem >DOMAIN.pem
# now use DOMAIN.pem instead of DOMAIN.crt
Desafortunadamente, cuando hago eso, Exim4 resp. GnuTLS se queja de que
(cert/key setup: cert=/etc/letsencrypt/keys/DOMAIN.pem
key=/etc/letsencrypt/keys/DOMAIN.key):
The provided X.509 certificate list is not sorted (in subject to issuer order)
y se niega a habilitar SSL.
Ya que el uso del archivo .CRT "desnudo" produce advertencias de certificados molestas en algunos clientes (funciona, de lo contrario), me gustaría solucionarlo.