Безопасна актуализация на Zimbra Collaboration Suite

Просто така се случи, че системните администратори винаги са подозрителни към всичко ново. Буквално всичко, от нови сървърни платформи до софтуерни актуализации, се възприема с повишено внимание, точно докато няма първи практически опит за използване и положителна обратна връзка от колеги от други предприятия. Разбираемо е, защото когато буквално отговаряте за работата на предприятието и безопасността на важна информация с главата си, с течение на времето преставате да се доверявате дори на себе си, да не говорим за контрагенти, подчинени или обикновени потребители.

Недоверието към актуализациите на софтуера се дължи на много неприятни случаи, когато инсталирането на нови пачове доведе до спад в производителността, промени в потребителския интерфейс, повреда на информационната система или, най-неприятното, загуба на данни. Не можете обаче напълно да откажете актуализациите, в който случай инфраструктурата на вашето предприятие може да бъде атакувана от киберпрестъпници. Достатъчно е да си припомним сензационния случай с вируса WannaCry, когато данните, съхранявани на милиони компютри, които не са актуализирани до най-новата версия на Windows, се оказаха криптирани. Този инцидент не само коства работата на стотици системни администратори, но също така ясно показа необходимостта от нова политика за актуализиране на софтуерните продукти в предприятието, която да позволи комбинирането на сигурността и скоростта на тяхното инсталиране. В очакване на изданието на Zimbra 8.8.15 LTS, нека да разгледаме как можете да актуализирате Zimbra Collabration Suite Open-Source Edition, за да гарантирате безопасността на всички критични данни.

Една от основните характеристики на Zimbra Collaboration Suite е, че почти всички негови връзки могат да бъдат дублирани. По-специално, в допълнение към основния LDAP-Master сървър, можете да добавите дублирани LDAP реплики, към които, ако е необходимо, можете да прехвърлите функциите на основния LDAP сървър. Можете също така да дублирате прокси сървъри и сървъри с MTA. Такова дублиране позволява, ако е необходимо, да премахнете отделни инфраструктурни връзки от инфраструктурата по време на надграждането и благодарение на това надеждно да се предпазите не само от дълъг престой, но и от загуба на данни в случай на неуспешно надграждане.

За разлика от останалата част от инфраструктурата, дублирането на хранилища за поща в Zimbra Collaboration Suite не се поддържа. Дори ако имате няколко хранилища за поща във вашата инфраструктура, данните за всяка пощенска кутия могат да се намират на един пощенски сървър. Ето защо едно от основните правила за безопасност на данните по време на актуализации е навременното архивиране на информацията в хранилищата на пощата. Колкото по-свежо е вашето архивиране, толкова повече данни ще бъдат запазени в случай на спешност. Тук обаче има един нюанс, който е, че безплатното издание на Zimbra Collaboration Suite няма вграден механизъм за архивиране и ще трябва да използвате вградените инструменти на GNU / Linux, за да създавате резервни копия. Въпреки това, ако вашата инфраструктура на Zimbra има няколко хранилища за поща и размерът на пощенския архив е достатъчно голям, тогава всяко такова архивиране може да отнеме много дълго време и също така да създаде сериозно натоварване на локалната мрежа и на самите сървъри. Освен това, по време на дългосрочно копиране, рисковете от различни форсмажорни обстоятелства рязко се увеличават. Освен това, ако направите подобно архивиране, без да спрете услугата, съществува риск редица файлове да не бъдат копирани правилно, което ще доведе до загуба на някои данни.

Ето защо, ако трябва да архивирате голямо количество информация от хранилища за поща, по-добре е да използвате инкрементално архивиране, което ви позволява да избегнете пълно копие на цялата информация и да архивирате само онези файлове, които са се появили или променили след предишно пълно архивиране. Това значително ускорява процеса на премахване на архиви и също така ви позволява бързо да започнете да инсталирате актуализации. Можете да постигнете инкрементални архиви в Zimbra Open-Source Edition, като използвате модулното разширение Zextras Backup, което е част от Zextras Suite.

Друг мощен инструмент, Zextras PowerStore, позволява на системния администратор да дедуплира данни в магазина за поща. Това означава, че всички идентични прикачени файлове и дублирани имейли на пощенския сървър ще бъдат заменени със същия оригинален файл и всички дубликати ще се превърнат в прозрачни символни връзки. Това не само спестява много място на твърдия диск, но също така значително намалява размера на архивирането, което позволява да се постигне намаляване на времето за пълно архивиране и следователно да се извършва много по-често.

Но основната функция, която Zextras PowerStore може да осигури за сигурна актуализация, е прехвърлянето на пощенски кутии между пощенски сървъри в многосървърни инфраструктури на Zimbra. Благодарение на тази функция системният администратор получава възможността да направи точно същото с хранилищата за поща, което направихме с MTA и LDAP сървърите, за да ги актуализира сигурно. Например, ако има четири пощенски магазина в инфраструктурата на Zimbra, можете да опитате да разпределите пощенски кутии от една от тях към другите три и когато първото пощенско хранилище е празно, можете да го актуализирате, без да се страхувате за безопасността на данните . Ако системният администратор има резервно хранилище за поща в инфраструктурата, той може да го използва като временно хранилище за пощенски кутии, мигрирани от надстройваните хранилища за поща.

Конзолната команда ви позволява да извършите такова прехвърляне. DoMoveMailbox. За да го използвате за прехвърляне на всички акаунти от хранилището на пощата, първо трябва да получите пълния им списък. За да постигнем това, на мейл сървъра ще изпълним командата zmprov sa zimbraMailHost=mailbox.example.com > accounts.txt. След като го изпълним, ще получим файла accounts.txt със списък на всички пощенски кутии в нашето хранилище за поща. След това можете незабавно да го използвате за прехвърляне на акаунти в друго хранилище за поща. Ще изглежда така например:

zxsuite powerstore doMailboxMove reserve_mailbox.example.com input_file accounts.txt етапи данни
zxsuite powerstore doMailboxMove reserve_mailbox.example.com input_file accounts.txt етапи данни, известия за акаунт [имейл защитен]

Командата се изпълнява два пъти, за да копирате всички данни за първи път, без да прехвърляте самия акаунт, а вторият път, тъй като данните се прехвърлят постепенно, копирайте всички данни, които са се появили след първото прехвърляне, и след това прехвърлете самите акаунти . Моля, имайте предвид, че прехвърлянето на акаунти е придружено от кратък период на недостъпност на пощенската кутия и би било разумно да предупредите потребителите за това. Освен това, след приключване на изпълнението на втората команда, на пощата на администратора се изпраща съответно известие. Благодарение на него администраторът може да започне да актуализира хранилището за поща възможно най-бързо.

Ако софтуерът на хранилището за поща се актуализира от SaaS доставчик, би било много по-разумно да се прехвърлят данни не по акаунти, а по домейни, разположени в него. За тези цели е достатъчно леко да промените командата за въвеждане:

zxsuite powerstore doMailboxMove reserve_mailbox.saas.com домейни client1.ru, client2.ru, client3.ru етапи данни
zxsuite powerstore doMailboxMove secureserver.saas.com домейни client1.ru, client2.ru, client3.ru етапи данни, известия за акаунт [имейл защитен]

След като прехвърлянето на акаунти и техните данни от хранилището за поща приключи, данните на изходния сървър престават да представляват поне някаква значимост и можете да започнете да актуализирате пощенския сървър, без да се страхувате за тяхната безопасност.

За тези, които се стремят да сведат до минимум времето за престой при мигриране на пощенски кутии, идеален е фундаментално различен сценарий за използване на командата zxsuite powerstore doMailboxMove, чиято същност е, че пощенските кутии се прехвърлят незабавно към актуализираните сървъри, без да е необходимо да се използват междинни сървъри. С други думи, добавяме ново хранилище за поща към инфраструктурата на Zimbra, което вече е актуализирано до най-новата версия, след което просто прехвърляме акаунти от неактуализиран сървър към него според вече познатия сценарий и повтаряме процедурата, докато всички сървъри в инфраструктурата е актуализирана.

Този метод ви позволява да прехвърляте акаунти веднъж и по този начин да намалите времето, през което пощенските кутии ще останат недостъпни. Освен това за внедряването му е необходим само един допълнителен мейл сървър. Използването му обаче трябва да се третира с повишено внимание от онези администратори, които разполагат хранилища за поща на сървъри с различни конфигурации. Факт е, че прехвърлянето на голям брой акаунти към по-слаб сървър може да повлияе негативно на наличността и отзивчивостта на услугата, което може да бъде доста критично за големи предприятия и SaaS доставчици.

По този начин, благодарение на Zextras Backup и Zextras PowerStore, системният администратор на Zimbra може да актуализира всички възли на инфраструктурата на Zimbra без никакъв риск за информацията, съхранявана в тях.

Източник: www.habr.com