Na počátku 21. století došlo k vyčerpání takového zdroje, jako jsou adresy IPv4. Již v roce 2011 IANA přidělila regionálním internetovým registrátorům posledních pět zbývajících bloků /8 ze svého adresního prostoru, a již v roce 2017 se tyto adresy vyčerpaly i u nich. Odpovědí na katastrofální nedostatek IPv4 adres nebylo jen zavedení protokolu IPv6, ale také technologie SNI, která umožnila umisťovat nespočet webových stránek na jednu IPv4 adresu. Podstata SNI spočívá v tom, že toto rozšíření umožňuje klientům v průběhu handshake sdělit serveru název webu, se kterým se chtějí spojit. To serveru umožňuje uchovávat řadu certifikátů a tím zajistit provoz mnoha domén na jedné IP adrese. Technologie SNI se stala zvlášť žádanou mezi poskytovateli SaaS pro podniky, kteří nyní mají možnost hostit prakticky neomezený počet domén bez ohledu na potřebný počet IPv4 adres. Pojďme se podívat, jak implementovat podporu SNI v Zimbra Collaboration Suite Open-Source Edition.
SNI funguje ve všech aktuálních a podporovaných verzích Zimbra OSE. V případě, že vaše Zimbra Open-Source běží na víceúrovňové infrastruktuře, musíte provést všechny níže uvedené kroky na uzlu s nainstalovaným Proxy serverem Zimbra. Kromě toho budete potřebovat odpovídající dvojice certifikát + klíč a důvěryhodné certifikační řetězce od vaší certifikační autority pro každou z domén, které chcete umístit na svou IPv4 adresu. Upozorňujeme, že většina chyb při nastavování SNI v Zimbra OSE pochází z nesprávných souborů certifikátů. Proto doporučujeme pečlivě vše zkontrolovat před jejich skutečnou instalací.
Nejprve je třeba zadat příkaz, aby SNI správně fungovalo. zmprov mcf zimbraReverseProxySNIEnabled TRUE na uzlu s Proxy serverem Zimbra, a poté restartovat službu Proxy pomocí příkazu. zmproxyctl restart.
Začneme vytvořením doménového jména. Jako příklad vezmeme doménu company.ru a po vytvoření domény určíme název virtuálního hostitele Zimbra a virtuální IP adresu. Upozorňujeme, že název virtuálního hostitele Zimbra by měl odpovídat názvu, který by měl uživatel zadat do adresního řádku pro přístup k doméně, a měl by se shodovat s názvem uvedeným v certifikátu. Jako příklad vezmeme název virtuálního hostitele Zimbra mail.company.ru, a jako virtuální IPv4 adresu použijeme adresu 1.2.3.4.
Poté stačí zadat příkaz zmprov md company.ru zimbraVirtualHostName mail.company.ru zimbraVirtualIPAddress 1.2.3.4, abychom spojili virtuální hostitele Zimbra s virtuálním IP adresu. Upozorňujeme, že pokud je server za NAT nebo firewallem, je nutné zajistit, aby všechny požadavky na doménu směřovaly právě na přidělenou externí IP adresu, a nikoli na její adresu v místní síti.
Jakmile bude všechno hotovo, zbývá pouze zkontrolovat a připravit certifikáty domény k instalaci a poté je nainstalovat.
Pokud proběhlo vydání certifikátu na doménu správně, měli byste mít tři soubory s certifikáty: dva z nich představují řetězce certifikátů od vašeho certifikačního úřadu a jeden je přímo certifikát k doméně. Dále byste měli mít soubor s klíčem, který jste použili k získání certifikátu. Vytvořte si samostatnou složku /tmp/company.ru a umístěte tam všechny dostupné soubory s klíči a certifikáty. Nakonec by to mělo vypadat takto:
ls /tmp/company.ru
company.ru.key
company.ru.crt
company.ru.root.crt
company.ru.intermediate.crtPoté spojíme řetězce certifikátů do jednoho souboru pomocí příkazu cat company.ru.root.crt company.ru.intermediate.crt >> company.ru_ca.crt a ujistíme se, že je s certifikáty všechno v pořádku pomocí příkazu /opt/zimbra/bin/zmcertmgr verifycrt comm /tmp/company.ru/company.ru.key /tmp/company.ru/company.ru.crt /tmp/company.ru/company.ru_ca.crt. Jakmile bude kontrola certifikátů a klíče úspěšná, můžeme přistoupit k jejich instalaci.
Abychom zahájili instalaci, nejprve spojíme certifikát k doméně a důvěryhodné řetězce z certifikačních úřadů do jednoho souboru. Dělá se to také pomocí jednoho příkazu ve tvaru cat company.ru.crt company.ru_ca.crt >> company.ru.bundle. Poté je nutné provést příkaz k zapsání všech certifikátů a klíče do LDAP: /opt/zimbra/libexec/zmdomaincertmgr savecrt company.ru company.ru.bundle company.ru.key, a poté nainstalovat certifikáty pomocí příkazu /opt/zimbra/libexec/zmdomaincertmgr deploycrtsPo nainstalování budou certifikáty a klíč od domény company.ru uloženy ve složce /opt/zimbra/conf/domaincerts/company.ru.
Opakováním těchto kroků s použitím různých domén, ale stejné IP adresy, lze dosáhnout hostování několika stovek domén na jedné IPv4 adrese. Přičemž je možné bez problémů používat certifikáty z různých certifikačních autorit. Ověření správnosti všech provedených kroků lze provést v jakémkoli prohlížeči, kde by pro každé virtuální jméno hostitele mělo být zobrazeno své SSL certifikát.
Na všechny otázky týkající se Zextras Suite se můžete obrátit na zástupce společnosti „Zextras“ Ekaterinu Triandafilidi na e-mailu katerina@zextras.com
Zdroj: habr.com
