Kuidas seadistada SNI Zimbra OSE-s õigesti?

21. sajandi alguses oli IPv4-aadresside ressurss peaaegu otsas. Juba 2011. aastal eraldas IANA viimased viis jäänud IPv4 plokki /8 oma aadressiruumist piirkondlikele interneti registreerijatele, ning 2017. aastaks olid need aadressid ka neile otsa saanud. Vastuseks katastroofilisele IPv4-aadresside puudusele ei tulnud mitte ainult protokoll IPv6, vaid ka SNI tehnoloogia, mis võimaldas ühe IPv4-aadressi külge siduda tohutul hulgal veebisaite. SNI põhimõte seisneb selles, et see laiendus võimaldab klientidel ühenduse loomise käigus serverile edastada selle veebisaidi nime, millega nad soovivad ühendada. See võimaldab serveril salvestada palju sertifikaate, võimaldades seega mitmete domeenide töötamist ühel IP-aadressil. SNI tehnoloogia on muutunud eriti nõutuks ettevõtete SaaS-teenuse pakkujate seas, kes said võimaluse majutada praktikaliselt piiramatult domeene, ilma et peaksid muretsema vajalike IPv4-aadresside arvu pärast. Uurime, kuidas SNI-i tuge Zimbra Collaboration Suite Open-Source Edition'is rakendada.

SNI toimib kõikides aktuaalsetes ja toetatavates Zimbra OSE versioonides. Kui teil on Zimbra Open-Source, mis töötab mitme serveri infrastruktuuris, peate kõik järgnevad toimingud sooritama Zimbra Proxy serveriga varustatud node'il. Lisaks on teil vaja sobivaid sertifikaadi ja võtme paare ning usaldusväärseid sertifikaadi ahelate jadasid teie sertifitseerimiskeskuselt iga domeeni jaoks, mida soovite oma IPv4-aadressile majutada. Tõstame esile, et enamik SNI seadistamise vigu Zimbra OSE-s tulenevad just vigastest sertifikaadi failidest. Seepärast soovitame enne nende installimist hoolikalt kõik üle vaadata.

Esiteks, et SNI korralikult töötaks, tuleb sisestada käsk zmprov mcf zimbraReverseProxySNIEnabled TRUE Zimbra Proxy-serveriga node'il ja seejärel käivitada Proxy teenus uuesti käsu abil zmproxyctl restart.

Alustame domeeninime loomisega. Näiteks võtame domeeni company.ru Ja, ja pärast domeeni loomist määrame Zimbra virtuaalse hosti nime ja virtuaalse IP-aadressi. Pöörame tähelepanu sellele, et Zimbra virtuaalse hosti nimi peaks vastama nimele, mille kasutaja peab brauseri aadressiribale sisestama, et pääseda domeenile ja vastama ka sertifikaadis märgitud nimel. Näiteks võtame Zimbra virtuaalse hosti nimeks mail.company.ru, ja virtuaalse IPv4-aadressina kasutame aadressi 1.2.3.4.

Pärast seda piisab käsku sisestamisest zmprov md company.ru zimbraVirtualHostName mail.company.ru zimbraVirtualIPAddress 1.2.3.4, et siduda Zimbra virtuaalne host virtuaalsega IP-aadressiga. Pöörame tähelepanu sellele, et kui server asub NAT-i või tulemüüri taga, tuleb hoolitseda selle eest, et kõik domeenile tehtud päringud suunataks just sellele seotud välisele IP-aadressile, mitte selle kohaliku võrgu aadressile.

Pärast kõigi toimingute lõpetamist jääb vaid kontrollida ja ette valmistada domeeni sertifikaadid installatsiooniks ning seejärel need paigaldada.

Kui domeeni sertifikaadi väljastamine on läinud korrektselt, peaks teil olema kolm sertifikaadifaili: kaks neist esindavad teie sertifitseerimiskeskuse sertifikaadi ahelat ja üks on domeeni otsene sertifikaat. Lisaks peaks teil olema fail võtmega, mida kasutasite sertifikaadi saamiseks. Looge eraldi kaust /tmp/company.ru ja asetage sinna kõik olemasolevad võtme- ja sertifikaadifailid. Tulemuseks peaks olema midagi sellist:

ls /tmp/company.ru
company.ru.key
 company.ru.crt
 company.ru.root.crt
 company.ru.intermediate.crt

Pärast seda ühendame sertifikaadi ahelad ühte faili järgmise käsu abil cat company.ru.root.crt company.ru.intermediate.crt >> company.ru_ca.crt ja veendume, et sertifikaatidega on kõik korras järgmise käsu abil /opt/zimbra/bin/zmcertmgr verifycrt comm /tmp/company.ru/company.ru.key /tmp/company.ru/company.ru.crt /tmp/company.ru/company.ru_ca.crt. Pärast sertifikaatide ja võtme edukat kontrollimist võime alustada nende installeerimist.

Selleks, et alustada installatsiooni, ühendame esmalt domeeni sertifikaadi ja usaldusväärsed ahelad sertifitseerimiskeskustelt ühte faili. Seda tehakse samuti ühe käsu abil, näiteks cat company.ru.crt company.ru_ca.crt >> company.ru.bundle. Pärast seda tuleb käivitada käsk, et salvestada kõik sertifikaadid ja võtmed LDAP-i: /opt/zimbra/libexec/zmdomaincertmgr savecrt company.ru company.ru.bundle company.ru.key, ja seejärel paigaldada sertifikaadid järgmise käsu abil /opt/zimbra/libexec/zmdomaincertmgr deploycrts. Pärast sertifikaadi installimist ja domeeni company.ru võtme hoidmine toimub kaustas /opt/zimbra/conf/domaincerts/company.ru. 

Korrates neid toiminguid erinevate domeeninimede kasutamisega, kuid sama IP-aadressiga, on võimalik paigutada sadade domeenide jaoks ühe IPv4-aadressi alla. Sellega saab probleemideta kasutada sertifikaate erinevatelt väljastajatelt. Kõikide tehtud toimingute õigust võib kontrollida igas brauseris, kus iga virtuaalse hostinime jaoks peaks olema oma SSL-sertifikaat. 

Küsimuste korral, mis on seotud Zextras Suite'iga, võite pöörduda ettevõtte «Zextras» esindaja Ekaterina Triandafiliidi poole e-posti aadressil katerina@zextras.com

Allikas: habr.com