21. sajandi alguses olid IPv4-aadressid peaaegu lõppemas. Juba 2011. aastal eraldas IANA piirkondlikele interneti registreerijatele viimased viis allesjäänud /8 ploki oma aadressiruumist, ja 2017. aastaks olid need aadressid ka neile otsa saanud. Vastuseks katastroofilisele IPv4-aadresside puudusele tekkis mitte ainult IPv6 protokoll, vaid ka SNI tehnoloogia, mis võimaldas mahutada tohutul hulgal veebisaite ühele IPv4-aadressile. SNI idee seisneb selles, et see laiendus võimaldab klientidel käsitlemise protsessis serverile edastada veebisaidi nime, millega nad soovivad ühendust luua. See võimaldab serveril salvestada mitmeid sertifikaate, mis tähendab, et paljusid domeene saab hallata ühel IP-aadressil. SNI tehnoloogia on saanud eriti populaarseks SaaS-teenuse pakkujate seas, kes saavad praktikas majutada peaaegu piiramatu arvu domeene ilma vajaduseta muretseda vajalike IPv4-aadresside arvu pärast. Uurime, kuidas on võimalik SNI toetust rakendada Zimbra Collaboration Suite Open-Source Editionis.
SNI töötab kõigis nüüdisaegsetes ja toetatavates Zimbra OSE versioonides. Kui teie Zimbra avatud lähtekoodiga töötab mitme serveri infrastruktuuris, peate kõik järgnevad toimingud tegema sõlmes, kus on installitud Zimbra Proxiserver. Lisaks on vajalikud vastavad sertifikaadi+võtme paarid ja usaldusväärsed sertifikaadikettid teie sertifitseerimiskeskuselt iga domeeni jaoks, mille soovite hostida oma IPv4-aadressil. Tähelepanu, et enamik SNI seadistamise vigu Zimbra OSE-s tuleneb just vale sertifikaadi failidest. Seetõttu soovitame enne nende paigaldamist kõik hoolikalt üle vaadata.
Esiteks, et SNI korralikult töötaks, tuleb sisestada järgmine käsk zmprov mcf zimbraReverseProxySNIEnabled TRUE Zimbra proxiserveriga sõlmes ja seejärel taaskäivitada Proxy teenus järgmise käsuga zmproxyctl restart.
Alustame domeeninime loomisega. Näiteks võtame domeeni company.ru Kui domeen on juba loodud, määrame Zimbra virtuaalse hosti nime ja virtuaalse IP-aadressi. Pange tähele, et Zimbra virtuaalse hosti nimi peab vastama nimele, mille kasutaja peab sirvija aadressiribale sisestama, et domeenile juurde pääseda, ning olema kooskõlas sertifikaadis märgitud nimega. Näiteks võtame Zimbra virtuaalse hosti nimeks mail.company.ru, ja virtuaalse IPv4-aadressina kasutame aadressi 1.2.3.4.
Pärast seda piisab käsu sisestamisest zmprov md company.ru zimbraVirtualHostName mail.company.ru zimbraVirtualIPAddress 1.2.3.4, et siduda Zimbra virtuaalne host virtuaalse IP-aadressi. Pöörame tähelepanu sellele, et kui server asub NAT-i või tulemüüriga, tuleb tagada, et kõik domeeni päringud suunatakse just sellele välisele IP-aadressile, mitte selle lokaalse võrgu aadressile.
Kui kõik on valmis, tuleb vaid domeeni sertifikaadid kontrollida ja paigaldamiseks ette valmistada ning seejärel need installida.
Kui domeeni sertifikaadi väljastamine on aset leidnud, peaks teil olema käes kolm sertifikaatide faili: kaks sertifikaatide ahelat teie sertifitseerimiskeskusest ning üks on otsene väljakuulutatud domeeni sertifikaat. Lisaks peaks teil olema fail võtmega, mida kasutasite sertifikaadi saamiseks. Looge eraldi kaust /tmp/company.ru ja paigutage sinna kõik olemasolevad võtmed ja sertifikaadifailid. Lõpptulemusena peaks see välja nägema umbes selline:
ls /tmp/company.ru
company.ru.key
company.ru.crt
company.ru.root.crt
company.ru.intermediate.crtSeejärel ühendame sertifikaadi ahelad üheks failiks käsu abil cat company.ru.root.crt company.ru.intermediate.crt >> company.ru_ca.crt ja veendume, et sertifikaatidega on kõik korras käsu abil /opt/zimbra/bin/zmcertmgr verifycrt comm /tmp/company.ru/company.ru.key /tmp/company.ru/company.ru.crt /tmp/company.ru/company.ru_ca.crt. Kui sertifikaatide ja võtme kontrollimine on edukas, saame alustada nende installimist.
Installimise alustamiseks ühendame esmalt domeeni sertifikaadi ja sertifitseerimiskeskuste usaldusväärsed ahelad üheks failiks. See toimub samuti ühe käsu abil, mis on kujul cat company.ru.crt company.ru_ca.crt >> company.ru.bundle. Pärast seda tuleb käivitada käsk, et salvestada kõik sertifikaadid ja võtmed LDAP-i: /opt/zimbra/libexec/zmdomaincertmgr savecrt company.ru company.ru.bundle company.ru.key, seejärel installige sertifikaadid käsu abil /opt/zimbra/libexec/zmdomaincertmgr deploycrts. Pärast installimist jäävad sertifikaadid ja domeeni company.ru võti kausta /opt/zimbra/conf/domaincerts/company.ru.
Korrates neid samme erinevate domeeninimede ja sama IP-aadressiga, on võimalik paigutada sadu domeene ühele IPv4-aadressile. Samuti saab probleemideta kasutada sertifikaate erinevatelt väljaandjatelt. Kõik tehtud toimingute õigsust saab kontrollida igas brauseris, kus iga virtuaalse hostinime korral peaks kuvatama oma SSL-sertifikaat.
Küsimuste korral, mis on seotud Zextras Suite'iga, võite pöörduda Zextra esindaja Ekaterina Triandafiliidi poole e-posti teel katerina@zextras.com
Allikas: habr.com
