Kako ispravno postaviti SNI u Zimbra OSE?

Na početku 21. stoljeća došlo je do iscrpljenja resursa poput IPv4 adresa. Već 2011. godine, IANA je dodijelila regionalnim internetskim registratorima posljednjih pet preostalih blokova /8 iz svog adresnog prostora, a već 2017. godine, adrese su se iscrpile i za njih. Odgovor na katastrofalni nedostatak IPv4 adresa nije bila samo pojava protokola IPv6, već i SNI tehnologija, koja je omogućila smještaj ogromnog broja web stranica na jednoj IPv4 adresi. Bit SNI-a je u tome da ovo proširenje omogućava klijentima da tijekom handshakea obavijeste server o imenu web stranice s kojom se žele povezati. To omogućava serveru da pohranjuje brojne certifikate, a time omogućava funkcioniranje više domena na jednoj IP adresi. Tehnologija SNI postala je posebno tražena među SaaS pružateljima usluga za poslovanje, koji su dobili mogućnost smještaja praktički neograničenog broja domena bez brige o potrebnom broju IPv4 adresa. Saznajmo kako implementirati podršku za SNI u Zimbra Collaboration Suite Open-Source Edition.

SNI radi u svim aktualnim i podržanim verzijama Zimbra OSE. U slučaju da vaša Zimbra Open-Source radi na multiservernoj infrastrukturi, bit će potrebno izvršiti sve dolje navedene radnje na čvoru s instaliranim Zimbra Proxy serverom. Također će vam biti potrebne odgovarajuće parove certifikat + ključ, kao i vjerodostojne lance certifikata od vašeg certifikacijskog centra za svaku od domena koje želite smjestiti na svoj IPv4 adresu. Napominjemo da je uzrok velikog broja grešaka prilikom postavljanja SNI u Zimbra OSE upravo u netočnim datotekama s certifikatima. Stoga savjetujemo da sve temeljito provjerite prije nego što ih zapravo instalirate.

Prvo, kako bi SNI normalno radio, potrebno je unijeti naredbu zmprov mcf zimbraReverseProxySNIEnabled TRUE na čvoru s Zimbra Proxy serverom, a zatim ponovno pokrenuti Proxy uslugu pomoću naredbe zmproxyctl restart.

Započnimo stvaranjem domena. Za primjer ćemo uzeti domenu company.ru Nakon što je domena stvorena, odredimo ime virtualnog hosta Zimbra i virtualnu IP adresu. Važno je da ime virtualnog hosta Zimbra odgovara imenu koje korisnik treba unijeti u adresnu traku preglednika za pristup domeni, a također se mora poklapati s imenom navedenim u certifikatu. Za primjer ćemo uzeti ime virtualnog hosta Zimbra mail.tvrtka.hr, a kao virtualnu IPv4 adresu koristimo adresu 1.2.3.4.

Nakon toga dovoljno je unijeti naredbu zmprov md tvrtka.hr zimbraVirtualHostName mail.tvrtka.hr zimbraVirtualIPAddress 1.2.3.4, kako bismo pridružili virtualni host Zimbra virtualnom IP-adresu. Napominjemo da, ako se poslužitelj nalazi iza NAT-a ili vatrozida, treba osigurati da svi zahtjevi prema domeni idu upravo na vanjsku IP adresu koja je povezana s njom, a ne na njezinu adresu u lokalnoj mreži.

Nakon što je sve završeno, preostaje samo provjeriti i pripremiti certifikate za domenu za instalaciju, a potom ih instalirati.

Ako je izdavanje certifikata za domenu prošlo ispravno, trebali biste imati tri datoteke s certifikatima: dvije predstavljaju lance certifikata vašeg certifikacijskog centra, a jedna je neposredni certifikat za domenu. Osim toga, trebali biste imati datoteku s ključem koji ste koristili za dobivanje certifikata. Stvorite zasebnu mapu /tmp/company.ru i stavite sve datoteke s ključevima i certifikatima tamo. Na kraju bi trebalo izgledati ovako:

ls /tmp/tvrtka.hr
	vrstka.hr.key
	vrstka.hr.crt
	vrstka.hr.root.crt
	vrstka.hr.intermediate.crt

Nakon toga spojit ćemo lance certifikata u jednu datoteku pomoću naredbe cat tvrtka.hr.root.crt tvrtka.hr.intermediate.crt >> tvrtka.hr_ca.crt i provjeriti da su certifikati ispravni pomoću naredbe /opt/zimbra/bin/zmcertmgr verifycrt comm /tmp/company.ru/company.ru.key /tmp/company.ru/company.ru.crt /tmp/company.ru/company.ru_ca.crt. Nakon uspješne provjere certifikata i ključa, možemo nastaviti s njihovom instalacijom.

Da bismo započeli instalaciju, prvo spojimo certifikat za domenu i povjerljive lance od certifikacijskih centara u jednu datoteku. To se također radi pomoću jedne naredbe oblika cat tvrtka.hr.crt tvrtka.hr_ca.crt >> tvrtka.hr.bundle. Nakon toga potrebno je izvršiti naredbu kako bismo upisali sve certifikate i ključ u LDAP: /opt/zimbra/libexec/zmdomaincertmgr savecrt company.ru company.ru.bundle company.ru.key, a zatim instalirati certifikate pomoću naredbe /opt/zimbra/libexec/zmdomaincertmgr deploycrts. Nakon instalacije, certifikati i ključevi za domenu company.ru bit će pohranjeni u mapi /opt/zimbra/conf/domaincerts/company.ru. 

Ponovnim izvođenjem ovih akcija koristeći različite domenske nazive, ali istu IP adresu, možete postići hostanje nekoliko stotina domena na jednoj IPv4 adresi. Također, možete bez ikakvih problema koristiti certifikate od raznih centara za izdavanje. Ispravnost svih provedenih akcija možete provjeriti u bilo kojem pregledniku, gdje bi za svaki virtualni naziv hosta trebao biti prikazan svoj SSL certifikat. 

Za sva pitanja vezana uz Zextras Suite možete se obratiti predstavnici kompanije „Zextras“ Ekaterini Triandafiliidi putem e-pošte katerina@zextras.com

Izvor: habr.com