Hvernig á að stilla SNI rétt í Zimbra OSE?

Í upphafi 21. aldar er auðlind eins og IPv4 vistföng á mörkum þess að klárast. Árið 2011 úthlutaði IANA síðustu fimm /8 blokkunum sem eftir voru af vistfangarými sínu til svæðisbundinna netskrárstjóra og þegar árið 2017 kláraðist heimilisföngin. Svarið við hörmulegum skorti á IPv4 vistföngum var ekki aðeins tilkoma IPv6 samskiptareglunnar, heldur einnig SNI tæknin, sem gerði það mögulegt að hýsa gríðarlegan fjölda vefsíðna á einu IPv4 vistfangi. Kjarninn í SNI er að þessi viðbót gerir viðskiptavinum kleift, meðan á handabandinu stendur, að segja þjóninum nafnið á síðunni sem hann vill tengjast. Þetta gerir þjóninum kleift að geyma mörg vottorð, sem þýðir að mörg lén geta starfað á einni IP tölu. SNI tæknin hefur orðið sérstaklega vinsæl meðal fyrirtækja SaaS veitenda, sem hafa möguleika á að hýsa nánast ótakmarkaðan fjölda léna án tillits til fjölda IPv4 vistfönga sem þarf til þess. Við skulum komast að því hvernig þú getur innleitt SNI stuðning í Zimbra Collaboration Suite Open-Source Edition.

SNI virkar í öllum núverandi og studdum útgáfum af Zimbra OSE. Ef þú ert með Zimbra Open-Source keyrandi á innviði fyrir marga netþjóna þarftu að framkvæma öll skrefin hér að neðan á hnút með Zimbra Proxy netþjóninn uppsettan. Að auki þarftu samsvarandi vottorð+lyklapör, sem og traustar vottorðskeðjur frá CA þínu fyrir hvert lén sem þú vilt hýsa á IPv4 vistfanginu þínu. Vinsamlegast athugaðu að orsök langflestra villna við uppsetningu SNI í Zimbra OSE er einmitt rangar skrár með vottorðum. Þess vegna ráðleggjum við þér að athuga allt vandlega áður en þú setur þau beint upp.

Fyrst af öllu, til þess að SNI virki eðlilega, þarftu að slá inn skipunina zmprov mcf zimbraReverseProxySNIEnabled TRUE á Zimbra proxy hnút og endurræstu síðan proxy þjónustuna með því að nota skipunina zmproxyctl endurræsa.

Við byrjum á því að búa til lén. Til dæmis munum við taka lénið company.ru og eftir að lénið hefur þegar verið búið til, munum við ákveða Zimbra sýndarhýsingarheitið og sýndar IP tölu. Vinsamlegast athugaðu að Zimbra sýndarhýsingarheitið verður að passa við nafnið sem notandinn verður að slá inn í vafranum til að fá aðgang að léninu og einnig samsvara nafninu sem tilgreint er í vottorðinu. Til dæmis, tökum Zimbra sem sýndarhýsingarheitið mail.company.ru, og sem sýndar IPv4 vistfang notum við heimilisfangið 1.2.3.4.

Eftir þetta skaltu bara slá inn skipunina zmprov md company.ru zimbraVirtualHostName mail.company.ru zimbraVirtualIPAddress 1.2.3.4til að binda Zimbra sýndarhýsilinn við sýndar-IP tölu. Vinsamlegast athugaðu að ef þjónninn er staðsettur á bak við NAT eða eldvegg verður þú að tryggja að allar beiðnir til lénsins fari á ytri IP tölu sem tengist því, en ekki heimilisfangi þess á staðarnetinu.

Eftir að allt er búið er allt sem eftir er að athuga og undirbúa lénsvottorð fyrir uppsetningu og setja þau síðan upp.

Ef rétt var gengið frá útgáfu lénsvottorðs ættir þú að hafa þrjár skrár með vottorðum: tvær þeirra eru keðjur af vottorðum frá vottunaryfirvaldinu þínu og ein er beint vottorð fyrir lénið. Að auki verður þú að hafa skrá með lyklinum sem þú notaðir til að fá vottorðið. Búðu til sérstaka möppu /tmp/company.ru og setja allar tiltækar skrár með lyklum og skilríkjum þar. Lokaniðurstaðan ætti að vera eitthvað á þessa leið:

ls /tmp/company.ru
company.ru.key
 company.ru.crt
 company.ru.root.crt
 company.ru.intermediate.crt

Eftir þetta munum við sameina vottorðskeðjurnar í eina skrá með skipuninni cat company.ru.root.crt company.ru.intermediate.crt >> company.ru_ca.crt og vertu viss um að allt sé í lagi með skírteinin með því að nota skipunina /opt/zimbra/bin/zmcertmgr verifycrt comm /tmp/company.ru/company.ru.key /tmp/company.ru/company.ru.crt /tmp/company.ru/company.ru_ca.crt. Eftir að staðfesting á vottorðum og lykli hefur gengið vel geturðu byrjað að setja þau upp.

Til að hefja uppsetninguna munum við fyrst sameina lénsvottorðið og traustar keðjur frá vottunaryfirvöldum í eina skrá. Þetta er líka hægt að gera með því að nota eina skipun eins og cat company.ru.crt company.ru_ca.crt >> company.ru.bundle. Eftir þetta þarftu að keyra skipunina til að skrifa öll skilríkin og lykilinn að LDAP: /opt/zimbra/libexec/zmdomaincertmgr savecrt company.ru company.ru.bundle company.ru.keyog settu síðan upp skírteinin með því að nota skipunina /opt/zimbra/libexec/zmdomaincertmgr deploycrts. Eftir uppsetningu verða vottorðin og lykillinn að company.ru léninu geymdur í möppunni /opt/zimbra/conf/domaincerts/company.ru. 

Með því að endurtaka þessi skref með mismunandi lénsheitum en sömu IP tölu er hægt að hýsa nokkur hundruð lén á einu IPv4 vistfangi. Í þessu tilviki geturðu notað skírteini frá ýmsum útgáfumiðstöðvum án vandræða. Þú getur athugað réttmæti allra aðgerða sem gerðar eru í hvaða vafra sem er, þar sem hvert sýndarhýsingarnafn ætti að sýna sitt eigið SSL vottorð. 

Fyrir allar spurningar sem tengjast Zextras Suite geturðu haft samband við fulltrúa Zextras Ekaterina Triandafilidi með tölvupósti [netvarið]

Heimild: www.habr.com