All'inizio del XXI secolo, le risorse come gli indirizzi IPv4 erano quasi esaurite. Già nel 2011, l'IANA aveva assegnato agli operatori regionali di Internet gli ultimi cinque blocchi /8 del proprio spazio di indirizzazione, e nel 2017 gli indirizzi erano finiti anche per loro. La risposta alla catastrofica scarsità di indirizzi IPv4 è stata non solo l'emergere del protocollo IPv6, ma anche la tecnologia SNI, che ha reso possibile ospitare un numero enorme di siti web su un unico indirizzo IPv4. La sostanza dello SNI è che questo estensione consente ai client, durante la fase di handshake, di comunicare al server il nome del sito con cui desiderano connettersi. Ciò consente al server di memorizzare più certificati e, quindi, di gestire diversi domini su un singolo indirizzo IP. La tecnologia SNI è diventata particolarmente richiesta tra i fornitori SaaS per aziende, che hanno ottenuto la possibilità di ospitare praticamente un numero illimitato di domini senza preoccuparsi del numero necessario di indirizzi IPv4. Scopriamo come implementare il supporto SNI in Zimbra Collaboration Suite Open-Source Edition.
SNI funziona in tutte le versioni attuali e supportate di Zimbra OSE. Nel caso in cui la tua Zimbra Open-Source funzioni su un'infrastruttura multi-server, sarà necessario eseguire tutte le azioni seguenti sul nodo con il server proxy Zimbra installato. Inoltre, avrai bisogno di coppie di certificati + chiavi corrispondenti, così come catene di certificati attendibili dal tuo centro di certificazione per ciascuno dei domini che desideri ospitare sul tuo indirizzo IPv4. Vorremmo sottolineare che la causa della stragrande maggioranza degli errori nella configurazione di SNI in Zimbra OSE è dovuta a file di certificato non corretti. Pertanto, ti consigliamo di controllare attentamente tutto prima della loro installazione.
In primo luogo, affinché SNI funzioni correttamente, è necessario inserire il comando zmprov mcf zimbraReverseProxySNIEnabled TRUE sul nodo con il server proxy Zimbra, e poi riavviare il servizio Proxy utilizzando il comando zmproxyctl restart.
Iniziamo creando un nome di dominio. Per esempio, utilizziamo il dominio company.ru e, dopo che il dominio è già stato creato, definiamo il nome dell'host virtuale Zimbra e l'indirizzo IP virtuale. Si prega di notare che il nome dell'host virtuale Zimbra deve corrispondere al nome che l'utente deve inserire nella barra del browser per accedere al dominio e deve anche coincidere con il nome indicato nel certificato. Per esempio, prendiamo come nome dell'host virtuale Zimbra mail.company.ru, e come indirizzo IPv4 virtuale utilizziamo l'indirizzo 1.2.3.4.
Dopo di che, è sufficiente inserire il comando zmprov md company.ru zimbraVirtualHostName mail.company.ru zimbraVirtualIPAddress 1.2.3.4, per collegare l'host virtuale Zimbra all'indirizzo virtuale indirizzo IP. Si prega di notare che se il server è dietro NAT o un firewall, è necessario assicurarsi che tutte le richieste al dominio vadano precisamente all'indirizzo IP esterno a esso associato, e non al suo indirizzo nella rete locale.
Dopo che tutto sarà stato fatto, rimane solo da controllare e preparare i certificati del dominio per l'installazione e poi installarli.
Se l'emissione del certificato per il dominio è avvenuta correttamente, dovreste avere tre file con certificati: due di questi rappresentano le catene di certificati del vostro centro di certificazione, mentre uno è il certificato diretto per il dominio. Inoltre, dovreste avere un file con la chiave che avete utilizzato per ottenere il certificato. Create una cartella separata /tmp/company.ru e mettete lì tutti i file di chiavi e certificati disponibili. Dovrebbe risultare qualcosa del genere:
ls /tmp/company.ru
company.ru.key
company.ru.crt
company.ru.root.crt
company.ru.intermediate.crtDopo di ciò, uniremo le catene di certificati in un solo file utilizzando il comando cat company.ru.root.crt company.ru.intermediate.crt >> company.ru_ca.crt e ci assicureremo che i certificati siano a posto utilizzando il comando /opt/zimbra/bin/zmcertmgr verifycrt comm /tmp/company.ru/company.ru.key /tmp/company.ru/company.ru.crt /tmp/company.ru/company.ru_ca.crt. Dopo che la verifica dei certificati e della chiave avrà avuto successo, possiamo procedere alla loro installazione.
Per iniziare l'installazione, prima uniamo il certificato per il dominio e le catene fidate dai centri di certificazione in un solo file. Questo avviene anche tramite un comando del tipo cat company.ru.crt company.ru_ca.crt >> company.ru.bundle. Dopo di ciò, è necessario eseguire il comando per registrare tutti i certificati e la chiave in LDAP: /opt/zimbra/libexec/zmdomaincertmgr savecrt company.ru company.ru.bundle company.ru.key, e poi installare i certificati usando il comando /opt/zimbra/libexec/zmdomaincertmgr deploycrtsDopo l'installazione, i certificati e la chiave del dominio company.ru saranno memorizzati nella cartella /opt/zimbra/conf/domaincerts/company.ru.
Ripetendo queste azioni utilizzando nomi di dominio diversi ma lo stesso indirizzo IP, è possibile ospitare centinaia di domini su un unico indirizzo IPv4. Inoltre, è possibile utilizzare senza alcun problema certificati da diversi enti di certificazione. È possibile verificare la correttezza di tutte le operazioni eseguite in qualsiasi browser, dove per ogni nome host virtuale deve essere visualizzato il proprio Certificato SSL.
Per qualsiasi domanda riguardante Zextras Suite, puoi contattare il Rappresentante della compagnia "Zextras", Ekaterina Triandafyllidi all'indirizzo email katerina@zextras.com
Fonte: habr.com
