ວິທີການກໍານົດ SNI ຢ່າງຖືກຕ້ອງໃນ Zimbra OSE?

ໃນຕອນຕົ້ນຂອງສະຕະວັດທີ 21, ຊັບພະຍາກອນເຊັ່ນ: ທີ່ຢູ່ IPv4 ແມ່ນໃກ້ຈະໝົດແລ້ວ. ກັບໄປໃນປີ 2011, IANA ໄດ້ຈັດສັນ 8 ອັນສຸດທ້າຍທີ່ຍັງເຫຼືອ / 2017 ບລັອກຂອງພື້ນທີ່ທີ່ຢູ່ຂອງມັນໃຫ້ກັບຜູ້ລົງທະບຽນອິນເຕີເນັດໃນພາກພື້ນ, ແລະໃນປີ 4 ເຂົາເຈົ້າໝົດທີ່ຢູ່. ຄໍາຕອບຂອງການຂາດແຄນອັນຮ້າຍກາດຂອງທີ່ຢູ່ IPv6 ບໍ່ພຽງແຕ່ການປະກົດຕົວຂອງໂປໂຕຄອນ IPv4, ແຕ່ຍັງເຕັກໂນໂລຢີ SNI, ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະເປັນເຈົ້າພາບເວັບໄຊທ໌ຈໍານວນຫລາຍຢູ່ໃນທີ່ຢູ່ IPv4 ດຽວ. ໂດຍເນື້ອແທ້ແລ້ວຂອງ SNI ແມ່ນວ່າການຂະຫຍາຍນີ້ອະນຸຍາດໃຫ້ລູກຄ້າ, ໃນລະຫວ່າງຂະບວນການຈັບມື, ບອກເຄື່ອງແມ່ຂ່າຍຂອງຊື່ຂອງເວັບໄຊທ໌ທີ່ມັນຕ້ອງການເຊື່ອມຕໍ່. ນີ້ອະນຸຍາດໃຫ້ເຄື່ອງແມ່ຂ່າຍສາມາດເກັບຮັກສາໃບຢັ້ງຢືນຫຼາຍ, ຊຶ່ງຫມາຍຄວາມວ່າຫຼາຍໂດເມນສາມາດດໍາເນີນການຢູ່ໃນທີ່ຢູ່ IP ດຽວ. ເທກໂນໂລຍີ SNI ໄດ້ກາຍເປັນທີ່ນິຍົມໂດຍສະເພາະໃນບັນດາຜູ້ໃຫ້ບໍລິການ SaaS ທຸລະກິດ, ຜູ້ທີ່ມີໂອກາດທີ່ຈະເປັນເຈົ້າພາບເກືອບບໍ່ຈໍາກັດຈໍານວນໂດເມນໂດຍບໍ່ຄໍານຶງເຖິງຈໍານວນທີ່ຢູ່ IPvXNUMX ທີ່ຕ້ອງການສໍາລັບການນີ້. ໃຫ້ຊອກຫາວິທີທີ່ທ່ານສາມາດປະຕິບັດການສະຫນັບສະຫນູນ SNI ໃນ Zimbra Collaboration Suite Open-Source Edition.

SNI ເຮັດວຽກຢູ່ໃນທຸກລຸ້ນທີ່ຮອງຮັບຂອງ Zimbra OSE. ຖ້າທ່ານມີ Zimbra Open-Source ເຮັດວຽກຢູ່ໃນໂຄງສ້າງພື້ນຖານຂອງເຄື່ອງແມ່ຂ່າຍຫຼາຍ, ທ່ານຈະຕ້ອງປະຕິບັດຂັ້ນຕອນທັງຫມົດຂ້າງລຸ່ມນີ້ໃນ node ທີ່ມີ Zimbra Proxy server ຕິດຕັ້ງ. ນອກຈາກນັ້ນ, ທ່ານຈະຕ້ອງການໃບຢັ້ງຢືນທີ່ກົງກັນ + ຄູ່ຫຼັກ, ເຊັ່ນດຽວກັນກັບລະບົບຕ່ອງໂສ້ໃບຢັ້ງຢືນທີ່ເຊື່ອຖືໄດ້ຈາກ CA ຂອງທ່ານສໍາລັບແຕ່ລະໂດເມນທີ່ທ່ານຕ້ອງການທີ່ຈະເປັນເຈົ້າພາບຢູ່ໃນທີ່ຢູ່ IPv4 ຂອງທ່ານ. ກະລຸນາຮັບຊາບວ່າສາເຫດຂອງຄວາມຜິດພາດສ່ວນໃຫຍ່ໃນເວລາຕັ້ງ SNI ໃນ Zimbra OSE ແມ່ນໄຟລ໌ທີ່ມີໃບຢັ້ງຢືນບໍ່ຖືກຕ້ອງ. ດັ່ງນັ້ນ, ພວກເຮົາແນະນໍາໃຫ້ທ່ານກວດເບິ່ງທຸກຢ່າງຢ່າງລະອຽດກ່ອນທີ່ຈະຕິດຕັ້ງພວກມັນໂດຍກົງ.

ກ່ອນອື່ນ ໝົດ, ເພື່ອໃຫ້ SNI ເຮັດວຽກເປັນປົກກະຕິ, ທ່ານຈໍາເປັນຕ້ອງໃສ່ຄໍາສັ່ງ zmprov mcf zimbraReverseProxySNIE ເປີດໃຊ້ງານ TRUE ໃນ Zimbra proxy node, ແລະຫຼັງຈາກນັ້ນ restart ບໍລິການ Proxy ໂດຍໃຊ້ຄໍາສັ່ງ zmproxyctl restart.

ພວກເຮົາຈະເລີ່ມຕົ້ນດ້ວຍການສ້າງຊື່ໂດເມນ. ຕົວຢ່າງ, ພວກເຮົາຈະເອົາໂດເມນ ບໍລິສັດ.ru ແລະ, ຫຼັງຈາກໂດເມນໄດ້ຖືກສ້າງຂຶ້ນແລ້ວ, ພວກເຮົາຈະຕັດສິນໃຈກ່ຽວກັບຊື່ເຈົ້າພາບ virtual Zimbra ແລະທີ່ຢູ່ IP virtual. ກະລຸນາສັງເກດວ່າຊື່ເຈົ້າພາບ virtual Zimbra ຕ້ອງກົງກັບຊື່ທີ່ຜູ້ໃຊ້ຕ້ອງໃສ່ໃນຕົວທ່ອງເວັບເພື່ອເຂົ້າເຖິງໂດເມນ, ແລະກົງກັບຊື່ທີ່ລະບຸໄວ້ໃນໃບຢັ້ງຢືນ. ຕົວຢ່າງ, ໃຫ້ເອົາ Zimbra ເປັນຊື່ເຈົ້າພາບ virtual mail.company.ru, ແລະເປັນທີ່ຢູ່ IPv4 virtual ພວກເຮົາໃຊ້ທີ່ຢູ່ 1.2.3.4.

ຫຼັງຈາກນີ້, ພຽງແຕ່ໃສ່ຄໍາສັ່ງ zmprov md company.ru zimbraVirtualHostName mail.company.ru zimbraVirtualIPAddress 1.2.3.4ເພື່ອຜູກມັດ Zimbra virtual host ກັບທີ່ຢູ່ IP virtual. ກະລຸນາຮັບຊາບວ່າຖ້າເຊີບເວີຕັ້ງຢູ່ຫລັງ NAT ຫຼື firewall, ທ່ານຕ້ອງຮັບປະກັນວ່າທຸກຄໍາຮ້ອງຂໍຂອງໂດເມນໄປຫາທີ່ຢູ່ IP ພາຍນອກທີ່ກ່ຽວຂ້ອງກັບມັນ, ແລະບໍ່ແມ່ນທີ່ຢູ່ຂອງມັນຢູ່ໃນເຄືອຂ່າຍທ້ອງຖິ່ນ.

ຫຼັງຈາກທຸກສິ່ງທຸກຢ່າງສໍາເລັດ, ທັງຫມົດທີ່ຍັງເຫຼືອແມ່ນການກວດສອບແລະກະກຽມໃບຢັ້ງຢືນໂດເມນສໍາລັບການຕິດຕັ້ງ, ແລະຫຼັງຈາກນັ້ນຕິດຕັ້ງພວກມັນ.

ຖ້າການອອກໃບຢັ້ງຢືນໂດເມນໄດ້ຖືກສໍາເລັດຢ່າງຖືກຕ້ອງ, ທ່ານຄວນມີສາມໄຟລ໌ທີ່ມີໃບຢັ້ງຢືນ: ສອງຂອງພວກເຂົາແມ່ນລະບົບຕ່ອງໂສ້ຂອງໃບຢັ້ງຢືນຈາກເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນຂອງເຈົ້າ, ແລະຫນຶ່ງແມ່ນໃບຢັ້ງຢືນໂດຍກົງສໍາລັບໂດເມນ. ນອກຈາກນັ້ນ, ທ່ານຕ້ອງມີໄຟລ໌ທີ່ມີລະຫັດທີ່ທ່ານໃຊ້ເພື່ອໃຫ້ໄດ້ໃບຢັ້ງຢືນ. ສ້າງໂຟນເດີແຍກຕ່າງຫາກ /tmp/company.ru ແລະວາງໄຟລ໌ທີ່ມີຢູ່ທັງໝົດດ້ວຍກະແຈ ແລະໃບຢັ້ງຢືນຢູ່ທີ່ນັ້ນ. ຜົນໄດ້ຮັບທີ່ສຸດຄວນຈະເປັນບາງສິ່ງບາງຢ່າງເຊັ່ນນີ້:

ls /tmp/company.ru
company.ru.key
 company.ru.crt
 company.ru.root.crt
 company.ru.intermediate.crt

ຫຼັງຈາກນີ້, ພວກເຮົາຈະສົມທົບລະບົບຕ່ອງໂສ້ໃບຢັ້ງຢືນເຂົ້າໄປໃນໄຟລ໌ຫນຶ່ງໂດຍໃຊ້ຄໍາສັ່ງ cat company.ru.root.crt company.ru.intermediate.crt >> company.ru_ca.crt ແລະໃຫ້ແນ່ໃຈວ່າທຸກສິ່ງທຸກຢ່າງຢູ່ໃນຄໍາສັ່ງກັບໃບຢັ້ງຢືນໂດຍໃຊ້ຄໍາສັ່ງ /opt/zimbra/bin/zmcertmgr verifycrt comm /tmp/company.ru/company.ru.key /tmp/company.ru/company.ru.crt /tmp/company.ru/company.ru_ca.crt. ຫຼັງ​ຈາກ​ການ​ກວດ​ສອບ​ໃບ​ຢັ້ງ​ຢືນ​ແລະ​ກະ​ແຈ​ສໍາ​ເລັດ​ຜົນ​, ທ່ານ​ສາ​ມາດ​ເລີ່ມ​ຕົ້ນ​ການ​ຕິດ​ຕັ້ງ​ໃຫ້​ເຂົາ​ເຈົ້າ​.

ເພື່ອເລີ່ມຕົ້ນການຕິດຕັ້ງ, ພວກເຮົາທໍາອິດຈະສົມທົບໃບຢັ້ງຢືນໂດເມນແລະລະບົບຕ່ອງໂສ້ທີ່ເຊື່ອຖືໄດ້ຈາກເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນເຂົ້າໄປໃນເອກະສານດຽວ. ນີ້ຍັງສາມາດເຮັດໄດ້ໂດຍໃຊ້ຄໍາສັ່ງຫນຶ່ງເຊັ່ນ: cat company.ru.crt company.ru_ca.crt >> company.ru.bundle. ຫຼັງຈາກນີ້, ທ່ານຈໍາເປັນຕ້ອງດໍາເນີນການຄໍາສັ່ງເພື່ອຂຽນໃບຢັ້ງຢືນທັງຫມົດແລະກຸນແຈສໍາລັບ LDAP: /opt/zimbra/libexec/zmdomaincertmgr savecrt company.ru company.ru.bundle company.ru.keyແລະຫຼັງຈາກນັ້ນຕິດຕັ້ງໃບຢັ້ງຢືນໂດຍໃຊ້ຄໍາສັ່ງ /opt/zimbra/libexec/zmdomaincertmgr deploycrts. ຫຼັງຈາກການຕິດຕັ້ງ, ໃບຢັ້ງຢືນແລະກຸນແຈຂອງໂດເມນ company.ru ຈະຖືກເກັບໄວ້ໃນໂຟນເດີ /opt/zimbra/conf/domaincerts/company.ru. 

ໂດຍການເຮັດຊ້ໍາຂັ້ນຕອນເຫຼົ່ານີ້ໂດຍໃຊ້ຊື່ໂດເມນທີ່ແຕກຕ່າງກັນແຕ່ທີ່ຢູ່ IP ດຽວກັນ, ມັນເປັນໄປໄດ້ທີ່ຈະເປັນເຈົ້າພາບຫຼາຍຮ້ອຍໂດເມນໃນທີ່ຢູ່ IPv4 ດຽວ. ໃນກໍລະນີນີ້, ທ່ານສາມາດນໍາໃຊ້ໃບຢັ້ງຢືນຈາກຫຼາຍໆສູນອອກໂດຍບໍ່ມີບັນຫາໃດໆ. ທ່ານສາມາດກວດສອບຄວາມຖືກຕ້ອງຂອງການປະຕິບັດທັງຫມົດທີ່ດໍາເນີນຢູ່ໃນທຸກຕົວທ່ອງເວັບ, ບ່ອນທີ່ແຕ່ລະຊື່ເຈົ້າພາບ virtual ຄວນສະແດງໃບຢັ້ງຢືນ SSL ຂອງຕົນເອງ. 

ສໍາລັບຄໍາຖາມທັງຫມົດທີ່ກ່ຽວຂ້ອງກັບ Zextras Suite, ທ່ານສາມາດຕິດຕໍ່ຜູ້ຕາງຫນ້າຂອງ Zextras Ekaterina Triandafilidi ໂດຍທາງອີເມລ໌ [email protected]

ແຫຼ່ງຂໍ້ມູນ: www.habr.com