Kā pareizi konfigurēt SNI Zimbra OSE?

21. gadsimta sākumā tāds resurss kā IPv4 adreses ir uz izsīkuma robežas. Vēl 2011. gadā IANA piešķīra pēdējos piecus atlikušos /8 adrešu telpas blokus reģionālajiem interneta reģistratoriem, un jau 2017. gadā tiem beidzās adreses. Atbilde uz katastrofālo IPv4 adrešu trūkumu bija ne tikai IPv6 protokola parādīšanās, bet arī SNI tehnoloģija, kas ļāva vienā IPv4 adresē mitināt milzīgu skaitu vietņu. SNI būtība ir tāda, ka šis paplašinājums ļauj klientiem rokasspiediena laikā pateikt serverim tās vietnes nosaukumu, ar kuru tas vēlas izveidot savienojumu. Tas ļauj serverim saglabāt vairākus sertifikātus, kas nozīmē, ka ar vienu IP adresi var darboties vairāki domēni. SNI tehnoloģija ir kļuvusi īpaši populāra biznesa SaaS pakalpojumu sniedzēju vidū, kuriem ir iespēja mitināt gandrīz neierobežotu skaitu domēnu neatkarīgi no tam nepieciešamo IPv4 adrešu skaita. Noskaidrosim, kā varat ieviest SNI atbalstu Zimbra Collaboration Suite Open-Source Edition.

SNI darbojas visās pašreizējās un atbalstītajās Zimbra OSE versijās. Ja jums ir Zimbra Open-Source, kas darbojas vairāku serveru infrastruktūrā, jums būs jāveic visas tālāk norādītās darbības mezglā, kurā ir instalēts Zimbra starpniekserveris. Turklāt jums būs nepieciešami atbilstoši sertifikātu un atslēgu pāri, kā arī uzticamas sertifikātu ķēdes no jūsu CA katram domēnam, kuru vēlaties mitināt savā IPv4 adresē. Lūdzu, ņemiet vērā, ka lielākā daļa kļūdu, kas rodas, iestatot SNI Zimbra OSE, ir tieši nepareizi faili ar sertifikātiem. Tāpēc mēs iesakām rūpīgi pārbaudīt visu pirms to tiešas instalēšanas.

Pirmkārt, lai SNI darbotos normāli, jums jāievada komanda zmprov mcf zimbraReverseProxySNIEIespējots TRUE Zimbra starpniekservera mezglā un pēc tam restartējiet starpniekservera pakalpojumu, izmantojot komandu zmproxyctl restartēt.

Mēs sāksim ar domēna nosaukuma izveidi. Piemēram, mēs ņemsim domēnu company.ru un pēc tam, kad domēns jau būs izveidots, mēs izlemsim par Zimbra virtuālā resursdatora nosaukumu un virtuālo IP adresi. Lūdzu, ņemiet vērā, ka Zimbra virtuālā saimniekdatora nosaukumam ir jāsakrīt ar nosaukumu, kas lietotājam jāievada pārlūkprogrammā, lai piekļūtu domēnam, kā arī jāatbilst sertifikātā norādītajam nosaukumam. Piemēram, pieņemsim Zimbra kā virtuālā saimniekdatora nosaukumu mail.company.ru, un kā virtuālo IPv4 adresi mēs izmantojam adresi 1.2.3.4.

Pēc tam vienkārši ievadiet komandu zmprov md company.ru zimbraVirtualHostName pasts.company.ru zimbraVirtualIPAdrese 1.2.3.4lai saistītu Zimbra virtuālo resursdatoru ar virtuālo IP adresi. Lūdzu, ņemiet vērā: ja serveris atrodas aiz NAT vai ugunsmūra, jums ir jānodrošina, lai visi domēna pieprasījumi tiktu nosūtīti uz ārējo IP adresi, kas ir saistīta ar to, nevis uz tā adresi vietējā tīklā.

Kad viss ir izdarīts, atliek tikai pārbaudīt un sagatavot domēna sertifikātus instalēšanai un pēc tam tos instalēt.

Ja domēna sertifikāta izsniegšana tika pabeigta pareizi, jums ir jābūt trim failiem ar sertifikātiem: divi no tiem ir jūsu sertifikācijas iestādes sertifikātu ķēdes, bet viens ir tiešais domēna sertifikāts. Turklāt jums ir jābūt failam ar atslēgu, kuru izmantojāt sertifikāta iegūšanai. Izveidojiet atsevišķu mapi /tmp/company.ru un ievietojiet tur visus pieejamos failus ar atslēgām un sertifikātiem. Gala rezultātam vajadzētu būt apmēram šādam:

ls /tmp/company.ru
company.ru.key
 company.ru.crt
 company.ru.root.crt
 company.ru.intermediate.crt

Pēc tam mēs apvienosim sertifikātu ķēdes vienā failā, izmantojot komandu kaķu uzņēmums.ru.root.crt uzņēmums.ru.intermediate.crt >> uzņēmums.ru_ca.crt un pārliecinieties, ka ar sertifikātiem viss ir kārtībā, izmantojot komandu /opt/zimbra/bin/zmcertmgr verifycrt comm /tmp/company.ru/company.ru.key /tmp/company.ru/company.ru.crt /tmp/company.ru/company.ru_ca.crt. Kad sertifikāti un atslēga ir veiksmīgi pārbaudīti, varat sākt to instalēšanu.

Lai sāktu instalēšanu, mēs vispirms apvienosim domēna sertifikātu un uzticamās ķēdes no sertifikācijas iestādēm vienā failā. To var izdarīt arī, izmantojot vienu komandu, piemēram cat company.ru.crt company.ru_ca.crt >> company.ru.bundle. Pēc tam jums ir jāpalaiž komanda, lai ierakstītu visus sertifikātus un atslēgu LDAP: /opt/zimbra/libexec/zmdomaincertmgr savecrt company.ru company.ru.bundle company.ru.keyun pēc tam instalējiet sertifikātus, izmantojot komandu /opt/zimbra/libexec/zmdomaincertmgr deploycrts. Pēc instalēšanas sertifikāti un domēna company.ru atslēga tiks saglabāti mapē /opt/zimbra/conf/domaincerts/company.ru. 

Atkārtojot šīs darbības, izmantojot dažādus domēna nosaukumus, bet vienu un to pašu IP adresi, ir iespējams mitināt vairākus simtus domēnu vienā IPv4 adresē. Šajā gadījumā bez problēmām varat izmantot dažādu izdošanas centru sertifikātus. Visu veikto darbību pareizību varat pārbaudīt jebkurā pārlūkprogrammā, kur katram virtuālā resursdatora nosaukumam ir jāparāda savs SSL sertifikāts. 

Par visiem jautājumiem, kas saistīti ar Zextras Suite, varat sazināties ar Zextras pārstāvi Jekaterinu Triandafilidi pa e-pastu [e-pasts aizsargāts]

Avots: www.habr.com