Na začiatku 21. storočia sa blížilo vyčerpanie takejto zdroja, ako sú adresy IPv4. Už v roku 2011 IANA pridelila regionálnym internetovým registrátorom posledných päť zostávajúcich blokov /8 zo svojho adresného priestoru, a už v roku 2017 sa adresy minuli aj im. Odpoveďou na katastrofický nedostatok adries IPv4 sa stalo nielen zavedenie protokolu IPv6, ale aj technológie SNI, ktorá umožnila umiestniť obrovské množstvo webových stránok na jednu IPv4 adresu. Základ SNI spočíva v tom, že toto rozšírenie umožňuje klientom pri handshake s serverom oznámiť názov webu, s ktorým sa chcú pripojiť. To umožňuje serveru uchovávať množstvo certifikátov, a teda zabezpečovať prevádzku množstva domén na jednej IP adrese. Technológia SNI sa stala mimoriadne žiadanou medzi SaaS poskytovateľmi pre firmy, ktorí získali možnosť hostiť takmer neobmedzené množstvo domén bez ohľadu na potrebný počet adries IPv4. Poďme sa teda pozrieť, ako môžeme implementovať podporu SNI v Zimbra Collaboration Suite Open-Source Edition.
SNI funguje vo všetkých aktuálnych a podporovaných verziách Zimbra OSE. V prípade, že máte Zimbra Open-Source bežiacu na multi-serverovej infraštruktúre, budete musieť vykonať všetky nižšie uvedené kroky na uzle s nainštalovaným Proxy serverom Zimbra. Okrem toho budete potrebovať zhodujúce sa páry certifikát+kľúč, ako aj dôveryhodné reťazce certifikátov od vášho certifikačného centra pre každú z domén, ktoré chcete umiestniť na svoju IPv4 adresu. Upozorňujeme, že väčšina chýb pri nastavovaní SNI v Zimbra OSE vyplýva práve z nesprávnych súborov s certifikátmi. Preto odporúčame všetko starostlivo skontrolovať pred ich bezprostrednou inštaláciou.
Na začiatok, aby SNI správne fungovalo, je potrebné zadať príkaz zmprov mcf zimbraReverseProxySNIEnabled TRUE na uzle s Proxy serverom Zimbra a potom reštartovať službu Proxy pomocou príkazu zmproxyctl restart.
Začneme vytvorením doménového mena. Ako príklad si vezmeme doménu company.ru a po vytvorení domény si precízně ujasníme názov virtuálneho hostiteľa Zimbra a virtuálnu IP adresu. Upozorňujeme, že názov virtuálneho hostiteľa Zimbra musí zodpovedať názvu, ktorý musí používateľ zadať do adresného riadku prehliadača na prístup k doméne, ako aj súhlasiť s názvom uvedeným v certifikáte. Ako príklad zoberieme názov virtuálneho hostiteľa Zimbra mail.company.ru, a ako virtuálnu IPv4 adresu použijeme adresu 1.2.3.4.
Potom stačí zadať príkaz zmprov md company.ru zimbraVirtualHostName mail.company.ru zimbraVirtualIPAddress 1.2.3.4, aby sme priradili virtuálny hostiteľ Zimbra k virtuálnemu IP adresu. Upozorňujeme, že ak sa server nachádza za NAT alebo firewallom, je potrebné zabezpečiť, aby všetky požiadavky na doménu smerovali presne na priradenú externú IP adresu, a nie na jeho adresu v lokálnej sieti.
Po dokončení všetkého zostáva už len skontrolovať a pripraviť certifikáty domény na inštaláciu a potom ich nainštalovať.
Ak bola vydanie certifikátu na doménu úspešné, mali by ste mať tri súbory s certifikátmi: dva z nich sú reťazce certifikátov od vášho certifikačného centra a jeden je priamy certifikát na doménu. Okrem toho by ste mali mať súbor s kľúčom, ktorý ste použili na získanie certifikátu. Vytvorte samostatnú zložku /tmp/company.ru a umiestnite tam všetky dostupné súbory s kľúčmi a certifikátmi. Výsledok by mal vyzerať nejako takto:
ls /tmp/company.ru
company.ru.key
company.ru.crt
company.ru.root.crt
company.ru.intermediate.crtPotom spojíme reťazce certifikátov do jedného súboru pomocou príkazu cat company.ru.root.crt company.ru.intermediate.crt >> company.ru_ca.crt a uistíme sa, že s certifikátmi je všetko v poriadku pomocou príkazu /opt/zimbra/bin/zmcertmgr verifycrt comm /tmp/company.ru/company.ru.key /tmp/company.ru/company.ru.crt /tmp/company.ru/company.ru_ca.crt. Po úspešnom overení certifikátov a kľúča môžeme pristúpiť k ich inštalácii.
Akonáhle sa rozhodneme začať inštaláciu, najprv spojíme certifikát na doménu a dôveryhodné reťazce od certifikačných centier do jedného súboru. To sa robí tiež pomocou jedného príkazu vo forme cat company.ru.crt company.ru_ca.crt >> company.ru.bundle. Potom je potrebné vykonať príkaz na to, aby sa všetky certifikáty a kľúč uložili do LDAP: /opt/zimbra/libexec/zmdomaincertmgr savecrt company.ru company.ru.bundle company.ru.key, a potom nainštalovať certifikáty pomocou príkazu /opt/zimbra/libexec/zmdomaincertmgr deploycrts. Po nainštalovaní sa certifikáty a kľúč od domény company.ru budú ukladať do priečinka /opt/zimbra/conf/domaincerts/company.ru.
Opakovaním týchto krokov s rôznymi doménovými menami, ale rovnakou IP adresou, je možné umiestniť niekoľko stoviek domén na jednu IPv4 adresu. Pri tom je možné bez problémov používať certifikáty od rôznych certifikačných centier. Správnosť všetkých vykonaných krokov je možné overiť v akomkoľvek prehliadači, kde by sa pre každé virtuálne meno hostiteľa mal zobraziť jeho SSL certifikát.
Na všetky otázky týkajúce sa Zextras Suite môžete kontaktovať zástupkyňu spoločnosti „Zextras“ Ekaterinu Triandafiliidi na e-mailovej adrese katerina@zextras.com
Zdroj: habr.com
