Si të konfiguroni siç duhet SNI në Zimbra OSE?

Në fillim të shekullit të 21-të, një burim i tillë si adresat IPv4 është në prag të shterimit. Në vitin 2011, IANA ndau pesë /8 blloqet e fundit të hapësirës së adresave të saj për regjistruesit rajonalë të internetit dhe tashmë në 2017-ën atyre iu mbaruan adresat. Përgjigja për mungesën katastrofike të adresave IPv4 nuk ishte vetëm shfaqja e protokollit IPv6, por edhe teknologjia SNI, e cila bëri të mundur pritjen e një numri të madh faqesh interneti në një adresë të vetme IPv4. Thelbi i SNI është se kjo shtesë i lejon klientët, gjatë procesit të shtrëngimit të duarve, t'i tregojnë serverit emrin e faqes me të cilën dëshiron të lidhet. Kjo i lejon serverit të ruajë certifikata të shumta, që do të thotë se domenet e shumta mund të funksionojnë në një adresë IP. Teknologjia SNI është bërë veçanërisht e popullarizuar në mesin e ofruesve të biznesit SaaS, të cilët kanë mundësinë të presin një numër pothuajse të pakufizuar domenesh pa marrë parasysh numrin e adresave IPv4 të kërkuara për këtë. Le të zbulojmë se si mund të zbatoni mbështetjen e SNI në Zimbra Collaboration Suite Edition me burim të hapur.

SNI funksionon në të gjitha versionet aktuale dhe të mbështetura të Zimbra OSE. Nëse keni Zimbra Open-Source që funksionon në një infrastrukturë me shumë serverë, do t'ju duhet të kryeni të gjitha hapat e mëposhtëm në një nyje me serverin Proxy Zimbra të instaluar. Përveç kësaj, do t'ju duhen çifte certifikata+çelësash që përputhen, si dhe zinxhirë certifikatash të besuara nga CA-ja juaj për secilin nga domenet që dëshironi të strehoni në adresën tuaj IPv4. Ju lutemi vini re se shkaku i shumicës dërrmuese të gabimeve gjatë konfigurimit të SNI në Zimbra OSE janë skedarët e pasaktë me certifikata. Prandaj, ju këshillojmë që të kontrolloni me kujdes gjithçka përpara se t'i instaloni ato drejtpërdrejt.

Para së gjithash, në mënyrë që SNI të funksionojë normalisht, duhet të futni komandën zmprov mcf zimbraReverseProxySNIEnabled E VËRTETË në nyjen proxy Zimbra dhe më pas rinisni shërbimin Proxy duke përdorur komandën rinisje zmproxyctl.

Ne do të fillojmë duke krijuar një emër domain. Për shembull, ne do të marrim domenin company.ru dhe, pasi domeni të jetë krijuar tashmë, ne do të vendosim për emrin e hostit virtual të Zimbra dhe adresën IP virtuale. Ju lutemi vini re se emri i hostit virtual të Zimbra duhet të përputhet me emrin që përdoruesi duhet të fusë në shfletues për të hyrë në domen, dhe gjithashtu të përputhet me emrin e specifikuar në certifikatë. Për shembull, le të marrim Zimbra si emër virtual të hostit mail.company.ru, dhe si adresë virtuale IPv4 ne përdorim adresën 1.2.3.4.

Pas kësaj, thjesht futni komandën zmprov md company.ru zimbraVirtualHostEmri mail.company.ru zimbraVirtualIPAdresa 1.2.3.4për të lidhur hostin virtual të Zimbra me një adresë IP virtuale. Ju lutemi vini re se nëse serveri ndodhet prapa një NAT ose muri mbrojtës, duhet të siguroheni që të gjitha kërkesat për domenin të shkojnë në adresën IP të jashtme të lidhur me të, dhe jo në adresën e tij në rrjetin lokal.

Pasi të jetë bërë gjithçka, mbetet vetëm të kontrolloni dhe përgatitni certifikatat e domenit për instalim dhe më pas t'i instaloni ato.

Nëse lëshimi i një certifikate domeni është përfunduar saktë, duhet të keni tre skedarë me certifikata: dy prej tyre janë zinxhirë certifikatash nga autoriteti juaj i certifikimit dhe një është një certifikatë e drejtpërdrejtë për domenin. Përveç kësaj, duhet të keni një skedar me çelësin që keni përdorur për të marrë certifikatën. Krijo një dosje të veçantë /tmp/company.ru dhe vendosni të gjithë skedarët ekzistues me çelësa dhe certifikata atje. Rezultati përfundimtar duhet të jetë diçka si kjo:

ls /tmp/company.ru
company.ru.key
 company.ru.crt
 company.ru.root.crt
 company.ru.intermediate.crt

Pas kësaj, ne do të kombinojmë zinxhirët e certifikatës në një skedar duke përdorur komandën mace company.ru.root.crt company.ru.intermediate.crt >> company.ru_ca.crt dhe sigurohuni që gjithçka është në rregull me certifikatat duke përdorur komandën /opt/zimbra/bin/zmcertmgr verifycrt comm /tmp/company.ru/company.ru.key /tmp/company.ru/company.ru.crt /tmp/company.ru/company.ru_ca.crt. Pasi verifikimi i certifikatave dhe çelësit të jetë i suksesshëm, mund të filloni instalimin e tyre.

Për të filluar instalimin, së pari do të kombinojmë certifikatën e domenit dhe zinxhirët e besuar nga autoritetet e certifikimit në një skedar. Kjo mund të bëhet gjithashtu duke përdorur një komandë si p.sh cat company.ru.crt company.ru_ca.crt >> company.ru.bundle. Pas kësaj, duhet të ekzekutoni komandën për të shkruar të gjitha certifikatat dhe çelësin në LDAP: /opt/zimbra/libexec/zmdomaincertmgr savecrt company.ru company.ru.bundle company.ru.keydhe më pas instaloni certifikatat duke përdorur komandën /opt/zimbra/libexec/zmdomaincertmgr vendoset. Pas instalimit, certifikatat dhe çelësi i domenit company.ru do të ruhen në dosje /opt/zimbra/conf/domaincerts/company.ru. 

Duke përsëritur këto hapa duke përdorur emra të ndryshëm domenesh, por të njëjtën adresë IP, është e mundur të strehohen disa qindra domene në një adresë të vetme IPv4. Në këtë rast, ju mund të përdorni certifikata nga një sërë qendrash lëshuese pa asnjë problem. Ju mund të kontrolloni korrektësinë e të gjitha veprimeve të kryera në çdo shfletues, ku çdo emër i hostit virtual duhet të shfaqë certifikatën e vet SSL. 

Për të gjitha pyetjet në lidhje me Zextras Suite, mund të kontaktoni Përfaqësuesen e Zextras Ekaterina Triandafilidi me e-mail [email mbrojtur]

Burimi: www.habr.com