Hur konfigurerar man SNI korrekt i Zimbra OSE?

I början av 2000-talet var en resurs som IPv4-adresser nära att ta slut. Redan år 2011 tilldelade IANA de senaste fem kvarvarande /8-blocken ur sitt adressutrymme till regionala internetregistratorer, och redan 2017 tog även de slut på adresser. Som svar på den katastrofala bristen på IPv4-adresser kom inte bara protokollet IPv6, utan även teknologin SNI, som möjliggjorde att ett stort antal webbplatser kunde hostas på en och samma IPv4-adress. SNI fungerar genom att det här tillägget låter klienter under handskakningen meddela servern namnet på webbplatsen de vill ansluta till. Detta tillåter servern att lagra flera certifikat och därför hantera många domäner på en och samma IP-adress. Speciellt efterfrågad blev SNI-teknologin bland SaaS-leverantörer för företag, vilket gav dem möjlighet att hosta i stort sett obegränsat med domäner utan att behöva ta hänsyn till det antal IPv4-adresser som krävs. Låt oss ta reda på hur vi kan implementera stöd för SNI i Zimbra Collaboration Suite Open-Source Edition.

SNI fungerar i alla aktuella och stödda versioner av Zimbra OSE. Om du har Zimbra Open-Source som körs på en multiservarinfrastruktur, behöver du följa alla nedanstående steg på noden med den installerade Zimbra Proxy-servern. Dessutom behöver du matchande certifikat+nyckel-par samt betrodda certifikatkedjor från ditt certifikatcenter för varje domän som du vill hosta på din IPv4-adress. Observera att den övervägande anledningen till de flesta fel vid konfigurationen av SNI i Zimbra OSE beror på felaktiga certifikatfiler. Därför rekommenderar vi att noggrant kontrollera allt innan du installerar dem.

Först och främst, för att SNI ska fungera korrekt måste du ange kommandot zmprov mcf zimbraReverseProxySNIEnabled TRUE på noden med Zimbra Proxy-servern, och sedan starta om Proxy-tjänsten med kommandot zmproxyctl restart.

Vi börjar med att skapa ett domännamn. Som exempel tar vi domänen company.ru Och efter att domänen har skapats, låt oss bestämma namnet på den virtuella värden Zimbra och den virtuella IP-adressen. Observera att namnet på den virtuella värden Zimbra ska motsvara namnet som användaren skriver in i webbläsarens adressfält för att få tillgång till domänen och även överensstämma med namnet som anges i certifikatet. Som exempel använder vi namnet på den virtuella värden Zimbra. mail.company.ru, och som virtuell IPv4-adress använder vi adressen 1.2.3.4.

Efter detta räcker det med att skriva in kommandot zmprov md company.ru zimbraVirtualHostName mail.company.ru zimbraVirtualIPAddress 1.2.3.4, för att koppla den virtuella värden Zimbra till den virtuella IP-adress. Observera att om servern befinner sig bakom NAT eller brandvägg, måste man se till att alla förfrågningar till domänen går till den offentliga IP-adressen som är kopplad till den, och inte till dess adress i det lokala nätverket.

När allt är klart, återstår det bara att kontrollera och förbereda domänens certifikat för installation, och sedan installera dem.

Om certifikatet för domänen har utfärdats korrekt, bör du ha tre filer med certifikat: två av dem är certifikatkedjor från din certifikatutfärdare, och ett är det faktiska certifikatet för domänen. Dessutom bör du ha en fil med den nyckel som du använde för att få certifikatet. Skapa en separat mapp /tmp/company.ru och placera alla dina nyckel- och certifikatfiler där. Resultatet bör bli något liknande detta:

ls /tmp/company.ru
company.ru.key
 company.ru.crt
 company.ru.root.crt
 company.ru.intermediate.crt

Därefter sammanfogar vi certifikatkedjorna till en fil med kommandot cat company.ru.root.crt company.ru.intermediate.crt >> company.ru_ca.crt och säkerställer att allt är i ordning med certifikaten med hjälp av kommandot /opt/zimbra/bin/zmcertmgr verifycrt comm /tmp/company.ru/company.ru.key /tmp/company.ru/company.ru.crt /tmp/company.ru/company.ru_ca.crt. När verifieringen av certifikaten och nyckeln är framgångsrik kan installationen börja.

För att påbörja installationen sammanfogar vi först certifikatet för domänen och de betrodda kedjorna från certifikatutfärdarna till en fil. Det görs också med ett kommando av typen cat company.ru.crt company.ru_ca.crt >> company.ru.bundle. Efter detta måste vi köra kommandot för att skriva alla certifikat och nyckeln i LDAP: /opt/zimbra/libexec/zmdomaincertmgr savecrt company.ru company.ru.bundle company.ru.key, och sedan installera certifikaten med kommandot /opt/zimbra/libexec/zmdomaincertmgr deploycrts. Efter installation kommer certifikat och nyckel för domänen company.ru att lagras i mappen /opt/zimbra/conf/domaincerts/company.ru. 

Genom att upprepa dessa steg med olika domännamn men samma IP-adress kan man hosta flera hundra domäner på en och samma IPv4-adress. Dessutom kan man utan problem använda certifikat från olika utfärdande myndigheter. Man kan kontrollera riktigheten av alla utförda åtgärder i vilken webbläsare som helst, där varje virtuellt värdnamn ska visa sin egen SSL-certifikat. 

För alla frågor relaterade till Zextras Suite kan ni kontakta företagets representant "Zextras", Ekaterina Triandafiliidi, via e-post katerina@zextras.com

Källa: habr.com