حل مشكلة عدم العثور على لوحة تحكم Zimbra الإدارية (404) بعد تجديد شهادة SSL

مثال توضيحي، وليس حادثة حقيقية: يدير جوردان خادم Zimbra وهميًا على عنوان IP mail.example.com. بعد تجديد شهادة SSL/TLS الخاصة به، يفتح جوردان إشارة مرجعية محفوظة في لوحة تحكم الإدارة، فيظهر له خطأ "404 غير موجود". قد يكون التجديد مرتبطًا بالمشكلة، لكن ظهور خطأ 404 لا يثبت بالضرورة أن الشهادة غير صالحة. قد يكون العنوان يصل إلى منفذ أو خادم وكيل أو اسم مضيف أو مسار URL خاطئ.

في هذا المثال، يُنصح جوردان بالتأكد من عنوان URL الخاص بلوحة تحكم الإدارة، واختبار نقاط النهاية المباشرة والتابعة بشكل منفصل، والتحقق من حالة خدمة Zimbra والشهادات المنشورة، ثم إعادة نشر أو إعادة تشغيل أي مكون إذا أشارت الأدلة إلى ذلك. اتبع التعليمات الخاصة بإصدار نظامك: قد تختلف منافذ Zimbra وإجراءات الشهادات باختلاف الإصدار، وبحسب ما إذا كان الخادم يستخدم Zimbra Proxy أو موازن تحميل منفصل أو وكيل عكسي خارجي.

ماذا يعني ظهور خطأ 404 بعد تجديد شهادة SSL؟

عادةً ما تعني استجابة HTTP 404 الصريحة من المتصفح أن خادم HTTP قد استجاب للطلب ولكنه لم يعثر على مورد أو مسار مطابق. وهذا يجعل التحقق من اسم المضيف والمنفذ ومسار عنوان URL والمضيف الظاهري ومسار الوكيل أمرًا بالغ الأهمية. ويختلف هذا عن تحذير شهادة المتصفح أو فشل مصافحة TLS. مع ذلك، قد يُعيد الوكيل العكسي أو جدار حماية تطبيقات الويب نفسه استجابة 404 عند عدم تطابق المضيف أو المسار، لذا فإن الحالة وحدها لا تُحدد الطبقة المسؤولة.

تُوثّق Zimbra منفذ TCP الخاص بلوحة تحكم الإدارة مباشرةً 7071بشكل افتراضي. إذا تم تكوين Zimbra Proxy ليكون بمثابة وكيل للوحة تحكم الإدارة، فسيكون منفذ الوكيل الافتراضي الموثق هو 1 9071؛ وهو اختياري ويمكن تخصيصه. 443لا يكون عنوان البريد الإلكتروني القياسي على المنفذ 1 هو نفسه تلقائيًا نقطة نهاية لوحة تحكم الإدارة المباشرة. راجع إرشادات عنوان URL الخاص بلوحة تحكم إدارة Zimbra ومرجع منفذ Zimbra للتأكد من توافقه مع إعداداتك.

كيف يمكنك حل المشكلة؟

1. تأكد من عنوان لوحة تحكم المسؤول بدقة

استخدم اسم المضيف والمنفذ المُهيئين لنظامك بدلاً من افتراض أن عنوان بريدك الإلكتروني هو نفسه عنوان لوحة تحكم الإدارة. في حالة الاتصال المباشر، تُوثّق Zimbra عنوان URL بالصيغة التالية: `< https://server.example.com:7071اسم المضيف>`. يمكن للمسؤول الذي فعّل Zimbra Proxy للوحة التحكم استخدام اسم المضيف والمنفذ الخاصين بالوكيل، وعادةً ما يكونان `<اسم المضيف>` https://proxy.example.com:9071. لا تُضِف /adminمسارًا افتراضيًا، بل استخدم العنوان المُحدد في تثبيتك أو وثائق المسؤول.

في حالة جوردان الافتراضية، تشير الإشارة المرجعية القديمة إلى اسم مضيف البريد الإلكتروني العام على المنفذ 443. سيقارن جوردان هذه الإشارة بنقطة نهاية الإدارة الموثقة أو المُهيأة. لا يعني ظهور خطأ 404 على مضيف البريد الإلكتروني أن وحدة تحكم إدارة Zimbra معطلة. إذا كان المنفذ 7071 محظورًا عمدًا من الإنترنت العام، فاختبره فقط من شبكة مُصرّح بها أو محليًا؛ لا تفتحه علنًا لمجرد الاختبار. توصي إرشادات Zimbra الخاصة بالوكيل بتقييد الوصول المباشر إلى المنفذ 7071 عندما يستخدم المسؤولون نقطة نهاية الوكيل.

2. قارن بين المسارات المباشرة والمسارات البديلة

اختبر مسارًا واحدًا في كل مرة، باستخدام اسم المضيف والبروتوكول والمنفذ الصحيحين. إذا كان الوصول المباشر على المنفذ 7071 يعمل من شبكة مسموح بها، ولكن مسار الوكيل على المنفذ 9071 يُرجع خطأ 404، فركز على إعدادات لوحة تحكم الوكيل وتوجيه اسم المضيف. إذا فشل المسار المباشر أيضًا، فتحقق من خادم البريد والشهادة المنشورة لخدمة لوحة تحكمه. إذا كان كلا مساري Zimbra يعملان، ولكن عنوان URL العام لا يزال يُرجع خطأ 404، فابحث في مُوازن الأحمال الخارجي، أو الوكيل العكسي، أو شبكة توصيل المحتوى (CDN)، أو جدار حماية تطبيقات الويب أمام Zimbra.

استخدم هذه المقارنة كأداة تشخيصية، وليس كأمر لتمكين الوصول إلى الشبكة. قد يكون حظر المنفذ المباشر إجراءً أمنيًا مقصودًا. يشرح دليل إعداد وكيل وحدة تحكم إدارة Zimbra مستمع المنفذ 9071 الاختياري، ويشير إلى أن وحدة تحكم إدارة خادم البريد تبقى عادةً على المنفذ 7071.

3. تحقق من خدمات Zimbra وسجلات البروكسي

سجّل الدخول إلى خادم Zimbra باستخدام حساب المسؤول المناسب لتثبيتك، ثم تحقق من حالة الخدمة. أوامر الحالة التالية للقراءة فقط:

su - zimbra
zmcontrol status
zmproxyctl status

zmcontrol statusيُفيد هذا الأمر في الإبلاغ عن حالة مكونات Zimbra zmproxyctl statusعند تثبيت Zimbra Proxy؛ إذا كان الأمر غير متاح أو لم يكن Zimbra Proxy مُثبّتًا في بنية الشبكة، فتجاوزه وتحقق من المكون الفعلي الذي يُقدّم عنوان URL. قد يُفسّر توقف صندوق البريد أو مكون الوكيل فشل المسار، ولكن لا تُعِد تشغيل الخادم بالكامل لمجرد أن أحد عناوين URL يُعيد الخطأ 404.

بالنسبة للطلبات المُرسلة عبر وكيل، يُحدد Zimbra /opt/zimbra/log/nginx.access.logسجلات /opt/zimbra/log/nginx.logالوكيل المفيدة. قارن وقت الطلب والمضيف/المسار المطلوب مع الاستجابة المُسجلة هناك. إذا لم يظهر الطلب في سجلات وكيل Zimbra، فقد يكون الخطأ 404 صادرًا من مُوازن تحميل المصدر أو خدمة واجهة أمامية أخرى. راجع دليل وكيل Zimbra وقسم استكشاف الأخطاء وإصلاحها .

4. تحقق من الشهادة التي يقدمها كل طرفية

الشهادة المُجددة على القرص ليست بالضرورة هي نفسها الشهادة التي يتم تحميلها حاليًا بواسطة جميع خدمات Zimbra. من مضيف Zimbra، شغّل أداة فحص الشهادات المنشورة في مدير الشهادات باستخدام الصيغة التي يدعمها الإصدار المُثبّت لديك.

/opt/zimbra/bin/zmcertmgr viewdeployedcrt

راجع تفاصيل الشهادة الخاصة بالخدمة التي تعالج المسار المعطل، بما في ذلك تواريخ الصلاحية واسم المضيف أو الأسماء البديلة للموضوع. إذا كان المتصفح يصل إلى المنفذ 443 عبر مُنهي TLS خارجي، فافحص الشهادة وإعدادات التوجيه هناك أيضًا؛ فقد لا يكون Zimbra هو المكون الذي يُقدم تلك الشهادة العامة. في بيئة متعددة الخوادم، تحقق من عقد الوكيل وصناديق البريد ذات الصلة. يُشير Zimbra إلى أنه viewdeployedcrtيُبلغ عن الخادم المحلي، لذا فإن التحقق من عقدة واحدة لا يُعد دليلًا على أن كل عقدة لديها الشهادة المُجددة.

إذا تم تثبيت الشهادة الصحيحة وكان العرض الوحيد هو ظهور خطأ HTTP 404، فواصل التحقق من مسار التوجيه والوكيل بدلاً من تجديد الشهادة بشكل متكرر. أما إذا كانت الشهادة المثبتة قديمة أو غير صالحة أو لا تتطابق مع المفتاح الخاص أو سلسلة المفاتيح، فاتبع مسار تثبيت الشهادة الخاص بإصدار Zimbra لديك.

5. أعد نشر الشهادة فقط عندما يُظهر الفحص أنها مطلوبة

قبل تغيير الشهادات، تأكد من امتلاكك للمفتاح الخاص المطابق، وشهادة الخادم المُجددة، وسلسلة شهادات المرجع المصدق الكاملة من مزود الخدمة. احتفظ بالمفتاح الخاص في مكان آمن. في مثال جوردان الافتراضي، أسماء الملفات هي commercial.keyو commercial.crtو ca_chain.crt؛ استبدل هذه الأسماء بالمسارات الفعلية على خادمك. أسماء الملفات المذكورة أدناه هي أمثلة فقط، وليست ملفات ينشئها Zimbra تلقائيًا.

بالنسبة للشهادات التجارية، توثق Zimbra مطابقة الشهادة للمفتاح وسلسلة المفاتيح قبل النشر. عدّل الأمر ليناسب مساراتك وصلاحيات المستخدم المطلوبة لإصدارك.

/opt/zimbra/bin/zmcertmgr verifycrt comm \
  /opt/zimbra/ssl/zimbra/commercial/commercial.key \
  /tmp/commercial.crt \
  /tmp/ca_chain.crt

لا تتابع إلا إذا أكدت نتائج التحقق تطابق المفتاح وصحة سلسلة الشهادات. في حال فشل التحقق، توقف وقم بتصحيح المفتاح أو الشهادة أو سلسلة الشهادات الوسيطة. لا تقم بنشر شهادة غير متطابقة لمعرفة ما إذا كانت ستحل مشكلة الخطأ 404.

عند نجاح عملية التحقق، يكون نمط نشر الشهادة التجارية الموثق كما يلي:

/opt/zimbra/bin/zmcertmgr deploycrt comm \
  /tmp/commercial.crt \
  /tmp/ca_chain.crt

هذه الأوامر ليست تعليمات تجديد عامة. تحتوي وثائق شهادات Zimbra على ملاحظات خاصة بكل إصدار فيما يتعلق بالصلاحيات، ويتطلب النشر متعدد العُقد تثبيت الشهادة والتحقق منها على العُقد التي تُعالج حركة المرور ذات الصلة. راجع أدوات شهادات وحدة تحكم الإدارة وواجهة سطر الأوامر ، وبالنسبة لإعداد قائم على Let's Encrypt، راجع تعليمات شهادة Zimbra Let's Encrypt الحالية . لا تنسخ الأوامر من إصدار أقدم دون التحقق منها ومطابقتها مع الإصدار المُثبّت لديك.

6. أعد تشغيل الخدمة المتأثرة، ثم اختبر كلا الطرفين.

تتطلب ملاحظات نشر الشهادة من Zimbra إعادة تشغيل الخدمات لتحميل الشهادة الجديدة. اختر أقل نطاق لإعادة التشغيل يدعمه تصميم الشبكة لديك، ثم قم بإصداره. إذا كانت شهادة Zimbra Proxy أو إعدادات الوكيل المُنشأة فقط هي التي تحتاج إلى إعادة التحميل، فسيكون أمر خدمة الوكيل كما يلي:

zmproxyctl restart

يؤثر إعادة التشغيل الكاملة zmcontrol restartعلى خدمات Zimbra على هذا المضيف وقد يقطع الوصول إلى البريد. استخدمها خلال فترة الصيانة عندما تتطلب إجراءات نشر الشهادة لإصدارك ذلك، وخطط لكل عقدة متأثرة. يوثق دليل شهادات Zimbra إعادة تشغيل الخدمة بالكامل في مسار شهادة تجارية لخادم واحد؛ ويشرح دليل الوكيل أن إعادة تشغيل الوكيل تعيد إنشاء تكوين الوكيل قبل بدء تشغيله مرة أخرى. لا تقم بتشغيل مساري إعادة التشغيل تلقائيًا.

بعد عودة الخدمة المختارة، اختبر عناوين URL نفسها مرة أخرى: أولًا عنوان لوحة تحكم الإدارة المباشر أو عبر وكيل من شبكة معتمدة، ثم عنوان URL العام أو المُوازن. تأكد من تحميل صفحة تسجيل الدخول المتوقعة، وأن المتصفح يعرض الشهادة المُجددة لاسم المضيف، وأن السجلات ذات الصلة لم تعد تُظهر أي خطأ في المسار أو خطأ في المصدر لهذا الطلب. في مثال جوردان الافتراضي، يكمن التحقق في ما إذا كانت الإشارة المرجعية المحفوظة تستهدف الآن نقطة النهاية المُكوّنة، وليس في ما إذا تم تحقيق نتيجة اختبار وهمية.

متى يجب عليك البحث خارج نطاق زيمبرا؟

إذا استجابت نقاط نهاية الوكيل المباشر والمُهيأ في Zimbra بشكل صحيح، ولكن لا يزال عنوان URL العام يُرجع رمز الخطأ 404، فمن المرجح أن يكون الخلل في واجهة أمامية خارجية أو في قاعدة المضيف الافتراضي الخاصة بها. تحقق من اسم المضيف والمنفذ الخاصين بالوكيل العكسي، وإعدادات إنهاء TLS، وعنوان المضيف المُعاد توجيهه، وقواعد إعادة كتابة عنوان URL. إذا انتهت صلاحية الشهادة العامة خارج Zimbra، فلن يؤدي تجديد شهادة Zimbra الداخلية وحدها إلى تحديث المستمع الخارجي.

للحصول على استجابة من Zimbra Proxy، قارن الطابع الزمني والحالة nginx.access.logمع التفاصيل في nginx.logسجلات النظام. في حال عدم وجود استجابة في هذه السجلات، افحص الخادم الوكيل الخارجي أو موازن الأحمال. تجنب تعديل ملفات Zimbra NGINX المُنشأة مباشرةً؛ إذ تُعيد خدمة Zimbra Proxy إنشاء إعداداتها عند إعادة التشغيل، لذا يجب أن تتبع التغييرات الدائمة طرق تكوين الخادم الوكيل المدعومة للإصدار المُثبّت.

كيف تعرف أن عملية الإصلاح قد اكتملت؟

• تستخدم الإشارة المرجعية اسم المضيف والبروتوكول والمنفذ والمسار المُكوّن.
• تستجيب نقطة نهاية وحدة تحكم المسؤول المقصودة من شبكة مصرح بها؛ ويبقى المنفذ المباشر المحظور عمداً محظوراً.
• تشير تقارير الخدمات ذات الصلة في Zimbra إلى أنها قيد التشغيل، وتتطابق الشهادة المنشورة مع اسم المضيف وفترة الصلاحية الحالية.
• يقوم الخادم الوكيل أو الواجهة الأمامية الخارجية بعرض صفحة لوحة تحكم المسؤول المتوقعة بدلاً من صفحة الخطأ 404.
• تُظهر السجلات أن الطلب وصل إلى المكون المتوقع، ولا توجد عقدة أخرى لا تزال تعرض الشهادة القديمة.

تشير وثائق Zimbra الرسمية التي استُعين بها في هذا الدليل إلى أن المنفذ 7071 هو المنفذ الافتراضي المباشر لوحدة تحكم الإدارة، بينما يُعد المنفذ 9071 منفذًا اختياريًا لوحدة تحكم الإدارة عبر وكيل. ونظرًا لإمكانية ظهور خطأ 404 في طبقات مختلفة، استخدم هذه القيم الافتراضية كمؤشرات تشخيصية، وتحقق من القيم الفعلية في إصدار Zimbra الخاص بك وبنيته.

المراجع الرسمية

• لوحة تحكم إدارة زيمبرا
• موانئ زيمبرا
• تفعيل وكيل وحدة تحكم المسؤول
• دليل بروكسي زيمبرا
• وحدة تحكم الإدارة وأدوات شهادات واجهة سطر الأوامر
• تثبيت شهادة SSL من Let's Encrypt