تعني هذه الرسالة Unable to start TLS: SSL handshake failedأن العميل والخادم لم يتمكنا من إتمام عملية التفاوض التي تبدأ اتصالاً مشفراً. في زيمبرا، قد تأتي الرسالة من مصادر مختلفة. يظهر نمط شائع أثناء عملية الاتصال، zmcontrol statusويشير إلى فشل التحقق من الشهادة في الاتصال بخادم LDAP الرئيسي. كما يمكن لعميل البريد الإلكتروني أو خادم SMTP الإبلاغ عن مشكلة في المصافحة على منفذ بريد عام.
يعتمد الحل على نوع الاتصال الذي فشل. ابدأ بتحديد الخدمة واسم المضيف في سجلات النظام المحيطة. ثم تحقق من الشهادة، وسلسلة إصدارها، وساعة النظام، ونقطة نهاية بروتوكول أمان طبقة النقل (TLS). تجنب تعطيل بروتوكول أمان طبقة النقل (TLS) كحل أولي، فقد يُخفي ذلك المشكلة ويُضعف أو يُعطل الاتصال الداخلي بخادم البريد.
بروتوكول TLS هو البروتوكول الذي يُشفّر اتصال الشبكة. تُعدّ مصافحة TLS عملية تبادل أولية يتفق فيها النظامان على معايير التشفير ويتحققان من صحة شهادة الخادم. يبدأ بروتوكول STARTTLS كاتصال بروتوكول عادي، ثم يتحول إلى TLS عندما يطلب كلا الطرفين ذلك. يمكن لكل من LDAP وSMTP استخدام STARTTLS، لذا فإن هذا الخطأ وحده لا يُحدد الخدمة المعطلة.
قبل تنفيذ أوامر الإصلاح، سجّل إصدار Zimbra، وما إذا كان التثبيت أحادي العقدة أو متعدد العقد، والأمر أو العميل الذي يُظهر الخطأ، وسطر السجل الكامل المحيط به. جدوِل نشر الشهادات أو إعادة تشغيل الخدمة خلال فترة الصيانة. احتفظ بنسخة احتياطية من ملفات الشهادات والإعدادات قبل تعديلها.
قم أولاً بإعادة إنتاج المشكلة واقرأ الرسالة كاملة. إذا ظهرت عند فحص Zimbra لحالة الخدمة وتضمنت عبارات مثل " when connecting to ldap masterفشل"، فابحث في بروتوكول LDAP TLS الداخلي. إذا فشل عميل البريد فقط في إرسال SMTP، فابحث في نقطة نهاية SMTP العامة واسم مضيف العميل ومنفذه ووضع التشفير الخاص به.
su - zimbra
zmcontrol status
راجع سجلات Zimbra الأخيرة التي تحمل نفس الطابع الزمني. في العديد من عمليات التثبيت، يكون السجل الرئيسي هو /var/log/zimbra.log; استخدم موقع السجل المُكوّن على خادمك.
grep -Ei 'Unable to start TLS|SSL handshake|certificate|ldap|STARTTLS' /var/log/zimbra.log | tail -n 80
ابحث عن اسم العملية، والمضيف البعيد، والمنفذ، وأي تفاصيل أخرى خاصة بـ OpenSSL مثل فشل التحقق من الشهادة، أو انتهاء صلاحية الشهادة، أو جهة إصدار غير معروفة، أو تنبيه البروتوكول. هذه التفاصيل تُفرّق بين مشكلة موثوقية الشهادة وعدم تطابق الشبكة أو البروتوكول.
في حالة حدوث خطأ داخلي في بروتوكول LDAP، تحقق من مضيفات LDAP التي تم تكوين هذا الخادم لاستخدامها. استعلم عن مفاتيح التكوين المحلية بشكل فردي وقارن أسماء مضيفاتها مع نظام أسماء النطاقات (DNS) وشهادة الخادم.
zmlocalconfig ldap_url
zmlocalconfig ldap_master_url
zmlocalconfig ldap_starttls_supported
zmlocalconfig ldap_starttls_required
قد يختلف توفر المفاتيح ومخرجاتها باختلاف إصدار Zimbra ودور العقدة. هذه قراءات تشخيصية؛ لا تُغير أي قيمة لمجرد ظهورها في المخرجات. توضح وثائق Zimbra دور إعدادات LDAP STARTTLS وتوصي بإبقاء TLS الداخلي مُفعلاً: قيم التكوين المحلي لـ Zimbra TLS وSTARTTLS .
يعتمد التحقق من صحة الشهادة على ساعة الخادم. إذا كانت الساعة متأخرة أو متقدمة بشكل كبير، فقد تظهر الشهادة الصالحة على أنها غير صالحة أو منتهية الصلاحية. تأكد من الوقت على مضيف Zimbra وعلى أي خادم LDAP رئيسي أو فرعي مشارك في الاتصال.
date -u
getent hosts ldap.example.com
استبدل ldap.example.comاسم مضيف LDAP الموجود في الإعدادات أو السجل. تأكد من أنه يُشير إلى عنوان الخادم المتوقع، وأن منفذ LDAP المُكوّن قابل للوصول إليه عبر جدار الحماية والشبكة الخاصة بالمضيف. في عمليات التثبيت متعددة العُقد، اختبر من عقدة Zimbra التي سجلت الفشل إلى عقدة LDAP الفعلية، وليس فقط من محطة عملك.
بالنسبة لاتصال SMTP STARTTLS الموجه للعميل، يُوضح دليل استكشاف أخطاء SMTP في Zimbra كيفية اختبار المنفذ 25 باستخدام OpenSSL. يُستخدم المنفذ 587 أيضًا بشكل شائع لإرسال الرسائل باستخدام STARTTLS. استخدم اسم المضيف والمنفذ المُكوّنين في برنامج البريد الإلكتروني.
openssl s_client -starttls smtp -connect mail.example.com:587 -servername mail.example.com -showcerts
بالنسبة لبروتوكول SMTP على المنفذ 25، استبدل 587بـ 25. يستخدم المنفذ 465 بروتوكول TLS الضمني، لذا لا تُضِفْ -starttls smtpعند اختبار هذا المنفذ. لا يُثبت نجاح اتصال TCP بحد ذاته أن الشهادة موثوقة أو أن العميل يستخدم وضع الأمان الصحيح. راجع دليل استكشاف أخطاء SMTP وOpenSSL في Zimbra .
الشهادة هي وثيقة هوية موقعة للخادم. يجب أن تكون الشهادة صالحة لاسم المضيف الذي يستخدمه العملاء، وأن تكون ضمن فترة صلاحيتها، وأن تكون مرتبطة بجهة إصدار شهادات موثوقة لدى المكون المتصل. قد تبدو الشهادة صحيحة في المتصفح بينما يتم نشر شهادة مختلفة على LDAP أو Postfix أو عقدة وكيل.
بصفتك مسؤول Zimbra، يمكنك عرض الشهادة التي يُبلغ عنها Zimbra على أنها مُنشرة:
/opt/zimbra/bin/zmcertmgr viewdeployedcrt
تحقق من موضوع كل شهادة مدرجة أو اسمها البديل (SAN)، والجهة المُصدرة، وتاريخ انتهاء الصلاحية، والخدمات المُقدمة. يجب أن يحتوي الاسم البديل (SAN) على اسم المضيف المُستخدم فعليًا لاتصال LDAP أو البريد الإلكتروني. تأكد أيضًا من أن جميع العُقد في بيئة نشر متعددة الخوادم تحتوي على الشهادة وسلسلة الشهادات المتوقعة. تُشير Zimbra إلى أن عرض الشهادات المنشورة يقتصر على الخادم، لذا قم بتشغيل الفحص على كل عُقدة ذات صلة.
إذا كانت لديك ملفات شهادة المصدر، فتحقق من تواريخها وأسمائها قبل النشر:
openssl x509 -in /tmp/commercial.crt -noout -dates -subject -issuer -ext subjectAltName
استبدل مسار المثال بملف الشهادة الذي تقوم بتقييمه. قد يؤدي فقدان اسم النطاق البديل (SAN)، أو انتهاء صلاحية الشهادة الفرعية أو الوسيطة، أو اسم المضيف الخاطئ، أو إصدار الشهادة لخادم آخر، إلى فشل عملية التحقق.
سلسلة الشهادات هي مجموعة شهادات الجهة المُصدرة التي تُمكّن العميل من تتبع شهادة الخادم وصولاً إلى جهة موثوقة. إذا أغفل ملف السلسلة شهادة وسيطة أو احتوى على سلسلة خاطئة، فقد يرفض العملاء الخادم حتى لو كانت الشهادة النهائية سارية. يجب أن تكون الشهادة والمفتاح الخاص متطابقين.
بالنسبة للشهادات التجارية، توفر أدوات شهادات Zimbra خطوة تحقق. قم بتعديل مسارات الملفات لتناسب تثبيتك وسلطة إصدار الشهادات لديك.
/opt/zimbra/bin/zmcertmgr verifycrt comm /opt/zimbra/ssl/zimbra/commercial/commercial.key /tmp/commercial.crt /tmp/ca_chain.crt
لا تتابع إلا إذا أكد التحقق تطابق الشهادة والمفتاح الخاص وصحة سلسلة الشهادات. لا تنشر شهادة بعد فشل التحقق. استخدم السلسلة الوسيطة التي توفرها جهة إصدار الشهادات، وتنسيق السلسلة الذي يتوافق مع إصدار Zimbra الخاص بك؛ ولا تُنشئ سلسلة شهادات عن طريق التخمين أو إضافة شهادات جذرية غير ذات صلة.
يوثق دليل شهادات Zimbra تسلسل التحقق والنشر، بما في ذلك سلسلة شهادات المرجع المصدق: أدوات تثبيت شهادات Zimbra وأدوات سطر الأوامر . كما تشرح صفحة استكشاف أخطاء سلسلة الشهادات أخطاء التحقق من سلسلة المُصدر: إرشادات سلسلة شهادات Zimbra .
إذا أظهر التحقق شهادة منتهية الصلاحية، أو مفتاحًا خاطئًا، أو ملفًا وسيطًا مفقودًا، أو عدم تطابق في اسم المضيف، فاحصل على الملفات الصحيحة أو أنشئها قبل النشر. اتبع الإجراءات الخاصة بإصدار Zimbra ونوع الشهادة لديك. بالنسبة للشهادات التجارية، يكون الأمر الموثق على هذا الشكل العام:
/opt/zimbra/bin/zmcertmgr deploycrt comm /tmp/commercial.crt /tmp/ca_chain.crt
استخدم صيغة الأوامر والصلاحيات الموثقة لإصدارك المُثبّت. يمكن لواجهة سطر الأوامر (CLI) الخاصة بـ Zimbra تثبيت شهادات لمكونات مثل MTA وLDAP والخادم الوكيل، لذا قد يؤثر النشر على عدة خدمات. في بيئة متعددة العُقد، تأكد من نشر الشهادة بشكل صحيح على كل خادم ذي صلة، بما في ذلك خادم LDAP الرئيسي.
بعد التحقق من عملية النشر، أعد تشغيل خدمات Zimbra خلال فترة الصيانة المخططة إذا تطلبت إجراءات الإصدار ذلك، ثم تأكد من حالة الخدمة والشهادات المنشورة:
su - zimbra
zmcontrol restart
zmcontrol status
/opt/zimbra/bin/zmcertmgr viewdeployedcrt
إعادة التشغيل تُعطّل الوصول إلى البريد الإلكتروني والويب أثناء توقف الخدمات ثم عودتها. لا تُشغّلها بشكل عشوائي على خادم إنتاج مشغول. يُوثّق دليل شهادات Zimbra كيفية استخدامها zmcontrol restartبعد النشر والتحقق من النتيجة باستخدام الأمر ` viewdeployedcrt.
إذا تم التحقق من الشهادة نفسها ولكن عميل LDAP الخاص بـ Zimbra لا يزال يرفضها، فافحص بيانات ثقة LDAP والعقدة المعيبة. تشير ملاحظة استكشاف أخطاء MTA المؤرشفة من Zimbra إلى سلسلة CA غير صالحة، وشهادات CA منتهية الصلاحية، وملفات غير متوقعة ضمن /opt/zimbra/conf/caالأسباب المحتملة لفشل LDAP STARTTLS. تعامل مع هذا كدليل تشخيصي، وليس كسبب لحذف الملفات: قارن الدليل بنسخة احتياطية سليمة أو إرشادات خاصة بالإصدار، واحتفظ بمحتوياته قبل إجراء أي تغييرات.
لإجراء فحص بسيط باستخدام LDAP STARTTLS، يمكن لعميل OpenLDAP طلب StartTLS والاستعلام عن Root DSE دون تقديم بيانات اعتماد الحساب:
ldapsearch -x -ZZ -H ldap://ldap.example.com:389 -b "" -s base namingContexts
استخدم مضيف LDAP الفعلي والمنفذ في عملية النشر. مع أدوات OpenLDAP، -ZZيتم طلب بدء TLS، ويُعتبر فشل إنشاء الاتصال خطأً. إذا فشل هذا الاختبار برسالة تتعلق بالثقة أو الشهادة، قارن الشهادة المُعادة من نقطة نهاية LDAP مع الشهادة المنشورة وثقة المرجع المصدق المتاحة للعميل. إذا نجح الاختبار من عقدة واحدة وفشل من أخرى، فابحث عن اختلافات في نظام أسماء النطاقات (DNS) أو ملفات المرجع المصدق أو التكوين المحلي.
قد تفشل عملية المصافحة أيضًا إذا لم يتفق العميل والخادم على إصدار بروتوكول TLS أو مجموعة التشفير. قد يحدث هذا مع العملاء القدامى، أو إجراءات الحماية المخصصة، أو الإعدادات الافتراضية الخاصة بالإصدار. اختبر نقطة النهاية باستخدام عميل OpenSSL حديث، وتحقق من إعدادات TLS في Zimbra للتأكد من إصدار المنتج. تجنب نسخ أوامر البروتوكول القديمة من الصفحات المؤرشفة إلى تثبيت أحدث؛ فقد تتغير إعدادات التشفير والبروتوكول بين الإصدارات.
لا تُصلح الخطأ بتفعيل SSLv3، أو إضعاف التحقق، أو تعطيل LDAP STARTTLS بشكل عام. يوجد في منتدى Zimbra حلٌّ قديمٌ كان يُعطّل LDAP STARTTLS، لكن أحد المُجيبين حذّر بحقٍّ من أن تعطيل ميزة أمان ليس حلاً سليماً لإصلاح الشهادة. تُوصي ملاحظات Zimbra الخاصة بالتكوين المحلي بإبقاء TLS بين العمليات وLDAP STARTTLS مُفعّلين. استخدم هذا التغيير فقط كإجراء تشخيصي مؤقت ومُحكم إذا وجّهك دعم Zimbra إلى ذلك، ثم استعد الإعدادات الآمنة فوراً.
zmcontrol statusيكتمل بدون خطأ LDAP TLS، إذا كانت هذه هي العملية الفاشلة.إذا استمرت المشكلة، فاجمع تفاصيل الخطأ كاملةً، وإصدار Zimbra، والخدمة المتأثرة واسم المضيف، وتواريخ الشهادات واسم SAN، ومخرجات التحقق، وسطور السجل ذات الصلة. احجب المفاتيح الخاصة، وبيانات الاعتماد، وعناوين المستخدمين، وتفاصيل المضيف الحساسة قبل مشاركتها. الرسالة المحددة هي مجرد عرض، وليست تشخيصًا كاملاً؛ فاسم الخدمة المحيطة وسبب OpenSSL هما ما يحددان الإصلاح الصحيح.
ملاحظة توثيقية: تتضمن صفحات شهادات Zimbra العامة وصفحات TLS موادًا لإصدارات متعددة، كما تم أرشفة بعض صفحات استكشاف الأخطاء وإصلاحها بشكل صريح. تعكس الأوامر هنا نمط واجهة سطر الأوامر الموثق، ولكن يجب التحقق من مسارات الشهادات والصلاحيات ومتطلبات إعادة التشغيل بالرجوع إلى وثائق إصدار Zimbra المُثبَّت. تمت المراجعة في 6 أكتوبر 2026.
قارن بين 10 أدوات مسح الشبكة المحلية (Ping) لاكتشاف الشبكات المحلية بسرعة، وإجراء مسح شامل للأنظمة الأساسية المختلفة، وإدارة عناوين IP. تعرّف على ما يمكن أن يكشفه لك المسح وما لا يمكنه كشفه.
قارن بين ست أدوات لإدارة الشبكة لمراقبة الأداء، بما في ذلك تغطية SNMP، ورسم الخرائط، والتنبيهات، ونماذج النشر، والمفاضلات المتعلقة بالتكلفة.
قارن بين أفضل برامج تحليل شبكة Wi-Fi لأنظمة Windows و iPhone و Android، بما في ذلك أدوات ازدحام القنوات وتغطية الإشارة والخرائط الحرارية واستكشاف أخطاء الشبكة وإصلاحها.
قارن بين سبعة برامج مراقبة زمن الاستجابة المجانية والمفتوحة المصدر، بدءًا من مجموعات الشبكة الكاملة وحتى مجسات زمن الاستجابة المركزة، واختر البرنامج المناسب من حيث التوافر وفقدان الحزم والسجل.
تعرف على معنى جودة الخدمة في الشبكات، وكيف تحدد علامات DSCP وقوائم انتظار حركة المرور أولويات تطبيقات الصوت والفيديو والأعمال، وما لا تستطيع جودة الخدمة إصلاحه.
قم ببناء نظام مراقبة شبكة عملي مع تغطية واضحة للأجهزة، ومقاييس أداء مفيدة، وتنبيهات قابلة للتنفيذ، ومقارنة بين SolarWinds NPM وPRTG وOpManager.
قارن بين برامج خوادم SFTP الموثوقة لأنظمة ويندوز ولينكس، بما في ذلك OpenSSH وBitvise وSolarWinds وSFTPGo. اعثر على الخيار الأمثل الذي يلبي احتياجاتك الأمنية واحتياجات نقل الملفات.
قارن بين سبع أدوات لإدارة عناوين IP لاكتشاف الشبكات الفرعية، وتنسيق DNS وDHCP، وجرد الشبكة، وIPAM مفتوح المصدر.
قارن بين أدوات فحص الشبكة لاكتشاف الأجهزة بسرعة، وعمليات فحص IP عبر الأنظمة الأساسية، وإدارة عناوين IP للمؤسسات، مع إرشادات حول مطابقة كل خيار مع شبكتك.
استخدم خيار --traceroute في Nmap لرسم خرائط القفزات إلى مضيف مصرح به، وفهم مخرجات القفزة وRTT، واستكشاف الأخطاء وإصلاحها في الاستجابات المفقودة دون الإفراط في المسح.
