Utilizza l'attributo proxy di Zimbra zimbraReverseProxyMailModeper reindirizzare le richieste web da HTTP a HTTPS. Impostalo redirectsu ogni nodo proxy di Zimbra, quindi riavvia il servizio proxy e verifica che la risposta HTTP contenga un'intestazione Location: https://.... Prima di procedere, assicurati che il nome host HTTPS pubblico si risolva già nel tuo proxy o bilanciatore di carico e che presenti un certificato valido.
Questa impostazione riguarda l'accesso web tramite Zimbra Proxy. Non configura automaticamente HTTPS per l'archivio di posta, non installa un certificato né garantisce che ogni applicazione di posta segua un reindirizzamento. Se è necessario rifiutare completamente le richieste HTTP, si consiglia di utilizzare la modalità proxy solo HTTPS anziché il reindirizzamento.
| Modalità di posta proxy | Che cosa succede a HTTP? | Quando usarlo |
|---|---|---|
redirect | Il proxy restituisce una risposta HTTP 302 indirizzando il client a HTTPS. | Utile quando gli utenti inseriscono ancora un URL HTTP e dovrebbero essere reindirizzati a un indirizzo web sicuro. |
https | Il proxy serve il client web tramite HTTPS; non fornisce lo stesso flusso di reindirizzamento da HTTP a HTTPS. | Preferisci questa opzione quando i client non devono mai avviare una sessione tramite HTTP. |
bothOmixed | Si tratta di modalità proxy separate con comportamenti HTTP/HTTPS differenti. | Utilizzare solo quando l'implementazione richiede specificamente il comportamento documentato; non dare per scontato che imponga un reindirizzamento HTTP. |
Le linee guida di sicurezza di Zimbra avvertono che alcuni client, inclusi i client ActiveSync, potrebbero non rispettare un reindirizzamento HTTP e potrebbero inviare le credenziali nella richiesta iniziale non crittografata. Il reindirizzamento è quindi utile per comodità del browser, ma non sostituisce l'accesso esclusivamente tramite HTTPS quando tutti i client devono evitare HTTP. Se si sceglie la modalità di reindirizzamento, proteggere il listener HTTP al confine della rete in modo appropriato e comunicare l'URL HTTPS agli utenti.
mail.example.com, deve risolversi nel proxy pubblico o nel bilanciatore di carico. HTTPS deve già funzionare sul nome host e sulla porta previsti.Utilizzare l'account Zimbra per i comandi amministrativi riportati di seguito. Sostituire proxy1.example.comcon il nome esatto del server Zimbra per il nodo proxy e mail.example.comcon il nome host pubblico della webmail. Non incollare letteralmente i nomi di esempio in un sistema di produzione.
Su un host Zimbra con gli strumenti da riga di comando disponibili, interrogare l'impostazione corrente del proxy:
zmprov gs proxy1.example.com zimbraReverseProxyMailModeRegistra l'output in modo da poterlo confrontare dopo la modifica o ripristinare la modalità precedente, se necessario. Il gscomando legge gli attributi del server; ms, utilizzato di seguito, li modifica.
Imposta l'attributo sull'oggetto server proxy:
zmprov ms proxy1.example.com zimbraReverseProxyMailMode redirectLa documentazione di configurazione di Zimbra Proxy identifica redirectquesta modalità per reindirizzare le richieste HTTP a HTTPS. Applicare lo stesso comando a ciascun nodo proxy che accetta traffico web pubblico. Se un bilanciatore di carico può inviare una richiesta HTTP a più proxy, ogni proxy idoneo deve avere un comportamento coerente.
Non confondere questa impostazione con zimbraMailMode. Zimbra documenta che attribuisce separatamente per la connessione al server di posta. La modifica della modalità del mailstore non è il passaggio che abilita un reindirizzamento HTTP accessibile dal browser sul proxy.
redirect; ripetere l'operazione per ogni nome del server proxy in una distribuzione multi-nodo.Riavvia il servizio proxy sul nodo in cui hai modificato l'impostazione:
zmproxyctl restartQuindi verifica lo stato del servizio:
zmproxyctl statusEsegui il riavvio su ciascun nodo proxy, uno alla volta se disponi di un livello ridondante. Segui le istruzioni operative della versione di Zimbra installata se il tuo ambiente prevede un processo di aggiornamento della cache di configurazione o di orchestrazione dei servizi. Evita di modificare direttamente i file Nginx generati: Zimbra gestisce la configurazione del proxy dalle impostazioni del server e le modifiche manuali potrebbero sovrascriversi.
Gli esempi si basano sulla Guida di amministrazione di Zimbra Daffodil v10 e sulla documentazione di Zimbra relativa a proxy e sicurezza. Le versioni precedenti di ZCS potrebbero differire per quanto riguarda il packaging o le procedure supportate, pertanto si consiglia di consultare la guida di amministrazione per verificare la versione esatta installata nel proprio ambiente prima di apportare modifiche.
Da un sistema in grado di raggiungere l'endpoint pubblico, richiedere l'URL HTTP senza seguire i reindirizzamenti:
curl -sS -D - -o /dev/null http://mail.example.com/In modalità di reindirizzamento, cerca una risposta 302 e Locationun'intestazione il cui valore inizia con https://mail.example.com/. Le intestazioni esatte e la gestione dello stato possono variare a seconda della versione di Zimbra, del percorso e di eventuali bilanciatori di carico o gateway web davanti al proxy. La schermata seguente è un esempio illustrativo del modello di intestazione previsto, non un test acquisito da un server di produzione.
Effettua una richiesta separata all'URL sicuro:
curl -sS -D - -o /dev/null https://mail.example.com/Verificare che il certificato TLS sia valido per l'hostname e che la risposta sia la pagina di webmail o il reindirizzamento all'applicazione previsti. Non utilizzare questa opzione curl -kper aggirare la verifica del certificato: in questo modo si nasconderebbe il problema del certificato che gli utenti visualizzerebbero. Una pagina di accesso potrebbe restituire un reindirizzamento o uno stato diverso da 200 a seconda della versione del prodotto e del flusso di autenticazione, quindi valutare la risposta insieme al controllo del browser.
Apri http://mail.example.comuna nuova sessione del browser. L'indirizzo dovrebbe cambiare in un URL HTTPS prima di inserire le credenziali. Quindi apri direttamente l'URL HTTPS e verifica che la pagina di accesso si carichi senza un avviso relativo al certificato. Ripeti la procedura dall'esterno della rete interna se il DNS pubblico, le regole del firewall o un bilanciatore di carico potrebbero produrre risultati diversi.
Non tentare di inserire una password reale mentre nella barra degli indirizzi viene ancora visualizzato HTTP. Se il reindirizzamento non riesce, interrompi e correggi prima la configurazione del proxy, del router o del certificato.
| Sintomo | Cosa controllare |
|---|---|
| HTTP rimane sullo stesso URL | Eseguire una query zimbraReverseProxyMailModesul proxy che ha gestito la richiesta; verificare che ogni nodo con bilanciamento del carico abbia il valore previsto e sia stato riavviato. |
| L'intestazione Location utilizza il nome host o la porta errati | Verifica l'URL pubblico, le regole del reverse proxy o del load balancer e le impostazioni di hostname/protocollo/porta del servizio pubblico di Zimbra utilizzate per generare i link pubblici. |
| Il browser segnala un avviso relativo al certificato. | Verificare che il certificato sia installato sul punto di terminazione TLS, che copra il nome host pubblico e che includa i certificati della catena necessari. |
| Gli utenti visualizzano un ciclo di reindirizzamento | Verificare se un bilanciatore di carico front-end termina il TLS ma inoltra l'HTTP a Zimbra e confermare che il proxy sia in grado di identificare correttamente il protocollo di richiesta esterno. Allineare la configurazione TLS e di inoltro al perimetro della rete. |
| Un client di posta invia ancora HTTP | Non dare per scontato che il client segua un reindirizzamento 302. Preferisci l'accesso solo tramite HTTPS per i client che non devono mai inviare credenziali tramite HTTP e configura ciascun client con l'URL del server HTTPS. |
zimbraReverseProxyMailModeè impostato redirectsu ogni nodo proxy applicabile.Location, mentre una richiesta HTTPS diretta convalida il certificato.Confronta strumenti di monitoraggio open source e proprietari in base a costi, supporto, personalizzazione, sicurezza e opzioni disponibili, tra cui Zabbix, Nagios, PRTG e altri.
Confronta i migliori server TFTP per Windows, Linux e macOS, tra cui SolarWinds, Tftpd64, tftpd-hpa, atftpd, haneWIN e dnsmasq.
Confronta cinque alternative a Microsoft Access per la gestione di database su desktop, SQLite, senza codice e tramite browser, evidenziandone punti di forza, limiti e casi d'uso più adatti.
Comprendere come i termini "ingress" e "egress" descrivono il traffico in entrata e in uscita, perché la direzione dipende dal confine della rete e come monitorare la larghezza di banda e individuare i trasferimenti di dati rischiosi.
Confronta sei server e collettori syslog gratuiti per Windows e Linux, inclusi strumenti con interfaccia grafica, opzioni open source, funzionalità di ricerca, avvisi e trasporto sicuro.
Scopri cosa fa Microsoft IIS, come funzionano la sua pipeline di richieste e i pool di applicazioni e quando Apache, NGINX o Caddy potrebbero essere più adatti alle tue esigenze di server web.
Diagnostica i picchi di utilizzo della CPU del browser Jitsi Meet e riduci il carico del client controllando i riquadri video, gli effetti della fotocamera, la grafica del browser e le impostazioni dell'host.
Monitora lo stato di salute, il carico della conferenza e il traffico di Jitsi Videobridge con il suo endpoint Prometheus integrato, quindi esplora e visualizza i dati in Grafana.
Configura un dominio personalizzato per Jitsi Meet Docker con DNS, URL pubblico, HTTPS, Let's Encrypt, porte del firewall, impostazioni NAT e verifica end-to-end.
Fix Zimbra Admin Console 404 errors after SSL renewal by checking the correct URL and port, proxy routing, service status, deployed certificates, and logs.
