Zimbra 인증서 만료 문제 해결: 자체 서명 인증서를 안전하게 갱신하세요

Zimbra 서버는 사용자가 갑자기 브라우저에서 "인증서 만료"와 같은 경고를 받거나, 메일 클라이언트가 SSL/TLS 연결을 거부하거나, 관리자가 인증서 만료일을 발견하기 전까지는 정상적으로 작동하는 것처럼 보일 수 있습니다. 가장 빠르고 안전한 대응 방법은 모든 인증서 구성 요소를 즉시 교체하는 것이 아닙니다. 먼저 만료된 항목을 파악한 다음, 필요한 최소한의 구성 요소부터 갱신하십시오.

Zimbra의 현재 기술 센터에서 제공하는 단일 서버 자체 서명 배포 절차는 zmcertmgr인증서를 생성하고 배포하는 데 사용됩니다. 중요한 점은 Zimbra에서 일반적인 자체 서명 인증서 갱신 시 새 인증 기관(CA)을 생성하는 것은 선택 사항이라고 명시하고 있다는 것입니다. 서버 인증서가 만료될 때마다 CA를 교체할 필요는 없습니다. 이 가이드에 사용된 공식 참조 자료는 2026년 10월 6일에 확인되었습니다. " 자체 서명 SSL 인증서 재생성 - 단일 서버 및 관리 콘솔 및 CLI 인증서 도구" .

만료된 Zimbra 인증서가 실제 서비스 문제를 일으키는 이유

Zimbra는 웹 인터페이스, 프록시, LDAP 및 메일 프로토콜과 같은 서비스 전반에 걸쳐 TLS 인증서를 사용합니다. 인증서 유효 기간이 만료되면 기본 Zimbra 프로세스가 계속 실행 중이더라도 클라이언트가 연결을 거부할 수 있습니다. 따라서 브라우저 경고는 하나의 증상일 뿐입니다. 네트워크 구성 및 클라이언트 정책에 따라 보안 IMAP/POP/SMTP 연결 실패, 프록시 오류 또는 LDAP/TLS 문제가 발생할 수도 있습니다.

만료일은 크게 두 가지 유형으로 구분할 수 있습니다.

• 서버 인증서만 만료된 경우입니다. 이 경우는 비교적 간단합니다. 기존 Zimbra CA가 유효한 경우 그대로 두고, 새 서버 인증서를 생성하여 배포한 후 서비스를 다시 시작하면 됩니다.
• Zimbra CA 자체가 만료되었습니다. CA를 다시 생성하고 배포한 다음, 해당 CA로 서명된 새 서버 인증서를 생성하고 배포하십시오. 다중 서버 환경에서는 노드 간 CA 일관성이 중요하므로, 다중 노드 환경을 단일 서버처럼 취급하지 마십시오.

변경 작업을 진행하기 전에 환경에 적합한 최신 백업 또는 스냅샷을 생성하십시오. 인증서 재생성은 일반적으로 간단하지만, 서버에 이전 사용자 지정 설정, 수동으로 설치된 인증서 또는 혼합 토폴로지가 있는 경우 백업을 통해 복구할 수 있습니다.

1단계: 배포된 인증서가 실제로 만료되었는지 확인합니다.

Zimbra 계정으로 전환하여 로컬 서비스에 현재 배포된 인증서를 확인하십시오.

su - zimbra
/opt/zimbra/bin/zmcertmgr viewdeployedcrt

인증서 유효 기간과 인증서 주체를 검토하십시오. 인증서 유효 기간이 아직 남아 있는 경우, 불필요하게 인증서를 재발급하는 대신 호스트 이름 불일치, 신뢰할 수 없는 자체 서명 CA, 프록시에서 여전히 제공되는 이전 인증서 또는 서버/클라이언트 시간 오류 등의 문제를 조사하십시오.

HTTPS를 통해 원격 클라이언트가 실제로 수신하는 인증서를 확인할 수도 있습니다. mail.example.com사용자가 연결하는 호스트 이름으로 바꾸세요.

openssl s_client -connect mail.example.com:443 -servername mail.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates

이 원격 검사는 겉보기에는 문제가 없어 보이지만 브라우저에서 여전히 이전 인증서를 인식하는 경우에 유용합니다 viewdeployedcrt. 디스크에 저장된 파일뿐만 아니라 네트워크를 통해 제공되는 인증서도 검사하기 때문입니다.

2단계: 서비스 상태를 확인하고 CA도 갱신해야 하는지 결정합니다.

인증서를 변경하기 전에 현재 Zimbra 서비스 상태를 확인하여 기준점을 마련하십시오.

zmcontrol status

서버 인증서만 만료되었고 Zimbra CA가 여전히 유효한 경우, CA 재구축 단계를 건너뛰고 다음 섹션의 서버 인증서 명령으로 바로 이동하십시오. 이렇게 하면 신뢰 체인 변경을 최소화할 수 있습니다. Zimbra의 단일 서버 관련 문서에는 새 CA 생성은 선택 사항이며 자체 서명 인증서를 갱신할 때마다 필수로 수행해야 하는 것은 아니라고 명시되어 있습니다.

CA(인증 기관)의 유효기간이 만료되었거나 교체해야 할 타당한 이유가 있는 경우 새 CA를 생성하십시오.

/opt/zimbra/bin/zmcertmgr createca -new
/opt/zimbra/bin/zmcertmgr deployca

3단계: 새 자체 서명 서버 인증서를 생성하고 배포합니다.

Zimbra는 간단한 단일 서버 갱신을 위해 다음과 같은 절차를 안내합니다. 이 예시는 365일 동안 유효한 인증서를 생성합니다.

/opt/zimbra/bin/zmcertmgr createcrt -new -days 365
/opt/zimbra/bin/zmcertmgr deploycrt self

클라이언트가 둘 이상의 DNS 이름을 통해 연결하는 경우, 기본 호스트 이름으로 충분하다고 가정하는 대신 필요한 주체 대체 이름(Subject Alternative Name, SAN)을 사용하여 인증서를 생성해야 합니다. Zimbra의 인증서 도구는 이를 지원합니다 -subjectAltNames. 예를 들면 다음과 같습니다.

/opt/zimbra/bin/zmcertmgr createcrt -new -days 365 -subjectAltNames "mail.example.com,webmail.example.com"
/opt/zimbra/bin/zmcertmgr deploycrt self

실제로 해당 Zimbra 서비스로 연결되고 사용자 또는 통합 기능에서 실제로 사용하는 이름을 사용하십시오. 인증서가 만료되지 않았더라도 요청된 호스트 이름이 인증서의 주체/SAN 값에 포함되지 않으면 유효성 검사에 실패할 수 있습니다.

상용/공개 신뢰 인증서를 실수로 덮어쓰기 위해 이 자체 서명 절차를 사용하지 마십시오. 서버에서 상용 인증서를 사용해야 하는 경우, 여기서 작업을 중단하고 Zimbra의 상용 인증서 배포 절차를 따르십시오.

4단계: 배포를 확인하고, Zimbra를 재시작한 후 클라이언트 측에서 테스트합니다.

Zimbra에 새 인증서가 배포되었는지 확인하십시오.

/opt/zimbra/bin/zmcertmgr viewdeployedcrt

그런 다음 Zimbra를 다시 시작하여 서비스가 새 인증서를 로드하도록 하십시오.

zmcontrol restart

재시작이 완료되면 다음 명령을 실행하세요.

zmcontrol status
/opt/zimbra/bin/zmcertmgr viewdeployedcrt

원하는 결과는 간단합니다. 예상대로 서비스가 실행되고 배포된 인증서의 만료일이 미래 날짜로 설정됩니다. 마지막으로 사용자가 실제로 접속하는 호스트 이름을 대상으로 원격 OpenSSL 테스트를 다시 실행하십시오. 이렇게 하면 재시작 후 네트워크에서 어떤 서비스가 제공되고 있는지 확인할 수 있습니다.

브라우저에 이전 또는 만료된 인증서가 계속 표시되는 경우

인증서를 즉시 재발급하지 마십시오. 나머지 단계를 순서대로 진행하십시오.

• DNS 및 호스트 이름을 확인하십시오. 새 인증서에 포함된 호스트 이름과 일치하는지, 그리고 의도한 Zimbra 서버에 접속할 수 있는지 확인하십시오.
• 프록시 경로를 확인하십시오. Zimbra의 인증서 문제 해결 문서에 따르면 프록시가 경우에 따라 이전 인증서를 계속 제공할 수 있습니다. 로컬 인증서 파일뿐만 아니라 원격으로 제공되는 인증서도 검사하십시오. Zimbra 인증서 오류를 참조하십시오 .
• 클라이언트 신뢰도를 확인하세요. 갱신된 자체 서명 인증서는 유효 기간 내에는 유효할 수 있지만 브라우저나 메일 클라이언트에서 신뢰받지 못할 수 있습니다. 만료와 신뢰도는 별개의 문제입니다.
• 시스템 시간을 확인하십시오. 서버 또는 클라이언트의 시계가 심하게 잘못 설정되어 있으면 유효한 인증서라도 유효하지 않거나 만료된 것으로 표시될 수 있습니다.
• CA를 확인하십시오. 리프 인증서가 새롭지만 발급 기관인 Zimbra CA가 만료된 경우, CA를 교체하고 새 CA에서 서버 인증서를 다시 생성하십시오.

다중 서버 Zimbra는 다른 수준의 관리가 필요합니다.

다중 노드 설치의 경우, 모든 호스트에서 단일 서버 명령을 반복하는 대신 다중 서버 절차를 사용하십시오. Zimbra는 CA 생성/배포 및 자체 서명 인증서를 노드 전체에 배포하는 방법을 문서화하고 있으며, 해당 명령이 로컬 서버만 보고한다는 deploycrt self -allserver점에 대해 경고합니다 viewdeployedcrt. 공식 참조 문서는 " 자체 서명 SSL 인증서 재생성 - 다중 서버" 입니다 .

LDAP 마스터와 복제본 간의 CA 불일치는 TLS 및 복제 문제를 야기할 수 있습니다. 다중 서버 토폴로지를 운영하는 경우, 영향을 받는 모든 노드에서 CA 체인을 확인하고 문서화된 배포 순서를 따르십시오.

자가 점검: 문제가 해결되었는지 확인하는 방법

사건을 종결하기 전에 다음 사항을 모두 확인하십시오.

• zmcontrol status예상되는 Zimbra 서비스가 실행 중임을 보여줍니다.
• zmcertmgr viewdeployedcrt만료일이 미래인 인증서를 보여줍니다.
• 원격 openssl s_client확인 결과, 사용자들이 실제로 사용하는 공용/내부 호스트 이름에 대해 동일한 새 인증서 날짜가 반환되었습니다.
• 인증서 주체 또는 SAN은 해당 호스트 이름을 포함합니다.
• 웹메일과 사용 환경에서 사용하는 메일 프로토콜은 TLS 연결을 설정할 수 있습니다.
• 의도적으로 Zimbra CA를 교체한 경우, 이전 CA를 기반으로 하거나 신뢰하는 클라이언트 또는 내부 시스템은 필요에 따라 업데이트되었습니다.

일반적인 단일 서버 인증서 만료의 경우, 가장 서비스 중단을 최소화하는 방법은 기존의 유효한 Zimbra CA 인증서를 유지하고, 새 자체 서명 서버 인증서를 생성하여 배포한 후 서비스를 재시작하고 서버 외부에서 인증서를 검증하는 것입니다. CA 인증서는 만료되었거나 교체해야 할 명확한 이유가 있을 때만 교체하십시오. 이 접근 방식은 불필요한 신뢰 체인 변경을 방지하면서 즉각적인 서비스 중단을 해결할 수 있습니다.