Folosește atributul proxy Zimbra zimbraReverseProxyMailModepentru a redirecționa cererile web de la HTTP la HTTPS. Setează-l la redirectpe fiecare nod proxy Zimbra, apoi repornește serviciul proxy și verifică dacă răspunsul HTTP are un Location: https://...antet. Înainte de a face acest lucru, asigură-te că numele de gazdă HTTPS public se rezolvă deja la proxy-ul sau echilibratorul de încărcare și prezintă un certificat valid.
Această setare este pentru accesul web prin Zimbra Proxy. Nu configurează în sine HTTPS-ul depozitului de mailuri, nu instalează un certificat și nu garantează că fiecare aplicație de mail urmează o redirecționare. Dacă aveți nevoie ca cererile HTTP să fie respinse direct, luați în considerare modul proxy numai HTTPS în loc de redirecționare.
| Mod de e-mail proxy | Ce se întâmplă cu HTTP | Când să îl folosești |
|---|---|---|
redirect | Proxy-ul returnează un răspuns HTTP 302 care direcționează clientul către HTTPS. | Util atunci când utilizatorii introduc în continuare o adresă URL HTTP și ar trebui să fie trimiși la adresa web securizată. |
https | Proxy-ul deservește clientul web prin HTTPS; nu oferă același flux de redirecționare HTTP-to-HTTPS. | Se preferă această opțiune atunci când clienții nu ar trebui să înceapă niciodată o sesiune prin HTTP. |
bothsaumixed | Acestea sunt moduri proxy separate cu comportament HTTP/HTTPS diferit. | Folosiți doar atunci când implementarea necesită în mod specific comportamentul documentat; nu presupuneți că impun o redirecționare HTTP. |
Ghidul de securitate Zimbra avertizează că este posibil ca unii clienți, inclusiv clienții ActiveSync, să nu onoreze o redirecționare HTTP și să trimită acreditări în solicitarea inițială necriptată. Prin urmare, redirecționarea este utilă pentru confortul browserului, dar nu înlocuiește accesul exclusiv HTTPS atunci când toți clienții trebuie să evite HTTP. Dacă alegeți modul de redirecționare, protejați listener-ul HTTP de la marginea rețelei, după caz, și comunicați adresa URL HTTPS utilizatorilor.
mail.example.com, trebuie să se rezolve în proxy-ul public sau în echilibratorul de încărcare. HTTPS trebuie să funcționeze deja pe numele de gazdă și portul așteptate.Folosește contul Zimbra pentru comenzile administrative de mai jos. Înlocuiește-l proxy1.example.comcu numele exact al serverului Zimbra pentru nodul tău proxy și înlocuiește-l mail.example.comcu numele public de gazdă webmail. Nu lipește numele de exemplu literal într-un sistem de producție.
Pe o gazdă Zimbra cu instrumentele din linia de comandă disponibile, interogați setarea curentă a proxy-ului:
zmprov gs proxy1.example.com zimbraReverseProxyMailModeÎnregistrați rezultatul pentru a-l putea compara după modificare sau pentru a restaura modul anterior, dacă este necesar. Comanda gscitește atributele serverului; ms, utilizată mai jos, le modifică.
Setați atributul pe obiectul serverului proxy:
zmprov ms proxy1.example.com zimbraReverseProxyMailMode redirectDocumentația de configurare a proxy-ului Zimbra îl identifică redirectca mod de redirecționare a cererilor HTTP către HTTPS. Aplicați aceeași comandă fiecărui nod proxy care acceptă trafic web public. Dacă un echilibrator de sarcină poate trimite o cerere HTTP către mai multe proxy-uri, fiecare proxy eligibil are nevoie de un comportament consistent.
Nu confundați această setare cu zimbraMailModedocumentele .Zimbra care atribuie separat conexiunea la serverul de cutii poștale. Schimbarea modului de stocare a mailurilor nu este pasul care activează o redirecționare HTTP orientată spre browser pe proxy.
redirect; repetați cu fiecare nume de server proxy într-o implementare cu mai multe noduri.Reporniți serviciul proxy pe nodul unde ați modificat setarea:
zmproxyctl restartApoi verificați starea serviciului său:
zmproxyctl statusRulați repornirea pe fiecare nod proxy, pe rând, dacă aveți un nivel redundant. Urmați instrucțiunile operaționale ale versiunii Zimbra instalate dacă mediul dvs. are un proces prescris de reîmprospătare a memoriei cache a configurației sau de orchestrare a serviciilor. Evitați editarea directă a fișierelor Nginx generate: Zimbra gestionează configurația proxy din setările serverului său, iar editările manuale pot fi suprascrise.
Exemplele utilizează Ghidul de administrare Zimbra Daffodil v10 și documentația proxy/securitate publicată de Zimbra. Versiunile mai vechi de ZCS pot diferi în ceea ce privește ambalajul sau procedurile acceptate, așadar verificați ghidul de administrare pentru versiunea exactă instalată în mediul dvs. înainte de a aplica o modificare.
De pe un sistem care poate ajunge la endpoint-ul public, solicitați adresa URL HTTP fără următoarele redirecționări:
curl -sS -D - -o /dev/null http://mail.example.com/În modul de redirecționare, căutați un răspuns 302 și un Locationantet a cărui valoare începe cu https://mail.example.com/. Anteturile exacte și gestionarea stării pot varia în funcție de versiunea Zimbra, cale și orice echilibrator de încărcare sau gateway web din fața proxy-ului. Următorul ecran este un exemplu ilustrativ al modelului de antet așteptat, nu un test capturat de pe un server live.
Faceți o solicitare separată către URL-ul securizat:
curl -sS -D - -o /dev/null https://mail.example.com/Confirmați că certificatul TLS este validat pentru numele de gazdă și că răspunsul este redirecționarea așteptată a paginii webmail sau a aplicației. Nu utilizați curl -kpentru a ocoli verificarea certificatului: aceasta ascunde problema certificatului pe care ar putea-o vedea utilizatorii. O pagină de conectare poate returna o redirecționare sau o stare diferită de 200, în funcție de versiunea produsului și de fluxul de autentificare, așadar evaluați răspunsul împreună cu verificarea browserului.
Deschideți http://mail.example.comîntr-o sesiune nouă de browser. Adresa ar trebui să se schimbe în URL-ul HTTPS înainte de a introduce datele de autentificare. Apoi deschideți direct URL-ul HTTPS și confirmați că pagina de conectare se încarcă fără un avertisment privind certificatul. Repetați din afara rețelei interne dacă DNS-ul public, regulile firewall sau un echilibrator de încărcare ar putea produce rezultate diferite.
Nu testați introducând o parolă reală cât timp bara de adrese afișează încă HTTP. Dacă redirecționarea eșuează, opriți și corectați mai întâi configurația proxy-ului, a edge-ului sau a certificatului.
| Simptom | Ce să verificați |
|---|---|
| HTTP rămâne pe aceeași adresă URL | Interogați zimbraReverseProxyMailModeproxy-ul care a gestionat solicitarea; verificați dacă fiecare nod cu sarcină echilibrată are valoarea dorită și a fost repornit. |
| Antetul Locație folosește un nume de gazdă sau un port greșit | Verificați URL-ul public, regulile de reverse-proxy sau load-balancer și setările de nume de gazdă/protocol/port ale serviciului public Zimbra utilizate pentru a genera linkuri publice. |
| Browserul raportează o avertizare privind certificatul | Verificați dacă certificatul este instalat pe punctul de terminare TLS, acoperă numele public de gazdă și include certificatele în lanț necesare. |
| Utilizatorii văd o buclă de redirecționare | Verificați dacă un echilibrator de încărcare front-end termină TLS, dar redirecționează HTTP către Zimbra și confirmați dacă proxy-ul poate identifica corect protocolul de solicitare externă. Aliniați configurația TLS și de redirecționare la marginea rețelei. |
| Un client de e-mail trimite în continuare HTTP | Nu presupuneți că clientul respectă o setare 302. Preferați accesul exclusiv HTTPS pentru clienții care nu trebuie să trimită niciodată acreditări prin HTTP și configurați fiecare client cu adresa URL a serverului HTTPS. |
zimbraReverseProxyMailModeeste setat la redirectpe fiecare nod proxy aplicabil.Location, iar o cerere HTTPS directă validează certificatul.Comparați 10 instrumente de scanare ping pentru descoperirea rapidă a rețelelor LAN, scanarea multi-platformă și gestionarea adreselor IP. Aflați ce vă poate spune o scanare (sweep).
Comparați șase instrumente de gestionare a rețelei pentru monitorizarea performanței, inclusiv acoperirea SNMP, maparea, alertele, modelele de implementare și compromisurile de costuri.
Aflați ce înseamnă QoS în rețele, cum marcajele DSCP și cozile de trafic prioritizează aplicațiile vocale, video și de business și ce nu poate remedia QoS.
Compară software-ul de server SFTP fiabil pentru Windows și Linux, inclusiv OpenSSH, Bitvise, SolarWinds și SFTPGo. Găsește soluția potrivită pentru nevoile tale de securitate și transfer de fișiere.
Construiți o monitorizare practică a rețelei cu o acoperire clară a dispozitivelor, indicatori de performanță utili, alerte acționabile și o comparație între SolarWinds NPM, PRTG și OpManager.
Comparați șapte instrumente de gestionare a adreselor IP pentru descoperirea subrețelelor, coordonarea DNS și DHCP, inventarul rețelei și IPAM open-source.
Comparați instrumentele de scanare a rețelei pentru descoperirea rapidă a dispozitivelor, scanări IP pe mai multe platforme și IPAM pentru întreprinderi, cu îndrumări privind potrivirea fiecărei opțiuni la rețeaua dvs.
Folosește opțiunea --traceroute din Nmap pentru a mapa salturi la o gazdă autorizată, a înțelege ieșirea saltului și a RTT-ului și a depana răspunsurile lipsă fără a suprascana.
Comparați șase instrumente de monitorizare Windows Server în funcție de colectarea datelor Windows, vizibilitatea aplicațiilor, modelul de implementare și licențierea pentru a găsi instrumentul potrivit.
Comparați șase instrumente de monitorizare a rețelei Linux pentru descoperirea dispozitivelor SNMP, grafice de interfață, metrici gazdă, verificări de servicii și fluxuri de trafic.
