SSL и пользователи.

4wert, 01/09/2014 - 09:55
 Добрый день коллеги, имею тривиальную проблему и не имею опыта в ее решении, буду благодарен за помощь.

Проблема в следующем, как наиболее дешево/просто решить проблему с тем что браузеры ругаются на SSL Zimbr'ы. Сейчас зимбра со своим самоподписаным сертификатом, извне она не доступна и обслуживает только внутренний домен и скорее всего так и останется. Внутренний домен это домен третьего уровня от домена зарегестрированного на нас, но ДНС о нем не знает ибо нет необходимости чтото публиковать по имени.

Вопрос в том покупать ли сертификат или можно обойти ? Если покупать то у кого? ибо по первым ссылкам цены в 30к в год совсем не приемлемы. Подойдет ли бесплатный сертифакат описанный тут habrahabr.ru/post/127643/

И еще один вопрос, правильно ли я понимаю что при замене самоподписанного сертификата (который кажется 5 лет действует) на коммерческий и при пропуске срока, система упадет совсем, как это описано тут zenadmin.livejournal.com/3035.html .

Большое спасибо за ваши советы и мнения.


Форумы »

Комментарии

wadeg
02/09/2014 - 08:45
Простите, а какие неразрешимые проблемы у Вас возникают с самоподписанным сертом?
Пользователям сложно один раз в браузере принять сертификат? Сделайте это за них или напишите подробную инструкцию с картинками для разных браузеров.
А по поводу продления, Вы можете в любой момент перевыпустить новый самоподписанный сертификат, не дожидаясь срока окончания действующего. Соответственно, браузеры еще разок после этого ругнутся.
4wert
02/09/2014 - 10:49
 ну у меня он вообще никак не принимает, если в firefox я могу добавить в исключение то хром мне таких опций не дает, и каждый раз воет о безопасности. Можно както обойти?
wadeg
02/09/2014 - 12:44
В хроме похоже что никак.
Как вариант послать его к...
Алекс106
03/09/2014 - 19:00
 Выгрузите сертификат через экспорт...(При подтверждении, выберите просмотр - экспорт.)
 Затем в свойствах браузера найдите закладку Сертификаты и загрузите сертификат в секцию Серверы...
После этого он будет доверенным для этого браузера. ;)
4wert
09/09/2014 - 13:14
не выходит каменный цветок.... кто с хромом подобное делал киньте ссылку на мануал пожалуйста, ни в какую не хочет доверять сертификату.
alexvg75 аватар
alexvg75
11/09/2014 - 14:59
Normal 0 false false false RU X-NONE X-NONE Здесь как уже писали маны для ознакомления:
http://ru-zimbra.ru/2012/03/sertifikat-i-zimbra/#more-133
http://wiki.zimbra.com/wiki/Administration_Console_and_CLI_Certificate_Tools

Если кратко, то:
от root:
1)     # /opt/zimbra/bin/zmcertmgr createca -new -subject "/C=RU/ST=N\/A/L=N\/A/O=Организация/OU=IT Dept/CN=domain.ru"
2) # /opt/zimbra/bin/zmcertmgr deployca
3) Копируем корневой сертификат (для outlook) и интеграции в винде (нужно разместить в доверенных центрах сертиыфикации):
# openssl x509 -in ca.pem -outform DER -out сa_domain.cer
4) Далее через веб.консоль администратора создаем серверный сертификат
5) /etc/init.d/zimbra stop
6) /etc/init.d/zimbra start


В Хроме тоже можно, устанавливать исключения как и в мозиле.
Настройки-Дополнительные настройки-Управление сертификатами
Далее импортируйте корневой сертификат в доверенные корневые центры

Удачи!
 /* Style Definitions */ table.MsoNormalTable {mso-style-name:"Обычная таблица"; mso-tstyle-rowband-size:0; mso-tstyle-colband-size:0; mso-style-noshow:yes; mso-style-priority:99; mso-style-qformat:yes; mso-style-parent:""; mso-padding-alt:0cm 5.4pt 0cm 5.4pt; mso-para-margin:0cm; mso-para-margin-bottom:.0001pt; mso-pagination:widow-orphan; font-size:10.0pt; font-family:"Calibri","sans-serif";} /* Style Definitions */ table.MsoNormalTable {mso-style-name:"Обычная таблица"; mso-tstyle-rowband-size:0; mso-tstyle-colband-size:0; mso-style-noshow:yes; mso-style-priority:99; mso-style-qformat:yes; mso-style-parent:""; mso-padding-alt:0cm 5.4pt 0cm 5.4pt; mso-para-margin:0cm; mso-para-margin-bottom:.0001pt; mso-pagination:widow-orphan; font-size:11.0pt; font-family:"Calibri","sans-serif"; mso-ascii-font-family:Calibri; mso-ascii-theme-font:minor-latin; mso-fareast-font-family:"Times New Roman"; mso-fareast-theme-font:minor-fareast; mso-hansi-font-family:Calibri; mso-hansi-theme-font:minor-latin; mso-bidi-font-family:"Times New Roman"; mso-bidi-theme-font:minor-bidi;}
Templar3d
10/09/2014 - 15:16
Задолбался подключатся тимвьювером и безвозмездно  помогать админам - они же не пользователи, должны быть умнее.
Могу за деньги поставить бесплатный сертификат от Startssl или Comodo.
Startssl ставил себе и другим. Работает во ВСЕХ браузерах.
4wert
19/09/2014 - 14:50
 Спасибо за подсказку =)
alexvg75 аватар
alexvg75
11/09/2014 - 15:22
1. Если почтовый домен внутренний, то однозначно смысла покупать сертификата нет. Даже если у Вас почта смотрит во вне, то опять же совершенно не обязательно покупать сертификат.
2. Если все же Вам захотелось приобрести, то не знаю зачем Вам такой дорогой сертификат в 30 килорублей?
Можно и дешевле: https://www.reg.ru/ssl-certificate/
можно найти и бесплатно. То же, что описано у Вас: http://habrahabr.ru/post/106252/
3. Никто Вам не мешает выпустить сертификат (самоподписанный) на 10 лет. Система при замене не упадет.
4wert
19/09/2014 - 14:50
 Просто новичок и не разобрался который нужен, будем посмотреть и попробовать.

Всем спасибо за ответы.
Добавить комментарий