Немного об SSL-сертификатах

Можно генерировать собственные, но это редко помогает, когда хочется, чтобы у пользователей браузеры не выдавали ошибок сертификата. Потому рассмотрим коммерческие. В Zimbra существуют три метода установки сертификатов.

1. Через веб-интерфейс.

   Через интерфейс администратора https://mail.example.com:7071/ (Сервис — Сертификаты) генерируется запрос на сертификат, далее сгенерированный файл отправляется в Центр выдачи сертификатов, полученный сертификат загружается через этот же интерфейс на сервер. Также сервер попросит отдать ему корневой сертификат удостоверяющего центра, для этого скачайте файл root_ca.pem (или подобный) с сайта Центра, выдавшего вам сертификат, и отдайте его вместе с сертификатом.

2. Через консоль — стандартные способы

   От имени пользователя root:

   /opt/zimbra/openssl-0.9.8n/bin/openssl x509 -in ca.pem -out ca.der -outform DER

   (подробнее тут http://www.openssl.org/docs/apps/x509v3_config.html), опять же отправляем запрос с Центр. Полученный сертификат кладем в папку /opt/zimbra/ssl/zimbra/commercial, сохраняем как commercial.crt, запрос лежит там же и называется commercial.csr. Если все так, то скармливаем сертификат серверу методом:

   openssl ca -config openssl.cnf -policy policy_anything -out certs/commercial.crt -infiles commercial.csr

    Если Zimbra говорит, что сертификат ей подходит, то утверждаем его установку командой

   zmcertmgr deploycrt comm ./commercial.crt commercial_ca.crt

    Подробнее об этом методе лучше читать на сайте openssl.org.

3. Через консоль — методы zimbra

   Наиболее жизненный вариант. Запрос формируется от пользователя root командой

/opt/zimbra/bin/zmcertmgr createcsr comm -new -subject "/C=Country/ST=State/L=City/O=Company/OU=Department/CN=mail.example.com"

После этого в папке /opt/zimbra/ssl/zimbra/commercial появятся файлы commercial.csr и commercial.key. Первый из файлов отправляем в Центр выдачи сертификатов, полученный файл сохраняем в эту же папку как commercial.crt. Скачиваем с сайта Центра корневой сертификат. Проверяем правильность сертификата командой

/opt/zimbra/bin/zmcertmgr verifycrt comm commercial.key commercial.crt

Если проверка прошла успешно, то устанавливаем сертификат командой

/opt/zimbra/bin/zmcertmgr deploycrt comm commercial.crt
 

Заключение:

Как ни странно, не существует единственно-верного пути. Случаются случаи, когда нужно комбинировать методы. То есть запрос генерируется одним способом, сертификат устанавливается другим. Часто проблемы вызваны неправильным форматом корневого сертификата. Также крайне рекомендуется запросы генерировать с ключом длинной 1024.