Hướng dẫn cài đặt SSL Zimbra với Certbot

NỘI DUNG

Hướng dẫn cài đặt SSL Zimbra với Certbot trông 5 bước thực hiện

Như các bạn đã biết thì SSL là một chứng chỉ không thể thiếu khi website bạn hoạt động ở internet được. Với mỗi Control Panel, hay là các script và các máy chủ webserver đều có cách cài đặt riêng khác nhau. Nhưng chung quy thì cũng sẽ dùng chứng chỉ SSl Let’s Encypt cả.

Ở bài viết này mình sẽ hướng dẫn bạn thực hiện cài đặt chứng chỉ SSL lên Zimbra thông qua Certbot. Mời bạn theo dõi cùng mình nhé.

Cách 1

Hướng dẫn cài đặt máy chủ email Zimbra trên CentOS 7

Bước 1: Stop jetty hoặc nginx service ở Zimbra level

Đầu tiên bạn vào user zimbra thông qua lệnh su và thực hiện stop các dịch vụ sau.

su zimbra
zmproxyctl stop
zmmailboxdctl stop
exit

Bước 2: Cài đặt snapd

Tiếp đến bạn cần cài snapd vào với lệnh sau.

Link trang chủ: https://snapcraft.io/docs/installing-snap-on-centos

yum clean all
yum install epel-release.noarch -y
yum install snapd -y
systemctl enable --now snapd.socket
ln -s /var/lib/snapd/snap /snap

Bước 3: Gở bỏ certbot-auto và bất kỳ certbot trên OS

Trước khi cài đặt bạn hãy gở bỏ các certbot hiện có để cài mới nhé.

sudo apt-get remove certbot #Ubuntu/Debian
sudo dnf remove certbot #CentOS8
sudo yum remove certbot #CentOS7

Bước 4: Cài đặt Certbot

Bây giờ bạn hãy cài đặt certbot với các lệnh như sau.

Link trang chủ: https://certbot.eff.org/lets-encrypt/centosrhel7-other

snap install --classic certbot
ln -s /snap/bin/certbot /usr/bin/certbot

Bước 5: Chọn cách chạy Certbot

certbot certonly --standalone   #Yes, my web server is not currently running on this machine.

Or

certbot certonly --webroot     #No, I need to keep my web server running

Và cuối cùng bạn hãy Khởi động lại dịch vụ đã stop ở bước 1 lênh nhé. Và bên dưới là kết quả thực hiện của mình.

su zimbra
zmcontrol start
zmcontrol restart

Cách 2

Ở cách 2 này mình sẽ hướng dẫn bạn từng bước thực hiện nếu ở Cách 1 chưa thể cài đặt được. Mời bạn tham khảo nhé.

Lưu ý: Ở cách 2 này bạn cần phải thực hiện đầy đủ Bước 1,2.3.4 ở Cách 1 trước nhé.

Bước 1: Thêm dòng include trước block Server

Thực hiện trên user root

Đầu tiên bạn mở file nginx.conf.web.https.default.template sau đó thêm dòng `

include                 ${core.includes}/${core.cprefix}.lets.conf;` vào file như ảnh đính kèm. Bạn hãy thêm trước block Server.

vi /opt/zimbra/conf/nginx/templates/nginx.conf.web.https.default.template

include                 ${core.includes}/${core.cprefix}.lets.conf;

Bước 2: Mở, tạo file cấu hình

Sau đó bạn mở file nginx.conf.lets.conf và thực hiện tiếp như sau và thao tác này đứng tại root

vi /opt/zimbra/conf/nginx/includes/nginx.conf.lets.conf

Sau khi mở file lên, bạn thêm vào cấu hình mẫu như sau.

Lưu ý: Phần server_name bạn thay đổi bằng server_name của bạn nhé. Ở đây mình sử dụng 3 tên miền trên máy chủ mail. Nên sẽ tạo 3 block với tên minh hoạ là domain-1.com domain-2.com domain-3.com

server {
        listen 80 default_server;
        server_name _;
        access_log off;

        location ^~ /.well-known/acme-challenge {
                root /opt/zimbra/data/nginx/html;
        }

        location / {

                rewrite ^/(.*) https://$host$request_uri     permanent;
        }       
}

server {
        listen 80;
        server_name mail.domain-1.com;
        return 301 https://$host$request_uri;
        access_log off;
        root /opt/zimbra/data/nginx/html;
        index index.html index.htm;

        location ^~ /.well-known/acme-challenge {
                root /opt/zimbra/data/nginx/html;
        }

        location / {
              try_files $uri $uri/ =404;
        }


}
server {
        listen 80;
        server_name mail.domain-2.com;
        return 301 https://$host$request_uri;
        access_log off;
        root /opt/zimbra/data/nginx/html;
        index index.html index.htm;

        location ^~ /.well-known/acme-challenge {
                root /opt/zimbra/data/nginx/html;
        }

        location / {
              try_files $uri $uri/ =404;
        }
}

server {
        listen 80;
        server_name mail.domain-3.com;
        return 301 https://$host$request_uri;
        access_log off;
        root /opt/zimbra/data/nginx/html;
        index index.html index.htm;

        location ^~ /.well-known/acme-challenge {
                root /opt/zimbra/data/nginx/html;
        }

        location / {
              try_files $uri $uri/ =404;
        }
}

Bước 3: Khởi động lại dịch vụ mail

su zimbra
zmcontrol restart

Bước 4: Reissue SSL (Thực hiện ở root)

Ở bước này bạn sẽ thực hiện Reissue lại SSL để cấp phát chứng chỉ mới, sau đó mới tiếp hành deploy lên lại. Bạn sử dụng lệnh sau để thực hiện với certbot

Lưu ý: Thay mail.dotrungquan.info bằng tên domain của bạn.

certbot certonly --webroot -w /opt/zimbra/data/nginx/html -d mail.dotrungquan.info -d mail.meovatwindows.com --register-unsafely-without-email

[root@mail ~]# certbot certonly --webroot -w /opt/zimbra/data/nginx/html -d mail.dotrungquan.info
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Certificate not yet due for renewal

You have an existing certificate that has exactly the same domains or certificate name you requested and isn't close to expiry.
(ref: /etc/letsencrypt/renewal/mail.dotrungquan.info.conf)

What would you like to do?
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: Keep the existing certificate for now
2: Renew & replace the certificate (may be subject to CA rate limits)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate number [1-2] then [enter] (press 'c' to cancel): 2
Renewing an existing certificate for mail.dotrungquan.info

Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/mail.dotrungquan.info/fullchain.pem
Key is saved at:         /etc/letsencrypt/live/mail.dotrungquan.info/privkey.pem
This certificate expires on 2021-10-22.
These files will be updated when the certificate renews.
Certbot has set up a scheduled task to automatically renew this certificate in the background.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
If you like Certbot, please consider supporting our work by:
 * Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
 * Donating to EFF:                    https://eff.org/donate-le
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Bước 5: Deploy SSL lên Zimbra

Khi Reissue SSL hoàn tất, bước tiếp theo bạn hãy deploy chứng này này nên để hoạt động. Bạn sử dụng lệnh sau và lưu ý hãy thay mail.dotrungquan.info bằng tên website của bạn nhé.

mkdir /opt/zimbra/ssl/letsencrypt
cp /etc/letsencrypt/live/mail.dotrungquan.info/* /opt/zimbra/ssl/letsencrypt/
chown -R zimbra:zimbra /opt/zimbra/ssl/letsencrypt/
ls -la /opt/zimbra/ssl/letsencrypt/
echo > /opt/zimbra/ssl/letsencrypt/fullchain.pem
vi /opt/zimbra/ssl/letsencrypt/fullchain.pem

Sau đó bạn thêm vào bên dưới CAcrt sau của letsencrypt vào file fullchain.pem

su zimbra
cd /opt/zimbra/ssl/letsencrypt/
/opt/zimbra/bin/zmcertmgr verifycrt comm privkey.pem cert.pem fullchain.pem

Output:
** Verifying 'cert.pem' against 'privkey.pem'
        Certificate 'cert.pem' and private key 'privkey.pem' match.
        ** Verifying 'cert.pem' against 'fullchain.pem'
        Valid certificate chain: cert.pem: OK

Khi thực hiện hoàn tất, bạn hãy restart lại dịch vụ với lệnh zmcontrol restart để áp dụng thay đổi nhé.

cp /opt/zimbra/ssl/letsencrypt/privkey.pem /opt/zimbra/ssl/zimbra/commercial/commercial.key
cp: overwrite ‘/opt/zimbra/ssl/zimbra/commercial/commercial.key’? y

/opt/zimbra/bin/zmcertmgr deploycrt comm cert.pem fullchain.pem
zmcontrol restart

Như vậy mình đã hoàn tất bài Hướng dẫn cài đặt SSL Zimbra với Certbot. Hy vọng bài viết này có thể giúp bạn thực hiện cài đặt SSL nhanh chóng và thành công.

Tài liệu tham khảo: https://wiki.zimbra.com/wiki/Installing_a_LetsEncrypt_SSL_Certificate

5/5 - (4 bình chọn)