Sertifikalar (SSL/TLS)

Sunucularınızın web, posta ve proxy sertifikalarını tek ekrandan izler; kendinden imzalı veya ticari sertifika kurar, CSR üretir ve her domain için ayrı sertifika tanımlarsınız.

Global yöneticiYönetici konsolu › Araçlar ve Geçiş › Sertifikalar

Durum panosu

1. Sol ağaçta Araçlar ve Geçiş › Sertifikalar'a tıklayın. Sayfa hemen açılır; liste sunucudan okunurken birkaç saniye bekleyin.
2. Üstteki kartlar Toplam, Geçerli, Bitecek (30g) ve Süresi dolmuş sertifika sayısını gösterir. Altındaki tabloda her sunucu için ldap, mailboxd, mta ve proxy sertifikasının konusu, vereni, bitiş tarihi ve durumu listelenir.

Sertifikalar ekranı: sayaç kartları ve sertifika listesi

Ticari veya wildcard sertifika kurmak

Kurmadan önce her bileşen ayrı ayrı test edilir; hata varsa Tamam düğmesi açılmaz.

1. Wildcard SSL içeri aktar'a tıklayın. Sertifika kur penceresi İşlem: Ticari / wildcard içeri aktar seçili olarak açılır.
2. Sertifika PEM (CA'nın gönderdiği paket olabilir), Özel anahtar PEM ve CA zinciri PEM alanlarını doldurun.
3. Test et'e basın. Test sonucu dört başlıkta Tamam / Uyarı / Hata olarak listelenir:
   • Sertifika: okunuyor mu, tarihleri, adın SAN'da olup olmadığı.
   • Özel anahtar: biçimi ve sertifikayla eşleşmesi.
   • CA zinciri: sıra (yaprak → ara → kök) ve tarihler.
   • Sunucu kontrolü: sunucuda zmcertmgr ile doğrulama.
4. Hiç Hata yoksa Tamam'a basın. Sertifika kurulur, liste yenilenir.
5. Servislerin yeni sertifikayı kullanması için sunucuda zimbra kullanıcısıyla zmcontrol restart çalıştırın.

Sertifika kur penceresi: PEM alanları, Test et ve Tamam

Paket ve anahtar biçimleri

Sertifika alanına yaprak, ara ve kök sertifikayı herhangi bir sırayla yapıştırabilirsiniz; zincir otomatik dizilir. RSA veya EC anahtar (PKCS#1, PKCS#8, SEC1) okunur. Parolalı anahtarı önce açın: openssl pkey -in key.pem -out key-acik.pem.

Anahtar başka makinede üretildiyse

Zimbra kurulumda diskteki anahtarı kullanır. Test bu durumda Uyarı verir; Anahtarı sunucuya yükle kutusunu işaretleyince anahtar sunucuya yazılır (öncekinin yedeği alınır) ve kurulum yapılır.

CSR üretmek

Kur / CSR'a tıklayın ve İşlem olarak Yalnız CSR üret'i seçin; CN ve Subject Alt Names alanlarını doldurup Tamam'a basın. Üretilen PEM metnini sertifika sağlayıcınıza gönderin. CA'dan gelen sertifikayı yukarıdaki adımlarla kurun.

Kendinden imzalı sertifika

Test ortamları için Kur / CSR penceresinde İşlem olarak Kendinden imzalı'yı seçip CN ve Subject Alt Names alanlarını doldurun. Tarayıcılar bu sertifikada uyarı gösterir; canlı ortamda ticari sertifika kullanın.

Her domain için ayrı sertifika

Birden fazla domain barındırıyorsanız her domain kendi adresinde (örneğin zpe.profelis.net) kendi sertifikasını sunabilir. Tarayıcı bağlanırken istediği adı bildirir (SNI); proxy o adın domain sertifikasını verir. Sertifikası olmayan adreslerde sunucu sertifikası kullanılmaya devam eder.

1. Domain sertifikası'na tıklayın. Pencere, seçili domainin Mevcut sertifika bilgisini gösterir.
2. Domain listesinden domaini seçin ve Sanal host adı alanına kullanıcıların bağlandığı adı yazın (ör. mail.zpe.profelis.net). Domainde kayıtlı bir ad varsa alan dolu gelir.
3. Sertifika PEM, Özel anahtar PEM ve CA zinciri PEM alanlarını yapıştırın.
4. Tamam'a basın. Kaydetmeden önce şunlar denetlenir; biri tutmazsa hiçbir şey kaydedilmez:
   • anahtar sertifikaya ait mi,
   • ara sertifika eksik mi,
   • sertifika sanal host adını kapsıyor mu (SAN; yoksa CN; *.alan geçerlidir),
   • süresi dolmuş mu.

Domain sertifikası penceresi

Sertifika domainin kendisine kaydedilir. Sanal host adı domainde yoksa eklenir; mevcut adlar silinmez. Ardından her proxy sunucusunda zimbra kullanıcısıyla etkinleştirin ve diğer domainler için aynı adımları tekrarlayın:

/opt/zimbra/libexec/zmdomaincertmgr deploycrts
zmproxyctl restart

Kontrol: openssl s_client -connect <proxy>:443 -servername zpe.profelis.net </dev/null | openssl x509 -noout -subject -enddate

Ön koşullar

Her sanal host adının DNS kaydı proxy'yi göstermeli ve zimbraReverseProxySNIEnabled TRUE olmalıdır (varsayılan). Domain sertifikasının anahtarı sunucu CSR'ından bağımsızdır.

Sorun giderme

Belirti	Neden ve çözüm
GetCertRequest için unknown document	Zimbra sertifika yöneticisi bileşeni kurulu değil.
PfCertVerifyRequest için unknown document	Profelis sertifika uzantısı yüklenmemiş veya mailboxd yeniden başlatılmamış; zimlet stok yoldan çalışır, dışarıdan anahtar yüklenemez.
Kurulum deploycrt adımında duruyor	Diskteki anahtar yapıştırdığınızla aynı değil. Zimbra kullanıcısıyla zmcertmgr deploycrt comm ve zmcontrol restart çalıştırın; sertifika ve anahtar LDAP'tan alınır.