Cara Mudah Install SSL Let’s Encrypt di Zimbra 8.7 / 8.8 Centos 7

Salah satu cara termudah menurut saya untuk Install SSL Let’s Encrypt di Zimbra 8.7 / 8.8.x  Centos 7 secara otomastis dan renewal sertifikat sbb:

Buka link di bawah ini

https://github.com/penzoiders/zimbra-auto-letsencrypt

1. Sudah terinstall Certbot dari  EPEL repo
    root@mail:~# yum -y install certbot

2. Kloning repo ini di folder root (atau di mana sesuai selera): 
    root@mail:~#git clone https://github.com/penzoiders/zimbra-auto-letsencrypt.git

3. Edit variabel  file letsencrypt-zimbra.conf 
    rename file letsencrypt-zimbra.conf.example ke letsencrypt-zimbra.conf
    contoh yang edit sbb :

    PRINCIPAL="mail.domainku.com"
    ADDITIONAL="pop.domainku.com, imap.domainku.com, smtp.domainku.com"
    letsencrypt_email="[email protected]"

4. Jalankan ./zimbra-auto-letsencrypt.sh, 
     root@mail:~#./zimbra-auto-letsencrypt.sh

     Silahkan duduk dan rileks saat server Anda mendapatkan sertifikat baru  (service zimbra akan restart)

5. Copy-paste script renewal untuk di masukkan crontab

6. Enjoy open-source and encryption!

Note: Diuji pada host Zimbra 8.7 dan 8.8.9 dan CentOS 7 ( tidak jalan untuk Zimbra <8.7 karena zmcertmgr running sebagai user zimbra, pada CentOS 6 harus menginstal versi python alternatif untuk menjalankan Certbot, itu berfungsi tetapi membutuhkan persiapan ekstra) .

Requirements:
  • git
  • Let's Encrypt Certbot client
  • Minimum Zimbra 8.7

Install CertBot on CentOS 7:
root@mail:~#yum install git epel-release 
root@mail:~#yum install certbot

Install CertBot on CentOS 6:
setup python 2.7 repo
root@mail:~# yum install -y https://centos6.iuscommunity.org/ius-release.rpm 
root@mail:~# rpm --import /etc/pki/rpm-gpg/IUS-COMMUNITY-GPG-KEY

root@mail:~# yum -y install python27 python27-devel python27-pip python27-setuptools python27-virtualenv --enablerepo=ius

root@mail:~# yum -y install git dialog libffi-devel mod_ssl openssl-devel python-devel python-pip python-tools python-virtualenv 
root@mail:~#wget https://dl.eff.org/certbot-auto -O /usr/bin/certbotroot@mail:~#chmod+x /usr/bin/certbot

Karena ACME TLS-SNI-01 berakhir 13 Feb 19 maka ACME client bisa di ganti method ke (HTTP-01, DNS-01 atau TLS-ALPN-01) 



 Untuk zimbra yang sudah pakai ssl dan metode ini

Untuk merubah ACME client challenge dari TLS-SNI-01 ke HTTP-01
edit /etc/letsencrypt/renewal/mail.domainku.conf

Tambahkan
pref_challs = http-01
#optional merubah ACME client challenge HTTP-01 dari port 80 ke port 54321
#http01_port = 54321

untuk testing jalan

root@mail:~#certbot renew --dry-run


atau bisa cara ini
https://community.letsencrypt.org/t/how-to-stop-using-tls-sni-01-with-certbot/83210

References:
https://github.com/penzoiders/zimbra-auto-letsencrypt 
https://github.com/certbot/certbot/blob/master/certbot/tests/testdata/sample-renewal.conf

Komentar

Posting Komentar

Postingan populer dari blog ini

Cloudflared argo tunnel zero trust service on Mikrotik

Gambar
Cloudflare Argo Tunnel adalah sebuah aplikasi tunneling (proxy) untuk meng-ekspos jaringan private localhost/ LAN ke jaringan publik via domain name, Pastian persyaratan Mikrotik mendukung container untuk menjalan docker, minimal versi 7.4 dan artsiketurnya arm64 atau x86, ram dan storage nya cukup disini memakai Mikrotik CHR dan di tambah storage untuk menyimpan dan menjalankan docker Pastikan mikrotik sudah di install paket container dan sudah di enable Container mode dalam device mode 1. Tambahkan virtual Ethernet untuk container misal dengan ip 172.17.0.3/24 dan gw 172.17.0.1  2. Membuat Bridge    3. Menambahkan port kedalam bridge yang telah di buat   4. Menambahkan ip ke bridge yang akan di jadikan gateway untuk virtual Ethernet ( 172.17.0.1)   5. Tambahkan scrnat dan masquerade untuk subnet 172.17.0.0/24 6. Tambahkan dstnat dan dst-nat untuk mengkases  172.17.0.0/24 dari luar via ip 10.10.1.199     7. Tambahkan registry url "htt...
Baca selengkapnya

Migrasi zimbra ke zimbra dengan rsync

Salah satu cara migrasi zimbra ke zimbra dengan rsync, adapun yang kita lakukan di environment sbb install os dan versi zimbra yang sama dengan server lama di server yang baru termasuk nama host dan semua seting (dns internal jika split domain) di bikin sama, misal di lama centos 7 dan zimbra 8.8.15 di server baru juga sama centos 7 dan zimbra 8.8.15 belum sempat coba ke os lain dan zimbra yang berbeda versi, langsung saja 1. di server lama [zimbra@mail ~]# su - zimbra [zimbra@mail ~]$ zmcontrol stop backup ldap biar rsync nya tidak lama karena file data.mdb lumayan besar 80G setelah di pindah dan di sini tidak ikut memindahkan file data.mdb [zimbra@mail ~]$/opt/zimbra/libexec/zmslapcat /opt/zimbra/data/ldap/mdb/db 2. di server baru [zimbra@mail ~]# su - zimbra [zimbra@mail ~]$ zmcontrol stop [zimbra@mail ~]$ exit [zimbra@mail ~]# rsync -chavzP --stats --exclude 'data.mdb' root@ip-server-lama:/opt/zimbra /opt setelah selesai rsync nya restore ldap [zimbra@...
Baca selengkapnya

Squid Proxy ssl bump untuk transparent HTTPS #2

Melanjutkan artikel yang lalu Squid Proxy ssl bump untuk transparent HTTPS ada beberapa kondisi koneksi tidak bisa berjalan normal lewat squid bump ini Anda mungkin perlu menambahkan pengecualian untuk Bumping SSL dalam kasus berikut:      Perangkat lunak menggunakan protokol selain HTTPS (seperti SSH, RDP, atau VPN).      Perangkat lunak atau sumber daya web menggunakan protokol WebSockets atau HTTP/2.0.      Algoritme enkripsi nasional (seperti GOST atau SM2) digunakan untuk mengakses sumber daya web.      Perangkat lunak menggunakan penyematan sertifikat server.      Perangkat lunak atau sumber daya web memerlukan otorisasi berdasarkan sertifikat SSL klien. Yang pasti whatsapp app dan whatsapp web tidak bisa konek kalau pake squid ssl bump Untuk itu kita bisa membypass nya atau membuat pengecualian nya  Untuk menambahkan pengecualian SSL Bumping: Buat file bernama /etc/squid/dono...
Baca selengkapnya