Поиск писем по всем ящикам Zimbra

Если надо найти письма содержащие определенные слова, запускаем команду от пользователя zimbra:

su zimbra
zmprov -l gaa |awk '{print "zmmailbox -z -m "$1" search \"резюме\" "}' |sh -v

Пройдет по всем ящикам и отобразит письма содержащие слово резюме.

zmmailbox -z -m user@domain.ru search "резюме"
num: 25, more: true

Id            Type      From                              Subject                                                                  Date
-----          ----  --------------------                --------------------------------------------------           --------------
1. -9792 conv  HeadHunter Автопоиск    Инженер-проектировщик ПОС и ППО нашел но  06/30/17 06:53
2. -9793 conv  HeadHunter Автопоиск    Инженер-проектировщик ПОС нашел новые ре    06/30/17 06:53
3. -9794 conv  HeadHunter Автопоиск    Инженер по проектированию автомобильных       06/30/17 06:53
4. -9780 conv  HeadHunter Автопоиск    Инженер-проектировщик ПОС нашел новые ре    06/29/17 06:48
5. -9781 conv  HeadHunter Автопоиск    Инженер-проектировщик ПОС и ППО нашел но  06/29/17 06:48
6. -9782 conv  HeadHunter Автопоиск    Инженер по проектированию автомобильных       06/29/17 06:48

Изменение цветов в mc

nano ~/.config/mc/ini

найти секцию Colors и добавить значение

[Colors]
base_color=editnormal=lightgray,black:editbold=yellow,black:editmarked=black,cyan

Запуск mc в черно-белом режиме:

mc -b

Установка SSL сертификата wilcard Comodo в Zimbra

Comodo присылает 4 файла в архиве:

1. AddTrustExternalCARoot.crt
2. COMODORSAAddTrustCA.crt
3. COMODORSADomainValidationSecureServerCA.crt
4. STAR_mydomain_ru.crt

Помимо этого у нас уже имеется  приватный ключ private.key


Объединить промежуточные и корневой сертификаты в один файл командой

cat AddTrustExternalCARoot.crt COMODORSAAddTrustCA.crt COMODORSADomainValidationSecureServerCA.crt > /tmp/commercial_ca.crt

Скопировать сертификат домена в темп, а ключ в директорию с сертификатами

cp STAR_mydomain_ru.crt /tmp/commercial.crt
cp private.key /opt/zimbra/ssl/zimbra/commercial/commercial.key

Проверить соответствие ключа сертификату

su zimbra

/opt/zimbra/bin/zmcertmgr verifycrt comm /opt/zimbra/ssl/zimbra/commercial/commercial.key /tmp/commercial.crt /tmp/commercial_ca.crt

Вывод такой:

** Verifying '/tmp/commercial.crt' against '/tmp/commercial_ca.crt'
Valid certificate chain: /tmp/commercial.crt: OK

Установить сертификат от имени root

/opt/zimbra/bin/zmcertmgr deploycrt comm /tmp/commercial.crt /tmp/commercial_ca.crt

Вывод такой:

** Verifying '/tmp/commercial.crt' against '/opt/zimbra/ssl/zimbra/commercial/commercial.key'
Certificate '/tmp/commercial.crt' and private key '/opt/zimbra/ssl/zimbra/commercial/commercial.key' match.
** Verifying '/tmp/commercial.crt' against '/tmp/commercial_ca.crt'
Valid certificate chain: /tmp/commercial.crt: OK
** Copying '/tmp/commercial.crt' to '/opt/zimbra/ssl/zimbra/commercial/commercial.crt'
** Copying '/tmp/commercial_ca.crt' to '/opt/zimbra/ssl/zimbra/commercial/commercial_ca.crt'
** Appending ca chain '/tmp/commercial_ca.crt' to '/opt/zimbra/ssl/zimbra/commercial/commercial.crt'
** Importing cert '/opt/zimbra/ssl/zimbra/commercial/commercial_ca.crt' as 'zcs-user-commercial_ca' into cacerts '/opt/zimbra/common/lib/jvm/java/jre/lib/security/cacerts'
** NOTE: restart mailboxd to use the imported certificate.
** Saving config key 'zimbraSSLCertificate' via zmprov modifyServer mail.mydomain.ru...ok
** Saving config key 'zimbraSSLPrivateKey' via zmprov modifyServer mail.mydomain.ru...ok
** Installing ldap certificate '/opt/zimbra/conf/slapd.crt' and key '/opt/zimbra/conf/slapd.key'
** Copying '/opt/zimbra/ssl/zimbra/commercial/commercial.crt' to '/opt/zimbra/conf/slapd.crt'
** Copying '/opt/zimbra/ssl/zimbra/commercial/commercial.key' to '/opt/zimbra/conf/slapd.key'
** Creating file '/opt/zimbra/ssl/zimbra/jetty.pkcs12'
** Creating keystore '/opt/zimbra/mailboxd/etc/keystore'
** Installing mta certificate '/opt/zimbra/conf/smtpd.crt' and key '/opt/zimbra/conf/smtpd.key'
** Copying '/opt/zimbra/ssl/zimbra/commercial/commercial.crt' to '/opt/zimbra/conf/smtpd.crt'
** Copying '/opt/zimbra/ssl/zimbra/commercial/commercial.key' to '/opt/zimbra/conf/smtpd.key'
** Installing proxy certificate '/opt/zimbra/conf/nginx.crt' and key '/opt/zimbra/conf/nginx.key'
** Copying '/opt/zimbra/ssl/zimbra/commercial/commercial.crt' to '/opt/zimbra/conf/nginx.crt'
** Copying '/opt/zimbra/ssl/zimbra/commercial/commercial.key' to '/opt/zimbra/conf/nginx.key'
** NOTE: restart services to use the new certificates.
** Cleaning up 3 files from '/opt/zimbra/conf/ca'
** Removing /opt/zimbra/conf/ca/ca.pem
** Removing /opt/zimbra/conf/ca/ca.key
** Removing /opt/zimbra/conf/ca/c013e7a9.0
** Copying CA to /opt/zimbra/conf/ca
** Copying '/opt/zimbra/ssl/zimbra/ca/ca.key' to '/opt/zimbra/conf/ca/ca.key'
** Copying '/opt/zimbra/ssl/zimbra/ca/ca.pem' to '/opt/zimbra/conf/ca/ca.pem'
** Creating CA hash symlink 'c013e7a9.0' -> 'ca.pem'
** Creating /opt/zimbra/conf/ca/commercial_ca_1.crt
** Creating CA hash symlink '157753a5.0' -> 'commercial_ca_1.crt'
** Creating /opt/zimbra/conf/ca/commercial_ca_2.crt
** Creating CA hash symlink 'd6325660.0' -> 'commercial_ca_2.crt'
** Creating /opt/zimbra/conf/ca/commercial_ca_3.crt
** Creating CA hash symlink '8d28ae65.0' -> 'commercial_ca_3.crt'

Перезапустить службы

su zimbra
zmcontrol restart 

Аминь.

Смена ssh-порта на сервере Zimbra

Если поставить и настроить fail2ban можно смотреть интересную статистику забаненных ip-адресов. В сети куча мануалов по этому вопросу. Например, я оставил ssh работать на 22 порту и разрешил 3 попытки авторизации на ssh с последующим недельным баном, в результате за день набегает по сотне чертей:

fail2ban-client status ssh

Status for the jail: ssh
|- filter
|  |- File list:        /var/log/auth.log
|  |- Currently failed: 0
|  `- Total failed:     473
`- action
   |- Currently banned: 104
   |  `- IP list:       91.224.160.176 221.194.47.224 221.194.47.229 121.18.238.104 183.111.128.123 121.18.238.114 221.194.47.249 185.159.36.2 115.239.248.35 61.220.142.129 109.202.12.154 76.84.80.254 37.59.161.12 38.113.121.205 212.83.164.25 195.154.41.220 185.7.34.245 222.239.87.210 103.243.107.204 177.154.139.195 89.163.255.150 163.172.48.77 177.154.139.200 221.194.44.224 221.194.44.219 123.31.34.93 121.18.238.109 62.210.26.148 187.154.34.15 61.92.198.159 186.93.120.70 81.171.75.46 69.146.233.110 73.182.97.127 213.80.238.91 79.160.64.5 24.49.253.73 91.248.110.124 64.137.252.57 176.109.224.53 66.96.193.183 163.172.204.238 117.1.36.59 203.77.40.12 70.183.0.132 61.24.140.241 178.8.127.250 201.210.211.35 221.194.44.195 222.239.10.197 221.194.44.231 180.97.215.160 14.177.180.2 179.25.31.22 109.73.13.86 5.254.97.75 125.88.158.219 190.239.181.66 50.77.205.233 217.173.69.122 82.208.128.186 93.158.200.86 146.255.251.154 189.135.49.14 189.243.117.206 170.0.52.132 213.32.65.48 177.59.50.6 185.110.132.202 211.233.73.99 123.25.21.148 187.150.206.190 41.128.129.77 8.43.52.74 186.225.62.210 187.235.62.222 5.63.91.68 41.138.133.66 218.26.67.142 222.186.15.149 212.83.150.29 23.245.200.90 91.224.160.108 192.95.29.68 116.101.215.122 123.31.35.223 59.175.137.82 203.188.225.184 177.213.233.19 159.203.135.236 218.65.30.4 185.101.107.57 193.201.225.84 78.129.171.154 81.171.58.88 86.236.136.137 200.124.225.55 201.152.197.48 107.141.249.213 108.238.83.121 201.105.131.147 62.210.100.151 212.129.24.36 50.115.165.170
   `- Total banned:     108

Очевидно, что номер порта необходимо менять еще на этапе настройки почтаря и любого другого сервера.

nano /etc/ssh/sshd_config
Port 190019 

Но в случае с Zimbra при попытке просмотра очереди сообщений в админке теперь можно получить ошибку:

Произошла ошибка сервера

---

Сообщение: system failure: exception during auth {RemoteManager: mail.domain.ru->zimbra@mail.domain.ru:22} Код ошибки: service.FAILURE Method: [unknown] Детали:soap:Receiver 

Решение:

su zimbra

zmprov mcf zimbraRemoteManagementPort 190019

Смотрим результат

zmprov gacf | grep Remote 

SSO-авторизация в Zimbra (автоматический вход пользователей spnego)

Итак, есть уже настроенная Zimbra, настроена интеграция с учетками Active Directory и для полного счастья пользователей (и админов) осталось настроить так называемую "сквозную" SSO-авторизацию (когда пользователям не нужно вводить свои учетные данные - логин и пароль берутся из AD).
В случае моей организации, механизм "единого пароля на все" работает в нескольких сервисах (портал, облако, справочник, прокси, кое-какая-базейка), настало время почты.