Zimbra informe de error TLS en Firefox

En Firefox 39 o superior con versiones de Zimbra 7 o anterior no podremos visualizar la web de Zimbra y nos devolverá un error.
https://support.mozilla.org/es/kb/informes-de-error-tls

Tal y como se describe en el wiki de Zimbra hay que deshabilitar los tipos de cifrado Diffie Hellman inseguros.
https://wiki.zimbra.com/wiki/Disabling_the_use_of_weak_DH_keys_in_Zimbra_Collaboration_mailboxd


# su zimbra
$ cd $HOME
$ zmprov mcf +zimbraSSLExcludeCipherSuites TLS_DHE_RSA_WITH_AES_128_CBC_SHA
$ zmprov mcf +zimbraSSLExcludeCipherSuites TLS_DHE_RSA_WITH_AES_256_CBC_SHA
$ zmprov mcf +zimbraSSLExcludeCipherSuites SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA
$ zmmailboxdctl restart
Stopping mailboxd...done.
Starting mailboxd...done.

Despues de introducir estos comandos ya podremos ver la web en Firefox y ademas habremos hecho que nuestro Zimbra sea mas seguro.

Sino queremos modificar nuestro servidor zimbra, tambien podemos deshabilitar esta comprobacion de seguridad en nuestro navegador firefox para ello en about:config debemos poner a false estas 2 opciones

security.ssl3.dhe_rsa_aes_128_sha=false
security.ssl3.dhe_rsa_aes_256_sha=false

Cómo puedo mejorar el rendimiento de Zimbra

Deshabilitar la capa SSL de seguridad en los procesos internos entre los servidores Zimbra (LDAPS, ...), normalmente es una red interna securizada por un firewall y de esta forma nos ahorramos RAM y proceso de CPU.
zmlocalconfig -e zimbra_require_interprocess_security=0

Heap Size 
Por lo general debe ser entre un 20% y un 30% de la memoria total del servidor. Sin pasarse de 6,4GB.Tener en cuenta que al servidor es preferible ampliar la RAM de Mysql.
Si tenemos 20GB le asignamos 5GB
zmlocalconfig -e mailboxd_java_heap_size=5120
Heap size reserved for classes
por defecto viene definido muy bajo 128 hay que ampliarlo a: 
-XX:PermSize=196m -XX:MaxPermSize=350m

CMS y GC
-XX:+UseConcMarkSweepGC -XX:+UseParNewGC
Uses the concurrent mark sweep collector (CMS) and the parallel new garbage collector (GC) together.

-XX:SoftRefLRUPolicyMSPerMB=1
This option helps evict entries from the caches held by the mailbox server. Not setting this option will result in softly reachable (ie, evictable) cache objects filling up the heap and causing out of memory errors.

Memoria de MySQL
nano /opt/zimbra/conf/my.cnf
#Ampliamos el buffer entre un 25% y un 35% de la memoria RAM total del #servidor
innodb_buffer_pool_size        = 7516192768

#Por defecto innodb_max_dirty_pages_pct = 90 
#Esto guarda muchas transacciones en memoria y cuando lo va 
#a escribir en el disco duro todo el sistema se enlentece. Si lo 
#bajamos al 10% escribe en disco más amenudo pero menos cantidad.
innodb_max_dirty_pages_pct = 10

Configurar DKIM en Zimbra 8

Generar una clave de registro DNS de tipo DKIM para el dominio midominio.es
zimbra@host:/root$ /opt/zimbra/libexec/zmdkimkeyutil -a -d midominio.es
DKIM Data added to LDAP for domain midominio.es with selector 4D23690A-D5CF-11E3-9562-BE9DEF34D14A
Public signature to enter into DNS:
4D23690A-D5CF-11E3-9562-BE9DEF34D14A._domainkey IN      TXT     ( "v=DKIM1; k=rsa; "
          "p=MIGfMA0GCSqG...." )  ; ----- DKIM key 4D23690A-D5CF-11E3-9562-BE9DEF34D14A for midominio.es

Dar de alta en el DNS el registro que nos ha generado el comando anterior:
si usas bind9 el registro dentro de la zona midominio.es sería el siguiente:
4D23690A-D5CF-11E3-9562-BE9DEF34D14A._domainkey.midominio.es.    IN    TXT    "v=DKIM1; g=*; k=rsa; p=MIGfMA0GCSqG...."

Comprobar que se ha creado el registro DNS
nslookup -type=txt 4D23690A-D5CF-11E3-9562-BE9DEF34D14A._domainkey.midominio.es.

Comprobar que el registro DNS para DKIM funciona correctamente
/opt/zimbra/opendkim/sbin/opendkim-testkey -d midominio.es -s 4D23690A-D5CF-11E3-9562-BE9DEF34D14A -x /opt/zimbra/conf/opendkim.conf -vvv

Bibliografía:
http://tipstricks.itmatrix.eu/?p=1587

Cómo modificar la programación de backups en Zimbra

Desde la web del administrador de Zimbra podemos modificar algunos parámetros como por ejemplo el directorio donde almacenamos los backups, el tipo de backup, etc.

Sin embargo si queremos ir al detalle no es posible desde la web.
Para realizar una programación personalizada necesitamos acceder por ssh (podéis usar el cliente putty) al servidor y utilizando el usuario zimbra llamar al comando:

zmschedulebackup



para ver la programación actual ejecutaremos:
zimbra@zimbra01:/root$ zmschedulebackup -q

Current Schedule:

        f 0 1 * * 6 -a all --mail-report
        i 0 1 * * 0-5 --mail-report
        d 28d 0 0 * * * --mail-report

Ó

zimbra@zimbra01:/root$ zmschedulebackup -s
 "-a all --mail-report" f "0 1 * * 6"
 "--mail-report" i "0 1 * * 0-5"
 "--mail-report" d 28d "0 0 * * *"

por defecto la programación es esta:

zimbra@zimbra01:/root$ zmschedulebackup -s
 "-a all --mail-report" f "0 1 * * 6"
 "--mail-report" i "0 1 * * 0-5"
 "--mail-report" d 1m "0 0 * * *"


Esto significa que zimbra por defecto realiza un backup completo (f - full) cada día 6 de la semana a la 1am, realiza también una copia incremental (i - incremental) los días 0 a 5 de la semana a la 1am y elimina (d - delete) todos los backups que sean más antiguos que un mes.

Si queremos cambiar (Reemplazar) la configuración actual de backup por otra, en nuestro caso deseamos que se eliminen las copias más antiguas de 28días. Debemos llamar al comando "zmschedulebackup" con la opción "-R".

zmschedulebackup -R "--mail-report" f "0 1 * * 6" i "0 1 * * 0-5" d 28d "0 0 * * *"

Adjunto la ayuda del comando para que se vean las opciones más claras.


zimbra@zimbra01:/root$ zmschedulebackup --help

Schedule regular backups

Usage: zmschedulebackup [-q|-D|-s|-F| [{-A|-R} [zmbackup options] { <backup-type> } { <backup-schedule> } ] ]
  -q: query (default command) - prints existing schedule
  -s: save schedule to text format for easy restoration
  -F: flush - remove current schedule (cancel all scheduled backups)
  -A: append - adds specified backup to current schedule
  -R: replace - replace current schedule with specified schedule
  -D: default - replace current schedule with DEFAULT schedule

  Options that will be passed to zmbackup:
  -n: no compression - Backs up blobs as individual files rather than in zip files.
  -z: compress - Backs up blobs in compressed zip files.  Ignored if --zipStore is specified.
  --zipStore: - Backup up blobs in zip files without compression.
  -t: target - backup target location (default is /opt/zimbra/backup)
  -a: account - account specific (default is all)
  --mail-report: Send an email report to the admin user.
  --server: server - Mail server hostname. Default is localhost.
  --sync: Runs full backup synchronously.
  --excludeBlobs: Exclude blobs from full backup; if unspecified, use server config
  --includeBlobs: Include blobs in full backup; if unspecified, use server config
  --excludeHsmBlobs: Exclude blobs on HSM volumes from full backup; if unspecified, use server config
  --includeHsmBlobs: Include blobs on HSM volumes in full backup; if unspecified, use server config
  --excludeSearchIndex: Exclude search index from full backup; if unspecified, use server config
  --includeSearchIndex: Include search index in full backup; if unspecified, use server config

  Backup Mode (Standard or Auto-Grouped) comes from global/server config zimbraBackupMode

  Cron schedule:
        backup-type: <i|f|d arg>
        i: incremental backup (not needed in Auto-Grouped backup mode)
        f: full backup
        d <arg>: delete backups. <arg> is n{d|m|y}
        backup-schedule: crontab style time specifier, QUOTED.  See crontab(5)
                Fields are:
                        minute         0-59
                        hour           0-23
                        day of month   1-31
                        month          1-12
                        day of week    0-7 (0 or 7 is Sun, or use names)

        Default schedule in Standard backup mode is:
        f    0 1 * * 6
        i    0 1 * * 0-5
        d 1m 0 0 * * *

        Default schedule in Auto-Grouped backup mode is:
        f    0 1 * * 0-6
        d 1m 0 0 * * *

Modificar correos de disco duro lleno de Zimbra

Por defecto Zimbra envía un correo de WARNING cada 10 min. cuando se llega al 85% del disco y cuando se llega al 95% se envian CRITICAL cada 10 min.

Si deseamos cambiar estos valores para que el servidor nos avise cuando llegue al 95 (WARNING) y 98 (CRITICAL).

Por defecto zmstat-disk se ejecuta cada 10 min, esto hace que nos envie un correo cada 10 min. en caso de fallo, por eso puede interesarnos modificar la variable zmstat_disk_interval, por ejemplo, de 600 (10 min) a 86400 (24h) para que nos llegue un correo al día.

sudo su zimbra -
zmlocalconfig -e zmdisklog_warn_threshold=95
zmlocalconfig -e zmdisklog_critical_threshold=98
zmlocalconfig -e zmstat_disk_interval=86400
zmstatctl stop;zmstatctl start

Para que se aplique la configuración nueva hay que reiniciar el servicio zmstatctl

Tambien puede interesarnos modificar quien envia y quien recibe los correos de alarma.

sudo su zimbra -
zmlocalconfig -e smtp_source=postmaster@midiminio.com
zmlocalconfig -e smtp_destination=postmaster@midiminio.com
zmstatctl stop;zmstatctl start

Lo aprendí de:

http://www.zimbra.com/docs/os/latest/administration_guide/wwhelp/wwhimpl/js/html/wwhelp.htm#href=ZCS_Admin_Guide_7_1.Monitoring_Disk_Space.html
http://wiki.zimbra.com/wiki/Setting_Thresholds_for_Disk_Monitoring

Comandos básicos Zimbra CLI

Para ejecutar estos comandos debemos ser el usuario zimbra

su - zimbra

#Ver todas las cuentas de Administrador
zmprov gaaa

#Ver todas las cuentas
zmprov -l gaa

#Ver todas las cuentas de un dominio
DOMINIO=midominio1.com

zmprov gaa -v $DOMINIO

#Renombrar una cuenta
CUENTA=usuario1@midominio1.com
CUENTA_RENOMBRADA=otrousuario@midominio2.com

zmprov ra $CUENTA $CUENTA_RENOMBRADA

#Cambiar la contraseña
CUENTA=usuario1@midominio1.com
CLAVE_NUEVA=clave123

zmprov sp $CUENTA $CLAVENUEVA

#Crear lista de distribucionLISTA_DISTRIBUCION=lista1@midominio1.com

zmprov cdl $LISTA_DISTRIBUCION

#Añadir nuevo miembro a la lista de distribucion
LISTA_DISTRIBUCION=lista1@midominio1.com
MIEMBRO_NUEVO=usuario201delalista@otrodominio.com

zmprov adlm $LISTA_DISTRIBUCION $MIEMBRO_NUEVO


#Eliminar cuenta
CUENTA=usuario1@midominio1.com

zmprov da $CUENTA

Firmar certificado de servidor Zimbra

Probado con zimbra 6 y ubuntu 8.04

Crear la solicitud de certificado en el servidor Zimbra
/opt/zimbra/bin/zmcertmgr createcsr comm -new -subject "/C=ES/ST=Provincia/L=Ciudad/O=MiEmpresa/OU=ES/CN=servidor.midominio.com" -subjectAltNames "webmail.midominio.com"

Firmar la solicitud con la CA de Microsoft
Entramos a la CA de Microsoft  http://localhost/certsrv y firmamos la solicitud con la plantilla de servidor web.

Nos descargamos el certificado nuevo en base 64 y le llamamos commercial.crt
desde la misma web de la ca tambien podemos descargar el certificado de la ca en base 64 y le llamamos commercial_ca.crt

Verificar los certificados
/opt/zimbra/bin/zmcertmgr verifychain /opt/zimbra/ssl/zimbra/

commercial/commercial.crt /opt/zimbra/ssl/zimbra/commercial/commercial_ca.crt
/opt/zimbra/bin/zmcertmgr verifycrt comm commercial.key commercial.crt commercial_ca.crt

Instalar los certificados
/opt/zimbra/bin/zmcertmgr deploycrt comm commercial.crt commercial_ca.crt