MDaemonメールサーバーのLetsEncrypt証明書の自動更新：段階的な手順

みなさんこんにちは！



少し前に、私の良き友人が彼に突然生じた問題で私に近づき、それを解決するための助けを求めました。 問題はこれでした。彼が働いていた組織には、Alt-N TechnologiesのMDaemonメーラーを備えたWindowsサーバーがありました。 数年前、StartComのStartSSL SSL証明書がこのメーラーにインストールされました。 そして、すべてがうまく機能し、おaskを要求しませんでした。突然、すべての証明書が完全かつ無条件のキルディクを受け取ることを知らせる悲しい手紙がStartComから届きました。 好きです、自分を救う-誰ができるか、それが爆撃されるまで。 今日、私たちがどのように救われたかをお伝えします-誰かがこの情報が役に立つと思うでしょう。

いくつかの歌詞

証明書の置き換えについて質問するときに、普通の人が最初に考えることは何ですか？ 次の2つのオプションがあります。または-なぜ買わないのですか？ または-素晴らしいLet's Encrypt artelがあります。これは、証明書を左右に無料で配布します。 最初の選択肢は、前述のようにサーバーが機能しており、おridgeを要求せず、なぜn番目の常緑のお金を手放す必要があるのか​​を経営者に説明したくないという事実のために、支払不能として恥ずかしく拒否されました。 2番目のオプションは非常に魅力的でしたが、水平線に迫るいくつかの問題がありました：メーラーのウィンドウはLetsEncryptスクリプトとの互換性についての悲しい考えを示唆し、3か月ごとに手動で証明書を受け取ってインストールしたくありませんでした。



したがって、2番目のオプションが選択されました-証明書を取得し、それをメーラーにバインドするプロセスを自動化する方法を見つける必要があるだけです。



もちろん、私たちは、既成のソリューションを探して、すばらしいインターネットを掘り下げることから始めました。 そして、lo！ Alt-N Technologiesの勇敢なプログラマーがすでにこれを処理し、必要なすべてを実行するスクリプトを作成していたことが判明しました。 彼らが言うように-私の帽子を脱いでください！ しかし、軟膏にはハエがありました。これらのスクリプトは、すべての人に配布されたわけではなく、MDaemonの最新バージョンに含まれていました。 ただし、ワードサーバーには、13.6.3というかなり古いバージョンのMDaemonが搭載されていました。 このソフトウェアは完全に合法であり、かつては本物のお金で購入したものの、うまく機能し、そのアップグレードは管理計画に含まれていませんでした（証明書の購入に関する段落を参照）。



そのため、新しいバージョンのMDaemonから古いバージョンにスクリプトを外科的に移植し、そこで動作させることを決定しました。 思考-完了：MDaemonの最新の試用版がその時点で仮想マシンにインストールされ、すべてのコンテンツを含むLetsEncryptフォルダーが削除されました。 これで今何をする？ -以下をお読みください。

ソースデータ

• Windows Server 2008 R2を実行しているサーバー。
• MDaemonメールサーバーバージョン13.6.3。
• 同じサーバー上で、組織の企業サイトにサービスを提供するIISが起動されました。
• MDaemonは、独自の組み込みWorldClient WEBサーバーを使用しました。これは、ポート3000を介してインターネットからアクセスできました。

必須の要件

この記事で説明したように、MDaemonのLetsEncryptスクリプトは完全に普遍的ではなく、次の前提条件を満たす必要があります。

• PowerShellバージョン3.0の存在。
• インストールされているMicrosoft .NET frameworkバージョンが4.0以上であること。
• インストールされたパッケージIIS管理スクリプトおよびツールの存在。
• インターネットからポート80を介して、WorldClientサーバーが利用可能になります-直接またはIISを介して。

ご覧のとおり、これらの要件の一部は最初は満たされていなかったため、WorldClientは最初にIISにバインドされてポート80に転送されました。これを行う方法に関する情報は、Alt-N Webサイトのこの記事から取得しました。

「熊手」について一言

段階的な手順の説明に進む前に、スクリプトの移植と証明書の取得のプロセスを複雑にする予期しないトラブルに注意を払いたいと思います。



まず、スクリプトのほとんど最初に、「Mdaemon.ini」ファイルの「EnableWCServer」パラメーターが「Yes」に設定されていることを確認しました。 そうでない場合、スクリプトはすぐに終了し、「エラー：WorldClientを有効にする必要があります」という重大なエラーメッセージが表示されます。 しかし、奇妙なことに、この場合、このパラメーターは「いいえ」に設定されました-WorldClientを既にIISにバインドしており、WorldClientはインターネットから完全に開いているという事実にもかかわらず。 考え直すことなく、スクリプトでコメントアウトしてこのチェックをオフにしました。 これにより、スクリプトは引き続き動作します。



次に、企業サイトが同じサーバー上に作成され、このサイトの一部のページへのアクセスは、自己署名証明書を使用するhttpsプロトコルを使用して行われました。 また、古いWindowsサーバーは、1つのIPに添付できる証明書は1つだけであると想定しています。 LEからの証明書が既に正常に取得されたが、アドレス0.0.0.0にバインドできなかった場合、道路の最後でこのレーキを踏んだ。 その結果、問題は迅速に、しかし多少曲がった方法で解決されました：WorldClientは別のIPアドレスに送信され（幸いにも利用可能だった）、再びスクリプトを編集する必要がありました-IPアドレスが入力パラメーターのリストに追加され、バインドする必要がありました証明書。 また、WorldClientのIISへのバインドは既に完全に完了しているため、独自のMDaemon WEBサーバーを起動せず、すべてをそのままにしました。



行こう

パート1：事前トレーニング

1. あなたに知られているあらゆる方法で、私たちはサーバーを降圧します！
2. 4.0以上の.NETバージョンをインストールします。
3. 役割サービスの追加：「コントロールパネル」->「管理ツール」->「サーバーマネージャー」->「役割」に移動し、「役割サービスの追加」リンクをクリックします。
   
   
   
   
   私たちはクリジキを置きます：

   

   
   
   
   
   
   • Webサーバー/アプリケーション開発/ ISAPI拡張
   • Webサーバー/アプリケーション開発/ ISAPIフィルター
   • 管理ツール/ IIS管理スクリプトおよびツール
   
   
   [次へ]をクリックします。
4. Windows Management Framework 3.0をインストールします-これにより、PowerShellバージョン3.0がシステムにインストールされます（必須要件セクションを参照）。
   
   
   • Microsoft Webサイトから WMF 3.0 をダウンロードします。
   • 目的のWMFをインストールします。 Windows Server 2008 R2の場合、これは「Windows6.1-KB2506143-x64.msu」です。
   • サーバーを再起動します。

パート2：WorldClientサーバーにアクセスするIISサイトを作成する

注1： MDaemonに統合されたWorldClientサーバーを使用し、すでにポート80に排他的に配置されている場合、このパートを安全にスキップしてパート3に直接進むことができます。



注2：サイトの 「ホスト名」は、インターネットからアクセスできるMDaemonホストの完全修飾ドメイン名と同じである必要があります。

1. [サイト名]フィールドに、サイトの名前（好きなもの）を入力します。
2. [物理パス]フィールドに、ワールドクライアントのHTMLフォルダーへのパスを入力します。
3. [ホスト名]フィールドで、ホストの完全修飾ドメイン名を指定します（上記の注2を参照）。
4. [IPアドレス]フィールドで、インターフェイスが排他的に使用される場合は[すべて未割り当て]のままにするか、メーラーに属するIPをリストから選択します。
5. フィールド「タイプ」と「ポート」は、それぞれ「http」と「80」のままです。

1. リスト全体をクリアします。
2. ドキュメント「WorldClient.dll」を追加します。右側のパネルの「アクション」で「追加...」をクリックし、「名前」フィールドに「WorldClient.dll」と入力します。
3. ドキュメント「MDSyncML.dll」を追加します。右側のパネルの「アクション」で「追加...」をクリックし、「名前」フィールドに「MDSyncML.dll」と入力します。
4. リストの最初に「WorldClient.dll」を設定します。それを選択し、「アクション」の右ペインで「上に移動」をクリックします。

1. 「機能のアクセス許可」の編集：右側のパネルの「アクション」で「機能のアクセス許可の編集...」をクリックし、すべてのkryzhiki-「読み取り」、「スクリプト」、および「実行」を配置します。

   

   
   
   
   
   
2. 「ISAPI-dll」のリストを見つけて、それに入ります。

   
   
   
3. 「リクエストパス」フィールドに「WorldClient.dll」と入力します。
4. 「モジュール」リストで、「IsapiModule」を選択します。
5. 「実行可能（オプション）」フィールドで、WorldClient.dllへのパスを指定します。
6. 新しいハンドラーを追加します。右側のパネルの「アクション」で「モジュールマッピングの追加...」をクリックします。

   
   
   
7. 「リクエストパス」フィールドに「MDSyncML.dll」と入力します。
8. 「モジュール」リストで、「IsapiModule」を選択します。
9. 「実行可能（オプション）」フィールドで、MDSyncML.dllへのパスを指定します。
10. 「名前」フィールドに明確な何かを入力します。 たとえば、「SyncML-ISAPI」。

1. 「MIMEタイプ」セクションに移動します。
2. 「アクション」の右側のパネルで「追加...」をクリックします。
3. 「ファイル名拡張子」フィールドにポイントを入力します。
4. 「MIMEタイプ」フィールドに「text / plain」と入力します。

1. [アプリケーションプール]-> [MDaemon WorldClient]-> [詳細設定...]に移動します。
2. 「プロセスモデル」セクションで、「ID」を「ネットワークサービス」に変更します。
3. OSが64ビットの場合、「一般」セクションで「32ビットアプリケーションを有効にする」を「True」に変更します。

コンソールを閉じます。 IISが構成されます。

1. エクスプローラに移動し、「MDaemon」フォルダの「プロパティ」フォルダを開き、「セキュリティ」タブに移動して、「編集」をクリックします。
2. [追加]-> [詳細設定]-> [今すぐ検索]をクリックします-[検索結果]のリストでユーザー[IUSR]を選択し、[OK]をクリックします。
3. 「IUSRのアクセス許可」のリストにスグリ「フルコントロール」を入れます。
4. [追加]-> [詳細設定]-> [今すぐ検索]をクリックします-[検索結果]のリストでユーザー[ネットワークサービス]を選択し、[OK]をクリックします。
5. 「NETWORK SERVICEのアクセス許可」のリストにスグリ「フルコントロール」を入れます。
6. 「OK」をクリックして両方のウィンドウを閉じます。

WorldClientが構成されます。 ホストの完全修飾ドメイン名を使用して、インターネット経由でブラウザにアクセスして、WorldClientが正常に開くことを確認します。

パート3：LetsEncryptスクリプトのインストールと構成

1. ここからスクリプトを使用してアーカイブをダウンロードし、「MDaemon」フォルダーのルートに解凍します。 重要な注意：スクリプトでは、メインのLetsEncryptサーバーがテストサーバーに置き換えられます。これは、デバッグプロセス中に証明書を取得しようとする繰り返し試行による禁止を防ぐためです。 次の部分では、メインサーバーに切り替える方法について説明します。
2. 環境変数「PSModulePath」のスクリプトで使用されるモジュールへのパスを追加します。

   
   
   
   
   
   
   • [コントロールパネル]-> [システム]-> [システムの詳細設定]-> [詳細]-> [環境変数]に移動します。
   • 「システム変数」のリストで変数「PSModulePath」を探しています。
   • 「;」で追加 その最後は、「LetsEncrypt」フォルダー内にある「Modules」フォルダーへのパスです。 私の場合、これ： 'c：\ MDaemon \ LetsEncrypt \ Modules \
   • ログインしています。
3. cmdコンソールを起動します。
4. 次のコマンドを使用して、letsencrypt.ps1スクリプトを実行します。
   
   
   
   

   powershell -ExecutionPolicy ByPass -File c:\mdaemon\letsencrypt\letsencrypt.ps1
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

   ここで、パラメータ「File」はスクリプトへのパスを設定します。
   
   
   
   追加のパラメーターを使用できます。
   
   
   • -IISSiteName "MDaemon WorldClient"
     
     WorldClientがIISを介して動作する場合、このパラメーターを使用して、スクリプトのWorldClientサイト名を指定する必要があります（パート2を参照）
   • -WCIPAddress xxx.xxx.xxx.xxx
     
     このパラメーターは、スクリプトが受信した証明書を添付するIPアドレスを設定します。 他の証明書がポート443に接続されていない場合は、指定する必要はありません。
   • -「admin@server.com」へ
     
     このパラメーターは、エラーが発生した場合にスクリプトのログが送信される電子メールを設定します。
   
   
   
   コンソールウィンドウを確認します-スクリプトはエラーなしで実行されます。

   

   
   
   
   
   
   
   
   何かがうまくいかない場合は、この問題に自分で対処する必要があります。
   
   
   
   すべてが成功した場合、httpsプロトコルを使用してWorldClientブラウザーにアクセスできます。LetsEncryptテストサーバーを使用したため、ブラウザーはサイト証明書をメッセージ「SEC_ERROR_UNKNOWN_ISSUER」で呪います。
   
   
   
   ちなみに、ファイル 'Mdaemon.ini'のオプション 'EnableWCServer'で "rake"について話したことを思い出してください。IISでバンドルを使用すると、 'No'に設定されます。 そのため、スクリプトを正常に実行した後、このパラメーターは「はい」に変更されました。 ただし、これは少し遅れて発生したため、スクリプト内のこのパラメーターの検証についてはコメントしませんでした。
   
   

パート4：スクリプトを「戦闘モード」に変換する

1. テキストエディターでLetsEncryptフォルダーのletsencrypt.ps1スクリプトを開きます。
2. 次の行を見つけます。
   
   
   
   

    #Initialize-ACMEVault -ErrorVariable LogText Initialize-ACMEVault -BaseURI https://acme-staging.api.letsencrypt.org/ -ErrorVariable LogText
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

3. 最初の行のコメントを解除し、2番目の行をコメント化します。
   
   
   
   

    Initialize-ACMEVault -ErrorVariable LogText #Initialize-ACMEVault -BaseURI https://acme-staging.api.letsencrypt.org/ -ErrorVariable LogText
         
         
   
           
           
           
         
   
       
           
           
           
         
         
   
           
           
           
         
   
       
        

4. スクリプトを保存します。

パート5：「テスト」ライフの痕跡をすべて削除する

これを行わない場合、スクリプトに必要な変更を加えたにもかかわらず、スクリプトは数か月間「偽の」証明書を提供し続けます。

1. MDaemonからテスト証明書を削除します。

   

   
   
   
   
   
   • MDaemon GUIを起動し、[セキュリティ]-> [セキュリティ設定]-> [SSL＆TLS]メニューに移動します。
   • 証明書のリストで、テスト証明書を選択し（「送信者」フィールドに「Fake LE Intermediate X1」が表示されます）、リストの下にある「削除」ボタンをクリックします。
   • 証明書のリストが空になった場合、自己署名証明書を作成する必要があります。作成しないと、ウィンドウを閉じようとしたときにMDaemonが誓います。
2. スクリプトによって作成されたキーストアを削除します。管理者アカウントで作業した場合は「c：\ ProgramData \」に移動し、ユーザーアカウントで「C：\ Users \ username \ AppData \ Local \」に移動し、そこからフォルダー「ACMESharp」を削除しますすべてのコンテンツとともに。
3. スクリプトによって作成されたXMLファイルを削除します。「MDaemon \ LetsEncrypt」フォルダーに移動し、そこからLetsEncrypt.XMLファイルを削除します。
4. テスト証明書を削除します。「MDaemon \ Pem」フォルダに移動し、そこにある証明書（拡張子「pfx」のファイル）を見つけて削除します。

パート6：スケジュールされたスクリプトのセットアップ

1. [コントロールパネル]-> [管理ツール]-> [コンピューター管理]-> [システムツール]-> [タスクスケジューラー]-> [タスクスケジューラーライブラリ]に移動します。
2. 新しいタスクを作成します。右側のパネルの「アクション」で「タスクの作成...」をクリックします。
3. 「一般」タブで：

   

   
   
   
   
   
   • 「名前」フィールドに、タスクの名前を書きます-オプションでリクエストに応じて。
   • 「セキュリティオプション」サブセクションで、「ユーザーがログオンしているかどうかに関係なく実行する」項目を選択します。
4. [トリガー]タブで：

   

   
   
   
   
   
   • 「新規...」ボタンを押します-「新規トリガー」ウィンドウが開きます。
   • 「タスクの開始」リストで「スケジュールどおり」を選択します。
   • 適切な起動頻度を設定します：たとえば、日曜日に週に1回。 スクリプトは、開始するたびに-残りの証明書の量をチェックします。1か月未満の場合は更新されます。
5. [アクション]タブで：

   

   
   
   
   
   
   • 「新規」ボタンを押します-「新規アクション」ウィンドウが開きます。
   • 「アクション」リストで、「プログラムの開始」を選択します。
   • 「プログラム/スクリプト」フィールドに「powershell」と入力します。
   • 「引数の追加（オプション）」フィールドに「-ExecutionPolicy ByPass -File c：\ MDaemon \ LetsEncrypt \ letsencrypt.ps1」と入力します。 行の末尾に必要な追加パラメーターを追加します（パート3を参照）。
6. [条件]タブで、グーズベリーを裁量で入れます。
7. [設定]タブで、グーズベリーを入れます。

   

   
   
   
   
   
   • タスクをオンデマンドで実行することを許可する
   • 1時間以上実行されている場合は、タスクを停止します
   • 要求されたときに実行中のタスクが終了しない場合は、強制的に停止します
8. 「OK」ボタンをクリックします。 現在のユーザーのパスワードを入力します。

パート7：最初の「戦闘」打ち上げ

スクリプトを手動で開始します。

1. リストで新しく作成されたタスクを選択します。
2. 右側のペインの「アクション」で「実行」をクリックします。 ウィンドウは開きません。
3. 時々、タスクリストを更新してみましょう-「ステータス」フィールドの変更を確認するには、「ステータス」を「実行」に変更する必要があります。 「ステータス」が再び「準備完了」になるまでリストを更新します。
4. ログファイル「MDaemon \ Logs \ LetsEncrypt.log」でスクリプトの結果を確認します。

ログファイルから判断して、すべてがうまくいった場合、ジョブは完了です-証明書が受信され、安全なチャネルでメールの送受信の効率を確認できます。 そして、はい、httpsプロトコルを使用してメーラーにログインすることを忘れないでください-WorldClientも問題なく動作することを確認してください。

パートラスト-ファイナル

結論として、記事を書いている時点では戦闘サーバーにアクセスできなくなっていたため、スクリーンショットはすべて、MDaemonのさらに古いバージョン（13.0.4）がインストールされている仮想マシンから取得されたため、他のバージョンとは異なります。



まあ、それだけです。 私が知っていたことはすべて語られました。 明けましておめでとうございます！ あなたの健康と幸運を祈ります！