Перейти к основному содержимому

Переход на HTTPS в ONLYOFFICE Workspace Community для Linux

Введение​

В большинстве случаев доступ к порталу по протоколу HTTPS намного безопаснее, чем по HTTP, который используется по умолчанию. Однако чтобы изменить способ доступа к порталу, необходимо выполнить некоторые действия. Следуйте инструкциям ниже, чтобы узнать, как перевести ONLYOFFICE Workspace на HTTPS.

Создание сертификата безопасности и закрытого ключа​

Прежде чем переводить ONLYOFFICE Workspace Community на HTTPS, необходимо создать сертификат безопасности и закрытый ключ сертификата.

Чтобы автоматически создать сертификат SSL с помощью сервиса letsencrypt, обратитесь к этой статье.

Когда сертификат будет готов, выполните действия, описанные ниже.

Переход ONLYOFFICE Workspace Community на HTTPS с помощью скрипта​

Самый быстрый способ перевести ONLYOFFICE Workspace Community на HTTPS — использовать скрипт. Он находится здесь:

/var/www/onlyoffice/Tools/default-onlyoffice-ssl.sh

Поместите созданные сертификаты в каталог /var/www/onlyoffice/Data/certs/. В нем должны находиться два файла:

  • /var/www/onlyoffice/Data/certs/onlyoffice.crt
  • /var/www/onlyoffice/Data/certs/onlyoffice.key

Затем запустите скрипт:

sudo bash /var/www/onlyoffice/Tools/default-onlyoffice-ssl.sh

Он выполнит все необходимые действия для перевода вашей установки ONLYOFFICE Workspace Community на HTTPS.

Переход ONLYOFFICE Workspace Community на HTTPS вручную​

Все действия скрипта можно выполнить вручную. Для этого следуйте инструкциям ниже:

  1. Остановите службу NGINX:

    sudo service nginx stop

  2. Скопируйте файл /etc/nginx/includes/onlyoffice-communityserver-common-ssl.conf.template в файл /etc/nginx/sites-available/onlyoffice для систем на базе Debian или в файл /etc/nginx/conf.d/onlyoffice.conf для систем на базе RPM.

    Используйте следующую команду для систем на базе Debian:

    sudo cp -f /etc/nginx/includes/onlyoffice-communityserver-common-ssl.conf.template /etc/nginx/sites-available/onlyoffice

    Используйте следующую команду для систем на базе RPM:

    sudo cp -f /etc/nginx/includes/onlyoffice-communityserver-common-ssl.conf.template /etc/nginx/conf.d/onlyoffice.conf

  3. Отредактируйте файл /etc/nginx/sites-available/onlyoffice для систем на базе Debian или файл /etc/nginx/conf.d/onlyoffice.conf для систем на базе RPM. Замените все параметры в двойных фигурных скобках {{...}} на фактически используемые значения:

    • {{SSL_CERTIFICATE_PATH}}: путь к имеющемуся сертификату SSL;
    • {{SSL_KEY_PATH}}: путь к закрытому ключу сертификата SSL;
    • {{SSL_VERIFY_CLIENT}}: включена ли проверка клиентских сертификатов (доступные значения: on, off, optional и optional_no_ca);
    • {{CA_CERTIFICATES_PATH}}: путь к клиентскому сертификату, который будет проверяться, если проверка включена предыдущим параметром;
    • {{ONLYOFFICE_HTTPS_HSTS_MAXAGE}}: дополнительный параметр конфигурации для задания HSTS max-age в конфигурации виртуального хоста NGINX ONLYOFFICE Workspace Community, применяется только при использовании SSL (обычно по умолчанию равен 31536000, что считается достаточно безопасным);
    • {{SSL_DHPARAM_PATH}}: путь к параметру Диффи — Хеллмана;
    • {{ONLYOFFICE_NGINX_KEEPLIVE}}: максимальное количество неактивных постоянных соединений keep-alive с вышестоящими серверами, которые сохраняются в кэше каждого рабочего процесса (подробнее об этом параметре читайте в документации NGINX);
    • {{DOCKER_ONLYOFFICE_SUBNET}}: значение внутренней подсети Docker (если ONLYOFFICE Workspace Community установлен с помощью Docker);
    • {{SSL_OCSP_CERTIFICATE_PATH}}: путь к файлу с доверенными сертификатами CA в формате PEM, используемыми для проверки клиентских сертификатов и ответов OCSP (Online Certificate Status Protocol), если включена опция ssl_stapling.

    Подробнее о параметрах SSL, используемых в файле конфигурации, читайте в документации NGINX.

  4. Откройте файл конфигурации /var/www/onlyoffice/Services/MailAggregator/ASC.Mail.Aggregator.CollectionService.exe.config и задайте для параметра mail.default-api-scheme значение https. После этого перезапустите службу агрегатора почты:

    onlyofficeMailAggregator restart

  5. Переведите Talk на протокол TLS.

  6. Когда все изменения будут внесены, можно снова запустить службу NGINX:

    sudo service nginx start
    примечание

    Для корректной работы портала необходимо открыть порт 443.