Problem mit SSL-Zertifikat (W2K3 + Ex2K7)

[martins 11]

Hallo,

 

ich habe ein Problem mit einem gekauften SSL-Zertifikat. Wenn ich mein selbst erstelltes Zertifikat verwende, kann ich von extern auf meinen Exchange-Server (2007) zugreifen => https://mail.internetdomaene.de/owa.

 

Versuche ich das gleiche mit dem installierten SSL-Zertifikat von GoDaddy, erscheint die Fehlermeldung im Browser (IE7): "Die Webseite kann nicht angezeigt werden".

 

Die Zertifikate lauten beide auf den gleichen (externen) Namen, alle Servicepacks und Patches sind installiert.

 

Jemand 'nen Vorschlag? ;)

 

 

Danke,

 

Martin

[Lian 2.478]

Hallo,

 

wie bist Du vorgegangen?

 

Certificate Use in Exchange 2007 Server

[martins 11]

Ich bin nach der Anleitung von "GoDaddy" vorgegangen... Zertifikat heruntergeladen und wie folgt installiert:

 

_________

UCC Certificate Installation and Enabling for Microsoft Exchange 2007 and Live Communications Servers

 

Once your SSL certificate has been signed and issued, Go Daddy® will send you an e-mail message that allows you to download the signed certificate and our intermediate certificate bundle (gd_iis_intermediates.p7b), both of which must be installed on your Web site.

 

Note: You must use the provided certificate-download link within three days of receiving the certificate-issuance e-mail message. If the download link is allowed to expire, you must request a certificate re-key in order to retrieve your signed SSL certificate.

 

 

NOTE: For Windows NT 4.0, you must have at least Service Pack 4.0 or higher or Microsoft Internet Explorer 5.0.

 

Installing SSL Certificate and the Intermediate Certificate Bundle (gd_iis_intermediates.p7b)

 

Before you install your issued SSL certificate you must download and install our intermediate certificate bundle (gd_iis_intermediates.p7b) on your server. You may also download the bundle from the repository.

 

Once you have downloaded and saved the certificate bundle, please follow the instructions below to install it.

 

Installing Intermediate Certificate Bundle (gd_iis_intermediates.p7b)

 

Select Run from the start menu; then type mmc to start the Microsoft Management Console (MMC).

In the Management Console, select File; then "Add/Remove Snap In."

In the Add/Remove Snap-In dialog, select Add.

In the Add Standalone Snap-in dialog, choose Certificates; then click the Add button.

Choose Computer Account; then click Next and Finish.

Close the Add Standalone Snap-in dialog and click OK on the Add/Remove Snap-in dialog to return to the main MMC window.

If necessary, click the + icon to expand the Certificates folder so that the Intermediate Certification Authorities folder is visible.

Right-click on Intermediate Certification Authorities and choose All Tasks; then click Import.

Follow the wizard prompts to complete the installation procedure.

Click Browse to locate the certificate file (gd_iis_intermediates.p7b).

Choose Place all certificates in the following store; then use the Browse function to locate Intermediate Certification Authorities.

Click Next and Finish.

 

_________

 

That's all... mehr hab ich nicht gemacht. Nutzen möchte ich "OWA" und "OutlookAnywhere"

[martins 11]

Problem gelöst!

 

Ich habe einen CSR-Schlüssel bei der Generierung des Zertifikats angegeben, der nicht mit dem übereinstimmte, den mein Server beim Import erwartete.

 

Ich habe es mit Hilfe eines CSR-Generators im Web gemacht, besser wäre hier natürlich der Assistent im IIS gewesen. Nachdem ich das mit dem IIS-Assistenten durchgeführt habe (den CSR-Textfile erstellt), den Code beim Zertifikatehändler dementsprechend angepasst habe und dann das neue Zertifikat importiert habe, lief es dann auch. :)

 

Grüße,

 

Martin

[martins 11]

Ein kleines Problem habe ich jedoch noch bei den lokalen Clients (Outlook 2007 SP1). Wenn Outlook gestartet wird, erscheint ein Fenster "Sicherheitshinweis" mit dem Namen den lokalen Domäne. Zwei grüne Häkchen dass das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle kommt und dass das Datum des Zertifikats gültig ist.

 

Ein rotes X bei: "Der Name auf dem Sicherheitszertifikat ist ungültig oder stimmt nicht mit dem Namen der Website überein" (siehe Anlage).

 

Lasse ich mir das Zertifikat anzeigen, so sehe ich das Zertifikat der externen Zertifizierungsstelle.

 

Jemand eine Idee, wie ich das ändern kann?

 

 

Gruß,

 

Martin

[Lian 2.478]

Welcher Hostname ist dem im Zertifikat angegeben bzw. für welchen Host wurde das Zert. ausgestellt?

[martins 11]

Der Hostname ist mail.internetadresse.de => also der Name mit dem ich von extern auf den Exchange zugreife.

[Lian 2.478]

In der Fehlermeldung ist service.xyz.local sichtbar, daher kommt die Meldung.

[martins 11]

:) Ja ich weiß. Ich weiß nur nicht, wie ich das ändern kann! :)

 

service.xyz.local ist der Ex2K7 und DC.

[BrainStorm 10]

Bei solchen Szenarien rate ich immer zu SAN-Zertifikaten.

Hier gibts die Möglichkeit mehrere DNS-Namen in das Zertifikat zu schreiben (z.B. mail.firma.de, owa.firma.local,autodiscover.firma.de...)

[martins 11]

Brainstorm, du schreibst: "Bei solchen Szenarien (...)"

 

... das ist doch imho das Szenario überhaupt, wenn ich RPC over HTTPs bereitstellen möchte!? Oder hab ich da was ganz abenteuerliches gebastelt? Siehst du eine Chance das lokal hinzubekommen, also ohne externes Zertifikat?

 

Gruß und Danke für euren Support!

 

Martin

[BrainStorm 10]

Nein, das ist absolut nichts aussergwöhnliches.

Wenn du das mit selbsterstellen Zertifikaten realisieren willst, dann kannst du von der Exchange Verwaltungs Shell eine Zertifikatsanforderung mit mehreren DNS Namen erstellen.

 

Siehe: MSXFAQ.DE - E2K7: Zertifikate

[martins 11]

Also... ich wollte mir jetz mein lokales Zertifikat erstellen, aber das klappt nicht so wie ich will, bzw. wie es in dem Link von BrainStorm beschrieben ist: MSXFAQ.DE - E2K7: Zertifikate :(

 

Folgendes gebe ich in die Verwaltungs-Shell ein:

 

New-ExchangeCertificate

-SubjectName "c=LOCAL, o=SIB-T, cn=service.sib-t.local"

-IncludeAcceptedDomains

-IncludeAutoDiscover

-privatekeyexportable $true

-domainName service, service.sib-t.local

-Services "SMTP, IMAP, POP, UM, IIS"

 

... tja, danach sehe ich dann alt aus. Der Fehler bleibt!

 

Noch ein heisser Tipp da draußen? :)

 

 

Gruß,

 

Martin