Zertifizierungsstelle auf anderen Server verschieben?

[scirocco790 11]

Folgende Problematik:

Ich habe den Auftrag bekommen Zugriff auf Exchange Active Sync per Zertifikat (für Zugriff von Außen) zur Verfügung zu stellen. Dabei bin ich aber auf ein Problem mit der Windows Zertifizierungsstelle gestoßen.

Bisher hab ich folgendes gemacht:

- Exchange 2K3SP2

- auf dem Server auf dem Exchange läuft hab ich die Windows Zertifizierungsstelle installiert und dann lt. Guide auf MSXFAQ mal ein Zertifikat zum testen installiert. Ging soweit alles. Aber jetzt kommts.

- Wir verwenden ISA Server 2K6. Ich hab es nun einfach nicht geschafft (was mit Sicherheit dran liegt, daß ich mit dem ISA nicht so fit bin) den Zugriff von außen über die Exchange Veröffentlichungsregel zu aktivieren. Grund: Kein Cert verfügbar.

- Auf Nachfrage bei unserem Systemhaus wurde mir gesagt: Klar, Zertifizierungsstelle muß auf den ISA mit drauf.

Und genau da liegt mein Problem. Wie?

Reicht es die vorhandene Zertifizierungsstelle auf der Exchange-Maschine einfach per Software/WindowsKomponenten zu deinstallieren und auf dem ISA neu aufzusetzen?

Wahrscheinlich nicht...

[BrainStorm 10]

Hallo scirocco790,

 

- Auf Nachfrage bei unserem Systemhaus wurde mir gesagt: Klar, Zertifizierungsstelle muß auf den ISA mit drauf.

Und genau da liegt mein Problem. Wie?

 

Also entweder hat das Systemhaus keine Ahnung oder du hast dich verhört ;)

Eine Zertifizierungsstelle hat absolut nichts auf dem ISA zu suchen.

 

Du brauchst ausschließlich das Webserverzertifikat, sowie das Zertifikat deiner Root-CA auf dem ISA

[scirocco790 11]

Und wie geh ich das an? Mir wurde das wirklich so mitgeteilt.

[olc 18]

Hi,

 

daß die Zertifizierungsstelle auf dem Exchange Server installiert wurde, ist schon nicht optimal. Aber daß ein Systemhaus empfiehlt, eine CA auf einen ISA Server zu verschieben habe ich ehrlich gesagt noch nie erleben dürfen / müssen. Das ist aus Sicherheitsgründen absolut nicht zu empfehlen und daher "grober Unfug".

 

Ich persönlich würde Dir empfehlen, die CA auf eine eigene Maschine zu bringen. Einen entsprechenden Artikel zum Vorgehen findest Du hier: How to move a certification authority to another server .

 

Die Probleme mit dem ISA liegen also eher nicht daran, die die Zertifizierungsstelle nicht auf dem ISA liegt - das Problem liegt woanders. Vielleicht kannst Du die Probleme ja etwas genauer beschreiben, vielleicht finden wir die Fehlerursache.

 

[EDIT] Zu lange getippt. :) [/EDIT]

 

Viele Grüße

olc

[scirocco790 11]

Problem ist, sobald ich im ISA die Exchange Veröffentlichungsregel konfiguriere und zu dem Punkt komme wo der Listener konfiguriert wird, kann ich bei "Listener-SSL-Zertifikate" nichts auswählen.

 

@olc: Warum ist es nicht optimal wenn, die Zertifizierungsstelle auf dem Exchange mitläuft?

[BrainStorm 10]

Problem ist, sobald ich im ISA die Exchange Veröffentlichungsregel konfiguriere und zu dem Punkt komme wo der Listener konfiguriert wird, kann ich bei "Listener-SSL-Zertifikate" nichts auswählen.

 

Hast du das Zertifikat auch inkl. dem Privaten Schlüssel auf dem ISA installiert? Erst dann kannst du es auch für den Listener auswählen.

[scirocco790 11]

Hab ich nicht.

Wie mach ich das? Welcher private Schlüssel?

Alles was ich habe ist die Zertifikatsdatei.

bearbeitet 29. Januar 2010 von scirocco790

[BrainStorm 10]

Schau mal hier:

 

Publishing Exchange Client Access with ISA 2006 - The Complete Solution (Part 1)

Publishing Exchange Client Access with ISA 2006 - The Complete Solution (Part 2)

Publishing Exchange Client Access with ISA 2006 - The Complete Solution (Part 3)