Exch2010 SSL Zertifikat nur für Activesync

[NeMiX 76]

Hi,

 

ich habe ein "kleines" Problem mit Activesync:

 

Derzeit hat unser Exchange ein Zertifikat von thawte ausgestellt auf den internen Namen des Servers. Dies ist vor allem damit man bei neuen Clients nicht jedesmal das selbst ausgestellte Zertifikat (quasi das Default Zertifikat) installieren muss sonst meckert ja Outlook2010.

 

Ich habe heute ein neues Zertifikat für mobiles.xyz.de angefordert (über die Exchange MMC).

Unter dieser Adresse soll der TMG Activesync veröffentlichen.

Nach Import des Zertifikats und aktivieren für den IIS Service im Exchange meckern die Outlook Clients bei jedem Start. Klar das Zertifikat passt nicht zu dem Hostnamen.

Kann man irgendwo einstellen, dass nur Activesync das neue Zertifikat nimmt und der Rest mit dem "alten" Zertifikat läuft?

 

Vielen Dank für eure Hilfe.

[NorbertFe 2.102]

Ja, dazu erstellt man ein SAN Zertifikat. Da stehen dann einfach beide Namen drin. ;) Oder man stellt einen Reverse Proxy wie ISA/TMG davor, dann hast du intern und extern unterschiedliche Zertifikate.

 

Bye

Norbert

[NeMiX 76]

SAN Zertifikat wurde als zu teuer abgelehnt ist leider mein Problem...

 

Also kann man das nicht umgehen und ich muss das neue Zertifikat entweder bei jedem Client importieren per GPO oder ich bekomme ein SAN Zertifikat freigeben?

 

Eher unschön da bereits Geld ausgegeben wurde, aber lässt sich wohl leider nicht ändern...

[NorbertFe 2.102]

Kannst auch versuchen eine zweite Website anzulegen. Darauf bindest du dann das andere Zertifikat (natürlich ein öffentliches mit einem anderen Namen). ;) Sinnvoller ist aber wahrscheinlich die Kombination von neuem Zertifikat mit öffentlichem Namen und die Verwendung eines Reverseproxy. Aber der kostet auch Geld. Allerdings hat man damit gleich noch ein paar mehr Features. ;)

 

bye

Norbert

[NeMiX 76]

Ich habe ja einen Reverse Proxy (TMG) zur Verfügung.

Ah ich glaube ich hab dich verstanden:

Ich nehme das neue Zertifikat für den WebListener für den externen Zugriff und im TMG importiere ich zusätzlich das Zertifikat vom Exchange welches bereits besteht.

[NorbertFe 2.102]

Nein fast:

Du erstellst ein neues zertifikat für mobiles.firma.de oder so bei thawte. Das hinterlegst du NUR im TMG im Weblistener. Dem Listener sagst du er soll auf https://internerseite/... weiterleiten.

 

Fertig. Nicht vergessen am Exchange die FBA abzuschalten, wenn du sie am TMG aktiviert hast.

 

Bye

Norbert

[NeMiX 76]

Ok vielen Dank wird morgen getestet.

[JohnnyFu 10]

Mal eine Frage, ich habe für unseren Exchange 2010 selber ein Cert erstellt und von der Domänen CA signieren lassen. Das Root Cert unserer CA verteile ich per GPO.

 

Sofern die GPO angewendet wurde, funktioniert Outlook Anywhere und auch OWA.

Wie verhält sich das mit Windows Mobile Handy's? Brauchen die auch das Root Cert unserer CA?

 

Und auch wenn es hier nicht rein gehört, habt jemand Erfahrung mit verschiedenen Handy OS in punkto Exchange? Ich brauche bis Januar, 5 Handy's die ich an unseren Exchange 2010 andocken muss. Was soll ich da nehmen, Android? Windows Mobile 6.5?

[fluehmann 10]

Falls du Windows Mobiles testen möchtest gibt es Emulatoren dafür:

 

MSXFAQ.DE - WM 6.5 Emulator

 

http://www.microsoft.com/downloads/en/details.aspx?FamilyID=c0213f68-2e01-4e5c-a8b2-35e081dcf1ca&displaylang=en

 

Oder hier für Android:

 

MSXFAQ.DE - Android

 

Android SDK | Android Developers

 

Sobald ActiveSync Policies auf den Geräten angewendet werden sollen würd ich klar Windows Mobiles favorisieren.

 

Grüsse

fluehmann

[NorbertFe 2.102]

Wie verhält sich das mit Windows Mobile Handy's? Brauchen die auch das Root Cert unserer CA?

 

Ja, wobei Android und iOS das fehlerhafte Zertifikat auch einfach dauerhaft ignorierbar machen. ;)

 

Und auch wenn es hier nicht rein gehört, habt jemand Erfahrung mit verschiedenen Handy OS in punkto Exchange? Ich brauche bis Januar, 5 Handy's die ich an unseren Exchange 2010 andocken muss. Was soll ich da nehmen, Android? Windows Mobile 6.5?

 

Was sind denn die ANforderungen? Funktionieren tun alle die EAS sprechen. ;)

Exchange ActiveSync Client Comparison Table - TechNet Articles - Home - TechNet Wiki hier haste was zum Vergleichen.

 

Bye

Norbert

[JohnnyFu 10]

Wow... ich bin versteinert. Die Feature Liste ist ja brachial groß. Das sind wirklich tolle Links!

 

Da die Anforderungen doch recht simple sind, wird es entweder WM 6.5 oder Android werden. Ich habe ca. 10 Mobile User die Zugriff auf Kalender und Kontakte brauchen.

 

Bekomme ich Probleme, das Cert meiner CA in den Trusted Root Speicher vom Handy zu installieren? Oder ist das Schmerz frei?

[NorbertFe 2.102]

Wow... ich bin versteinert. Die Feature Liste ist ja brachial groß. Das sind wirklich tolle Links!

 

Naja, leider unterstützen viele Handys nur einen Bruchteil der teilweise wirklich netten Features. ;)

 

 

Bekomme ich Probleme, das Cert meiner CA in den Trusted Root Speicher vom Handy zu installieren? Oder ist das Schmerz frei?

 

Bisschen Fummelkram, aber ansonsten schmerzfrei. Allerdings ist ein offizielles Zertifikat trotzdem die bessere Lösung, die auch keine dreistelligen Beträge mehr kostet.

 

Bye

Norbert