Exch 2007 Zertifikat nach umstellung falsch

[coshi 11]

Also es ist ein sehr einfach gehaltenes System, keine Hochverfügbarkeitslösung. Ein CAS ist nicht definiert, genauso wie Load Balancer.

SplitDNS müsste es ja sein, nach meinen obigen erklärungsversuchen, da ein .local und ein .de benutzt wird.

Gewünscht ist:

intern: mail.meinefirma.local

extern: mail.meinefirma.de

 

letzeres funktioniert ja im Zertifikat. Nur die Outlooks hätten eben lieber noch ein .local mit drin stehen.

[RobertWi 81]

Wenn Du zwei unterschiedliche Domänennamen hast, ist es kein SplitDNS.

 

Dann brauchst Du mindestens zwei Namen im Zertifikat:

intern: mail.meinefirma.local

extern: mail.meinefirma.de

 

Um ".local" extern zertifizieren zu lassen, braucht es i.d.R. ein teures Zertifikat mit persönlicher Überprüfung. Eine Umstellung auf SplitDNS ist daher meist die bessere Variante.

 

Und weil hierbei die Clients eventuell angefasst werden müssen, kannst Du gleich noch ein CAS-Array einrichten (der Name muss muss/darf aber nicht ins Zertifikat) und den Servernamen in Outlook hierauf ändern.

 

Für Autodiscover brauchst Du nicht unbedingt einen Namen im Zertifikat, dann müssen passende SRV-Einträge gesetzt werden.

 

Ohne SplitDNS kommst Du also auf mindestens zwei Namen im Zertifikat.

[coshi 11]

New-ExchangeCertificate `

-GenerateRequest `

-SubjectName "c=DE, o=MeineFirma, cn=mail.meinfirma.de" `

-IncludeAcceptedDomains `

-DomainName mail.meinefirma.de, mail.meinefirma.local `

-privatekeyexportable $true `

-Path c:\meinzertifikat.req

 

Ok ich möchte kein Split DNS machen. Die Clients sind alle Intern.

ok also wie muss ich in der Shell vorgehen? Stimmt das dann so? Für beide Namen?

[RobertWi 81]

Moin,

 

soweit ok. Über "-IncludeAcceptedDomains" könnten noch andere Domänennamen reinkommen.

 

Aber wenn es eh nur intern ist, kannst Du autodiscover.meinefirma.local auch darin aufnehmen und notfalls mehrfach probieren. Das kostet nur ein wenig Zeit, aber kein Geld.

[coshi 11]

Also ich habe diesen Request erstellt, ich möchte jedoch nicht über eine externe Zertifizierungsstelle ein Zertifikat bekommen, sondern von meinem IIS.

 

Wenn ich jedoch hhtps://servername/certsrv öffne, erhalte ich einen 404 Page Error.

 

Was mache ich falsch? und ich lese immer wieder, dass man das nur für externe "Clients" braucht. Ich benötige, wie oben schon mehrmals erklärt jedoch nur das Zertifikat für mail.meinefirma.local und mail.meinfirma.de

 

Bitte um Hilfe

[vitamin 10]

Wenn ich jedoch hhtps://servername/certsrv öffne, erhalte ich einen 404 Page Error.

 

Wenn Du eine Interne Zertifizierungsstelle hast, kannst Du das Zertifikat mit certreq.exe anfordern.

s. auch ExchangeInbox.com - Replacing the Exchange 2007 Self-Signed Certificate (Part 2)

 

 

Was mache ich falsch? und ich lese immer wieder, dass man das nur für externe "Clients" braucht. Ich benötige, wie oben schon mehrmals erklärt jedoch nur das Zertifikat für mail.meinefirma.local und mail.meinfirma.de

 

Nach meinem Verständnis sollte das Zertifikat möglichst viele Namen unter "Subject Alternative Name" abdecken, also mail.meinefirma.de, mail, mail.meinefirma.local, autodiscover.meinefirma.de, autodiscover.meinefirma.local, etc.

Das Zertifikat wird ja nicht nur für OWA sondern auch für Outlook intern benutzt.

[coshi 11]

Nach meinem Verständnis sollte das Zertifikat möglichst viele Namen unter "Subject Alternative Name" abdecken, also mail.meinefirma.de, mail, mail.meinefirma.local, autodiscover.meinefirma.de, autodiscover.meinefirma.local, etc.

 

ja genau

 

Wenn Du eine Interne Zertifizierungsstelle hast, kannst Du das Zertifikat mit certreq.exe anfordern.

 

ja, es ist ein SBS server, die Webzertifizerungsdienste habe ich noch nachinstalliert, aber irgendwie bekomme ich ständig eine Fehlermeldung auch in CMD.

 

Ich kann die angeforderte Datei einfach nicht in ein Zertifikat umwandeln.

 

Noch irgendwelche Ideen?

 

EDIT: Ok ich habe es geschafft, was jetzt ? reicht es das Zertifikat bei den Clients zu Importieren, das übrigens nicht funktioniert. Oder muss ich es auch auf den Exch. mittels Shell importieren?

bearbeitet 14. September 2012 von coshi