Zertifikat Outlook - Sicherheitshinweis (Der Name auf dem ...ungültig)

[fernmelder 10]

Hallo zusammen,

 

ich habe auf einem exchange ein öffentliches Zertifikat (SAN Zertifikat, 1.domäne.de, 2.domäne.de, owa.domäne.de, etc.) installiert. Den Dienst IIS habe ich an dieses gebunden. OWA Zugriff von extern und auch Ipad/Iphone Zugriff funktioniert nun prächtig - ohne Zertiifkatsfehlermeldung.

 

Nun habe ich das Problem, dass die lokalen Outlook 2007 Clients regelmäßig einen Sicherheitshinweis ausgeben.

 

"Der Name auf dem Sicherheitszertifikat ist ungültig oder stimmt nicht mit dem Namen überein...."

Oben links auf der Fehlermeldung sehe ich den lokalen FQDN Namen des Exchange-Servers (exchange.domäne.local). Lasse ich mir das Zertifikat in der Fehlermeldung anzeigen, dann sehe ich, dass Outlook anscheinend meine öffentliches Zertifikat nutzt. Das Problem: Das öffentliche SAN Zertifiktat beinhaltet nicht den lokalen FQDN Namen des Exchange Servers.

 

Auf dem Server existiert ein privates selbst signiertes Zertifikat für diesen Server (läuft auf den internen lokalen FQDN Namen). An dieses Zertifikat sind die restlichen Bindings gebunden (SMTP,IMAP,POP)

 

Welche Einstellungen muss ich vornehmen, um diese Fehlermeldung in Outlook nicht mehr zu erhalten?

Vielen Dank für eure Hilfe.

 

Viele Grüße,

Fernmelder

[RobertWi 81]

Ist das die Woche der "Ich habe Zertifikatsfehler und will mich nicht mit der Theorie beschäftigen"?  :mad:

 

Wobei bei Dir möglicherweise das Problem recht einfach ist: Du musst die internen URLs auf die externen anpassen und SplitDNS verwenden.

 

Oder einen Proxy einsetzen und dann intern und extern mit unterschiedlichen Zertifikaten arbeiten.

[NorbertFe 2.043]

Ist das die Woche der "Ich habe Zertifikatsfehler und will mich nicht mit der Theorie beschäftigen"?  :mad:

Gabs schon andere? ;)

 

Bye

Norbert

[fernmelder 10]

Vielleicht habe ich vergessen zu erwähnen, dass ich mich schon sehr lange damit beschäftige und auch einige Installationen hinter mich gebracht habe. Die Variante "intern/extern" habe ich bereits bei anderen Kunden so gelöst. Ich finde das aber keine schöne Lösung und frage mich, ob es möglich ist, mit der internen Adresse weiterhin arbeiten zu können - nur ohne Fehlermeldung bei den Outlook Clients. Die Frage die ich mir stelle ist einfach die: Gibt es keinen "Workaround", damit die Outlook Clients im internen LAN sich mit dem selbstsignierten Zertifikat zufrieden geben?

 

Gruß,

Fernmelder

[RobertWi 81]

Was ist denn die Variante "intern/extern"? Meinst Du SplitDNS? Das ist IMHO eine der besten Lösungen und nicht umsonst die Empfehlung der Exchange-Entwickler.

 

Ansonsten ist die einfachste Lösung, mit zwei Zertifikaten (eines für intern und eines für extern) zu arbeiten, ein Proxy.

[testperson 1.680]

Hi,

 

wieso findest du die Lösung nicht "schön"?

Alternativ kannst du dir einen Zertifikatanbieter suchen, der es erlaubt im SAN-Zertifikat noch die Namen der internen Server aufzunehmen.

 

Gruß

Jan