SBS 2011 - SSL-Zertifikat, Best Practice?

[neovanmatix 0]

Hallo,

 

ich bin gerade dabei einen SBS 2008 auf SBS 2011 umzustellen.

Alle Daten, Exchange, etc. sind bereits umgezogen - ich stehe also kurz davor, den alten Server zu demoten und aus der AD zu entfernen.

 

Aktuell habe ich folgendes Problem:

An den Clients taucht beim Start von Outlook 2007/2010 eine Zertifikatswarnung bzgl. des neuen Servers auf.

Das Zertifikat ist ausgestellt auf remote.kundendomain.de, enthält jedoch unter "Alternative Antragstellername" folgende Einträge:

DNS-Name=kundendomain.de
DNS-Name=remote.kundendomain.de
DNS-Name=SBS01.internekundendomain.local

 

Beim Öffnen von Outlook erscheint die Meldung, dass der Antragstellername nicht mit dem Servernamen übereinstimmt.

Wenn ich dieses Zertifikat manuell im Client installiere, ist es zwar installiert - die Meldung kommt aber weiterhin.

 

Erste Frage:

Im Zertifikat steht doch der interne Servername, mit dem sich Outlook verbindet, drin - warum meldet Outlook also, dass das Zertifikat nicht auf den Server ausgestellt ist?

 

Nun dachte ich mir, ich verbinde die Clients einfach statt über sbs01.internekundendomain.local per Name remote.kundendomain.de - da habe ich intern bereits eine DNS-Zone eingerichtet, das wird mit der internen IP des SBS-Servers aufgelöst.

 

Dummerweise, wenn ich ein Exchange-Profil in Outlook einrichte, und remote...de eintrage, löst Outlook das ganze wieder mit SBS01.internekundendomain.local auf.

Etwas recherchiert, und auf eine Lösung von MS gestoßen, bei der man den AutoDiscover-Dienst anpasst, sodass statt sbs01.internekundendomain.local eben die remote.kundendomain.de publiziert wird.

Das habe ich durchgeführt, und owa, ews, etc. geändert.

Die Meldung erscheint leider weiterhin.

 

Nun bin ich mir etwas unschlüssig, wie man dieses Problem am besten löst? Muss ich ein neues Zertifikat über die CA vom SBS erstellen, dass als "Gemeinsamer Name" sbs01.internekundendomain.local enthält?

Wenn ja, gehen sicher die Outlook-Clients - aber dann erhalte ich die Zertifikatswarnungen an verbunden iPhones; oder?

 

 

 

Hallo,

 

 

 

also, ich glaube, ich weiß wo der Fehler liegt - leider nur nicht, wie ich Ihn behebe.

Beim Ausführen des Wizards "Internetadresse einrichten" ist wohl etwas schief gegangen; hier wurde "versehentlich" als externe Internet-Adresse "remote.intern.kundendomain.de" angegeben.

Gewünscht war "remote.kundendomain.de" - beim Versuch, den Wizard erneut auszuführen und den richtigen Domainnamen anzugeben, bricht der Wizard beim Konfigurieren von Exchange mit einer nichtssagenden FEhlermeldung ab.

 

Daraufhin wurde überall, wo man's in der Exchange-Verwaltungskonsole finden konnte, "remote.intern.kundendomain.de" durch "remote.kundendomain.de" ersetzt. Soweit, so gut.

 

Bei näherer Betrachtung der SSL-Warnung beim Öffnen von Outlook steht in der obersten Zeile: "remote.intern.kundendomain.de"; und diese Adresse findet sich nicht im Zertifikat - daher vermutlich die Meldung.

 

Nun habe ich das Problem, dass ich nicht weiß, WO dieser falsche DNS-Name im Exchange noch hinterlegt ist.

Ich habe mal ein Bild angehängt... wo ist dieser Servername im Exchange wohl noch hinterlegt, wenn er in der Zertifikatswarnung auftaucht?

 

bearbeitet 13. Februar 2014 von neovanmatix

[Sunny61 806]

also, ich glaube, ich weiß wo der Fehler liegt - leider nur nicht, wie ich Ihn behebe.

Beim Ausführen des Wizards "Internetadresse einrichten" ist wohl etwas schief gegangen; hier wurde "versehentlich" als externe Internet-Adresse "remote.intern.kundendomain.de" angegeben.

Gewünscht war "remote.kundendomain.de" - beim Versuch, den Wizard erneut auszuführen und den richtigen Domainnamen anzugeben, bricht der Wizard beim Konfigurieren von Exchange mit einer nichtssagenden FEhlermeldung ab.

Wie genau lautet die Fehlermeldung? Sieh im Ereignisprotokoll auch nach einer Fehlermeldung.

[neovanmatix 0]

Wie genau lautet die Fehlermeldung? Sieh im Ereignisprotokoll auch nach einer Fehlermeldung.

Hallo,

 

ich habe den Wizard noch einmal ausgeführt (Screenshot hängt an) und in die Eventlogs (Fehler) geschaut.

Da gibt's ein paar...:

 

Diese sind wohl "kann man ignorieren"-Fehler lt. Microsoft:

 

Beim Starten der Sitzung "WBCommandletInBuiltTracing" ist der folgende Fehler aufgetreten: 0xC0000035.

Beim Starten der Sitzung "WBCommandletInBuiltTracing" ist der folgende Fehler aufgetreten: 0xC0000035.
Beim Starten der Sitzung "WBCommandletInBuiltTracing" ist der folgende Fehler aufgetreten: 0xC0000035.

 

 

Name der fehlerhaften Anwendung: w3wp.exe, Version: 7.5.7601.17514, Zeitstempel: 0x4ce7afa2

Name des fehlerhaften Moduls: KERNELBASE.dll, Version: 6.1.7601.18229, Zeitstempel: 0x51fb1677

Ausnahmecode: 0xe0434f4d

Fehleroffset: 0x000000000000940d

ID des fehlerhaften Prozesses: 0x30c8

Startzeit der fehlerhaften Anwendung: 0x01cf28caab3a84bd

Pfad der fehlerhaften Anwendung: c:\windows\system32\inetsrv\w3wp.exe

Pfad des fehlerhaften Moduls: C:\Windows\system32\KERNELBASE.dll

Berichtskennung: a3dc3150-9545-11e3-aa08-002590e30c7a

 

Diese kann man wohl ebenfalls ignorieren:

 

Fehler beim Cmdlet. Cmdlet Get-User, Parameter {Identity=NT-AUTORITÄT\SYSTEM}.

Fehler beim Cmdlet. Cmdlet Get-User, Parameter {Identity=NT-AUTORITÄT\SYSTEM}.

 

Fehler beim Cmdlet. Cmdlet Set-ReceiveConnector, Parameter {Identity=5ef52dfb-d69e-420d-9ab2-9d70a223f18e, Fqdn=remote.xxx.de, ConnectionInactivityTimeout=00:01:00, MaxRecipientsPerMessage=200, MaxInboundConnectionPercentagePerSource=2, MaxInboundConnectionPerSource=20}.

 

 

 

Weiterhin habe ich noch etwas recherchiert und bin auf folgende MS-Seite gestoßen, auf der erklärt wird, was der Internetadressenwizard einrichtet:

http://blogs.technet.com/b/sbs/archive/2008/10/17/introducing-the-internet-address-management-wizard-part-3-of-3.aspx

 

Ich bin alle Punkte durchgegangen (DNS, Empfang/Sendeconnectors, OWA, OAB, ActiveSync, SSL-Bindungen, etc.) - aber alles zeigt auf die richtige URL.

Was kann's den nun sein? :/

 

 

Edit:

Ich glaube, ich habe die Lösung gefunden:

http://premnair.wordpress.com/2010/07/03/configure-ews-autodiscover-owa-oab-ecp-on-exchange-server-2010/

 

Durch:

Test-OutlookWebServices -Identity admin@xxx.de

 

Bin ich auf ein Problem mit EWS und AutoDiscover gestoßen, dass auf den falschen Domainnamen zeigt.

Unter obigen Link ist beschrieben, wie man per Powershell diese Adressen abändert.

Danach läuft auch der Test-OutlookWebServices sauber durch - und ich teste das jetzt mal an einem Client.

bearbeitet 14. Februar 2014 von neovanmatix

[Sunny61 806]

Hast Du denn Wizard ausgeführt, der in der Fehlermeldung genannt wird? Sind denn auf dem SBS auch alle Windows Updates installiert? Prüf das unbedingt nach, notfalls auch Online suchen lassen.

 

Bezgüglich des ersten Fehlers, den kannst Du ignorieren: http://social.technet.microsoft.com/Forums/de-DE/041dcc1d-2fb7-473c-8845-6b7be97f937b/ereignisid-2-auf-windows-sbs-2011-sandard?forum=sbsde bzw. 'abstellen': http://bent-blog.de/small-business-server-2011-problem-fehler-0xc0000035-quelle-kernel-eventtracing-ereignis-id-2/

 

BTW: Anonymisiere die Daten.

[WSUSPraxis 48]

Hallo und schönen Abend,

 

Hast Du wirklich alle Windows Updates installiert ? Sieht nämlich nicht so aus. Bitte nachholen.

 

Viele Grüße Arnd