Selbst erstelltes Exchange Zertifikat

[hamster 10]

Hallo,

ich habe nach dieser Anleitung ein Exchange Zertifikat erstellt

http://www.frankysweb.de/exchange-2010-san-zertifikat-und-interne-zertifizierungsstelle-ca/

 

Über dieses Zertifikat soll das Outlook Anywhere genutzt werden.

Es hat auch alles geklappt und das Zertifikat ist auch aktiv. Selbst die Zertifikatsmeldung beim öffnen vom Outlook innerhalb der Domäne ist weg.

 

Mein Problem ist, dass ich dieses Zertifikat nicht an einen Client außerhalb der Domäne installieren kann.

Ich bin wie folgt vorgegangen.

1. Im IE innerhalb der Domäne, habe ich das selbst signierte Zertifikat exportiert.

Dateiname Zertifikat.cer

 

2. Diese Datei am Windows 7 Pro 64 per Doppelklick installiert (in die vertrauenswürdigen Stammzertifizierungsstellen). Auch das Fenster mit den Fingerabdruck kommt und dann die Meldung erfolgreich installiert.

Wenn ich aber dann am Client in die Vertrauenswürdigen Stammzertifizierungsstellen schaue, ist das Zertifikat nicht da.

 

Ich habe diese Vorgehensweise auf 2 Unterschiedlichen Exchange 2010 Server 2008 R2 getestet.

 

Was mache ich falsch? Kann mir jemand einen Tipp geben.

 

 

[RobertWi 81]

Moin,

 

Du sollst ja auch nicht das Exchange Zertifikat beim Client importieren, sondern das der CA.

 

Am besten gehst Du von einem internen Client auf OWA und schaust Dir das Zertifikat an. Dann solltest Du im Zertifikatspfad darüber die CA sehen. Öffne es und exportiere es in eine Datei. Und die wird dann bei den Clients in der vertrauenswürdigen Stammzertifizierungsstellen importiert.

 

Bei internen (sprich Domain Clients) musst Du das nicht machen, weil hier das Zertifikat automatisch via GPO verteilt wird, nachdem Du eine AD-integrierte CA installiert hast.

[hamster 10]

Hi,

 

danke für deine Antwort. Ich möchte ja auch nicht das Exchange Zert. installieren, oder habe ich eine Denkfehler.

Ich gehe an einen externen Client und öffne per dyndns.org/owa das owa. HIer erhalte ich gleich die Zertifikatsmeldung (über den IE). Wenn ich hier auf weiter gehe, kann ich mir das Zertifikat anzeigen lassen (oben neben der Adresszeile, Sicherheitsbericht) und installieren. Das ist genau das was eben nicht geht. Also es kommt keine Fehlermeldung bei der Installation, aber vorhanden ist es auch nicht in der vertrauenwürdigen Stammzertifizierungsstellen.

[DocData 85]

Du hast eine CA und das Zertifikat des Exchange Servers. Dein Client bekommt vom Exchange Server das Zertifikat gezeigt. Damit der Client das Zertifikat vom Exchange Server als gültig ansieht, müssen unterschiedliche Dinge korrekt sein. So muss z.B. der Name, mit dem der Exchange Server angesprochen wird, im Zertifkat enthalten sein. Das Zertifikat darf nicht abgelaufen sein und es muss von einer CA ausgestellt sein, die der Client kennt und die er als gültig anerkennt. Hier liegt dein Problem. Dein Client bekommt als Mitglied der Domäne das CA Zertifikat automatisch. Wenn du aber an einem Rechner außerhalb der Domäne sitzt, dann kennt dieser deine interne CA nicht. Dementsprechend erkennt der Client das Zertifikat des Exchange Server als ungültig (es wurde von einer CA ausgestellt, für die er kein CA Zertifikat hat).

 

Du musst also das CA Zertifikat exportieren und es am gewünschten Client in die vertrauenswürdigen Stammzertifizierungsstellen importieren. Dann verschwindet die Zertifikatswarnung.

[RobertWi 81]

danke für deine Antwort. Ich möchte ja auch nicht das Exchange Zert. installieren, oder habe ich eine Denkfehler.

Ich gehe an einen externen Client und öffne per dyndns.org/owa das owa. HIer erhalte ich gleich die Zertifikatsmeldung (über den IE). Wenn ich hier auf weiter gehe, kann ich mir das Zertifikat anzeigen lassen (oben neben der Adresszeile, Sicherheitsbericht) und installieren. Das ist genau das was eben nicht geht. Also es kommt keine Fehlermeldung bei der Installation, aber vorhanden ist es auch nicht in der vertrauenwürdigen Stammzertifizierungsstellen.

 

Das ist das "fehlerhafte" Exchange Zertifikat, nicht das der CA. Sieht man doch am Namen, oder?

 

Das der CA siehst Du nur an einem Client OHNE Fehlermeldung in der Kette, oder Du holst es Dir aus der CA, wie DocData schreibt.

[hamster 10]

Hallo,

ja ich hatte hier wohl einen Denkenfehler. Ich wollte das Exchange-Zertifikat installieren was ist erstellt habe. Also das was zu sehen ist unter Exchange Verwaltungskonsole-Serverkonfiguration.

Ich habe nun am externen Client das Zertifikat installiert was mir z. B. unter \\server\public\downloads angezeigt wird. Damit hat es gefunzt.

Danke für eure Hilfe.

[RobertWi 81]

ja ich hatte hier wohl einen Denkenfehler. 

 

Nein, Du hast es offensichtlich immer noch nicht verstanden. Du sollst nicht irgendein Zertifikat, dass Du zufällig irgendwo in einer Freigabe findest, installieren, sondern das der Zertifizierungsstelle!

 

Das kann das gleiche sein, muss aber nicht.