Exchange Unterstützung für TLS 1.2?

[bill_mustermann 1]

Hallo allerseits, wie kann ich feststellen das mein Exchange Server 2012 TLS 1.2 unterstützt und dies auch funktioniert. In der Registry ist es zumindest mal aktiviert. Ich möchte aber wissen obs auch funktioniert. gruesse

bearbeitet 12. Januar 2015 von Lian

[NorbertFe 2.039]

Exchange 2013 meinst du? Der unterstützt es ab CU7. Testen kann man das sicher mit openssl oder Seiten wie dieser hier: http://www.checktls.com/

 

Bye

Norbert

bearbeitet 9. Januar 2015 von NorbertFe

[RobertWi 81]

Moin,

 

ich benutze dafür SSLyze:

https://github.com/nabla-c0d3/sslyze/releases

 

Ist Python und gibt es für Windows in einer einzelnen EXE.

 

Aufruf mit:

sslyze.exe EXCHANGEFQDN:PORT --regular --starttls=smtp

[bill_mustermann 1]

Hallo,

 

danke für die Antworten. Ich habe das Tool von Robert ausprobiert und bekomme beim Punkt TLSV1_ Cipher Suites die Ausgabe: Server rejected all cipher suites.

 

Bedeutet das das TLS v.1.1 nicht funktioniert?

 

gruesse

[NorbertFe 2.039]

Kannst du bitte sagen welche Exchange Version du einsetzt?

[bill_mustermann 1]

OH :) Klar. Exchange Server 2013 Std CU3

 

gruesse

[NorbertFe 2.039]

Du brauchst CU7! Steht in der ersten Antwort. Und damit du mir das auch glaubst: http://support.microsoft.com/kb/3001217

bearbeitet 9. Januar 2015 von NorbertFe

[bill_mustermann 1]

Hallo,

 

super, danke. Dann installiere ich mal das CU7.

 

Vielen Dank

 

gruesse

[RobertWi 81]

Hallo,

 

danke für die Antworten. Ich habe das Tool von Robert ausprobiert und bekomme beim Punkt TLSV1_ Cipher Suites die Ausgabe: Server rejected all cipher suites.

 

Bedeutet das das TLS v.1.1 nicht funktioniert?

 

gruesse

Das heißt, dass der Server auf TLS 1.1 nicht antwortet.

 

Das sieht so aus (Beispiele sind von HTTPS):

 

Funktioniert nicht oder ist deaktiviert:

 * SSLV2 Cipher Suites:
      Undefined - An unexpected error happened: 
                 RC4-MD5                             timeout - timed out                
                 RC2-CBC-MD5                         timeout - timed out                

usw.

 

Funktioniert und ist aktiviert:

 * TLSV1_2 Cipher Suites:
      Preferred:                       
                 ECDHE-RSA-AES256-SHA384       ECDH-521 bits  256 bits      HTTP 200 OK                        
      Accepted:                        
                 ECDHE-RSA-AES256-SHA384       ECDH-521 bits  256 bits      HTTP 200 OK                        
                 ECDHE-RSA-AES256-SHA          ECDH-521 bits  256 bits      HTTP 200 OK                        
                 AES256-SHA256                 -              256 bits      HTTP 200 OK                        
                 AES256-SHA                    -              256 bits      HTTP 200 OK

Unter "Prefered" sollten Cipher stehen, die ein "DHE" im Namen haben, am besten "ECDHE". Dann wirde PFS unterstützt. Ob man bei den "Accepted" auch Nicht-PFS haben will, muss man selbst sehen.

[bill_mustermann 1]

DANKE :)

[Lian 2.423]

Bitte wähle über den Button "Beste Lösung" die Antwort aus, die Dir geholfen hat - Danke!

[bill_mustermann 1]

Hallo,

 

ich habe nun das Update auf CU7gemacht. Direkt von CU3 auf CU7. Leider ist TLS1.1 und 1.2 immer noch nicht aktiviert bzw. funktioniert nicht. Was mache ich nun?

 

gruesse

[RobertWi 81]

Moin,

 

teste mal, ob TLS bei dem Server überhaupt aktiviert ist:

http://support.microsoft.com/kb/2709167/en-us

 

Ich benutze zur Config der gerne das hier:

https://www.nartac.com/Products/IISCrypto/

[bill_mustermann 1]

Hallo,

 

also laut dem Tool ist alles aktiviert. In der Registry habe ich auch nochmal nachgesehen, da passt auch alles. Allerdings habe ich da keine Schlüssel names Client sondern nur Server.

 

Mein Aufruf:  .\sslyze\sslyze.exe mx.xxxxxxxxxxxxxxx.eu:2525 --regular --starttls=smtp

 

TLSV1_2 Cipher Suites:
  Server rejected all cipher suites.

 

gruesse

bearbeitet 13. Januar 2015 von bill_mustermann

[bill_mustermann 1]

Hallo,

 

keiner mehr eine Idee?

 

gruesse