Exchange 2013 - Probleme mit IMAP wegen Zertifikat

[bill_mustermann 1]

Hallo,

 

ich habe Probleme IMAP auf dem Exchange 2013 zum Laufen zu bekommen. Der Dienst und alles läuft aber es scheint ein Problem mit dem Zertifikat zu geben und ich finde den Fehler nicht.

 

Kann mir jemand weiter helfen bitte?

 

Der Connectivity Test sagt mir folgendes:

Testing IMAP for user xxxxxxxxxxxx\daten on host mx.xxxxxxxxx.eu:993:SSL.
 	The IMAP test failed.
 	
	Additional Details
 	
Elapsed Time: 461 ms.
 	
	Test Steps
 	
	Attempting to resolve the host name mx.xxxxxxxxxx.eu in DNS.
 	The host name resolved successfully.
 	
	Additional Details
 	
IP addresses returned: xx.xxx.xx.xxx
Elapsed Time: 86 ms.
	Testing TCP port 993 on host mx.xxxxxxxxx.eu to ensure it's listening and open.
 	The port was opened successfully.
 	
	Additional Details
 	
Elapsed Time: 226 ms.
	Testing the SSL certificate to make sure it's valid.
 	The SSL certificate failed one or more certificate validation checks.
 	
	Additional Details
 	
Elapsed Time: 147 ms.
 	
	Test Steps
 	
	The Microsoft Connectivity Analyzer is attempting to obtain the SSL certificate from remote server mx.xxxxxxxxx.eu on port 993.
 	The Microsoft Connectivity Analyzer wasn't able to obtain the remote SSL certificate.
 	
	Additional Details
 	
The certificate couldn't be validated because SSL negotiation wasn't successful. This could have occurred as a result of a network error or because of a problem with the certificate installation.
Elapsed Time: 125 ms.

Ich muss dazu sagen das es bis vor ein paar Tagen noch funktioniert hat. Aber wie immer weiß keiner mehr was davor geändert wurde. Das Zertifikat ist aber definitiv nicht angefasst worden und auch noch gültig und dort wo es hingehört.

 

Eventuell im IIS etwas mit der Authentifizierung umgestellt worden, aber wo und was?

 

gruesse

bearbeitet 26. Oktober 2016 von bill_mustermann

[testperson 1.680]

Hi,

 

hast du jetzt Probleme mit MAPI over http oder mit IMAP?

Der IMAP Test den du da machst scheitert vermutlich daran, das du ein selbstsigniertes Zertifikat nutzt, die Sperrlisten nicht verfügbar sind oder die Zertifikatskette nicht passt.

 

Gruß

Jan

[bill_mustermann 1]

Hallo,

 

oh sorry, ich meine IMAP.

 

Das Zertifikat nutzen wir so aber schon seit Jahren ohne Probleme. Daran hat sich auch nichts geändert.

 

Ich denke man sollte speziell auf diese Aussage reagieren:

 

The certificate couldn't be validated because SSL negotiation wasn't successful.

 

Aber da verlassen mich meine Kenntnisse leider.

 

gruesse

bearbeitet 26. Oktober 2016 von bill_mustermann

[testperson 1.680]

Hi,

 

wenns an der Negotiation liegt sollte IIS Crypto mit Best Practice Einstellung helfen. AFAIK nutzt der Exchange die Schannel-Cipher / Hashes / etc. Bei IMAP und POP bin ich mir da allerdings nicht 100%ig sicher ;)

Der Exchange und das OS sind aktuell gepatched? Das Zertifikat ist nicht noch ein SHA-1?

 

Nach dem Ausführen von IIS Crypto muss der Server gebootet werden.

 

Den Log da oben hast du vom MS Remote Analyzer Tool? Was passiert an einem Client? Findet sich was im IMAP Log?

 

Gruß

Jan

[bill_mustermann 1]

Hallo,

 

danke erstmal für die Mühe die du dir machst mir zu helfen :)

 

Ich habe etwas gegoogled (gestern übrigens auch schon aber noch nichts gefunden gehabt) und folgendes gefunden:

 

Irgend ein Update (so langsam gehen mir die Updates auf den Keks, Stichwort Win10 Updates etc.....) hat wohl dafür gesorgt das nicht alle Services aktiv sind. So auch der IMAP Proxy:

[PS] C:\Windows\system32>Get-ServerComponentState -Identity XXXXXX

Server                                  Component                               State
------                                  ---------                               -----
....
XXXXXX.XXXXXX.XXXXXX              ImapProxy                               Inactive
...

SUPER

 

Mit einem:

[PS] C:\Windows\system32>Set-ServerComponentState -Identity XXXXXX -Component IMAPProxy -Requester HealthAPI -State Active

gehts dann wieder.

 

Bleibt das bei einem Server neustart jetzt auch aktiv?

 

gruesse

[NorbertFe 2.035]

Ja das bleibt aktiv. ;) Wenn nicht, merkst du es ja.

[bill_mustermann 1]

Super, danke für die Antwort.

 

gruesse