Exchange Server 2010 Zertifikat

[vohinh134 10]

Hallo Zusammen,

 

ich habe aktuell ein dringendes Problem:

bei einigen Linux Rechner mit Thunderbirds können keine E-Mail mehr abgerufen werden

Fehlermeldung: Failed to connect to IMAP server "servername" in secure mode: STARTTLS not supported.

 

Ich habe auf dem Exchange Server gesehen, dass ein Zertifikat für die Dienste IMAP, POP, SMTP abgelaufen ist.

 

EIn neues Zertifikat wurde auf dem Exchange Server erstellt und mit Hilfe von Zertifizierungsstellen auf einem DC signiert.

-> es funktioniert

 

Wenn ich das signierte Zertifikat mit "Complete Pending Request" importiere, wird es nicht angenommen (Zertifikat nicht als vertrauenwürdig)

-> Zertifikat im vertrauenwürdigen Store installiert

--> Problem besteht weiterhin

 

Wie kann ich das Problem sonst lösen. Es ist wirklich sehr dringend.

 

 

Ich bin für eure Antwort sehr dankbar..

 

 

[testperson 1.680]

Probiere das mal über die EMS:

Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path c:\pfad\zum\Zertifikat.cer -Encoding byte -ReadCount 0))

Hast du das Zertifikat über den IIS beantragt oder über die EMC?

[vohinh134 10]

werde ich gleich probieren.

Kannst du mir sagen, wie ich das Zertifikat richtig erstelle. Ich bin der Meinung, dass ich hier was falsch mache

Also ich erstelle ein neues Zertifikat im EMC

-> Name: Exchange

-> kein wildcard

-> Client access server (POP/IMAP)

--> POP/IMAP is used on the intranet

--> POP/IMAP is used on the Internet

aktivieren und Server eintragen

 

Das war schon oder?

[testperson 1.680]

Ich habe glaube ich noch nie ein Zertifikat über die EMC beantragt :). Ich erstelle einen Request in der EMS und reiche den dann bei einer kommerziellen CA ein und importiere es dann per dem Befehl oben.

Set-Content -Path "C:\Mein_Request.req" -Value (New-ExchangeCertificate -GenerateRequest -KeySize 2048 -SubjectName "c=Land, s=Bundesland, l=Stadt, o=Organisation, cn=outlook.domain.tld" -domainName outlook.domain.tld autodiscover.domain.tld autodiscover.domain2.tld -PrivateKeyExportable $True)

[vohinh134 10]

kann es nicht ein selbst signiertes Zertifikat sein?

[NorbertFe 2.035]

Kann schon, aber dann werden alle deine Thunderbirds rummeckern, weil sie dem nicht vertrauen. Sinnvoller wärs, die Konfiguration auf Split-DNS umzustellen und ein offizielles Zertifikat mit den passenden Namen einzubinden.

[vohinh134 10]

Hi NobertFe,

ok und wie kann ich in diesem Fall das Zertifikat richtig erstellen?

[NorbertFe 2.035]

In welchem Fall?

[vohinh134 10]

wie kriege ich in meinem Fall dazu, dass die Linux Clients wieder auf die E-Mails zugreifen können?

[NorbertFe 2.035]

Indem du ein passendes Zertifikat anforderst. Welches das für dich ist, kann ich nur raten. Deswegen kam ja auch der Rat, sich eins zu kaufen, welches die korrekten Namen zu deiner uns unbekannten Konfiguration beinhaltet.

[vohinh134 10]

wir haben ein SSL Zertfikat für OWA. Kann ich diese eigentlich auch dafür verwenden?

[PowerShellAdmin 169]

wir haben ein SSL Zertfikat für OWA. Kann ich diese eigentlich auch dafür verwenden?

Grundlegend solltest du erstmal die Zugriffe für den Splittdns definieren und daraus dann deine Zertifikatsanforderungen ableiten.

Im Anschluss solltest wirst du dann üblicherweise eine SAN Zertifikat benötigen, welches mehrere FQDN abdeckt.

[vohinh134 10]

Noch eine Frage habe ich:

-> ich habe aktuell ein SSL Zertifikat für *.domainname.com. Dieses ist für IIS und SMTP aktiviert.
 

Für IMAP4 ist unter X.509 certificate name: servername.domain.muc eingetragen.

Kann ich im IMAP EInstellung den X.509 certificate name nach: servername.domainname.com umbenennen und das SSL Zertifikat für IMAP auch  aktivieren? Würde es mit einem Zertifikat gehen?

[NorbertFe 2.035]

Ja kannst du. Vorausgesetzt, deine ganzen Linuxclients wissen, dass sie dann auch zu servername.domainname.com connecten müssen.

[vohinh134 10]

kann ich das irgendwie automatisieren, damit ich nicht manuell bei den Linuxclients einrichten muss?

Wenn nicht, wird das neu Einrichten des Konto auf den Linuxclients helfen?

 

Vielen Dank