Zertifikatsfehler nach Migration von Exchange 2007 zu Exchange 2013

[Tommy1983 0]

Hallo zusammen,

ich habe eine Migration vom Exchange 2007 zu Exchange 2013 durchgeführt. Dieses lief ohne Probleme

Bevor die Postfächer Migriert wurden, habe ich an den Clients Office 2016 installier.

Im Anschluss der Migration haben wir ein Wildcard SSL Zertfifikat (*.firma.com) eingespielt und mit sämtlichen Diensten verbunden.
An den Outlook 2016 Clients bekomme ich allerdings eine Meldung:

"Der Name auf dem Sicherheitszertifikat ist ungültig oder stimmt nicht mit dem Namen der Webseite überein."
er fragt exchange.firma.local ab, obwohl das Zertifikat auf exchange.firma.com ausgestellt ist.

Die Dienste (ECP, OWA, Autodiscover etc...) sind alle auf das neue Zertifikat umgestellt wurden.

Wenn ich ein komplett neues Profil anlege läuft alles einwandfrei.

Ich vermute das die Profile noch Informationen vom alten Exchange 2007 gespeichert haben und sobald man ein neues Profil anlegt zieht er sich die neu.

Gibt es eine Datei oder in der Registry einen Ort wo die Information des Zertifikats gespeichert werden?

Denn genau da ist vermutlich der Knackpunkt!

Ich habe nicht wirklich lust 100 Profile neu anzulegen, denn dieses habe ich im Zuge der Migration ja schon einmal gemacht...


Gruß Tommy

[Dukel 454]

Hast du auch die Urls auf dem Exchange Server angepasst?

[Tommy1983 0]

Ja die Urls und DNS Einträge passen alle. Das ist alles richtig.

 

https://testconnectivity.microsoft.com/ auch dieser Test ist erfolgreich.

 

Wie schongeschrieben, wenn ich ein neues Profil anlege ist alles wunderbar. Irgendwie muss es daran liegen das ich das Profil angelegt habe als quasi zwei Exchange Server (2007 und 2013) in der Organisation vorhanden waren.

 

Irgendwo muss Outlook oder eine Datei / Registry Information noch den alten Weg gespeichert haben!?

bearbeitet 23. November 2016 von Tommy1983

[Dukel 454]

Wurden die alten Konten per Autoconfig konfiguriert oder manuell?

[Tommy1983 0]

Manuell von Platz zu Platz.

[Nobbyaushb 1.471]

Manuell von Platz zu Platz.

Davon musst du dich verabschieden, spätestens mit dem Einsatz von OL 2016 ist zwingend ein funktionierendes Autodiscover nötig.

 

Wie sieht die Split-DNS konfig aus, woher kommt das Zertifikat, von extern oder interne CA?

 

;)

[Dukel 454]

Mit Autoconfig wäre das nicht passiert.

Die Daten müssten schon in der Registry stehen (suche einmal nach dem Ex07 Servernamen), aber wenn du dies manuell machst wird es beim nächsten mal wieder schief gehen.

[Tommy1983 0]

Davon musst du dich verabschieden, spätestens mit dem Einsatz von OL 2016 ist zwingend ein funktionierendes Autodiscover nötig.

 

 

Wie sieht die Split-DNS konfig aus, woher kommt das Zertifikat, von extern oder interne CA?

 

;)

 

Ich glaube wir reden aneinander vorbei. Das Autodiscover funktioniert einwandfrei. Ansonsten könnte ich doch garkein Profil anlegen? Der Microsoft Remote Connectivty Test sagt ebenfalls das alles okay ist?

 

Falls du mit Split DNS die DNS Einstellung für den neuen Exchange meinst kann ich sagen das diese auf die neue IP gesetzt sind.

 

Das Zertifikat ist ein GlobalSign Wildcard Zertifikat.

Mit Autoconfig wäre das nicht passiert.

Die Daten müssten schon in der Registry stehen (suche einmal nach dem Ex07 Servernamen), aber wenn du dies manuell machst wird es beim nächsten mal wieder schief gehen.

Was genau meinst du eigentlich mit Autoconfig? Ich mache doch über die Systemsteuerung -> Profiles die Autokonfiguration? Er erkennt alles automatisch. Alles ist grün und sofort da!

bearbeitet 23. November 2016 von Tommy1983

[Nobbyaushb 1.471]

Das der externe Autodiscover geht hat aber nichts mit dem internen zu tun.

 

Da der ExRCA grün zeigt, gehe ich von einem gekauften Zertifikat aus.

 

Du schreibts, das ist ein Wildcard, gab es einen Grund dafür?

Ich bevorzuge SAN-Zertifikate, die machen im Alltag deutlich weniger Stress.

 

Wie sehen die URL´s im neuen Exchange aus?

 

Split-DNS intern, und wohin zeigt jetzt der neue srv-Eintrag (ja, der kann einem gerne mal in die Suppe spucken..)

 

Gibt es den 2007er noch?

 

;)

[Tommy1983 0]

Das der externe Autodiscover geht hat aber nichts mit dem internen zu tun.

 

Da der ExRCA grün zeigt, gehe ich von einem gekauften Zertifikat aus.

 

Du schreibts, das ist ein Wildcard, gab es einen Grund dafür?

Ich bevorzuge SAN-Zertifikate, die machen im Alltag deutlich weniger Stress.

 

Wie sehen die URL´s im neuen Exchange aus?

 

Split-DNS intern, und wohin zeigt jetzt der neue srv-Eintrag (ja, der kann einem gerne mal in die Suppe spucken..)

 

Gibt es den 2007er noch?

 

;)

 

Siehe Anhang. (Autodiscover test intern)

 

Wildcard Zertifikat damit man z.B auch über Extern seinen Abwesenheitsassistenten aktivieren kann. Das geht über SAN Zertifikate nicht.

 

Die URL`s im Exchange sind auf exchange.firma.com gesetzt.

 

Host (A) exchange.firma.com

IP: 192.168.115.2

bearbeitet 23. November 2016 von Tommy1983

[Nobbyaushb 1.471]

Siehe Anhang. (Autodiscover test intern)

 

Wildcard Zertifikat damit man z.B auch über Extern seinen Abwesenheitsassistenten aktivieren kann. Das geht über SAN Zertifikate nicht.

 

Die URL`s im Exchange sind auf exchange.firma.com gesetzt.

 

Host (A) exchange.firma.com

IP: 192.168.115.2

Moin,

woher kommt denn diese nicht korrekte Aussage mit dem Abwesenheitsassistenten?

Dann würden tausende von Domänen alleine in DE nicht funktionieren, und meine ca. 300 Kunden hätten mich schon Kielgeholt...

 

Das was du da schreibst ist kein Split-DNS!

 

;)

[Tommy1983 0]

Die Aussage kam von unserem IT Dienstleister. Er meint das man nur mit dem Wildcards Zertifikat die Optionen anklicken könnte?

Naja Tatsache ist aber ja das wenn ich über Systemsteuerung-> Mail über Autokonfiguration ein neues Postfach einrichten lasse kommt diese Fehlermeldung nicht mehr.

[Nobbyaushb 1.471]

Nochmal die Frage, ob der 2007er noch läuft.

 

Wenn nicht wie soll das Postfach wissen, das es verschoben wurde?

 

Und dem Dienstleister würde ich mal einen erzählen....

 

Du brauchst (bei einer Maildomain..) nur zwei Namen im Zertifikat, autodiscover.domain.tld und webmail.domain.tld (oder was auch immer..)

 

Split-DNS sauber und alles ist gut.

 

Auderdem ist ein Wildcard meistens empfindlich teurer, in SAN kann man bis zu 150(!) DNS-Namen haben.

 

;)

[Tommy1983 0]

Nein der Exchange 2007 läuft nicht mehr. Ist erfolgreich deinstalliert wurden.

 

Das Postfach habe ich natürlich voher migriert.

 

Ich weiß nicht genau was du mit SPLIT DNS meinst. Aber es ist so das unsere "internen" Clients den internen Weg nutzen und von Extern exchange.firma.com

 

naja wir zahlen 9,99€ im Monat.

bearbeitet 23. November 2016 von Tommy1983

[Nobbyaushb 1.471]

Wenn der 2007er aus ist, und die Clients noch nicht wieder an waren, nachdem der deinstalliert wurde, wie sollen die vom neuen Exchange wissen?

 

Split-DNS:

https://www.psw-group.de/newsletter/splitDNS.pdf

 

:p