Exchange - Splitt DNS - Zertifikat - 2 Domains

[Dutch_OnE 39]

Guten Morgen,

 

folgende Einrichtung habe ich für einen Exchange Server erstellt.

 

Provider: 

Subdomain autodiscover@domain.de und mailhost@domain.de erstellt und auf feste IP des Exchange Servers verwiesen

 

Windows:

beide Subdomains mit A-Record auf Server IP erstellt

Zertifikat im IIS eingebunden

 

Exchange:

Pfade der Webservices (intern und extern) auf mailhost@domain.de, bzw. für AD auf autodiscover@domain.de gestellt. 

 

Es funktioniert soweit alles wunderbar.

Jetzt gibt es aber noch eine zweite Domäne. 

 

Meine Idee ist es die Subdomain autodiscover@domain2.de beim Provider und am DNS zu erstellen. Auf dem Zertifikat hätte ich dann mailhost.domain.de, autodiscover.domain.de und autodiscover.domain2.de

 

Wie muss ich aber mit den Pfaden der Webservices im Exchange verfahren? Müssen da jeweils beide Domänen rein?

 

Gruß DO

 

[testperson 1.677]

Hi,

vor 14 Minuten schrieb Dutch_OnE:

Wie muss ich aber mit den Pfaden der Webservices im Exchange verfahren? Müssen da jeweils beide Domänen rein? 

die bleiben so wie sie sind.

vor 14 Minuten schrieb Dutch_OnE:

Pfade der Webservices (intern und extern) auf mailhost@domain.de, bzw. für AD auf autodiscover@domain.de gestellt. 

Autodiscover sollte auch auf mailhost.<Domain>.<tld> zeigen.

vor 16 Minuten schrieb Dutch_OnE:

Meine Idee ist es die Subdomain autodiscover@domain2.de beim Provider und am DNS zu erstellen. Auf dem Zertifikat hätte ich dann mailhost.domain.de, autodiscover.domain.de und autodiscover.domain2.de

Das passt dann.

vor 16 Minuten schrieb Dutch_OnE:

Jetzt gibt es aber noch eine zweite Domäne. 

Wenn kein Konto die zweite Domain als primäre SMTP Adresse hat, dann kannst du dir das o.g. auch sparen. ;)

 

Generell solltest du, falls noch nicht geschehen, in "domain.msc" die beiden Domains als UPN Suffix hinterlegen und die UPNs der User entsprechend der primären SMTP Adresse setzen.

 

Gruß

Jan

 

[Dutch_OnE 39]

Moin,

wenn ich jetzt alles richtig verstanden habe:

- hätte ich gar nicht autodiscover und mailhost als Subdomain am DNS anlegen müssen, sondern beim Provider für autodiscover einen Cname auf mailhost setzen und im DNS am Server, sowie in Exchange nur mailhost?

 

Leider haben alle Konten der zweiten Domain ein entsprechende primäre Adresse.

Mit UPN Suffixen habe ich noch nie gearbeitet, da die zweite Domain bisher nur im Outlook als zweites Konto genutzt wird. Da werde ich mich mal einlesen.

 

Gerade gesehen, dass das Zertifikat nur eine Hauptdomain kann. Zertifikat ändern oder geht auch ein zweites hinzufügen?

 

Sorry für diese vielen Fragen und vielen Dank für die Antwort.

[NorbertFe 2.035]

CNAME sind keine gute Idee. A-Record (bzw. bei den ganzen Consumer-Provider-Verträgen eben ne Host-Domain) sind schon richtig.

vor 4 Minuten schrieb Dutch_OnE:

Gerade gesehen, dass das Zertifikat nur eine Hauptdomain kann. Zertifikat ändern oder geht auch ein zweites hinzufügen?

Welches Zertifikat? Falsches gekauft? ;)

Nein Exchange bzw. der IIS kann nur ein Zertifikat pro Site.

[testperson 1.677]

vor 1 Minute schrieb Dutch_OnE:

- hätte ich gar nicht autodiscover und mailhost als Subdomain am DNS anlegen müssen, sondern beim Provider für autodiscover einen Cname auf mailhost setzen und im DNS am Server, sowie in Exchange nur mailhost?

Nein. Die A-Records sowohl im Provider DNS wie auch im lokalen DNS sind korrekt. (Theoretisch hätten auch CNames für Autodiscover genügt bzw. führen viele Wege zum Autodiscover.)

vor 3 Minuten schrieb Dutch_OnE:

Leider haben alle Konten der zweiten Domain ein entsprechende primäre Adresse.

Macht ja nichts. ;)

vor 3 Minuten schrieb Dutch_OnE:

Mit UPN Suffixen habe ich noch nie gearbeitet, da die zweite Domain bisher nur im Outlook als zweites Konto genutzt wird. Da werde ich mich mal einlesen.

Vermutlich hast du das schon. ;)

vor 4 Minuten schrieb Dutch_OnE:

Gerade gesehen, dass das Zertifikat nur eine Hauptdomain kann. Zertifikat ändern oder geht auch ein zweites hinzufügen?

Zertifikat ändern dürfte einfacher sein und schneller gehen sowie die sauberste Lösung sein. Alternativ wäre SNI ein Stichwort, Eine weitere Möglichkeit wäre sich Autodiscover im Detail anzusehen und zu verstehen. ;)

[Dutch_OnE 39]

@Norbert - Kunde wusste nicht was er wollte ;)

 

 

Die zweite Domain wird nur im Outlook und auf dem Smartphones als reine E-Mail Anwendung genutzt. Bisher war ein selbstausgestelltes Zertifikat im Einsatz. Das hat soweit auch funktioniert, nur möchten neuere Apple Geräte gerne richtige Zertifikate haben.

 

Das einzige was ich jetzt noch nicht verstehe ist:

Domain.de war auf einem neuen IPAD nicht einzurichten. Durch das Zertifikat funktioniert es wunderbar.

Domain2.de (hier ist kein Splitt-DNS, Autodiscover, sonstiges eingerichtet) funktioniert auch, bzw. diese Konten können im IPAD ebenfalls hinzugefügt werden. Diese Domain ist auch nicht auf dem Zertifikat enthalten.

 

 

 

 

 

[NorbertFe 2.035]

vor 22 Minuten schrieb Dutch_OnE:

Domain2.de (hier ist kein Splitt-DNS, Autodiscover, sonstiges eingerichtet) funktioniert auch, bzw. diese Konten können im IPAD ebenfalls hinzugefügt werden. Diese Domain ist auch nicht auf dem Zertifikat enthalten.

 

Ja aber dann nur, weil du manuell eingreifst. ;) Nur mit der Emailadresse der 2. Domain kann das nicht klappen.

[testperson 1.677]

SCNR

 

vor 27 Minuten schrieb Dutch_OnE:

@Norbert - Kunde wusste nicht was er wollte ;)

Passt ja dann, da der Dienstleister auch nicht wirklich weiß was er da tut. :P

 

 

[Dutch_OnE 39]

vor 50 Minuten schrieb testperson:

SCNR

 

Passt ja dann, da der Dienstleister auch nicht wirklich weiß was er da tut. :P

 

 

Das Schlimme ist, dass Du damit leider Recht hast. Nur das will bei uns keiner hören. Diese Erwartungen zu erfüllen kostet mich sehr viel Frei- bzw. Lebenszeit. Von der aufsteigenden innerlichen Wut mal ganz zu schweigen. Ich bin auch der Meinung, dass man sowas nicht mit Schulungen lernt, sondern es einfach mal praktisch durchmachen muss. MCSE auf W2008 bin ich auch, aber das nützt halt nicht, um solchen "Themen" zu lösen.

[Dutch_OnE 39]

Eine letzte Rückfrage habe ich noch. Der Kunde möchte Domain1 von Mobil nutzen. Splitt DNS + Zertifikat -> soweit ok.

Die zweite Domain nutzt er nur aus seinem internen LAN. Reicht es dann nicht auch aus, nur einen Splitt DNS für das autodiscover einzurichten?

 

Das Ursprungsproblem ist, dass Outlook immer wieder das Profil zerstört. Laut meinen Recherchen liegt das wohl an einem nicht richtig konfiguriertem autodiscover.

 

Bei dem anderen Server habe ich das selbe Problem auch nur mit einem Zertifikat für Domain1 gelöst. Komischerweise funktioniert am mobil Gerät auch Domain2. Das verstehe ich nicht. Steht ja nichts von auf dem Zertifikat.

 

Vielleicht ist jemand so lieb und gibt mir noch einen letzten Tipp dazu.

 

 

bearbeitet 30. August 2019 von Dutch_OnE

[testperson 1.677]

vor 14 Minuten schrieb Dutch_OnE:

Die zweite Domain nutzt er nur aus seinem internen LAN. Reicht es dann nicht auch aus, nur einen Splitt DNS für das autodiscover einzurichten?

Nutzt er die Domain im internen LAN bei irgendeinem Postfach als Standard SMTP Adresse? Wenn ja, dann solltest du Autodiscover für Domain2 sauber einrichten, was unterm Strich eben der Host im Zertifikat wäre.

[Dutch_OnE 39]

Es sind zwei verschiedene Exchange Konten im Outlook eingerichtet. Also von beiden Domains werden Mails verschickt. Primär ist natürlich Domain1, aber Domain2 wird auch genutzt.

Beide schicken über den selben Smarthost von 1und1.

 

Am 26.8.2019 um 12:09 schrieb NorbertFe:

Ja aber dann nur, weil du manuell eingreifst. ;) Nur mit der Emailadresse der 2. Domain kann das nicht klappen.

 

Was meint Norbert damit? bzw. reicht es dem Apple Gerät, dass ein offizielles Zertifikat für den Server vorhanden ist? (Enthält ja nur Domain1, aber das Konto von Domain2 kann seitdem auch vom Apple genutzt werden)

 

[Dutch_OnE 39]

Ich glaube die Lösung liegt in der Anleitung von Frank, bzw. Frankysweb.

 

[testperson 1.677]

vor einer Stunde schrieb Dutch_OnE:

Es sind zwei verschiedene Exchange Konten im Outlook eingerichtet. Also von beiden Domains werden Mails verschickt. Primär ist natürlich Domain1, aber Domain2 wird auch genutzt.

Beide schicken über den selben Smarthost von 1und1.

Dann nimm den Host autodiscover.domain2.de ins Zertfikat auf, setze den entsprechenden A-Record beim Provider auf deine öffentliche IP und im internen DNS setzt du ihn auf den Exchange (analog zur Domain1). Alternativ richte Autodiscover so ein, dass es von extern und intern einfach funktioniert. ;)

 

vor einer Stunde schrieb Dutch_OnE:

Was meint Norbert damit? bzw. reicht es dem Apple Gerät, dass ein offizielles Zertifikat für den Server vorhanden ist? (Enthält ja nur Domain1, aber das Konto von Domain2 kann seitdem auch vom Apple genutzt werden)

Ich vermute, dass er damit meint, dass du die Einstellungen am mobilen Device händisch vornimmst und es sich nicht per Autodiscover konfiguriert.

[NorbertFe 2.035]

vor 9 Stunden schrieb testperson:

Ich vermute, dass er damit meint,

Genau das. ;)