Exchange 2016 meldet Zertifikat abgelaufen

[kiffajoe 12]

Hallo Zusammen,

 

ich habe ein komisches Problem:

Ich habe an unserem EX2016 Server das Zertifikat erneuert. Soweit so gut. Das war schon im April. Jetzt hab ich heute Nacht Updates + Neustart gemacht und nun meldet der Server wenn ich auf die Admin-Oberfläche gehe:

Zertifikat xxx.xxx.de ist abgelaufen. Ich kann dann auf die Zertifikate klicken aber alle dort sich gültig.

Seit heute Nacht kann ich mich auch nicht mehr mit Outlook 2016 am Server anmelden. Er bringt sofort das die Ordnergruppe nicht verfügbar ist.

 

Mit Outlook 2010 geht's problemlos. Auch E-Mailabruf per Handy oder per WebApp klappt.

 

Hat vielleicht jemand einen Tipp für mich wo ich noch schauen muss damit er das richtige Zertifikat akzeptiert?

 

Vielen Dank vorab!
LG
Christian

[testperson 1.677]

Hi,

 

du hast im April das Zertifikat am Exchange erneuert und jetzt hast du das Problem? D.h. bis gestern gab es noch kein Problem und heute meldet der Browser das Zertifikat sei abgelaufen?

Prüfe mal, ob die Zeit am Exchange Server und/oder den zugreifenden Clients korrekt ist.

 

Ansonsten:

• Ist das ein vertrauenswürdiges Zertifikat einer internen / externen CA?
• Ist das ein self-signed Zertifikat?
• Der Browser zeigt dir tatsächlich das neue bzw. richtige Zertifikat, welches auch tatsächlich gültig ist?
• Der Exchange ist auf einem aktuellen CU (16 oder 15)?

Gruß

Jan

[kiffajoe 12]

Hallo Jan,

 

ja, seit gestern und die Zeit am Exchange Server stimmt.

Es ist ein externes Zertifikat von www.digicert.com und es wird mit dem richtigen Fingerprint erkannt.

 

Ich hab noch CU13 - vielleicht würde ein Upgrade auf CU16 am einfachsten, macht das Sinn?

 

LG
Christian

[mikro 67]

Du Fehlermeldung erscheint nur im Browser?

Was sagt die ExchangeShell zu:

Get-ExchangeCertificate |select thumbprint,services,subject,notafter

 

 

Keine Fehler zu sehen?

 

Gruß Mikro

[manuel-r 2]

Wenn ich mich richtig erinnere muss das Zertifikat im IIS zusätzlich manuell ausgetauscht werden. Irgendsowas war da...

 

Manuel

 

[Sunny61 806]

vor 12 Minuten schrieb kiffajoe:

Ich hab noch CU13 - vielleicht würde ein Upgrade auf CU16 am einfachsten, macht das Sinn?

Unabhängig vom Problem, ja, ein Update auf CU 16 macht natürlich Sinn. Nach der Lösung deines Problemes solltest Du auf jeden Fall aktualisieren, ohne wenn und aber.

 

Da kommt die Frage auf: Weshalb ist der Server so lange nicht gepatcht worden?

[Nobbyaushb 1.471]

vor 5 Minuten schrieb manuel-r:

Wenn ich mich richtig erinnere muss das Zertifikat im IIS zusätzlich manuell ausgetauscht werden. Irgendsowas war da...

 

Manuel

 

Nein.

 

Wenn das Zertifikat mit den Exchange-Boardmitteln erneuert wird, sollten man lediglich den IIS neu starten (Powershell oder CMD)

ein iisreset /noforce läuft seit längerer Zeit in einen Timeout.

Am besten, über die Dienste (services.msc) den IIS beenden (Achtung dauert! - je nach "Bums" vom Server 3-12 min..) und dann neu starten.

 

Reboot vom Server geht natürlich auch.

 

Remove vom alten Cert nicht vergessen

 

 

Die wichtige Frage hat sunny ja gestellt..

bearbeitet 16. Juni 2020 von Nobbyaushb

[kiffajoe 12]

vor 5 Minuten schrieb mikro:

Du Fehlermeldung erscheint nur im Browser?

Was sagt die ExchangeShell zu:

Get-ExchangeCertificate |select thumbprint,services,subject,notafter

 

 

Keine Fehler zu sehen?

 

Gruß Mikro

Schaut eigentlich ganz normal aus, das Ergebnis. 

vor 5 Minuten schrieb mikro:

 

[mikro 67]

Kontrolliere lieber nochmal die IIS Bindings.

Gruß mikro

[kiffajoe 12]

macht es Sinn / ist es möglich dem bestehenden Zertifikat alle Rollen zu nehmen. Es nochmal zu Löschen und stattdessen erstmal ein selbst-signiertes anders benanntes zu importieren? Damit erstmal die Fehlermeldung weg ist.

Im Anschluss könnte ich ja wieder das richtige Zertifikat hinzufügen?

[Dukel 454]

1 minute ago, Nobbyaushb said:

Wenn das Zertifikat mit den Exchange-Boardmitteln erneuert wird, sollten man lediglich den IIS neu starten (Powershell oder CMD)

Das ist idr nicht nötig. Wenn doch stimmt etwas nicht.

[Nobbyaushb 1.471]

Ich habe den Thread nicht richtig gelesen.

 

Lade dir mal das Toll von Digicert herunter und starte das auf dem Exchange.

 

Und gestern auf CU16 gehen - diese Woche wird wohl CU17 kommen.

Und du weißt ja, das aktuell nur noch -1 supportet wird - also noch wäre das CU15....

[kiffajoe 12]

vor 1 Minute schrieb mikro:

Kontrolliere lieber nochmal die IIS Bindings.

Gruß mikro

Die sehen so aus und unter bearbeiten ist immer das richtige Zertifikat ausgewählt.

[NorbertFe 2.035]

vor 9 Minuten schrieb manuel-r:

Wenn ich mich richtig erinnere muss das Zertifikat im IIS zusätzlich manuell ausgetauscht werden. Irgendsowas war da...

 

Da erinnerst du dich falsch. Das ist im "NORMALFALL" nicht notwendig, sondern führt erfahrungsgemäß eher zu mehr Problemen.

[kiffajoe 12]

Gerade eben schrieb Nobbyaushb:

Ich habe den Thread nicht richtig gelesen.

 

Lade dir mal das Toll von Digicert herunter und starte das auf dem Exchange.

 

Und gestern auf CU16 gehen - diese Woche wird wohl CU17 kommen.

Und du weißt ja, das aktuell nur noch -1 supportet wird - also noch wäre das CU15....

ok, danke Dir! Spontane Frage: Läuft CU16 / CU17 auch mit Outlook 2010? Ich finde im Internet auf die Schnelle nichts...sorry...