SSL Zertifikat hat keine Bindung an SMTP

[MHeiss2003 11]

Hallo liebe community,

 

ich habe das Problem, dass die Zuweisung eines SSL Zertifikates an den SMTP-Dienst an einem Exchange 2019 nicht durchgeführt wird. 

Get-ExchangeCertificate| fl Thumbprint,Services,Subject,Status

bringt nur das Ergebnis, dass der IIS-Dienst an das betroffene Zertifikat gebunden ist.

 

Enable-ExchangeCertificate <Thumbprint> -services SMTP

wird zwar ohne Fehler durchgeführt, allerdings ändert sich die Zuweisung nicht.

 

Nun meine Frage an die Exchange Spezialisten: Kann ich das bestehende Zertifikat über die Exchange GUI entfernen und in einem geöffneten Fenster das Zertifikat dann neu importieren oder riskiere ich hier Dienstunterbrechungen und Ausfälle? Wie ist die richtige Vorgehensweise, wenn ich das bestehende Zertifikat entfernen und dann neu importieren möchte?

 

Vermutlich wurde das existierende Zertifikat über die MMC importiert und nicht über die Exchange GUI.

 

Vielen Dank vorab und Grüße aus Mittelfranken.

Mario

[mikro 67]

Moinsen,

 

hast Du vielleicht einfach nur mehrere Zertifikate an den SMTP Dienst gebunden?

Wenn du den Thumbprint des Zertifikates ansiehst der jetzt auf dem SMTP Dienst gebunden ist, ist das ein altes?

Wird es denn in der Exchange ECP angezeigt das Zert, falls ja wüsste ich nicht warum du es raus und wieder reinnehmen willst.

Hat das Zert in der MMC einen Schlüssel davor?

 

Gruß mikro

 

[MHeiss2003 11]

Hallo Mikro,

 

danke für Deine Nachricht. Es ist aktuell überhaupt kein Zertifikat an den SMTP-Dienst gebunden, siehe Screenshot.

 

Es wird angezeigt, ja. Und ja, es hat einen Schlüssel in der MMC.

 

Mein Gedanke war, dass es vielleicht beim Import über die MMC ein Problem gegeben haben könnte und deshalb die Zuweisung an IIS und SMTP einfach durch einen Reimport nochmals sauber durchgeführt werden könnte.

 

[NorbertFe 2.034]

Du kannst ein Zertifikat normalerweise mit Schlüssel exportieren und danach in der Exchange powershell erneut importieren (bitte dran denken, dass Import-Exchangecertificate in cu 23 und cu12 keine unc Pfade mehr kann) das sollte problemlos möglich sein.

 

alternativ könnte man mal in die connectoren schauen, ob dort nicht evtl. Ein nicht mehr vorhandenes Zertifikat direkt zugewiesen wurde.

[mikro 67]

vor 10 Minuten schrieb MHeiss2003:

Mein Gedanke war, dass es vielleicht beim Import über die MMC ein Problem gegeben haben könnte und deshalb die Zuweisung an IIS und SMTP einfach durch einen Reimport nochmals sauber durchgeführt werden könnte.

 

 

Da glaub ich nciht so Recht dran. was passiert denn, wenn Du den Dienst in der ECP zuweist?

 

[NorbertFe 2.034]

Das problem mit dem smtp service gibts immer wieder mal. Die Zuweisung zu imap Pop oder https ist kein Problem und smtp ist nicht möglich. Hab ich schon zig mal bei Kunden gesehen.

[MHeiss2003 11]

vor 23 Minuten schrieb NorbertFe:

alternativ könnte man mal in die connectoren schauen, ob dort nicht evtl. Ein nicht mehr vorhandenes Zertifikat direkt zugewiesen wurde.

Wie mache ich das am besten?

vor 17 Minuten schrieb mikro:

Da glaub ich nciht so Recht dran. was passiert denn, wenn Du den Dienst in der ECP zuweist?

 

Leider ebenfalls nichts. SMTP lässt sich anwählen und die Auswahl speichern. Eine Zuweisung erfolgt aber nicht.

[mikro 67]

Naja, dann mach es doch mal wie NorbertFe vorgeschlagen hat. Exportiere in der Certlm.msc das Zertifikat mit dem privaten Key und fürge es danach wieder ein.

 

[MHeiss2003 11]

vor 18 Minuten schrieb NorbertFe:

Das problem mit dem smtp service gibts immer wieder mal. Die Zuweisung zu imap Pop oder https ist kein Problem und smtp ist nicht möglich. Hab ich schon zig mal bei Kunden gesehen.

Und hast Du den Fehler beheben können? Mir ist das Ganze auf den Fuß gefallen bei der Konfiguration der Exchange Hybrid Umgebung über den Assistenten und die daraufhin erfolgte Kontrolle der Ereignislogs.

[NorbertFe 2.034]

Gerade eben schrieb MHeiss2003:

Und hast Du den Fehler beheben können?

Natürlich:)

[MHeiss2003 11]

vor 54 Minuten schrieb NorbertFe:

alternativ könnte man mal in die connectoren schauen, ob dort nicht evtl. Ein nicht mehr vorhandenes Zertifikat direkt zugewiesen wurde.

Und wie prüfe ich das am besten?

[mikro 67]

vor 11 Minuten schrieb MHeiss2003:

Und wie prüfe ich das am besten?

Get-receiveconnector "Name" |select TLSCertificateName

 

bearbeitet 22. April 2022 von mikro
zu früh abgeschickt

[MHeiss2003 11]

vor 8 Minuten schrieb mikro:

Get-receiveconnector "Name" |select TLSCertificateName

 

Danke.

Das Ergebnis ist, dass 3 der 7 Empfangs-Connectoren das korrekte Zertifikat zugewiesen haben. Die anderen haben keine Zuweisung.

[NorbertFe 2.034]

Das bedeutet nicht zwingenderweise, dass an denen kein tls angeboten wird.

[MHeiss2003 11]

vor 34 Minuten schrieb NorbertFe:

Das bedeutet nicht zwingenderweise, dass an denen kein tls angeboten wird.

Aber auf der Suche nach einem alten zugewiesenen Zertifikat irrelevant, oder?