Exchange 2010 + Outlook 2007 Sicherheitshinweise

1. offizieller Beitrag

    Guten Tag zusammen,


    ich öffne diesen neuen Thread, weil Google-Suche und Foren-Suche nicht wirklich weiter geholfen hat. Vielleicht habe ich ein spezielles Problem.


    Ich habe einen Exchange 2010 innerhalb von SBS 2011 aufgesetzt. Alles kein Problem, aber bei den Klienten kommt im Outlook 2007 beim Öffnen eine Meldung(aber zwei Mal hintereinander)
    "Sicherheitshinweis - Der auf dem Zertifikat angegebene Name stimmt nicht mit dem Namen der Site überein"


    Das liegt daran das für den OWA ein RapidSSL-Zertifikat webmail.xy.de ausgestellt ist. Die interne domäne lautet aber xy.local


    Die Meldung will ich wegbekommen, denn es nervt.


    Das Problem ist, dass ich kein SAN-Zertifikat leisten kann und ich das OWA-Zertifikat ohne Probleme weiter nutzen will.


    Ich finde im Exchange nirgends die Option das Problem zu beheben.


    Kann mir jemand weiterhelfen?


    PS: Lokale Installation vom Zertifikat am Klienten hat nicht funktioniert!

    • Offizieller Beitrag

    Warum sollte die lokale Installation am Client auch helfen? Der Name im Zertifikat ist doch dann trotzdem falsch. Du mußt Autodiscover umkonfigurieren. Das ist aber im Forum und mit dem SBS nicht ganz so einfach, deswegen solltest du dir die Grundlagen dazu mal anlesen, oder eventuell jemanden kommen lassen, der das für dich mal löst.


    Bye
    Norbert

    • Offizieller Beitrag

    Hallo,


    wenn du das mit einem Single Name lösen willst, hier eine Anleitung für 2007, die du bei 2010 genauso anwenden kannst.


    http://www.server-talk.eu/2008…-single-name-certificate/


    Schau mal in die Seite von Frank, da gibt es viel zu lesen:


    http://www.msxfaq.net


    ;)

    Danke für den Link.


    Das mit dem autodiscover habe ich sogar schon einmal gelesen, aber ich konnte es nicht richtig glauben. Klingt eingentlich nicht schwer, ich probiere es Mal aus.



    Was ich nicht verstehe, wieso kann man nicht einfach ein neues selbstsigniertes Zertifikat generieren und speziell der internen Domäne zuweisen?


    Eigentlich ist es intern egal, ob es von einem CA ist oder nicht, hauptsache der Name stimmt für Outlook überein.


    Mich regt es echt ein bissel auf, dass man diese Meldung nicht einfach deaktiveren kann. :)


    Hat jemand von euch den Sinn dahinter verstanden?


    Hier noch eine Frage:
    Glaubt Ihr das ist notwendig?
    Es muss dort noch zusätzlich eine „Fake“ primäre Zone für die externe Domain angelegt werden, die die eigentlich externe Zone überlagert (und statt der externen IP für webmail.*.de… die interne liefert).
    In diese Zonen müssen aber auch alle sonstigen DNS Host Einträge dupliziert werden, wie sie extern auch sind, sonst kann man intern seine eigene Webseite nicht mehr aufrufen.
    Falls es die Möglichkeit gibt, nur einzelne Hosts in den DNS „einzublenden“, den Rest aber vom externen Nameserver zu holen, dann wäre das optimal.


    Bezüglich des letztens Satzes. Wäre es möglich?

    • Offizieller Beitrag

    Moin,


    Zitat


    Was ich nicht verstehe, wieso kann man nicht einfach ein neues selbstsigniertes Zertifikat generieren und speziell der internen Domäne zuweisen?


    Kann man ja. Aber Self-Signed sind in Windows unsupported und damit auch in Outlook/Exchange. Sie können funktionieren, müssen aber nicht und verändern eventuell ihr Verhalten mit einem Service Pack.


    Zitat


    Eigentlich ist es intern egal, ob es von einem CA ist oder nicht, hauptsache der Name stimmt für Outlook überein.


    Es ist deswegen nicht egal, weil ein intern signiertes Zertifikat eine Signatur der CA hat und ein Self-Signed nicht. Die interne CA kann ich vertrauenswürdig machen, dass ist ein Standard-Vorgang, da mit externen CAs nichts anderes passiert.


    Zitat


    Mich regt es echt ein bissel auf, dass man diese Meldung nicht einfach deaktiveren kann. :)


    Ach? Und wenn dann der User in einer wichtigen Mail ("geben Sie hier ihre PIN ein") auf einen Link zu "postbank.ru" klickt und die Warnung nicht sieht, weil DU sie abgeschaltet hast, möchte ich nicht in Deiner Haut stecken.


    Ne, ne, das ist sicherheitskritisch und da bin ich froh, dass man es nicht pauschal ausschalten kann.



    Zitat


    Hat jemand von euch den Sinn dahinter verstanden?


    Sicher.



    Zitat


    Hier noch eine Frage:
    Glaubt Ihr das ist notwendig?
    Es muss dort noch zusätzlich eine „Fake“ primäre Zone für die externe Domain angelegt werden, die die eigentlich externe Zone überlagert (und statt der externen IP für webmail.*.de… die interne liefert).


    Das nennt sich dann Split-DNS und ist für Exchange das empfohlene Vorgehen, wenn man kein SAN-Zertifikat nutzen will.


    Zitat


    In diese Zonen müssen aber auch alle sonstigen DNS Host Einträge dupliziert werden, wie sie extern auch sind, sonst kann man intern seine eigene Webseite nicht mehr aufrufen.


    Korrekt. Aber wie viele Einträge hast Du denn so im externen Server?


    Zitat


    Falls es die Möglichkeit gibt, nur einzelne Hosts in den DNS „einzublenden“, den Rest aber vom externen Nameserver zu holen, dann wäre das optimal.


    Das kann Windows leider nicht, was ich manchmal auch bedauere (wobei ich Windows 2012 in der Hinsicht noch nicht geprüft habe).


    Die Zone ist ja intern Authorativ und das heißt: Was ich nicht kenne, gibt es nicht. Eine Weiterleitung für unbekannte Namen wäre richtig praktisch, genau für solche Fälle.

    • Offizieller Beitrag

    Ach das meinst Du. Ja stimmt, so funktioniert es natürlich technisch, auch wenn es extrem merkwürdig aussieht.


    BTW: Habe ich bei mir daheim genauso gemacht - konnte nur den Begriff nicht zuordnen.


    Eventuell muss man dann nur ein paar Zonen anlegen, wenn mehr als externer Eintrag gespiegelt werden soll.

    Also ich bin gerade dabei. Ich habe am DNS bereits einen neuen Host-Eintrag gemacht und wenn man die externe Domain anpingt kommt die interne IP-Adresse.


    Bin grad dabei die domain Namen für die jeweiligen Dienste zu bearbeiten.


    Ein Misch-Masch aus Powershell und Exchange-Verwaltungs-Konsole.


    Eine von zwei Meldungen sind bereits weg, die zweite scheint auch zu funktionieren.


    Wenn ich fertig bin schreib ich ein HowTo. Das soll niemand nochmal so durchmachen müssen, wie ich :)