Verständnisfrage Zuordnung von Diensten zu Zertifikaten

1. offizieller Beitrag

    Hallo Community,


    ich habe folgendes Problemchen und hoffe auf eine kurze Erklärung von einem der "Weisen" hier zu der Thematik.


    Vorgabe war Outlook Annywhere zu verwenden.
    Es ist ein EX2010 Server ( SP1 ) auf einem SRV2008 R2 .. kein DC .


    Zertifikat bei GODaddy erstellt und eingepflegt und dann über die EMC die Dienste diesem Zertifikat zugewiesen .
    ( IMAP / POP / IIS / SMTP )
    Das funktioniert auch einwandfrei , OA läuft jetzt .


    jetzt bekommen die internen Clients aber bei jedem Start eine Fehlermeldung
    ( Sicherheitshinweis, Name auf dem Sicherheitszertifikat ist ungültig )
    Dann im Zertifikat taucht das offizielle GODaddy auf .


    ... ich denke mal Autodiscover verweist auf den internen Servernamen aber dem Zertifikat wird der externe FQDN präsentiert


    In der Anzeige der EMC sind 3 Zertifikate vorhanden .


    Wo stelle ich den genau ein, dass die internen Outlook Clients auch das interne selbstsignierte Zertifikat des Exchange nutzen und nicht das Public Zertifikat von GO Daddy ?


    Oder muss man den SCP umbiegen so dass der auch auf den
    öffentlichen FQDN verweist ?


    Bei den Diensten gibt es ja nur die Auswahl IMAP / POP /IIS /SMTP ...


    Christian

    • Offizieller Beitrag

    Moin,


    es gibt grundsätzlich immer nur EIN Zertifikat für eine Webseite. Das liegt daran, dass beim Aufbau via HTTPS der Servername bereits verschlüsselt ist und der einzig mögliche Aufbau daher mit IP-Adresse ist (bitte nicht auf die Idee kommen, am IIS rumzuspielen und dem nun zwei IP-Adressen zu geben, das macht mehr kaputt, als heil).


    Du brauchst daher ein Zertifikat mit mehreren Namen, oder Basteleien im DNS, z.B SRV-Einträge, SplitDNS, o.ä.

    Hallo Robert


    auf diese Idee bin ich auch schon gekommen .
    Ich habe auf dem internen DNS die öffentliche Domäne angelegt und wenn die Clients den Public FQDN des Zertifikates anpingen .. antwortet der interne Server .


    Ich habe auch mal testweise ein Outlook Konto mit dem
    FQDN als Server eingerichtet ... geht auch nur mit Fehlermeldung.


    Soweit ich weiß ( korrigiert mich ) richtet sich das
    Outlook aber immer erst nach dem SCP wenn es den Server sucht , und da steht im AD der interne Server Name drin.


    Da habe ich mir nicht getraut rumzupfuschen .. vielleicht hat das ja schon mal jemand und man kann bei dem SCP einfach den Public FQDN eintragen ... ( und alles kaputt machen :) )

    • Offizieller Beitrag

    Moin,


    Du kannst den SCP beliebig ändern, wirkt sofort:

    Code
    set-clientaccessserver NAMEDESSERVERS -AutoDiscoverServiceInternalUri URL


    Das Problem ist nur, dass die Clients ja nicht nur die Autodiscover-URL laden, sondern auch die URL des OAB und des EWS. Da sind also noch mehr interne URL anzupassen.


    OAB geht vie EMC, nur für das EWS brauchst Du wieder die Shell: Set-AutoDiscoverServiceInternalUri -InternalUrl