Selbstsigniertes Zertifikat durch vertrauenswürdigeres Zertifikat ersetzen

Geronimo · March 7, 2019 at 5:40 PM

Hallo,

bisher war unsere Exchange-Server extern über mail.company.com bzw. autodiscover.company.com und intern über exchange.company.local erreichbar. Das ist extern natürlich etwas unschön, weil man erstmal die Zertifikatswarnung wegklicken muss und viele mobile Geräte das selbst ausgestellte Zertifikat gar nicht erst akzeptieren. Wir haben daher unser vorhandenes Zertifikat für *.company.com installiert und die externen URL angepasst. Der Artikel Exchange 2016: Zertifikate konfigurieren (Teil 2) bei Frankys Web bietet hier einen recht schönen Einstieg.

Jetzt haben wir allerdings das Problem, dass beim Start von Outlook eine Zertifikatswarnung kommt, weil zwar das richtige Zertifikat für *.company.com aber teilweise offenbar weiterhin exchange.company.local statt mail.company.com bzw. autodiscover.company.com verwendet wird. Wenn man die Meldung einfach offen lässt funktioniert alles. Lege ich jedoch ein neues Outlook-Profil an und versuche die Einrichtung eines Postfachs schlägt das fehl. Der über den Verbindungsstatus angezeigte Servername lautet mail.company.com.

Die ganzen Pfade sollten passen. Die interne und die externe URL ist identisch. Das habe ich heute beides mehrmals überprüft. Da zweifelt man langsam an sich selbst...

Was könnten wir da noch übersehen haben?

Beste Grüße

Gerhard

NorbertFe · March 7, 2019 at 5:56 PM Official Post

Was gibt dir denn die Powershell bei

Code

get-clientaccessservice | fl *uri*

aus? Da sollte dann auch ein Name stehen, der im Zertifikat steht.

Bye
Norbert

Geronimo · March 7, 2019 at 9:14 PM

Hallo Norbert,

vielen Dank für deine Antwort. Unten die Ausgabe des Befehls.

Code

AutoDiscoverServiceInternalUri: https://autodiscover.company.com/Autodiscover/Autodiscover.xml

Das sollte also eigentlich passen. Ich hatte es vorhin noch geschafft, dass die Meldung bei meinem Rechner nicht mehr erschien, aber bei den anderen kommt nach wie vor ein Fehler. Habe natürlich schon geschaut, was ich alles an meinem Rechner gemacht habe, das dafür verantwortlich sein könnte, aber ich habe eigentlich nur den Zertifikats- und den DNS-Cache geleert. Die externe URL wurde aber auch zuvor sauber auf die interne IP des Exchange-Servers aufgelöst. Und bei den anderen Rechnern zeigte das keine Wirkung.

Was könnte man noch prüfen?

Beste Grüße

Gerhard

NorbertFe · March 7, 2019 at 9:19 PM Official Post

Was passiert bei einem neuen Outlook Profil? Wenn die vorher auf den alten Namen konfiguriert waren, ist ja logisch, dass die bis zum Profilupdate solche Fehler bringen. Meist ist man dann schneller, einfach ein neues Outlookprofil zu erstellen. Alternativ nochmal ein internes Zertifikat nehmen in dem sowohl der öffentliche als auch der interne (alte) Name steht und warten bis die Mehrzahl mal ihr Profil aktualisiert hat

Bye
Norbert

Geronimo · March 7, 2019 at 9:22 PM

Auf meinem Rechner konnte ich zumindest über Autodiscover kein neues Profil hinzufügen. So richtig klar lesbarer Fehler wurde allerdings keiner angezeigt. Ich versuche das aber gleich nochmal auf dem Terminalserver und berichte.

NorbertFe · March 7, 2019 at 9:36 PM Official Post

Und die Namen zeigen intern auch auf die interne IP?

Geronimo · March 7, 2019 at 9:49 PM

Auf dem Terminalserver kommt wie auch auf den Clients die Meldung bezüglich des Zertifikats. Ich habe dann ein neues Profil hinzugefügt. Grüner Haken bei Netzwerkverbindung herstellen, bei „postfach@company.com-Einstellungen suchen“ kommt dann aber eine Abfrage von Benutzername und Passwort und auch wenn ich beides eintippe, kommt wieder und wieder diese Passwortabfrage.

Klicke ich bei der Passwortabfrage auf „Abbrechen“ kommt die Meldung „Konfigurieren von Postfach@company.com-Servereinstellungen für diese Website zulassen? https://autodiscover.company.com/autodiscover/autodiscover.xml Das Konto wurde für die Einstellungen auf diese Website umgeleitet. Sie sollten nur Einstellungen aus Quellen zulassen, die Sie kennen und denen Sie vertrauen.

Klicke ich dort auf „Zulassen“ kommt die Meldung „Leider konnten wir Ihr Konto nicht automatisch einrichten. Um es selbst einzurichten, klicken Sie auf "Weiter"“. Trage ich dort die Informationen manuell ein kommt die Fehlermeldung „An Exchange ActiveSync-E-Mail-Server anmelden (EAS): Der eingegebene Benutzername oder das Kennwort funktioniert nicht. Bitte wiederholen Sie die Einnahme.“ Benutzername und Kennwort passen allerdings. Als Servername habe ich allerdings den externen Namen „mail.componay.com“ eingetragen.

Verwende ich stattdessen den internen Namen exchange.company.local oder auch nur EXCHANGE, kommt die bereits aus Outlook bekannte Meldung, dass Zertifikat und Server nicht zusammenpassen: „Das Sicherheitszertifikat stammt aus einer vertrauenswürdigen Quelle. Das Datum des Sicherheitszertifikats ist gültig. Der Name auf dem Sicherheitszertifikat ist ungültig oder stimmt nicht mit dem Namen der Website überein.“

Klicke ich zum Fortsetzen auf „Ja“ kommt dann wiederum die Meldung von oben „An Exchange ActiveSync-E-Mail-Server anmelden (EAS): Der eingegebene Benutzername oder das Kennwort funktioniert nicht. Bitte wiederholen Sie die Einnahme.“

Daraufhin habe ich Outlook nochmal mit dem vorhandenen Profil geöffnet und die E-Mail-Autokonfiguration getestet. Da kam zunächst auch die Passwortabfrage, obwohl ich das Passwort im Assistenten bereits eingegeben hatte, aber beim zweiten Versuch ist die Autokonfiguration durchgelaufen. Unten das Log dazu.

XML

<?xml version="1.0" encoding="utf-8"?>
<Autodiscover xmlns="http://schemas.microsoft.com/exchange/autodiscover/responseschema/2006">
  <Response xmlns="http://schemas.microsoft.com/exchange/autodiscover/outlook/responseschema/2006a">
    <User>
      <DisplayName>Postfach</DisplayName>
      <LegacyDN>/o=SEC/ou=Exchange Administrative Group (FYDIBOHF23SPDLT)/cn=Recipients/cn=userc104c12c</LegacyDN>
      <AutoDiscoverSMTPAddress>postfach@company.com</AutoDiscoverSMTPAddress>
      <DeploymentId>e62e4255-c999-4dac-813b-69a1345defd4</DeploymentId>
    </User>
    <Account>
      <AccountType>email</AccountType>
      <Action>settings</Action>
      <MicrosoftOnline>False</MicrosoftOnline>
      <ConsumerMailbox>False</ConsumerMailbox>
      <Protocol Type="mapiHttp" Version="1">
        <MailStore>
          <InternalUrl>https://mail.company.com/mapi/emsmdb/?MailboxId=1ec81152-1535-4717-b10b-6d765122a246@company.com</InternalUrl>
          <ExternalUrl>https://mail.company.com/mapi/emsmdb/?MailboxId=1ec81152-1535-4717-b10b-6d765122a246@company.com</ExternalUrl>
        </MailStore>
        <AddressBook>
          <InternalUrl>https://mail.company.com/mapi/nspi/?MailboxId=1ec81152-1535-4717-b10b-6d765122a246@company.com</InternalUrl>
          <ExternalUrl>https://mail.company.com/mapi/nspi/?MailboxId=1ec81152-1535-4717-b10b-6d765122a246@company.com</ExternalUrl>
        </AddressBook>
      </Protocol>
      <Protocol>
        <Type>WEB</Type>
        <Internal>
          <OWAUrl AuthenticationMethod="Basic, Fba">https://mail.company.com/owa/</OWAUrl>
          <Protocol>
            <Type>EXCH</Type>
            <ASUrl>https://mail.company.com/EWS/Exchange.asmx</ASUrl>
          </Protocol>
        </Internal>
        <External>
          <OWAUrl AuthenticationMethod="Fba">https://mail.company.com/owa/</OWAUrl>
          <Protocol>
            <Type>EXPR</Type>
            <ASUrl>https://mail.company.com/ews/exchange.asmx</ASUrl>
          </Protocol>
        </External>
      </Protocol>
      <Protocol>
        <Type>EXHTTP</Type>
        <Server>mail.company.com</Server>
        <SSL>On</SSL>
        <AuthPackage>Ntlm</AuthPackage>
        <ASUrl>https://mail.company.com/EWS/Exchange.asmx</ASUrl>
        <EwsUrl>https://mail.company.com/EWS/Exchange.asmx</EwsUrl>
        <EmwsUrl>https://mail.company.com/EWS/Exchange.asmx</EmwsUrl>
        <EcpUrl>https://mail.company.com/owa/</EcpUrl>
        <EcpUrl-um>?path=/options/callanswering</EcpUrl-um>
        <EcpUrl-aggr>?path=/options/connectedaccounts</EcpUrl-aggr>
        <EcpUrl-mt>options/ecp/PersonalSettings/DeliveryReport.aspx?rfr=olk&exsvurl=1&IsOWA=<IsOWA>&MsgID=<MsgID>&Mbx=<Mbx>&realm=company.local</EcpUrl-mt>
        <EcpUrl-ret>?path=/options/retentionpolicies</EcpUrl-ret>
        <EcpUrl-sms>?path=/options/textmessaging</EcpUrl-sms>
        <EcpUrl-publish>?path=/options/calendarpublishing/id/<FldID></EcpUrl-publish>
        <EcpUrl-photo>?path=/options/myaccount/action/photo</EcpUrl-photo>
        <EcpUrl-tm>options/ecp/?rfr=olk&ftr=TeamMailbox&exsvurl=1&realm=company.local</EcpUrl-tm>
        <EcpUrl-tmCreating>options/ecp/?rfr=olk&ftr=TeamMailboxCreating&SPUrl=<SPUrl>&Title=<Title>&SPTMAppUrl=<SPTMAppUrl>&exsvurl=1&realm=company.local</EcpUrl-tmCreating>
        <EcpUrl-tmEditing>options/ecp/?rfr=olk&ftr=TeamMailboxEditing&Id=<Id>&exsvurl=1&realm=company.local</EcpUrl-tmEditing>
        <EcpUrl-extinstall>?path=/options/manageapps</EcpUrl-extinstall>
        <OOFUrl>https://mail.company.com/EWS/Exchange.asmx</OOFUrl>
        <UMUrl>https://mail.company.com/EWS/UM2007Legacy.asmx</UMUrl>
        <OABUrl>https://mail.company.com/OAB/2bbcf105-2579-4afc-b248-73e27e0fecd5/</OABUrl>
        <ServerExclusiveConnect>On</ServerExclusiveConnect>
      </Protocol>
      <Protocol>
        <Type>EXHTTP</Type>
        <Server>mail.company.com</Server>
        <SSL>On</SSL>
        <AuthPackage>Negotiate</AuthPackage>
        <ASUrl>https://mail.company.com/ews/exchange.asmx</ASUrl>
        <EwsUrl>https://mail.company.com/ews/exchange.asmx</EwsUrl>
        <EmwsUrl>https://mail.company.com/ews/exchange.asmx</EmwsUrl>
        <EcpUrl>https://mail.company.com/owa/</EcpUrl>
        <EcpUrl-um>?path=/options/callanswering</EcpUrl-um>
        <EcpUrl-aggr>?path=/options/connectedaccounts</EcpUrl-aggr>
        <EcpUrl-mt>options/ecp/PersonalSettings/DeliveryReport.aspx?rfr=olk&exsvurl=1&IsOWA=<IsOWA>&MsgID=<MsgID>&Mbx=<Mbx>&realm=company.local</EcpUrl-mt>
        <EcpUrl-ret>?path=/options/retentionpolicies</EcpUrl-ret>
        <EcpUrl-sms>?path=/options/textmessaging</EcpUrl-sms>
        <EcpUrl-publish>?path=/options/calendarpublishing/id/<FldID></EcpUrl-publish>
        <EcpUrl-photo>?path=/options/myaccount/action/photo</EcpUrl-photo>
        <EcpUrl-tm>options/ecp/?rfr=olk&ftr=TeamMailbox&exsvurl=1&realm=company.local</EcpUrl-tm>
        <EcpUrl-tmCreating>options/ecp/?rfr=olk&ftr=TeamMailboxCreating&SPUrl=<SPUrl>&Title=<Title>&SPTMAppUrl=<SPTMAppUrl>&exsvurl=1&realm=company.local</EcpUrl-tmCreating>
        <EcpUrl-tmEditing>options/ecp/?rfr=olk&ftr=TeamMailboxEditing&Id=<Id>&exsvurl=1&realm=company.local</EcpUrl-tmEditing>
        <EcpUrl-extinstall>?path=/options/manageapps</EcpUrl-extinstall>
        <OOFUrl>https://mail.company.com/ews/exchange.asmx</OOFUrl>
        <UMUrl>https://mail.company.com/ews/UM2007Legacy.asmx</UMUrl>
        <OABUrl>https://mail.company.com/OAB/2bbcf105-2579-4afc-b248-73e27e0fecd5/</OABUrl>
        <ServerExclusiveConnect>On</ServerExclusiveConnect>
      </Protocol>
      <PublicFolderInformation>
        <SmtpAddress>InterneOrgaCompany@company.com</SmtpAddress>
      </PublicFolderInformation>
    </Account>
  </Response>
</Autodiscover>

Display More

Sehr seltsam das alles...

Quote from NorbertFe

Und die Namen zeigen intern auch auf die interne IP?

Sowohl mail.company.com als auch autodiscover.company.com zeigen auf die interne IP.

NorbertFe · March 7, 2019 at 11:18 PM Official Post

Nutzt ihr einen Proxy? Falls ja, sind die Proxyausnahmen (autodiscover.company.com und mail.company.com) korrekt vorhanden? Funktioniert es, wenn du mal einen "nicht Domain-PC" verwendest?

Geronimo · March 8, 2019 at 8:59 AM

Guten Morgen,

neuer Tag neuer Versuch. Die entsprechenden Proxyausnahmen sind vorhanden. Da bin ich auch erst drüber gestolpert. Denn plötzlich kommunizierte vermeintlich alles mit einem Zertifikat der UTM. Gestern habe ich mich noch etwas in der Registry umgeschaut, ob es dort noch Werte gibt, die auf die interne Adresse verweisen und bin unter Computer\HKEY_USERS\*.*\Software\Microsoft\Office\16.0\Common\Identity\ServiceAuthInfoCache\CredStoreKeyToAuthScheme fündig geworden. Nach dem Löschen aller Einträge für mail.company.local ist die Fehlermeldung auf dem Terminalserver zumindest für diesen Benutzer verschwunden. Auf den Clients zeigte das allerdings keine Wirkung.

Auf einem Rechner außerhalb von Domäne und internem Netzwerk habe ich gerade mal die Einrichtung eines Postfachs getestet. Dort funktioniert Autodiscover noch nicht. Die externe Adresse verwendet wohl noch das durch die UTM selbst ausgestellt Zertifikat. Verbinde ich den Rechner mit dem internen Netzwerk kann ich Postfächer hinzufügen und erhalte keine Fehlermeldung.

Schaut für mich aus als würde da noch irgendwas in Outlook bzw. auf den Rechnern auf den internen Servernamen verweisen.

Beste Grüße

Gerhard

PS: Extern funktioniert jetzt auch alles. Auf dem Terminalserver hatte ich gestern auch noch die Autodiscover-Einträge unter %localappdata%\Microsoft\Outlook\ entfernt. Damit hatte ich aber bislang auf den Rechnern keinen Erfolg.

NorbertFe · March 8, 2019 at 9:49 AM Official Post

Quote from Geronimo

außerhalb von Domäne und internem Netzwerk habe ich gerade mal die Einrichtung eines Postfachs getestet

Dann teste doch außerhalb der Domäne aber innerhalb des internen Netzwerks...

Tags