Exchange 2007 und Outlook 2007 Zertifikatproblem

[bits 10]

Hallo Experten

 

Ich habe ein SSL Zertifikat auf meinem Exchange 2007 Server für OWA installiert.

 

Der Zugriff auf meinem OWA von aussen http://meinedomäne.org/owa. Es funktioniert auch. Ohne Meldung, das Zertifikat sei ungültig.

 

Nun, das Problem ist jetzt mit dem Outlook 2007. Öffne ich Outlook 2007, so bekomme ich immer die Fehlermeldung:

 

Sicherheitshinweis:

 

meinedomäne.org (ich nutze Custom DynDNS)

 

OK = Das Sicherheitszertifikat stammt von einer vertrauenswürdigen Zertifilzierungsstelle

OK = Das Datum des Sicherheitszertifikats ist gültig

Nicht OK = Der Name auf dem Sicherheitszertifikat ist ungültig oder stimmt nicht mit dem Namen der Website überein.

 

Habe dieses How To durchgespielt und immer (mein exchange server heisst "ex") eingegeben:

 

Warning message when you start Outlook 2007 and then connect to a mailbox that is hosted on an Exchange 2007-based server: "The name of the security certificate is invalid or does not match the name of the site"

 

Set-ClientAccessServer -Identity EX -AutodiscoverServiceInternalUri https://meinedomäne.org/autodiscover/autodiscover.x

 

Danach:

 

Set-WebServicesVirtualDirectory -Identity "EX\EWS (Default Web Site)" -InternalUrl https://meinedomäne.org/ews/exchange.asmx

 

Danach:

 

Set-OABVirtualDirectory -Identity "EX\oab (Default Web Site)" -InternalUrl https://meinedomäne.org/oab

 

Zum Schluss:

 

Set-UMVirtualDirectory -Identity "EX\unifiedmessaging (Default Web Site)" -InternalUrl https://meinedomäne.org/unifiedmessaging/service.asmx

 

Ok, bis hier funktioniert alles gut. Möchte ich nun:

 

6. Open IIS Manager.

7. Expand the local computer, and then expand Application Pools.

8. Right-click MSExchangeAutodiscoverAppPool, and then click Recycle.

 

ausführen, so heisst es, es würde von 3 Anwendungen genutzt. Kann es also nicht Löschen. 1 Vorteil habe ich aber jetzt. Wenn ich jetzt Outlook 2007 öffne bekomme ich nicht mehr wie vorher 2x diese Sicherheitsmeldung sondern nur noch 1 x.

 

Was ich nicht verstehe ist:

 

Important These steps assume that a host record exists in the DNS to map the FQDN that you specify to the IP address of the CAS server. Consider the following sample scenario:• The original internal URLs for the Exchange components point to the internal FQDN of the server. For example, one of these URLs points to the following:

https://ServerName.contoso.com/ews/exchange.asmx

• The FQDN that is specified on the certificate points to the externally accessed host name of the server. For example, the certificate specifies an FQDN, such as "mail.contoso.com."

In this scenario, you must add a host record for the mail host name that is mapped to the internally accessed IP address of the CAS server to let internal clients access the server.

 

Was mache ich falsch? Ich habe anstatt https://meinedomain.org auch schon mit https://mail.meinedomain.org. Nichts führt zum Ziel. :confused:

 

Brauche unbedingt Euren Rat. :(

 

Cheeeriooo :)

[bits 10]

Niemand ein Tip auf Lager? Soll ich besser nochmals ein Zertifikat mit mail.meinedomain.org machen? Hmm.. Komm echt nicht weiter... :(

[LukasB 10]

Recycle heisst nicht löschen. Keine Ahnung wie es in der deutschen Version heisst. Ich glaube nicht das da dein Problem liegt.

 

Zeig doch mal den Output eines Autodiscovery-Tests in Outlook (Ctrl-Rechtsklick auf das Outlook Symbol, dann auf "Autokonfiguration testen" klicken).

[WolfgangS 10]

Ich denke das Problem liegt am Zertifikat. Die internal URLs würde ich wieder zurückändern auf den ursprünglichen internen Namen. Outlook greift intern auf den Servernamen manchmal auch auf den FQDN des Servernamens zu. Diese Namen hast du wahrscheins nicht als "subject alterative names" im Zertifikat drin.

Das Zertifikat sollte ausgestellt sein auf: "cn=externername.dyndns.org",

zusätzliche SAN sollten sein: "externername.dyndns.org,servername,servername.domaene.intern" und ja nach Anforderung auch noch die Accepted Domains und die Autodiscover Domains.

Falls du von extern per OL Anywhere zugreifen willst dann konfiguriere erst die external URLs.

 

Grüße

Wolfgang

[bits 10]

@ALL: Vielen Dank für Eure Tips!!

 

Ich hab das Problem, was eigentlich kein Problem ist gelöst!! Wie folgt:

 

Ich habe aus Sicherheitsgründen mit der FortiGate 50B Firewall eine Vorauthentifizierung eingeschaltet. Dh. zuerst muss ich mich auf der Firewall vià http://HTTPS://MEINEDOMAIN.DE/OWA authentifizieren. Da kommt ein SSL Zertifikat (das nicht öffentlich ist; dh. es kommt die Meldung von wegen das Zertifikat konnte nicht überprüft werden...) der Fortigate 50B zuerst. Erst wenn ich mich da sauber authentifiziert habe, komme ich auf die OWA Seite. Ein geiles Feature der Fortigate. Aber genau da lag das Problem. Ich bekam immer 2 Sicherheitswarnungen vom Outlook 2007! Wie ich bereits erwähnt habe, gemäss diese Anleitung:

 

Warning message when you start Outlook 2007 and then connect to a mailbox that is hosted on an Exchange 2007-based server: "The name of the security certificate is invalid or does not match the name of the site"

 

Konnte ich 1 Sicherheitsmeldung bereits deaktivieren. Die zweite sah genau gleich aus. Ausser dass da die Meldung kam, sie seih nicht vertrauenswürdig. So hab ich aus Testgründen das Zertifikat in Vertrauenswürdige Stammzertifizierungsstellen importiert. Endlich konnte man jetzt sehn, von wem das Zertifikat war. Er war FGT5000 usw. Also war es das Fortigate Zertifikat. So kam ich auf die Idee, die Vorauthentifizierung auszuschalten und siehe da, die Meldung ist weg. *meeeegafreudehab!!!*

 

Nun installiere ich noch ein öffentliches Zertifikat auf der Fortigate. :)

 

So, jetzt wird gechillt.. :)

 

Schönen Sonntag Euch wünsch....... ;)

[Parkesel 10]

Hallo

Ich hatte eine aehnliche situation.

 

Hab dan meinen exchange server eine 2 te ip adresse gegeben und eine 2te ebseite erstellt.

auf der externen seite liegt das externen zert auf der anderen das interne

 

fertig

[HansB 10]

Hallo, ich habe das gleiche Problem mit dem Exchange 2007 Zertifikat . Bei mir kommt ebenfalls immer die Meldung, dass der Name ungültig ist.

 

Ich verstehe nicht, ob ich jetzt den Namen meiner internen AD Domäne benutzen soll oder ob ich die E-Mail Domäne verwenden soll über welche die Internetmails laufen. Kann mir das bitte jemand erklären, finde keine Infos darüber im Netz welche domain nun die richtige ist... Danke

[NorbertFe 1.799]

Ganz ehrlich, wäre es nicht sinnvoller du schreibst nochmal in Stichpunkten deine Probleme und verweist auf einen 2 Jahre alten Thread, anstatt unter den drunter zuschreiben. Ich glaube nicht, dass jeder jetzt nochmal die alten Postings durchkauen will. ;)

 

Bye

Norbert

 

PS: So oder so, du brauchst entweder ein SAN Zertifikat, was beide Domains beinhaltet, oder deinen externen Clients wird halt ein anderes Zertifikat präsentiert als den internen. Wie du das regelst ob mit SAN Zertifikat, oder mehreren IPs und A Records oder aber Split DNS und reverse Proxy ist dabei vollkommen Wurscht. :)

[HansB 10]

Hi, habe ich schon aber es gibt keine Antworten

 

http://www.mcseboard.de/ms-exchange-forum-80/exch-2007-zertifikatsfehler-166536.html