Beantwortest du auch mal die Frage?
Du willst dir eins der größten Sicherheitsprobleme der letzten Jahre freiwillig wieder installieren und bezeichnest das als Lösung?
Ein Exchangeserver stellt kein Zertifikat aus.
Habt ihr evtl. Proxy/Loadbalancer im Einsatz?
Es ist nicht supported mit dem selfsigned Zertifikat produktiv zu arbeiten. Was spricht gegen ein öffentliches Zertifikat?
Steht der DNS-Alias im Zertifikat?
Eine Vertrauensstellung funktioniert auch mit einer bedingten Weiterleitung.
Wenn schon Zonentransfer, dann aber nicht an alle.
Wann genau kommt deine Fehlermeldung?