Zertifikats + OAB-Problem

[AIRNESS 10]

Hallo!

 

Habe einen Exchange 2007 Server auf dem auch das OWA läuft. Einige clients mit office 2007 oder 2003 greifen auf den Exchange zu. Auf Grund von dem neuen Einsatz von Windows Mobile 6.1 Geräten und Exchange 2007 Active Sync habe ich das SSL Zertifikat durch meine private Zertifkatsstelle erneuert, da der CN der interne fqdn meines servers war. daher war ein sync wegen des falschen cn von außen nicht möglich. ich stellte daher das zertifkat auf den dns namen unserer externen adresse (wo auch der mx liegt) ein. das syncen mit windows mobile 6.1 funktioniert nun tadellos jedoch bekommen die office 2007 nutzer nun immer einen sicherheitshinweis zu dem neu erstellten ssl zertifkat, welchen sie akzeptieren müssen.

 

der fehler lautet: "Der Name auf dem Sicherheitszertifikat ist ungültig oder stimmt nicht mit dem Namen der Website überein". Das ist auch richtig da intern der fqdn des servers steht und im zertifkat steht mail.meinedomaene.de.

Zudem ist es ab diesem Zeitpunkt so, dass es Synchronisierungsprobleme mit dem OAB gibt und daher stündlich folgende Meldung auftritt:

 

10:51:42 Microsoft Exchange-Offlineadressbuch

10:51:42 0X80072F06

 

Das Problem könnte ich lösen indem ich wieder das SSL Zertifkat auf den internen CN umstelle jedoch würde dann das Mobile Syncen nicht mehr funkionieren. Auch das Installieren des Zertifkats auf dem lokalen Client in den Stammzertifizierungsstellen nützt auf Grund des falschen CN nichts.

 

Hat jemand eine Idee wie man dieses Problem lösen kann? Bin für jeden Hinweis dankbar.

 

LG AIRNESS

[BrainStorm 10]

Moin AIRNESS,

 

für Exchange 2007 werden SAN-Zertifikate empfohlen. Damit hast du die Möglichkeit mehrere Domainnamen auf ein und das selbe Zertifikat zu packen.

 

MSXFAQ.DE - E2K7:Zertifikate

 

alternativ dazu kannst du auch folgendes How-To verwenden um Exchange mit einem Single-Name Zertifikat zu konfigurieren.

 

Exchange - Exchange 2007 Single Name SSL Certificate | Amset.info

[AIRNESS 10]

hallo!

 

erstmal danke für die schnelle antwort. werde ich mir ansehen und gebe dann rückmeldung ob es geklappt hat

[AIRNESS 10]

ich stütze mich gerade auf den eintrag von msxfaq.de

grundsätzlich ja kein problem ein neues zertifkat zu machen. ich hab nur schon einige zertifkate auf meinem exchange server oben. laut get-exchangeservercertificates |fl

gibt es zwei zertifikate die in den certificate domains autodiscovery.meinedomaene.de und vieles mehr drinnen stehen haben. gelinkt ist das mit dem fqdn meines servers und nicht mit der externen adresse.

 

kann ich einfach ein neues zertifikat erstellen wo die -includeautodiscovery und -includeaccepteddomains für meine externe adresse eingerichtet wird und diese über meine private zertifikatsstelle registrieren? muss ich bestehende zertifikate löschen?

[AIRNESS 10]

UPDATE:

 

so habe mir nun selbst ein SAN zertifkat erstellt. derzeit zeigt mir mein outlook 2007 client nach sehr langem hin und her keine sync probleme mit dem oab. auch windows mobile 6.1 sync funkioniert. mal sehen wie es morgen im büro ist.

 

was mich noch stört:

 

das autodiscovey fragt zuerst meinedomaene.de/autodiscovery/autodiscovery.xml ab. erst als ich einen service locator in meinen dns registiert habe, habt der lookup mit svr funktioniert. mich stört dass er aber als erstes den falschen eintrag abfragt. wie bekommt man den weg?

bearbeitet 17. September 2009 von AIRNESS

[BrainStorm 10]

Moin,

 

das autodiscovey fragt zuerst meinedomaene.de/autodiscovery/autodiscovery.xml ab. erst als ich einen service locator in meinen dns registiert habe, habt der lookup mit svr funktioniert. mich stört dass er aber als erstes den falschen eintrag abfragt. wie bekommt man den weg?

 

Du kannst mit Set-AutodiscoverVirtualDirectory -InternalURL die URL ändern

 

Set-AutodiscoverVirtualDirectory

[AIRNESS 10]

wie gebe ich ihm die identity an? autodiscover (standardwebsite) ist nicht gültig.

[BrainStorm 10]

Mit Get-AutodiscoverVirtualDirectory bekommst du die Identity raus. Du kannst auch das Ergebnis dieses Befehls an Set-AutodiscoverVirtualDirectory pipen, dann sparst du dir die Tippselei ;)

[AIRNESS 10]

sorry war krank. danke für deine letzte meldung. hat wunderbar geklappt.