Exchange 2010: Zertifkat von offizieller CA abgelehnt wegen Domainname

[r2k 10]

Hallo Zusammen,

 

ich habe bei einem frisch übernommenen Clienten folgendes Problem:

 

Der externe Domainname heisst firma.ch. Der interne Namen für das AD lautet firma.int. Nun ist INT unglücklicherweise eine TLD welche von der IANA vergebenwird.

 

Wenn ich nun ein SAN Zertifikat beantrage und folgende Hostsnames angebe wird es abgelehnt, da die Domain firma.int nicht dem Requester gehört:

* mail.firma.ch

* Server10 (mailserver)

* Server10.firma.int

* autodiscover.firma.ch

 

Welche Lösungen gibt es für dieses Problem? Das AD möchte ich auf keinen Fall umbenennen und ich habe auch schon gelesen, dass das mit einem Exchange 2010 drinn gar nicht supported ist.

 

Meine Idee war, auf der CAS Rolle den internen Zugriff auch auf mail.firma.ch umzustellen. Klappt dies? Was kann ich sonst noch tun?

 

Liebe Grüsse

[dmetzger 10]

Selbstverständlich. Intern Zone firma.ch anlegen, falls sie noch nicht existiert, und Hosteintrag "mail" erstellen. Ggf. externe Hosts wie "www" mit externer IP nicht vergessen.

 

Damit die Outlook 2007/2010-Clients beim internen Zugriff nicht einen Zertifikatsfehler reklamieren, gemäss folgendem KB vorgehen:

Security warning when you start Outlook 2007 and then connect to a mailbox that is hosted on a server that is running Exchange Server 2007 or Exchange Server 2010: "The name of the security certificate is invalid or does not match the name of

 

Das hier ist evt. ebenfalls von Interesse:

The EXPTA {blog}: How to fix MSExchangeTransport Event ID 12014 on Edge and Hub Transport servers

 

Aus Deiner Beschreibung meine ich zu lesen, dass der externe Zugriff direkt auf den CAS erfolgt. Ein TMG 2010 davor wäre die sicherere Variante.

[r2k 10]

Selbstverständlich. Intern Zone firma.ch anlegen, falls sie noch nicht existiert, und Hosteintrag "mail" erstellen. Ggf. externe Hosts wie "www" mit externer IP nicht vergessen.

 

 

Ok das habe ich gemacht. Habe im Exchange die Internal URL für OWA, OAB und ECP angepasst.

 

 

Damit die Outlook 2007/2010-Clients beim internen Zugriff nicht einen Zertifikatsfehler reklamieren, gemäss folgendem KB vorgehen:

Security warning when you start Outlook 2007 and then connect to a mailbox that is hosted on a server that is running Exchange Server 2007 or Exchange Server 2010: "The name of the security certificate is invalid or does not match the name of

 

Ok auch durchgeführt soweit, kein Problem gewesen. Sämtliche PS Befehle bis auf UM ausgeführt (Um gibts hier nicht).

 

Interessant ist, dass mein Test-Outlook intern über TCP/IP geht und nicht über RPC. Als Hostname im MAPI Profil wie auch im Connectiontest steht aber immer noch server.domain.int

 

Ist das "normal"?

 

Liebe Grüsse