Externer Zugriff auf EX 2010 - SSL Fehler beim Verbinden

[scars 10]

Hallo zusammen,

 

ich habe hier einen Exchange Server 2010 auf einem Windows 2k8R2 am laufen.

Das ganze funktioniert intern soweit ohne Probleme, die Clients können sich zu ihren Exchange Konten verbinden. (Aktuell hab ich versuchsweiße 3 Angelegt)

 

Jetzt möchte ich den Exchange Inhalt parallel mit einem Handy übers Internet abrufen, aber daran scheitere ich seit Stunden.

 

Ich hab dazu eine DynDNS Adresse auf meine Server IP geleitet und auch den MX Eintrag bei DynDNS gesetzt.

 

(Wobei ich da noch nicht so ganz durchsteige, der MX Eintrag ist aktuell identisch der DynDNS Adresse, ist das so korrekt?)

 

Wenn ich mich mit dem IE Verbinde (extern) kann ich die EXCHANGE Seite aufrufen, allerdings beschwert sich der IE übers SSL Zertifikat. Nach einmal "akzeptieren" funktioniert das dann.

 

Der aktuelle Stand ist dieser Mobiletelefone betrifft:

 

 

Uploaded with ImageShack.us

 

Ich sehe, dass er das SSL Zertifikat anmotzt.

 

Ich hab dann nach dieser Anleitung versucht ein SSL Zertifikat zu installieren:

 

MSXFAQ.DE - IIS6 SSL einrichten

 

Aber schon bei den Eigenschaften scheiterts, ich komm da nicht rein?!

 

 

Bin ich da auf der richtigen Fährte oder liegt der Fehler ganz woanders?

 

Danke schonmal :)

[Alith Anar 39]

Hast du ein internes Zertifikat, oder ein öffentliches?

[scars 10]

Bewusst keins von beiden, wo genau kann ich dass denn sehen?

[PowerShellAdmin 169]

Deine Zertifkate kannst du in der Managementconsole vom Exchangeserver einsehen.

Sieht für mich so aus, dass der Commonname im Zertifikat falsch ist - z.B. ist im Zertifkat nur der interne aber nicht der externe Name eingetragen.

Hier benötigt man ein San Zertifkat- falls dem so ist.

 

Grüße Admin

[scars 10]

Hallo Admin,

 

danke für deine Hilfe, nach längererem tüfteln bin ich schon etwas weiter, allerdings scheitert es jetzt mit folgender Meldung:

 

 

Es wird versucht, eine ActiveSync-Sitzung mit dem Server zu starten.

Fehler beim Testen der Exchange ActiveSync-Sitzung.

Testschritte

|___

Es wird versucht, einen OPTIONS-Befehl an den Server zu senden.

Fehler beim Testen des OPTIONS-Befehls. Weitere Informationen finden Sie in den zusätzlichen Angaben.

Weitere Details

|___

An HTTP 401 Unauthorized response was received from the remote IIS7 server. This is usually the result of an incorrect username or password. If you are attempting to log onto an Office 365 service, ensure you are using your full User Principal Name (UPN).

 

Zugangsdaten sollten allerdings defintiv korrekt sein, ich nehme ja die selben Zugangsdaten mit denen ich mich an der Domain anmelde, oder?

 

Habs probiert mit einem Administrator Account sowie einem User.

 

Diesen Beitrag dazu hab ich bereits gefunden und gecheckt, aber soweit ich das sehen kann passt alles.

 

http://www.mcseboard.de/ms-exchange-forum-80/exhange-2007-activesync-options-befehl-175848.html

 

gruß :)

[NorbertFe 1.863]

Der ADministrator ist für solche Testzwecke ungeeignet und ich würde mein Domadminkennwort auch nicht auf einer externen Webapp eintragen. Der "User" den du auch verwendest ist oder war aber nicht in irgendwelchen Gruppen wie Domain-Admins oder Account-Operators?

 

Bye

Norbert

[scars 10]

Hallo Norbert,

 

in die WebApp kamen selbstverständlich nur die Zugangsdaten von meinem Testuser um die Fehlermeldung zu sehen.

Der hat keine Rechte und darf eigentlich nichts. ;)

 

Getestet hab ichs jeweils mit den anderen Accounts jeweils auf meinem iPad.

 

 

Mittlerweile läuft der EXCHANGE Zugriff über Active Sync, es lag an einem Tippfehler in den Exchange Active Sync Eigenschaften. (Dort habe ich mich bei der Domain vertippt)

 

 

Aktuell beschäftigt mich nur noch das Zertifikat.

 

Ich musste für die DynDNS Adresse ja ein neues Zertifikat auststellen, jetzt muss ich auch bei allen Internen Clients beim Start immer den Sicherheitshinweis bestätigen.

 

 

meinserver.abc.lo

 

"X Der Name auf dem Sicherheitszertifikat ist ungültig oder stimmt nicht mit dem Namen auf der Website überein"

 

Habt ihr mir da mal einen Tipp in welche richtung das Problem jetzt geht?

 

Das Zertifikat habe ich Anhand dieser Anleitung erstellt.

How-To - Exchange Server 2010 - Zertifikat erstellen in Exchange 2010 - msxforum

[NorbertFe 1.863]

Du brauchst ein SAN Zertifikat, welches sowohl den externen als auch den internen Namen beinhaltet. Dazu solltest du mit obigem Suchbegriff eigentlich genügend Anleitungen finden. ;)

 

Bye

Norbert

[scars 10]

Danke für die schnelle Antwort...

 

(Und entschuldige bitte die nachfragerei, aber zu meinem Verständnis)

 

D.h. ich muss das alte "Microsoft Exchange" Zertifikat das EXCHANGE bei der installation sich selbst ausstellt durch ein neues ersetzen in das ich meinen DynDNS Namen mit rein nehme...

 

...und kann keine 2 parallelen Zertifikate für intern/extern nehmen? :)

[NorbertFe 1.863]

D.h. ich muss das alte "Microsoft Exchange" Zertifikat das EXCHANGE bei der installation sich selbst ausstellt durch ein neues ersetzen in das ich meinen DynDNS Namen mit rein nehme...

 

Korrekt.

 

...und kann keine 2 parallelen Zertifikate für intern/extern nehmen? :)

 

Wenn du mir erklärst, wie du zwei Zertifikate parallel auf einem Webserver für das selbe Verzeichnis verwendest. ;) Vorteil wenn du einen ISA/TMG im Einsatz hättest, ginge es mit zwei verschiedenen Zertifikaten. Eins (nur mit dem externen Namen) auf dem ISA/TMG und eins mit dem internen Namen auf dem Exchange.

 

Bye

Norbert

[Dukel 439]

Du kannst intern den externen Namen auf die interne IP "umbiegen".

Dann wird nur ein Name genutzt, egal ob extern oder intern.

[scars 10]

Hmm,

 

d.h. ich müsste alle abfragen über meinserver.abc.lo:443 so umbiegen, dass es aussieht das diese von inter kommen?

 

Wie geht das dann?

[NorbertFe 1.863]

Du kannst intern den externen Namen auf die interne IP "umbiegen".

Dann wird nur ein Name genutzt, egal ob extern oder intern.

 

Ist aber nur ein Workaround, der meist mehr ARbeit macht, als einfach ein SAN Zertifikat zu nutzen. ;)

 

Bye

Norbert

[NorbertFe 1.863]

Hmm,

 

d.h. ich müsste alle abfragen über meinserver.abc.lo:443 so umbiegen, dass es aussieht das diese von inter kommen?

 

Wie geht das dann?

 

Nein, du mußt deinen internen Clients beibringen, immer auf den externen Namen zu connecten. ;)

 

Bye

Norbert

[scars 10]

Das verwerfen ich mal ja ganz schnell wieder, dass würde dann vorraussetzen dass ich eine Internetverbindung gewährleisten muss, oder?

 

Ich denke ich werde mich die nächsten Tage mal mit SAN Zertifikaten belesen und danke schonmmal für eure Hilfe :)

 

Noch eine Verständnisfrage:

EXCHANGE läuft auch komplett ohne die Zertifikate, einzig die Clients motzen bei jedem start dann ein Fehlerhaftes Zertifikat an, oder?

 

gruß scars