Exch.2013 und Autodiscover über Dyndns fehler

[testperson 1.860]

Das ist jetzt aber nix neues von Exchange 2013. Eigentlich schon seit Exchange 2007 Best Practice.. ;)

[NorbertFe 2.283]

Will, will ich nicht *g* aber es stand halt so in diversen anleitungen zum Split DNS...das musste ich bisher nicht konfigurieren

SRV Record braucht man eigentlich auch "nur", wenn man keine SAN Zertifikate verwenden kann/will. Und ausserdem ist Outlook auch der einzige Client, der damit was anfangen kann. iOS, MacOS usw. ignorieren das und man muß ggf. manuell eingreifen.

 

Ansonsten ja, das ist nichts neues mit Exchange 2013, sondern seit 2007 so. ;)

 

Bye

Norbert

[testperson 1.860]

Naja, wenn man keine SAN Zertifikate nutzen will, kann man seine User auch noch mit "https://autodiscover.domain.de/owa"zum Aufrufen der WebApp quälen ;)

[Assassin 13]

Worin besteht eigentlich der vorteil von einem kauf zertifikat? Ich hatte bisher nur mit selbstsignierten Zertifikaten gearbeitet, und diese auf die entsprechenden Clients verteilt, die mit dem Exchange kommunizieren wollen - hat auch funktioniert.

[testperson 1.860]

(Vom Exchange) Selbstsigniert ist AFAIK nicht supported.

Gegen eine eigene CA, die dir Zertifikate austellt spricht nichts, ausser, dass du die Zertifikatskette auf den Clients importieren musst sowie es deutlich teurer sein dürfte, eine eigene PKI zu unterhalten anstatt ein Zertifikat zu kaufen.

[NorbertFe 2.283]

Und auf Mobile Clients gibt's ja auch das Problem, dass zumindest einmalig eine Warnung erscheint. Die Wegzuklicken ist zwar schnell erledigt, aber ein gutes Gefühl hätte ich da schon wieder mal nicht. ;)

[Assassin 13]

Mehr ist das nicht? 

 

Beim 2010 exchange erstelle ich ebenso wie beim 2013er direkt aus dem exchange raus ein zertifikat,  und verteile dies per GPO,  und für die paar wenigen notebooks die nicht in der Domäne sind, importiere ich das händisch.  Das funktionierte bisher immer bestens (mit statischer ip). Ich muss zwar aller 2 jahre das Zertifikat erneuern,  aber das ist ok.

[NorbertFe 2.283]

Ja gebastel kann man auch haben. ;)

[Assassin 13]

Aber funktioniert und ist günstig :D

[Nobbyaushb 1.581]

Und nicht supportet.

 

Es gibt - zumindest offiziell - nur 2 Möglichkeiten:

- interne Root-CA

- extern signiert

 

Manche Mobile Devices, z.B. Windows Phone laufen eh nur sauber mit extern signiert.

 

:cool:

[NorbertFe 2.283]

Aber funktioniert und ist günstig :D

Ach naja weißt, die 30€ jährlich ist mir das gebastel usw. Aber nicht wert. Jeder wie er meint.

[testperson 1.860]

Mehr ist das nicht? 

 

Beim 2010 exchange erstelle ich ebenso wie beim 2013er direkt aus dem exchange raus ein zertifikat,  und verteile dies per GPO,  und für die paar wenigen notebooks die nicht in der Domäne sind, importiere ich das händisch.  Das funktionierte bisher immer bestens (mit statischer ip). Ich muss zwar aller 2 jahre das Zertifikat erneuern,  aber das ist ok.

Na hoffentlich zumindest inkl. Private Key.. Da habe ich letztens nicht schlecht gestaunt, als ich ein solches "Konstrukt" fand :rolleyes:

[Assassin 13]

Private key?  Exchange erstellt mir einfach eins...  :/

 

Bei den ganzen Zertifikaten die es da zu kaufen gibt -  woher soll man da wissen was wir hier für eins bräuchten?  Oder kann man z. B.  Bei der psw group anrufen und sich beraten lassen? 

[NorbertFe 2.283]

Ja woher sollte man das wissen? ;) indem man sich damit beschäftigt. Ja stell dir vor, der Exchange erstellt ein selbstsigniertes Zertifikat mit dem dazugehörigen privaten Schlüssel. Ja man kann sich von psw auch beraten lassen. Im Endeffekt tuts jedes san Zertifikat. Bei psw auch multidomain Zertifikate genannt.

 

Bye

Norbert

[testperson 1.860]

Verrückt diese Exchange Server.. Was die nicht alles machen.. Huuui..

 

Ja man kann da tatsächlich auch anrufen. Die Telefonnummer ist nicht nur aus Spaß auf der Internetseite veröffentlich. Eine E-Mail-Adresse haben die ebenfalls ;)

 

PSW hat auch ein oder zwei Zertifikate im Angebot die es hier nicht tun ;) Da dürfen im SAN nur eine Domain mit 3 Hosts enthalten sein und keine verschiedenen Domains..

bearbeitet 26. November 2015 von testperson