Zertikat Exchange 2016 - welcher Name in CN eintragen

[wznutzer 37]

Guten Tag,

 

bitte beantwortet mir folgende Frage.

 

Mein Exchange arbeitet derzeit noch mit dem bei der Installation selbst ausgestellten Zertifikat. Mit iOS 12 können aber selbst signierte Zertifikate nicht mehr akzeptiert werden. Die ganzen "Tricks" wie Neustart, Zugangsdaten erst falsch dann richtig eingeben usw. funktionierten nur bis iOS 11. Da es aber sowieso nicht schön ist selbst signierte Zertifikate öffentlich zu verwenden bekommt der Exchange jetzt ein eigenes Zertifikat.

 

Die Konfiguration an sich ist gut dokumentiert und sollte keine Probleme bereiten. Hier https://docs.microsoft.com/en-us/previous-versions/exchange-server/exchange-150/mt595782(v=exchg.150) heißt es: "We recommend that your certificate's common name match the primary SMTP domain for your organization." Was will mir das sagen? Hier: https://www.frankysweb.de/exchange-2016-smtp-connector-und-wildcard-san-zertifikate/ werden die Probleme beschrieben die auftreten wenn das nicht so ist.

 

Meine Domäne heißt intern leider anders als extern. Der Exchange hört intern auf den Namen exchange.firma.local extern auf exchange.firma.de. Den DNS konfiguriere ich intern so, dass der externe Name auf die interne IP aufgelöst wird.

 

Mein Zertifikat wird ein SAN-Zertifikat mit CN=exchange.firma.de und als weiteres Attribut autodiscover.firma.de. Es sollte doch völlig egal sein wie der interne Name des Exchange ist, so lange die Verbindung über den externen Namen auch intern verwendet wird. Der Exchange kann blabla.xyz.local heißen wenn das Zertifikat auf exchange.firma.de lautet und die Verbindung auch so aufgebaut wird.

 

Konkret denke ich darüber nach ob es mir Probleme bereitet, wenn der Exchange exchange.firma.local heißt das Zertifikat auf exchange.firma.de lautet und meine Standard SMPT Domain nicht die *.de sondern die *.local ist. Wird das Probleme machen?

 

Danke

[NorbertFe 2.283]

Nein das macht keine Probleme. Der CN lautet dann halt exchange.firma.de und der Name steht zusammen mit autodiscover.firma.de dann auch als SAN drin. Der interne Name kann sowieso nicht in ein öffentliches Zertifikat aufgenommen werden. Abgesehen davon mußt du das Zertifikat ja nicht an den SMTP Service binden. ;)

[wznutzer 37]

Am 19.10.2018 um 11:02 schrieb NorbertFe:

Abgesehen davon mußt du das Zertifikat ja nicht an den SMTP Service binden. ;)

Danke. Nicht an den SMTP binden als Alternative, das ist dann wohl ein Fall für die Sache mit dem Wald und den Bäumen.

[NorbertFe 2.283]

Wobei ich denke, du machst dir etwas zuviele Gedanken in diesem Fall.