> Hört hört, dass wusste ich nicht. Aber gut wenn es ein 'kann mal' Feature ist ist mir das egal, wenn es mal ein 'muss sein' Feature wird, sollten wir noch mal drüber sprechen.
Da ist nicht viel zu sprechen. Bis das im Server-Verkehr Pflicht wird, reden wir nicht mehr über Ex 2010 und dann ist vermutlicha auch IPv6 überholt. Soll heißen: Es gibt eine nicht gerade geringe Anzahl von Servern, die kein TLS können. Die würde man alle
aussperren.
> Unseren ersten Exchange hier haben wir komplett alleine hochgezogen, nur mit Hilfe der User der damals existierenden Newsgroup vor allem dem Daniel Melanchton als er noch nicht bei Microsoft war. Danach kannten wir natürlich jede Checkbox mit Vornamen...
;-)
Na das mus ja dann schon ein paar Jahre her sein und die Technik ist nicht unbedingt einfacher geworden.
Falls es Dich beruhig: Was Zertifikate angeht, befindest Du Dich in bester Gesellschaft mit den meisten anderen Exchange Admins. Vor Ex 2007 braucht man das quasi nicht. Und wer sich nie mit etwas beschäftigen musste, weiß natürlich auch nichts darüber.
> Hm, was wird nicht mehr erlaubt? Das DNS Suffix der Domäne, in unserem Fall dann das domain.local? Das würde erklären, warum das Zertifikat welches sich der Exchange selbst ausgestellt hat nur den Hostnamen eingestellt hat, oder?
In intern signierten oder self-signed kannst Du reinschreiben, was Du willst. In externen CA werden interne Domänennamen nicht mehr signiert, weil sie nicht überprüft werden können.
> Ganz so einfach wirds nicht sein, weil ja auch der IIS das jetzt dann ablaufenden Zertifikat zugewiesen bekommen hat und der funktioniert bei uns ganz sicher mit SSL,
Wir reden hier aber über SMTP, das ist ein anderes Protokoll. Für den IIS hast Du ja ein gültiges Zertifikat mit dem richtigen Namen. Das nutzt Du auch für den IIS.
Und wenn das nicht zu SMTP passt, machst Du entweder SMTP passend und verzichtest auf TLS bei SMTP. Das meinte ich.
> ich glaube sogar ab Exchange 2010 ging das gar nicht mehr anders, bei 2003 wars noch ein 'kann, muss aber nicht' Feature. Also um das Erneuern des Zertifikats komme ich nicht rum, denke ich.
Wieso? Du hast doch eines, dass noch fast 10 Jahre gültig ist. Nur kannst Du das ohne Änderung nicht für SMTP nutzen. Musst Du vielleicht aber auch gar nicht, kann ich nur nicht bewerten.
> Was mir aber so vorschwebt, wäre den IIS einfach an das gekaufte Zertifikat zu binden, denn dieses wird derzeit ja eh nicht verwendet und ist für den gleichen FQDN ausgestellt wie das Zertifikat, welches abläuft. SMTP wird wohl eh nicht funktioniert haben,
weil das Zertifikat dafür den falschen FQDN verwendet.
Genau so. Nichts anderes war gemeint.
> Nur was mich noch stutzig macht, ist warum dann die ganzen OWA und Active Sync User keine Zertifikatswarnung bekommen, kommt das derzeit verwendete Zertifikat doch von unserer eigenen CA und die kennt das draußen im Internet kein Mensch, geschweige denn
vertraut dieser.
Habt ihr eventuell einen Proxy, über den alles läuft und der richtige Zert hat?
Gruesse aus Berlin schickt Robert - MVP Exchange Server
