none
Hilfe bei der Erneuerung eines SSL-Zertifikates in Exchange 2010 RRS feed

 > 

  • Frage

  • Question
    Anmelden
    0
    Anmelden

    Wir betreiben einen Exchange Server 2010, auf welchem das SSL-Zertifikat abgelaufen ist. Aus Kostengründen sollte erst mal kein neues Zertifikat bestellt werden. Sämtliche Services sollten weiterhin funktionieren, nur muss man eben das abgelaufene Zertifikat akzeptieren, bzw. im Browser eine Ausnahme hinzufügen.

    Jetzt ist allerdings OWA extern nicht mehr erreichbar, innerhalb des Firmennetzwerkes funktioniert es hingegen wie bisher. Dadurch können auch auf mobilen Geräten keine E-Mails mehr versandt oder empfangen werden.

    Fehlermeldung im Browser beim Aufruf von owa.domain.de: "Fehlercode: 500 Interner Serverfehler. Das empfangene Zertifikat ist abgelaufen. (-2146893016)"

    • Frage: Warum ist das abgelaufene Zertifikat intern kein Problem, extern wird jedoch der Zugriff verweigert?

    Dann habe ich innerhalb Exchange ein self signed Zertifikat erstellt und aktiviert, bzw. den Diensten zugewiesen. Dieses wird auch intern erkannt, jetzt wird lediglich moniert, dass der Herausgeber nicht verifiziert werden konnte. Extern erhalte ich jedoch die Selbe Fehlermeldung wie zuvor.

    • Warum wird das self signed extern nicht erkannt, bzw. benutzt? Muss man das separat für den externen Zugriff aktivieren?
    • Würde ein richtiges Zertifikat das Problem beheben?

    Unser Ziel ist es OWA auch extern wieder zum Laufen zu kriegen, die Sicherheit der Verbindung ist dabei eher zweitrangig. Falls ein neues Zertifikat her muss, ok, falls nicht, umso besser.

    Vielen Dank, Rincewind

    Freitag, 15. November 2013 15:12
    |

Antworten

  • Question
    Anmelden
    0
    Anmelden

    Zu Frage 1.: Es kann sein das auf den externen Rechnern per IE Richtlinie konfiguriert ist, dass Seiten der Cert abgelaufen oder nicht mehr gültig ist automatisch nicht vertraut wird und auch keine Abfrage stattfindet.

    Zu Frage 2.: Steht noch was zwischen dem Exchange und dem Internetz? Vllt eine Firewall auf der das Cert auch noch installiert ist und die den Verkehr nur durchleitet? TMG mit SSL Veröffentlichung z.B.. Kann auch am Browser liegen.

    Zu Frage 3.: Du würdest zumindest keine Fehlermeldung mehr erhalten wenn du ein richtiges Cert einer Root CA installierst/ erstellst und die Root CA auf den Clients als vertrauenswürdig konfiguriert ist. Aber nach Ablauf hättest du das gleiche Prob wieder.

    Wenn nicht jetzt, wann dann: Eine richtige PKI erstellen, mit Root CA und allem Pipapo. Oder StartSSL Zertifikate nehmen - geht auch.

    • Als Antwort markiert Rincewind79 Montag, 18. November 2013 17:24
    Freitag, 15. November 2013 15:58
    |
  • Question
    Anmelden
    0
    Anmelden

    Naja, man kann ja den externen das Root Cert zur Verfügung stellen. Das sie sichs installieren bei Bedarf.

    Aber bei sowas sollte entweder nen gekauftes oder StartSSL Cert herhalten, hier gehts auch immer irgendwie um Aussenwirkung, mMn. (Nur wenn nicht Firmenangehörige zugreifen müssen oder der BYOD Mist ;))

    • Als Antwort markiert Rincewind79 Montag, 18. November 2013 17:25
    Montag, 18. November 2013 06:48
    |

Alle Antworten

  • Question
    Anmelden
    0
    Anmelden

    Zu Frage 1.: Es kann sein das auf den externen Rechnern per IE Richtlinie konfiguriert ist, dass Seiten der Cert abgelaufen oder nicht mehr gültig ist automatisch nicht vertraut wird und auch keine Abfrage stattfindet.

    Zu Frage 2.: Steht noch was zwischen dem Exchange und dem Internetz? Vllt eine Firewall auf der das Cert auch noch installiert ist und die den Verkehr nur durchleitet? TMG mit SSL Veröffentlichung z.B.. Kann auch am Browser liegen.

    Zu Frage 3.: Du würdest zumindest keine Fehlermeldung mehr erhalten wenn du ein richtiges Cert einer Root CA installierst/ erstellst und die Root CA auf den Clients als vertrauenswürdig konfiguriert ist. Aber nach Ablauf hättest du das gleiche Prob wieder.

    Wenn nicht jetzt, wann dann: Eine richtige PKI erstellen, mit Root CA und allem Pipapo. Oder StartSSL Zertifikate nehmen - geht auch.

    • Als Antwort markiert Rincewind79 Montag, 18. November 2013 17:24
    Freitag, 15. November 2013 15:58
    |
  • Question
    Anmelden
    0
    Anmelden

    Hi,

    sollten es extern non-Domain-Clients sein, kommt es auch mit einer internen PKI
    zu Fehlermeldung, dann hilft nur StartSSl oder ein anderer Anbieter.

    ...auch das SelfSignCert sollte extern laufen...
    --
    Viele Grüße
    Christian

    Montag, 18. November 2013 06:31
    |
    Moderator
  • Question
    Anmelden
    0
    Anmelden

    Naja, man kann ja den externen das Root Cert zur Verfügung stellen. Das sie sichs installieren bei Bedarf.

    Aber bei sowas sollte entweder nen gekauftes oder StartSSL Cert herhalten, hier gehts auch immer irgendwie um Aussenwirkung, mMn. (Nur wenn nicht Firmenangehörige zugreifen müssen oder der BYOD Mist ;))

    • Als Antwort markiert Rincewind79 Montag, 18. November 2013 17:25
    Montag, 18. November 2013 06:48
    |
  • Question
    Anmelden
    0
    Anmelden

    Stimmt natürlich komplett, aber möchte ich das Cert auf unbekannten Clients immer installieren?

    Das SelfSignCert wurde intern nocht nicht einmal per GPO ausgerollt und da stellt es sich für mich extern als zusätzliche Hürde da ? :-)

    Warten wir mal auf Feedback...

    Einen Guten Start in die Woche...

     
    Montag, 18. November 2013 07:02
    |
    Moderator
  • Question
    Anmelden
    0
    Anmelden
    Die Installation eines kostenlosen StartSSL Zertifikates hat das Problem behoben! Vielen Dank für die ausführliche Hilfe, auch wenn ich nicht alles verstanden habe ;)
    Montag, 18. November 2013 11:36
    |
  • Question
    Anmelden
    0
    Anmelden
    Hallo Rincewind,
      
    wenn die Thematik geklärt ist, könntest Du bitte auch die hilfreichen Beiträge "als Antwort" markieren? 
     
    Viele Grüße,
    Alex

    Alex Pitulice, MICROSOFT 
    Bitte haben Sie Verständnis dafür, dass im Rahmen dieses Forums, welches auf dem Community-Prinzip „IT-Pros helfen IT-Pros“ beruht, kein technischer Support geleistet werden kann oder sonst welche garantierten Maßnahmen seitens Microsoft zugesichert werden können.

    Montag, 18. November 2013 16:04
    |