locked
Zertifikatsproblem bei Veröffentlichung RDWebApps über Forefront TMG 2010 RRS feed

 > 

  • Frage

  • Question
    Anmelden
    0
    Anmelden

    Hallo liebe Profis,

    ich habe hier ein Problem mit dem Zertifikat für die Veröffentlichung von RDWebApps über
    Forefront TMG 2010.

    Szenario:
    - Windows 2008 R2 Domäne
    - Windows 2012 Server (Domänenmitglied) konfiguriert als Terminalserver mit
    konfigurierten RDWebApps. Hausintern problemlos aufrufbar über einen Webbrowser
    mittels https://Terminalserver.domainname.de/rdweb
    - Forefront TM 2010 (Domänenmitglied) mit einem Weblistener welcher auf eine
    DynDNS-Adresse hört (firmenname.dyndns.info)

    Nun möchten wir gerne die RDWebApps unseren externen Mitarbeitern zur Verfügung stellen.
    Sie sollen über den Aufruf https://firmenname.dyndns.info/rdweb
    mit den WebApps arbeiten können.

    Ich habe auf dem Terminalserver aus dem IIS heraus ein selbstsigniertes Webhosting-Zertifikat erstellt und dieses unter "Vertrauenswürdige Stammzertifizierungsstellen" gespeichert. Gleichzeitig habe ich dieses Zertifikat samt privatem Schlüssel exportiert und auf dem Forefront TMG
    2010 ebenfalls in "Vertrauenswürdige Stammzertifizierungsstellen" gespeichert.

    Bei der Konfiguration des Weblisteners wird mir dieses Zertifikat als gültig
    angezeigt und ich habe es ausgewählt. SSL-Verbindungen wurden an Port 443
    aktiviert.

    In der Konfiguration des Weblisteners drehe ich mich nun allerdings im Kreis.

    Unter der Registerkarte "Verbindungen" steht: "Um SSL mit dem
    Weblistener verwenden zu können, müssen SSL Serverzertifikate auf der
    Registerkarte "Zertifikate" angegeben werden".

    Unter der Registerkarte "Zertifakte" habe ich wie bereits erwähnt das
    selbst erstellte und als gültig angezeigte Zertifikat ausgewählt. Dort steht
    nun aber ganz unten "Dieser Weblistener ist nicht für die Verwendung von
    SSL konfiguriert. Um SSL verwenden zu können, verwenden Sie die entsprechende
    Option auf der Registerkarte "Verbindungen".

    Nunja ... wie gesagt ... hier drehe ich mich im Kreis.

    Wenn man
    diese beiden Fehlermeldungen ignoriert und bei der Veröffentlichungsregel den
    Test startet erhält man folgende Fehlermeldung:
    "Die vom Microsoft Forefront TMG-Firewalldienst ermittelte Dauer: 0,002 Sekunden
    https://firmenname.dyndns.info:443/ wird getestet.
    Kategorie: Fehler beim Zielserverzertifikat
    Fehlerdetails: 0x80090325 - Die Zertifikatkette wurde von einer nicht
    vertrauenswürdigen Zertifizierungsstelle ausgestellt."

    Wie ich bereits geschrieben habe, habe ich das Zertifikat auf dem
    Terminalserver und auf dem Forefront TMG in "Vertrauenswürdige
    Stammzertifizierungsstellen" gespeichert. Daher verstehe ich diese Meldung
    nicht.

    Wenn man von extern den Hyperlink "https://firmenname.dyndns.info/rdweb"
    aufruft wird man über einen Zertifikatsfehler gewarnt. Ignoriert man diesen meldet
    sich aber tatsächlich der Terminalserver mit seinem Loginfenster für die
    WebApps. Der Login wird sogar auf Richtigkeit geprüft. Loggt man sich
    erfolgreich ein erhält man dann aber im Browser diese Fehlermeldung:
    "Die Seite kann nicht angezeigt werden.
    Technische Informationen (für Supportpersonal)
    •Fehlercode: 500 Interner Serverfehler. Die Zertifikatkette wurde von einer
    nicht vertrauenswürdigen Zertifizierungsstelle ausgestellt. (-2146893019)"

    Hat irgendwer eine Idee wo hier der Hund begraben liegt? Vielleicht sehe ich ja
    auch nur den Wald vor lauter Bäumen nicht...

    Besten Dank im Voraus und viele Grüße

    Joachim




    • Bearbeitet Joachim Hanke Freitag, 22. August 2014 08:13 Schreibfehler
    Freitag, 22. August 2014 08:08

Antworten

  • Question
    Anmelden
    0
    Anmelden

    Hi,

    >> Fehlerdetails: 0x80090325 - Die Zertifikatkette wurde von einer nicht
    vertrauenswürdigen Zertifizierungsstelle ausgestellt

    das bedeutet, dass das Zertifikat auf dem RDS Server fuer Forefront TMG nicht vertrauenswuerdig ist. TMG erstellt eine neue SSL Verbindung zu dem RDS Server. Du musst also dass Root CA Zertifikat welches auf dem RDS fuer die Ausstellung des RDS Zertifikats zustaendig war im Zertifikatspeicher der vertrauenswuerdigen Stammzertifizierungsstellen auf dem TMG importieren.

    die andere Meldung kannst Du ignorieren, wenn ich das aus Deinen Schilderungen richtig verstanden habe

    best regards Marc Grote - www.it-training-grote.de

    • Als Antwort markiert Joachim Hanke Montag, 1. September 2014 14:10
    Freitag, 22. August 2014 08:17
  • Question
    Anmelden
    0
    Anmelden

    Hi,

    kann es sein, dass nur das Zertifikat fuer RDWEB Trusted ist und der Aufbau der RDP Verbindung noch das standardmaessig selbstsignierte Zertifikat fuer den RDP-Listener verwendet?
    http://www.it-training-grote.de/blog/?p=6499

    best regards Marc Grote - www.it-training-grote.de

    • Als Antwort markiert Joachim Hanke Montag, 1. September 2014 14:10
    Freitag, 22. August 2014 12:55

Alle Antworten

  • Question
    Anmelden
    0
    Anmelden

    Hi,

    >> Fehlerdetails: 0x80090325 - Die Zertifikatkette wurde von einer nicht
    vertrauenswürdigen Zertifizierungsstelle ausgestellt

    das bedeutet, dass das Zertifikat auf dem RDS Server fuer Forefront TMG nicht vertrauenswuerdig ist. TMG erstellt eine neue SSL Verbindung zu dem RDS Server. Du musst also dass Root CA Zertifikat welches auf dem RDS fuer die Ausstellung des RDS Zertifikats zustaendig war im Zertifikatspeicher der vertrauenswuerdigen Stammzertifizierungsstellen auf dem TMG importieren.

    die andere Meldung kannst Du ignorieren, wenn ich das aus Deinen Schilderungen richtig verstanden habe

    best regards Marc Grote - www.it-training-grote.de

    • Als Antwort markiert Joachim Hanke Montag, 1. September 2014 14:10
    Freitag, 22. August 2014 08:17
  • Question
    Anmelden
    0
    Anmelden

    Hallo Marc,

    vielen Dank für die schnelle Antwort.
    Klingt einleuchtend was Du schreibst.
    Ich habe nun von unserem RDS Server aus dem Verzeichnis "Vertrauenswürdige Stammzertifizierungsstellen" das Zertifikat "domainname.terminalserver-CA" DER-codiert exportiert und auf dem Forefront TMG in das gleiche Verzeichnis importiert. Leider hat sich nichts geändert.

    Muss dieses Zertifikat vielleicht in das entsprechende Verzeichnis unserer DCs?

    Edit: Ich habe gerade gesehen, dass das Zertifikat auf den DCs schon enthalten ist.

    Viele Grüße

    Joachim


    • Bearbeitet Joachim Hanke Freitag, 22. August 2014 09:04 Nachtrag
    Freitag, 22. August 2014 08:54
  • Question
    Anmelden
    0
    Anmelden

    Hi,

    kann es sein, dass nur das Zertifikat fuer RDWEB Trusted ist und der Aufbau der RDP Verbindung noch das standardmaessig selbstsignierte Zertifikat fuer den RDP-Listener verwendet?
    http://www.it-training-grote.de/blog/?p=6499

    best regards Marc Grote - www.it-training-grote.de

    • Als Antwort markiert Joachim Hanke Montag, 1. September 2014 14:10
    Freitag, 22. August 2014 12:55
  • Question
    Anmelden
    0
    Anmelden

    Hallo Marc,

    bitte entschuldige die späte Antwort. Ich kam bis heute nicht dazu mich um die Sache zu kümmern.

    Du hattest Recht, es lag an dem Zertifikat im Weblistener. Dieses Problem ist nun erledigt.

    Allerdings hänge ich nun schon wieder. Die Clients können sich nun einloggen und sehen die bereitgestellten WebApps. Allerdings können diese nicht gestartet werden weil die Clients allem Anschein nach den Namen nicht auflösen können.

    "Getrennte RemoteApp"
    Der Computer kann keine Verbindung mit dem Remotecomputer herstellen da die Remotedesktop-Gatewayserveradresse nicht erreichbar oder falsch ist. Geben Sie eine gültige Remotedesktop-Gatewayserveradresse ein."

    Im Ereignisprotokoll steht dann:

    Ereignis-ID 1014, DNS-Client Events
    Zeitüberschreitung bei der Namensauflösung  für den Namen <unser_interner_domainname>, nachdem keiner der konfigurierten Server geantwortet hat"

    Eigentlich macht das ja auch Sinn. Der externe Client kann keinen internen Domainnamen auflösen. Aber das sollte er doch für mein Verständnis nach gar nicht müssen...?
    Der User ist erfolgreich am Terminalserver angemeldet und sieht die WebApps. Der Terminalserver muss diese nun doch eigentlich nur noch ausführen und dem User "übergeben" ...
    Zumindest dachte ich das...  :-(

    Viele Grüße

    Joachim

    Montag, 1. September 2014 14:10
  • Question
    Anmelden
    0
    Anmelden

    Hi,

    das RDG ist korrekt konfiguriert mit der dem oeffentlichen DNS FQDN?:
    http://www.aixperts.de/dox/RDG-und-TMG.pdf

    best regards Marc Grote - www.it-training-grote.de

    Dienstag, 2. September 2014 08:01
  • Question
    Anmelden
    0
    Anmelden

    Hallo Marc,

    vielen Dank für den Hinweis. Ich teste, bzw. prüfe das baldmöglichst.
    Aktuell bin ich im Außendienst und komme vermutlich erst gegen Ende dieser Woche dazu.

    Ich gebe dann hier Bescheid.

    Viele Grüße und eine gute Zeit

    Joachim

    Dienstag, 2. September 2014 08:20