Exchange 2010: Installation av SSL-certifikat

Komplett guide för hantering av SSL-certifikat på Exchange 2010: DNS-planering, Split-DNS, CSR-generering, certifikatinstallation och aktivering av tjänster.

Byt från interna till publikt giltiga servernamn

När en Exchange-server installeras är standardinställningen att den använder ett internt servernamn för intern kommunikation. Publikt betrodda SSL-certifikat kan dock inte längre utfärdas för interna servernamn. Eftersom Exchange bara kan använda ett certifikat per tjänst måste certifikatet enbart innehålla externt giltiga DNS-namn.

Exempel på interna servernamn:

• server01
• exch01.fairssl.local
• srv01.domain.lan
• localhost
• 192.168.100.10
• 10.0.0.10

Det kräver ett eller flera DNS-namn som kan nås både externt och internt och som pekar på Exchange-servern. Exchange-servern måste även konfigureras för att känna till dessa namn.

Vi föreslår en av följande två vanliga lösningar.

Split-DNS

Ett DNS-namn (t.ex. webmail.fairssl.dk) pekar på Exchange-serverns interna IP-adress från det lokala nätverket och på den publika IP-adressen från internet.

Om du inte vill göra hela domänen till en split-DNS-zon rekommenderar vi att du skapar en egen zon för servernamnet, så att split-DNS bara gäller just det namnet.

Se avsnittet Konfiguration av Split-DNS

Konfigurera därefter serverns interna och externa URL:er till detta namn.

Två DNS-namn

Här används ett DNS-namn för intern åtkomst och ett annat för extern åtkomst. Det är vanligt hos företag som har skapat en underdomän till sin publika domän, t.ex. intern.fairssl.dk.

Det kan till exempel vara webmail.fairssl.dk som pekar på den externa IP-adressen och exchangeint.fairssl.dk som pekar på den interna IP-adressen.

Konfigurera därefter Exchanges interna och externa URL:er till dessa namn.

Konfiguration av Split-DNS

1. Logga in på domänkontrollanten med ett administratörskonto.

2. Tryck på Windows-tangenten + R och skriv följande kommando för att öppna DNS Manager:

dnsmgmt.msc

3. Högerklicka på Forward Lookup Zones och klicka på New Zone.

4. Klicka på Next.

Välj Primary zone och Store the zone in Active Directory om detta alternativ är tillgängligt.

Klicka på Next.

5. Välj To all DNS servers running on domain controllers in this forest.

Klicka på Next.

6. Skriv det DNS-namn som den interna DNS-servern ska peka på (t.ex. mail.fairssl.dk).

Du kan också välja att använda domänen (t.ex. fairssl.dk), men då måste du skapa en A-post för varje enskilt DNS-namn (se punkt 9).

Klicka på Next.

7. Välj Allow only secure dynamic updates.

Klicka på Next.

Klicka på Finish.

8. Högerklicka på den nya Forward Lookup-zonen och klicka på New Host (A or AAAA).

9. Lämna Name tomt.

Skriv in den interna IP-adressen till Exchange-servern.

Om du har skapat en reverse lookup-zon eller planerar att göra det, markera kryssrutan Create associated pointer (PTR) record, annars lämnar du den omarkerad.

Klicka på Add Host.

10. Om du har valt att skapa en zon för hela domänen följer du stegen nedan. Kom ihåg att göra detta för alla DNS-namn du använder (t.ex. www.domain.dk, vpn.domain.dk, login.domain.dk).

Skriv DNS-namnet utan domän i fältet Name (t.ex. mail).

Skriv in den interna IP-adressen till Exchange-servern.

Om du har skapat en reverse lookup-zon eller planerar att göra det, markera kryssrutan Create associated pointer (PTR) record, annars lämnar du den omarkerad.

Konfiguration av interna och externa URL:er för Exchange-tjänsterna

Följ stegen nedan för att ändra de interna och externa DNS-namnen för alla Exchange-tjänster.

1. Logga in på den Exchange-server som har CAS-rollen (Client Access Server). Använd ett konto som är medlem i gruppen "Exchange Administrators" samt gruppen "Administrators" på den lokala servern.

2. Starta Exchange Management Shell, högerklicka på genvägen och välj Run as Administrator.

3. Skriv följande kommando och tryck på [ENTER]:

Get-ExchangeServer | fl name

4. Skriv följande kommando och tryck på [ENTER]. SERVERNAVN är namnet du hittade i punkt 3. INTERNURL är den interna adressen till mailservern, t.ex. exch01.fairssl.dk eller mail.fairssl.dk. EKSTERNURL är den externa adressen till mailservern utan https://, t.ex. mail.fairssl.dk. Kom ihåg citationstecknen runt de tre värdena:

$CASserver = "SERVERNAVN" ; $internalURL= "INTERNURL" ; $externalURL= "EKSTERNURL"

5. Kopiera eller skriv följande kommandon och tryck på [ENTER] för att byta till de externt giltiga adresserna (alla kommandon samlade i ett skript finns i punkt 6):

Get-AutodiscoverVirtualDirectory -Server $CASserver | Set-AutodiscoverVirtualDirectory -InternalUrl "https://$internalURL/Autodiscover/Autodiscover.xml" -ExternalUrl "https://$externalURL/Autodiscover/Autodiscover.xml"

Get-ClientAccessServer -Identity $CASserver | Set-ClientAccessServer -AutoDiscoverServiceInternalUri "https://$internalURL/Autodiscover/Autodiscover.xml"

Get-WebservicesVirtualDirectory -Server $CASserver | Set-WebservicesVirtualDirectory -InternalUrl "https://$internalURL/Ews/Exchange.asmx" -ExternalUrl "https://$externalURL/Ews/Exchange.asmx"

Get-OabVirtualDirectory -Server $CASserver | Set-OabVirtualDirectory -InternalUrl "https://$internalURL/Oab" -ExternalUrl "https://$externalURL/Oab"

Get-OwaVirtualDirectory -Server $CASserver | Set-OwaVirtualDirectory -InternalUrl "https://$internalURL/Owa" -ExternalUrl "https://$externalURL/Owa"

Get-EcpVirtualDirectory -Server $CASserver | Set-EcpVirtualDirectory -InternalUrl "https://$internalURL/Ecp" -ExternalUrl "https://$externalURL/Ecp"

Get-ActiveSyncVirtualDirectory -Server $CASserver | Set-ActiveSyncVirtualDirectory -InternalUrl "https://$internalURL/Microsoft-Server-ActiveSync" -ExternalUrl "https://$externalURL/Microsoft-Server-ActiveSync"

6. Här är alla kommandon ovan samlade på en rad, så att du kan kopiera och klistra in dem. Om du redan har utfört punkt 5 behöver du inte köra dem:

Get-AutodiscoverVirtualDirectory -Server $CASserver | Set-AutodiscoverVirtualDirectory -InternalUrl "https://$internalURL/Autodiscover/Autodiscover.xml" -ExternalUrl "https://$externalURL/Autodiscover/Autodiscover.xml" ; Get-ClientAccessServer -Identity $CASserver | Set-ClientAccessServer -AutoDiscoverServiceInternalUri "https://$internalURL/Autodiscover/Autodiscover.xml" ; Get-WebservicesVirtualDirectory -Server $CASserver | Set-WebservicesVirtualDirectory -InternalUrl "https://$internalURL/Ews/Exchange.asmx" -ExternalUrl "https://$externalURL/Ews/Exchange.asmx" ; Get-OabVirtualDirectory -Server $CASserver | Set-OabVirtualDirectory -InternalUrl "https://$internalURL/Oab" -ExternalUrl "https://$externalURL/Oab" ; Get-OwaVirtualDirectory -Server $CASserver | Set-OwaVirtualDirectory -InternalUrl "https://$internalURL/Owa" -ExternalUrl "https://$externalURL/Owa" ; Get-EcpVirtualDirectory -Server $CASserver | Set-EcpVirtualDirectory -InternalUrl "https://$internalURL/Ecp" -ExternalUrl "https://$externalURL/Ecp" ; Get-ActiveSyncVirtualDirectory -Server $CASserver | Set-ActiveSyncVirtualDirectory -InternalUrl "https://$internalURL/Microsoft-Server-ActiveSync" -ExternalUrl "https://$externalURL/Microsoft-Server-ActiveSync"

Generering av CSR för certifikatbeställning

1. Starta Exchange Management Shell, högerklicka på genvägen och välj Run as Administrator.

2. Skriv följande kommando i Exchange Management Shell och tryck på [ENTER]. Parametrarna anger den information du har samlat in:

• SubjectName: Företagsuppgifter
• KeySize: Nyckelstorleken i bitar (använd 2048)
• PrivateKeyExportable: Om certifikatet senare ska kunna exporteras som säkerhetskopia

$CSR = New-ExchangeCertificate -GenerateRequest -SubjectName "CN=mail.fairssl.dk, O=FairSSL ApS, OU=IT Department, L=Oerum Djurs, S=Oerum Djurs, C=DK" -KeySize 2048 -PrivateKeyExportable $true

3. Du kan nu kopiera den genererade texten och klistra in den direkt i certifikatbeställningen, eller spara den i en fil med följande kommando:

• Path: Sökvägen där CSR-filen ska sparas

Set-Content -Path "c:\mail.fairssl.dk.csr" -value $CSR

4. Öppna CSR-filen i Anteckningar (Notepad) med följande kommando i Exchange Management Shell. Använd sökvägen till filen du skapade ovan och tryck på [ENTER]:

notepad c:\mail.fairssl.dk.csr

5. Markera och kopiera hela texten från filen, inklusive alla bindestreck före och efter.

Klistra in texten i CSR-fältet i beställningen.

Import av mellanliggande certifikat (Intermediate Certificate Authority)

Så här importerar du mellanliggande certifikat på en Windows-server, och därmed även på en Exchange-server. Klienterna kan bara validera certifikatkedjan om certifikatutfärdarens mellanliggande certifikat är installerat på Exchange-servern.

Windows installerar ibland det mellanliggande certifikatet automatiskt tillsammans med servercertifikatet. Det skadar inte att importera samma mellanliggande certifikat igen, du får bara en varning om att det redan finns.

1. Logga in på servern med ett konto som är medlem i gruppen "Administrators" på den lokala servern.

Kopiera texten för det mellanliggande certifikatet från e-postmeddelandet med ditt nya certifikat till en textredigerare, t.ex. Notepad. Spara filen på skrivbordet med filnamnet intermediate.cer.

2. Tryck på Windows-tangenten + R.

Skriv mmc.exe.

Tryck på OK.

3. Klicka på File och därefter Add/Remove Snap-in.

4. Välj Certificates och klicka därefter på Add.

5. Välj Computer account och klicka på Next >

6. Se till att Local computer är markerat.

Klicka på Finish.

Klicka på OK.

7. Expandera Certificates (Local Computer) och Intermediate Certification Authorities

Högerklicka på Certificates, välj All Tasks och klicka på Import...

8. Klicka på Browse... och välj filen du sparade på skrivbordet.

Klicka på Next

9. Välj Automatically select the certificate store based on the type of certificate

Klicka på Next

Klicka på Finish

Import och aktivering av en PFX-fil (.PFX/PKCS#12)

Så här importerar och aktiverar du en PFX-fil i Exchange 2010. När du beställer med AutoCSR får du certifikatet som en PFX-fil skyddad med en unik kod.

1. Starta Exchange Management Shell, högerklicka på genvägen och välj Run as Administrator.

2. I Exchange Management Shell, skriv följande kommando följt av [ENTER]:

• Path: Sökvägen till certifikatfilen.
• Services: De tjänster som ska aktiveras.

Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path c:\mail.mydomain.dk.pfx-Encoding byte-ReadCount 0))-password:(Get-Credential).password | Enable-ExchangeCertificate -Services "IIS,POP,IMAP,SMTP,None"

Lägg till UM i Services om Unified Messaging är installerat.

Om du väljer tjänster som inte är installerade kommer kommandot att misslyckas, så välj bara de tjänster där certifikatet ska användas.

Detta kommando importerar först certifikatet och aktiverar sedan de valda tjänsterna.

En lösenordsfråga kommer att visas om filen är lösenordsskyddad (se punkt 3).

Till sist får du frågan om du vill byta standardcertifikat för SMTP. Skriv y och tryck på [ENTER].

3. En dialogruta för användarnamn och lösenord visas. Fältet för användarnamn används inte, men det måste fyllas i.

Skriv None som användarnamn och det lösenord som filen är skyddad med i lösenordsfältet.

Aktivera certifikat för angivna tjänster

1. Starta Exchange Management Shell, högerklicka på genvägen och välj Run as Administrator.

2. Skriv följande kommando följt av [ENTER]:

• Thumbprint: Certifikatets tumavtryck (visas med kommandot Get-ExchangeCertificate).
• Services: De tjänster som certifikatet ska aktiveras för.

Enable-ExchangeCertificate -Thumbprint -Services "IIS, POP, IMAP, SMTP, None"

Lägg till UM i Services om Unified Messaging är installerat.

Om du väljer tjänster som inte är installerade kommer kommandot att misslyckas, så välj bara de tjänster där certifikatet ska användas.

Bekräfta sedan att certifikatet för SMTP-tjänsten ska ersättas genom att trycka på [ENTER].