Exchange 2016/2019: Installation av SSL-certifikat

Komplett guide för hantering av SSL-certifikat på Exchange 2016/2019: DNS-planering, Split-DNS, CSR-generering, certifikatinstallation och aktivering av tjänster.

Gå från interna till internetvaliderade servernamn

När Exchange-servern installeras är standardkonfigurationen att den använder ett internt servernamn för intern kommunikation. Det är dock inte längre möjligt att använda interna servernamn i offentligt utfärdade SSL-certifikat. Eftersom Exchange inte kan använda flera certifikat för varje tjänst måste vi därför enbart använda externt giltiga DNS-namn i certifikatet.

Exempel på interna servernamn:

• server01
• exch01.fairssl.local
• srv01.domain.lan
• localhost
• 192.168.100.10
• 10.0.0.10

Det krävs att det finns ett eller flera DNS-namn som kan nås både utifrån och internt, som pekar mot Exchange-servern. Exchange-servern måste sedan konfigureras för att känna till dessa namn.

Vi föreslår en av följande två populära lösningar:

Split-DNS

1 DNS-namn, t.ex. webmail.fairssl.dk, ger på det lokala nätverket en intern IP-adress till Exchange-servern, medan det från internet ger den offentliga IP-adressen.

Om man inte vill skapa hela domänen som en split-DNS-zon rekommenderar vi att skapa själva servernamnet som en underzon och därmed bara köra split-DNS för det specifika namnet.

Se guide för konfiguration av Split-DNS

Konfigurera därefter serverns interna och externa URL-adresser till detta namn.

Två DNS-namn

Här används helt enkelt olika DNS-namn för intern och extern åtkomst. Detta är normal praxis för företag som har skapat en underdomän till sin offentliga, t.ex. intern.fairssl.dk.

Det skulle t.ex. kunna vara webmail.fairssl.dk som pekar på den externa IP-adressen och exchangeint.fairssl.dk som pekar på den interna IP-adressen.

Därefter konfigureras Exchanges interna och externa URL-adresser till dessa namn.

Konfiguration av Split-DNS

1. Logga in på domänkontrollanten med ett administratörskonto

2. Tryck på Windowskey + R och skriv följande kommando för att öppna DNS Manager:

dnsmgmt.msc

3. Högerklicka på Forward Lookup Zone och klicka på New Zone.

4. Klicka på Next.

Välj Primary zone och Store the zone in Active Directory om detta alternativ är tillgängligt.

Klicka på Next.

5. Välj To all DNS servers running on domain controllers in this forest.

Klicka på Next.

6. Skriv det DNS-namn som den interna DNS-servern ska peka på (t.ex.: mail.fairssl.dk).

Du kan också välja att använda domänen (t.ex.: fairssl.dk), men då måste en host skapas för varje enskilt DNS-namn (se punkt 9).

Klicka på Next.

7. Välj Allow only secure dynamic updates.

Klicka på Next.

Klicka på Finish.

8. Högerklicka på den nya zonen och klicka på New Host (A or AAAA).

9. Lämna Name tomt.

Skriv in den interna IP-adressen till Exchange-serveren.

Om du har skapat en reverse lookup-zon eller planerar att göra det, markera Create associated pointer (PTR) record, annars lämna den tom.

Klicka på Add Host.

10. Om du har valt att skapa en zon för hela domänen ska du följa nedanstående steg. Kom ihåg att du måste skapa en post för alla DNS-namn ni använder (t.ex.: www.domain.dk, vpn.domain.dk, login.domain.dk).

Skriv DNS-namnet utan domän i name (t.ex.: mail)

Skriv in den interna IP-adressen till Exchange-servern.

Om du har skapat en reverse lookup-zon eller planerar att göra det, markera Create associated pointer (PTR) record, annars lämna den tom.

Konfiguration av interna och externa URL-adresser för Exchange-tjänster

1. Logga in på Exchange 2016-servern som har CAS-rollen. Använd ett konto som är medlem i gruppen "Exchange Administrators" samt gruppen "Administrators" på den lokala servern.

2. Starta Exchange Management Shell, högerklicka på genvägen och välj Run as Administrator.

3. Skriv följande kommando och tryck på [ENTER]:

Get-ExchangeServer | fl name

4. Skriv följande kommando och tryck på [ENTER]. SERVERNAVN är namnet du hittade i punkt 3, INTERNURL är den interna adressen till mailservern, t.ex. exch01.fairssl.dk eller mail.fairssl.dk. EKSTERNURL är den externa adressen till mailservern utan https://, t.ex. mail.fairssl.dk. Kom ihåg att skriva citationstecken runt servernavn, internurl och eksternurl:

$CASserver = "SERVERNAVN" ; $internalURL= "INTERNURL" ; $externalURL= "EKSTERNURL"

5. Kopiera eller skriv följande kommandon och tryck på [ENTER] för att byta adresserna till internetgiltiga namn (för ett fullständigt skript med alla kommandon i ett svep, se punkt 6):

Get-AutodiscoverVirtualDirectory -Server $CASserver | Set-AutodiscoverVirtualDirectory -InternalUrl "https://$internalURL/Autodiscover/Autodiscover.xml" -ExternalUrl "https://$externalURL/Autodiscover/Autodiscover.xml"

Get-ClientAccessService -Identity $CASserver | Set-ClientAccessService -AutodiscoverServiceInternalUri "https://$internalURL/Autodiscover/Autodiscover.xml"

Get-WebservicesVirtualDirectory -Server $CASserver | Set-WebservicesVirtualDirectory -InternalUrl "https://$internalURL/Ews/Exchange.asmx" -ExternalUrl "https://$externalURL/Ews/Exchange.asmx"

Get-OabVirtualDirectory -Server $CASserver | Set-OabVirtualDirectory -InternalUrl "https://$internalURL/Oab" -ExternalUrl "https://$externalURL/Oab"

Get-OwaVirtualDirectory -Server $CASserver | Set-OwaVirtualDirectory -InternalUrl "https://$internalURL/Owa" -ExternalUrl "https://$externalURL/Owa"

Get-EcpVirtualDirectory -Server $CASserver | Set-EcpVirtualDirectory -InternalUrl "https://$internalURL/Ecp" -ExternalUrl "https://$externalURL/Ecp"

Get-ActiveSyncVirtualDirectory -Server $CASserver | Set-ActiveSyncVirtualDirectory -InternalUrl "https://$internalURL/Microsoft-Server-ActiveSync" -ExternalUrl "https://$externalURL/Microsoft-Server-ActiveSync"

6. Följande är alla ovanstående kommandon samlade i ett för enkel copy/paste. Om punkt 5 redan har följts finns ingen anledning att använda detta:

Get-AutodiscoverVirtualDirectory -Server $CASserver | Set-AutodiscoverVirtualDirectory -InternalUrl "https://$internalURL/Autodiscover/Autodiscover.xml" -ExternalUrl "https://$externalURL/Autodiscover/Autodiscover.xml" ; Get-ClientAccessService -Identity $CASserver | Set-ClientAccessService -AutodiscoverServiceInternalUri "https://$internalURL/Autodiscover/Autodiscover.xml" ; Get-WebservicesVirtualDirectory -Server $CASserver | Set-WebservicesVirtualDirectory -InternalUrl "https://$internalURL/Ews/Exchange.asmx" -ExternalUrl "https://$externalURL/Ews/Exchange.asmx" ; Get-OabVirtualDirectory -Server $CASserver | Set-OabVirtualDirectory -InternalUrl "https://$internalURL/Oab" -ExternalUrl "https://$externalURL/Oab" ; Get-OwaVirtualDirectory -Server $CASserver | Set-OwaVirtualDirectory -InternalUrl "https://$internalURL/Owa" -ExternalUrl "https://$externalURL/Owa" ; Get-EcpVirtualDirectory -Server $CASserver | Set-EcpVirtualDirectory -InternalUrl "https://$internalURL/Ecp" -ExternalUrl "https://$externalURL/Ecp" ; Get-ActiveSyncVirtualDirectory -Server $CASserver | Set-ActiveSyncVirtualDirectory -InternalUrl "https://$internalURL/Microsoft-Server-ActiveSync" -ExternalUrl "https://$externalURL/Microsoft-Server-ActiveSync"

Generera CSR för certifikatbeställning

1. Logga in på Exchange-servern som har CAS-rollen. Använd ett konto som är medlem i gruppen "Exchange Administrators" samt gruppen "Administrators" på den lokala servern.

2. Tryck på Windows-tangenten.

Skriv Exchange ad för att söka.

Starta Exchange Administrative Center.

3. Ange ditt administratörsanvändarnamn och lösenord.

Klicka på sign in.

4. Klicka på servers till vänster.

Klicka på den server som ska få ett nytt certifikat i listan i mitten.

5. Klicka på certificates uppe till höger.

Klicka på +-ikonen.

6. Välj Create a request for a certificate from a certificate authority.

Klicka på Next.

7. Ge ditt certifikat ett namn så att du kommer ihåg vad det ska användas till, t.ex. DNS-namnet.

Klicka på Next.

8. Se till att Request a wildcard INTE är markerat.

Klicka på Next.

9. Klicka på Browse och välj servern.

Klicka på Next.

10. Här har du möjlighet att ändra vilket DNS-namn olika tjänster ska nås ifrån internt och externt.

Om det finns namn som slutar på .local eller liknande bör dessa ändras. Följ vid behov Gå från interna till internetvaliderade servernamn. Du kan vänta med att ändra dessa tills du är klar med CSR-filen.

Klicka på Next.

11. Ta bort alla DNS-namn du inte behöver och lägg till de som saknas.

Klicka på Next.

12. Fyll i företagsinformationen.

• Organization name: Fyll i exakt så som företagsnamnet är registrerat hos Bolagsverket.
• Department Name: Kan lämnas tomt.
• City/Locatity: Fullständigt ortsnamn, t.ex. Stockholm.
• State/Province: Län eller region, t.ex. Stockholm.
• Country/Region: Landet där företaget är baserat.

Klicka på Next.

13. Ange en UNC-sökväg till var du vill spara CSR-filen. Nedanstående exempel sparar på c:\www.fairssl.dk.csr på EX2016-servern.

Klicka på Finish.

14. Använd din favorittextredigerare för att öppna CSR-filen, t.ex. Notepad, och kopiera texten till CSR-fältet i beställningen.

Importera mellanliggande certifikat (Intermediate Certificate Authority)

Följande beskriver hur mellanliggande certifikat importeras på en Microsoft Windows-baserad server och därmed även på en Exchange-server. För att säkerställa att klienter kan validera certifikatskedjan måste utfärdarens publika mellanliggande certifikat installeras på Exchange-servern.

Observera att Windows ibland installerar detta automatiskt när servercertifikatet installeras. Det skadar dock inte att importera samma mellanliggande certifikat flera gånger; det kommer bara en varning om att det redan finns.

1. Logga in på servern med ett konto som är medlem i gruppen "Administrators" på den lokala servern.

Kopiera texten för det mellanliggande certifikatet (Intermediate certificate) från e-postmeddelandet med ditt nya certifikat till en enkel textredigerare (som Notepad). Spara filen på skrivbordet med filnamnet intermediate.cer.

2. Tryck på Windows-tangenten + R.

Skriv mmc.exe.

Tryck på OK.

3. Klicka på File och därefter Add/Remove snap-in.

4. Välj Certificates och klicka därefter på Add.

5. Välj Computer account och klicka på Next>

6. Se till att Local computer är valt.

Klicka på Finish.

Klicka på OK.

7. Expandera Certificates (Local Computer) och Intermediate Certificate Authorities

Högerklicka på Certificates, välj All Tasks och klicka på Import...

8. Klicka på Browse... och välj filen du sparade på skrivbordet.

Klicka på Next

9. Välj Automatically select the certificate store based on the type of certificate

Klicka på Next

Klicka på Finish

Installation av certifikat från CSR

Det är viktigt att installera certifikatet på den server där CSR (Certificate Signing Request) skapades, eftersom det är där certifikatets privata nyckel finns.

Den privata nyckeln skapades som en del av CSR-processen, och det är nödvändigt att slutföra denna installationsprocess för att koppla ihop den privata nyckeln med certifikatet.

1. Spara det nya certifikatet som en fil på en plats där du kan nå den från servern via en UNC-sökväg.

t.ex. "\\exserver\c$\admin\certnew.cer".

2. Tryck på Windows-tangenten.

Skriv Exchange ad för att söka.

Starta Exchange Administrative Center.

3. Ange ditt administratörsanvändarnamn och lösenord.

Klicka på sign in.

4. Klicka på servers till vänster.

Klicka på den server certifikatet ska installeras på i listan i mitten.

Klicka på certificates uppe till höger.

5. Klicka på det friendly name du angav när du skapade din CSR; den kommer att ha status pending request.

Klicka på complete till höger.

6. Ange UNC-sökvägen till där du sparade certifikatet.

Klicka på OK.

7. Certifikatet installeras nu på Exchange-servern och dess status ändras från Pending Request till Valid (giltig) i certifikatöversikten på servern.

Aktivera certifikat för valda tjänster

1. Logga in på Exchange-servern som har CAS-rollen. Använd ett konto som är medlem i gruppen "Exchange Administrators" samt gruppen "Administrators" på den lokala servern.

2. Tryck på Windows-tangenten.

Skriv Exchange ad för att söka.

Starta Exchange Administrative Center.

3. Ange ditt administratörsanvändarnamn och lösenord.

Klicka på sign in.

4. Klicka på servers till vänster.

Klicka på den server där certifikatet ska aktiveras.

Klicka på certificates uppe till höger.

5. Markera det certifikat du vill aktivera tjänster för.

Klicka på ✏-ikonen (Redigera).

6. Klicka på Services till vänster.

Markera de tjänster du vill aktivera för certifikatet.

Klicka på Save.

7. Om du har valt SMTP kommer det nu en fråga om du vill skriva över det befintliga SMTP-certifikatet.

Klicka på Yes.