[SBS2003] Certificaten met meerdere domeinen?

[Plankje]

Hallo,

Ik ben ondertussen al een tijd aan het zoeken op het forum en op Internet, maar kan niks vinden wat specifiek op deze situatie van toepassing is. Wat ik wil is eigenlijk heel simpel, met de CA van SBS2003 een certificaat uitgeven dat zowel het IP-adres (82.75.35.53), heeft hoofddomein (plankje.local) en een subdomein (ehmplankje1.plankje.local) goedkeurt. Als ik hiervoor de CEICW gebruik, dan kan ik er maar voor kiezen om 1 domein goed te keuren (bijvoorbeeld ik vul alleen het ip-adres in). Echter, als ik dan het gegenereerde certificaat bekijk zie ik wel het volgende staan bij zowel het kopje verlener als ook onderwerp

code:

CN = 82.75.35.53
CN = companyweb
CN = ehmplankje1
CN = localhost
CN = ehmplankje1.plankje.local

Een test wijst ook uit dat alle domeinen worden in IE7 vanaf client goedgekeurd worden. Probeer ik het domein plankje.local (die staat dus niet in de lijst) te bereiken, dan doet IE, uiteraard, moeilijk.
Mijn vraag is nu, hoe kan ik een basiscertificaat genereren waarin ik zelf kan bepalen welke domeinen wel en niet goedgekeurd worden (want ik zie nu ook een aantal standaard domeinen staan die ik er niet zelf in heb gezet). Is die mogelijk met de ingebouwde Certification Authority van Server 2003 of moet ik dan overstappen naar 3d-party software?
Mocht er aanvullende informatie nodig zijn, dan zal deze uiteraard verstrekt worden.
Alvast bedankt voor de moeite!

[Mike2k]

Je moet een wildcard certificaat gebruiken...

Ik stoeide hier toevallig vanochtend nog mee op een apache server...
http://forums.devshed.com...-apache-server-17358.html

Ik vermoed dat dat ook opgaat voor IIS

[ZeRoC00L]

Wat de TS bedoeld is een SAN SSL certificaat (Subject Alternative Names).
Even uit m'n hoofd kan de interne CA van Windows 2003 / active directory deze niet genereren.

[alt-92]

Plankje schreef op dinsdag 17 maart 2009 @ 12:05:
, heeft hoofddomein (plankje.local) en een subdomein (ehmplankje1.plankje.local)

Eh... plankje.local = domain, ehmplankje1 = hostname in dat domain.

je hebt geen subdomains.

[Verwijderd]

Plankje schreef op dinsdag 17 maart 2009 @ 12:05:
Hallo,

Ik ben ondertussen al een tijd aan het zoeken op het forum en op Internet, maar kan niks vinden wat specifiek op deze situatie van toepassing is. Wat ik wil is eigenlijk heel simpel, met de CA van SBS2003 een certificaat uitgeven dat zowel het IP-adres (82.75.35.53), heeft hoofddomein (plankje.local) en een subdomein (ehmplankje1.plankje.local) goedkeurt. Als ik hiervoor de CEICW gebruik, dan kan ik er maar voor kiezen om 1 domein goed te keuren (bijvoorbeeld ik vul alleen het ip-adres in). Echter, als ik dan het gegenereerde certificaat bekijk zie ik wel het volgende staan bij zowel het kopje verlener als ook onderwerp

code:

CN = 82.75.35.53
CN = companyweb
CN = ehmplankje1
CN = localhost
CN = ehmplankje1.plankje.local

Een test wijst ook uit dat alle domeinen worden in IE7 vanaf client goedgekeurd worden. Probeer ik het domein plankje.local (die staat dus niet in de lijst) te bereiken, dan doet IE, uiteraard, moeilijk.
Mijn vraag is nu, hoe kan ik een basiscertificaat genereren waarin ik zelf kan bepalen welke domeinen wel en niet goedgekeurd worden (want ik zie nu ook een aantal standaard domeinen staan die ik er niet zelf in heb gezet). Is die mogelijk met de ingebouwde Certification Authority van Server 2003 of moet ik dan overstappen naar 3d-party software?
Mocht er aanvullende informatie nodig zijn, dan zal deze uiteraard verstrekt worden.
Alvast bedankt voor de moeite!

het is me niet duidelijk wat je wilt, maar als je gewoon een website certs wilt hebben > makecert.exe (microsoft resource kit of support tools). Deze maakt selfsigned certs aan. en met *.domain.name. heb je dan een cert voor al je subdomains.

[Plankje]

Verwijderd schreef op dinsdag 17 maart 2009 @ 13:02:
[...]


het is me niet duidelijk wat je wilt, maar als je gewoon een website certs wilt hebben > makecert.exe (microsoft resource kit of support tools). Deze maakt selfsigned certs aan. en met *.domain.name. heb je dan een cert voor al je subdomains.

Ik draai SBS2003 met Exchange. Voor interne computers wil ik van Exchange (met Outlook '07) gebruik maken via plankje.local en ehmplankje1.plankje.local (beide dus). Voor externe pc's wil ik Exchange kunnen benaderen via het IP-adres. Dit wil ik allemaal geregeld hebben in 1 certificaat, maar CEICW biedt mij alleen maar de mogelijkheid om 1 domein op te geven (zoals in het voorbeeld het IP-adres), de andere 4 domeinen die in het certificaat dat CEICW genereert voorkomen zijn "erbij verzonnen" door CEICW, zeg maar. Niet geheel toevallig komt daar een ander gewenst domeinnaam ook in voor, namelijk ehmplankje1.plankje.local (dit is immers de volledige computernaam van de server). Echter, plankje.local ontbreekt nog in het lijstje. Wat mijn bedoeling dus is dat ik uiteindelijk een certificaat heb waar in ieder geval het volgende in voorkomt:

code:

CN = 82.75.35.53
CN = ehmplankje1.plankje.local
CN = plankje.local

Zodat ik bijvoorbeeld OWA (zonder problemen) kan bereiken op https://82.75.35.53/exchange, https://ehmplankje1.plankje.local/exchange en https://plankje.local/exchange met 1 certificaat. Met het huidige certificaat dat ik heb krijg ik bij de laatste URL security-errors in IE. Mocht er een andere (makkelijkere/betere) methode zijn om dit te bereiken, dan hoor ik het uiteraard graag .

[ZeRoC00L]

Plankje schreef op dinsdag 17 maart 2009 @ 13:51:
Zodat ik bijvoorbeeld OWA (zonder problemen) kan bereiken op https://82.75.35.53/exchange, https://ehmplankje1.plankje.local/exchange en https://plankje.local/exchange met 1 certificaat. Met het huidige certificaat dat ik heb krijg ik bij de laatste URL security-errors in IE. Mocht er een andere (makkelijkere/betere) methode zijn om dit te bereiken, dan hoor ik het uiteraard graag .

Heb je mijn post hierboven bekeken ?

[Verwijderd]

ZeRoC00L schreef op dinsdag 17 maart 2009 @ 14:00:
[...]

Heb je mijn post hierboven bekeken ?

Je hebt inderdaad een SAN cert nodig, maar ik ken geen tools die deze kunnen maken.

Evt een andere methode is, 3 certs gebind op 3 ip's, dan gaat het ook werken, maar is veel lastiger te implementeren (het is wel te doen) dan de SAN cert oplossing.

[xtra]

Je kunt ook nog zoeken op UCC certificaat.

Met openSSL kun je ze zo te zien maken. (Niet geprobeerd.)

Als het wat (v.a. € 55/jaar) mag kosten dan kun je er ook één bij http://www.godaddy.com/ kopen.

[Jazzy]

Ik weet niet of Exchange 2003 en SBS wel een SAN certificate ondersteunen. Zou ik zeker eerst met een zelf uitgegeven certificaat testen.

Even een praktisch puntje trouwens, de meeste gebruikers van SBS 2003 kunnen gewoon af met 1 certificaat. Voor intern gebruik je gewoon http://sbsserver/exchange en voor extern OWA en RWW doe je https://remote.domein.nl/exchange of https://remote.domein.nl/remote. Dan ben je er ook.

[sanfranjake]

Een selfsigned moet je dat even op de CA aanzetten: How to add a Subject Alternative Name to a secure LDAP certificate

[Plankje]

Heren, dames (?)

Bedankt voor jullie reacties! Ik ben nu weer een heel eind op weg geholpen. Outlook '07 + Exchange '03 is echt een ramp is mij al opgevallen .

[Jazzy]

Plankje schreef op dinsdag 17 maart 2009 @ 20:18:
Heren, dames (?)

Bedankt voor jullie reacties! Ik ben nu weer een heel eind op weg geholpen. Outlook '07 + Exchange '03 is echt een ramp is mij al opgevallen .

Wat is je probleem nou precies? Outlook 2007 en Exchange 2003 is juist geen enkel probleem. Ik weet niet waarom jij al die certificaten nodig hebt want je kunt gewoon met de CEICW uit de voeten.

[xtra]

Jazzy schreef op dinsdag 17 maart 2009 @ 15:14:
Ik weet niet of Exchange 2003 en SBS wel een SAN certificate ondersteunen. Zou ik zeker eerst met een zelf uitgegeven certificaat testen.

De internet connection wizard maakt ze zelf ook maar volgens mij alleen self signed.
Ik heb het even geprobeerd met openSSL en MS Certificate Service en dat werkt prima. I.p.v. extra CN's heb ik alleen alternative DNS maar dat lijkt voor Exchange niet uit te maken.

M'n Symbian toestel klaagt nog over een verkeerde hostname. Die lijkt het niet te snappen.

[Jazzy]

Ik ben eigenlijk vooral benieuwd waar Plankje nu tegenaan loopt. Ik kan me namelijk geen enkele reden bedenken, in ieder geval geen reden die met Outlook 2007 en SBS 2003 te maken heeft.