Certificaat aanmaken

[The Chaser]

Het is me eerder gelukt om op een SBS2203 en Exchange 2003 alles aan de praat te krijgen over dyndns, OWA, OMA, OA...

In de SBS had je een wizard connect to internet.
Ik runde die en vulde bij FQDN e-server.domeinnaam.local en runde alles.
Dan exporte ik het certificaat in de mmc.

Ik runde de wizard opnieuw en vulde dit keer als FQDN e-server.dyndns.org en liet de andere settings ongemoeid. Ik inporteerde in de mmc de e-server.domeinnaam.local certificaat in zodat ik bij de map "persoolijk" 2 certificaten had.

Nu kon ik op het intranet zonder waarschuwing surfen en ook via dyndns als ik de certificaten inporteerde op de computers, ook outlook gaf geen error over certificaten bij outlook anywhere.

Nu heb ik een S2003 Enterprise en een Exchange2007.
En ik zit met hetzelfde probleem, alleen heb je hier die wizards niet (denk ik).
Hoe laat ik hem zo'n certificaat maken?

Gtz

[zwittrooper]

Je kan een certificaat maken door de role "certificate services" te installeren, of IIS gebruiken en dan de optie certificaten. Daar kan je een nieuwe aanmaken met het eigen adres. Rechts staat die optie.

[The Chaser]

Zou je iets duidelijker kunnen zijn want ik vind het niet terug.

Hoe doe ik het via IIS?

[Arno]

Met Exchange 2007 kun je dit het beste doen via PS in de EMC. De cmdlet die je zoekt heet new-exchangecertificate. Helaas is dit de beste wijze om dit te doen met 2007, in 2001 zit er weer een gui wizard in Exchange.

[The Chaser]

Kan ej me helpen hoe ik dat moet doen in PS (powershell?) ?

[Turdie]

Arno schreef op zondag 13 februari 2011 @ 00:17:
Met Exchange 2007 kun je dit het beste doen via PS in de EMC. De cmdlet die je zoekt heet new-exchangecertificate. Helaas is dit de beste wijze om dit te doen met 2007, in 2001 zit er weer een gui wizard in Exchange.

Ik zou niet gebruik maken van een self signed certificate want dan moet op je iedere pc waar je gebruik wil maken van Outlook Anywhere het certificaat importeren in de certificate store. Want dat is namelijk wat het commando new-exchangecertificate doet. Hangt ook een beetje af van de grootte van je netwerk, maar ik heb zelf het motto, als ik meer dan een keer moet doen wil ik het automatiseren, vandaar ook dit advies.

Ik zou eerder een certificaat kopen voor Outlook Anywhere, en dan koppelen binnen Exchange 2007. Omdat een gekocht certificaat al automatisch vertrouwt wordt en het trusted certificaat aanwezig is in de certificate store van iedere client pc.
Zie hier hoe je dat moet doen:
Stap 1:
How to Request an SSL Certificate
Stap 2
How to Install an SSL Certificate on a Client Access Server

En zie hier over hoe je Outlook Anywhere in Exchange 2007 op juiste manier enabled:
How to Enable Outlook Anywhere

[ Voor 55% gewijzigd door Turdie op 13-02-2011 01:21 ]

[The Chaser]

2pc's moeten er gebruik van maken... dus hoe doe ik het met een self signed certificate ?

[Turdie]

The Chaser schreef op zondag 13 februari 2011 @ 02:05:
2pc's moeten er gebruik van maken... dus hoe doe ik het met een self signed certificate ?

Even googlen en ik kom hieruit:
New-ExchangeCertificate
Intikken in de Exchange Management Shell .

[The Chaser]

Kan je een voorbeeld intikken?
Ik weet niet echt welke waarden ik moet ingeven...

[Turdie]

The Chaser schreef op zondag 13 februari 2011 @ 18:53:
Kan je een voorbeeld intikken?
Ik weet niet echt welke waarden ik moet ingeven...

Staat onderaan het artikel:

PowerShell:

New-ExchangeCertificate -GenerateRequest -Path c:\certificates\request.req -SubjectName "c=ES, o=Diversión de Bicicleta, cn=mail1. DiversiondeBicicleta.com" -DomainName woodgrove.com, example.com -PrivateKeyExportable $true

Ook hier je vind je meer:
More on Exchange 2007 and certificates - with real world scenario

Maar ook als dit commando op Google intikt kom je echt legio voorbeelden tegen, of iedere andere zoekmachine die je veel gebruikt .
New-ExchangeCertificate

[ Voor 64% gewijzigd door Turdie op 14-02-2011 00:12 ]

[The Chaser]

Oke, nu heb ik een *.req file zoals in je voorbeeld, wat doe ik hiermee?

[ Voor 46% gewijzigd door The Chaser op 14-02-2011 12:51 ]

[Arno]

Die biedt je aan bij een SSL leverancier, je mag je wel een klein beetje verdiepen in de materie

[The Chaser]

Ik dacht wel al zoiets. Maar dat wil ik juist niet, ik wil zoals bij die SBS2003 zelf cer maken en toevoegen in de server.
Is er geen manier om zelf een cer te maken en deze te inporteren?

Hehe ^^" ik doe men best, het meeste is nieuw voor me.

[ Voor 13% gewijzigd door The Chaser op 14-02-2011 13:16 ]

[Jazzy]

Dan moet je dus niet -GenerateRequest -Path c:\certificates\request.req gebruiken. Maar serieus, je kunt dit ook zelf best uitzoeken. Je Google doet het toch nog wel? Voor de zekerheid, wat jij zoekt heet een self-signed certificate.

[tc982]

Ach ja, Google :

http://technet.microsoft....y/bb851554(EXCHG.80).aspx

Mijn raad? Als je er niet zoveel van kent, gebruik dan gemakkelijkere technologien. Je hebt de basis principes nog niet door.

Er zijn in totaal drie opties voor Exchange Certificaten :

- SSL Certificate by a trusted source : Deze heb je dan aangekocht, bijvoorbeeld bij GoDaddy ( Howto : http://help.godaddy.com/article/4877 ) , prijs nu aan 10 euro normaal aan 40 euro, kan je toch niet voor sukkelen zoals je nu doet
- SSL Certificate by a local source : Hiervoor zet je zelf de MS Certificate Authority op, bijgevolg word er een root certificate gecreerd en automatisch bij alle pc's geinstalleerd. Zodoende dat voor de interne netwerk pc's deze als "trusted" word geverifieerd.
- SSL Self Signed Certificate : Hiermee maak je een certificaat zonder dat deze een bovenliggend Root Certificate heeft, alle pc's gaan deze niet vertrouwen tot wanneer je ze manueel importeerd. Niets anders dan shit mee in een Exchange omgeving ( Errors bij het downloaden van het adresboek, errors in owa, mobiele toepassingen enz )

Maak het leven gemakkelijk en koop een SSL certificaat met SAN ( Subject Alternative Names ) , die heb je nodig om al je interne url's in te zetten, samen met je externe ( autodiscover, webmail, server.domain.local, ip address )

[lier]

Je hebt dus blijkbaar tot nu toe je request gemaakt, deze moet bij een CA belegd worden. Je kan zelf CA spelen, dan ben je niet afhankelijk van externe partijen. Echter ben je dan als CA niet trusted tenzij je je root CA certificaat als trusted installeert op de clients.

Om CA te spelen moet je "iets" installeren op je Windows doos (zie dit artikel wat je moet installeren).

Ga eens met bovenstaande aan de gang

offtopic:
en kom dan pas met "echte" vragen terug

.