[Exchange 2010] Certificaten

[Snors]

Allen,

Ik heb een dringende vraag betreft Exchange 2010 certificaten. De volgende services hebben een certificaat nodig:

code:

Sharing
Client Access Server (Outlook Web App)
Client Access Server (Exchange ActiveSync)
Client Access Server (Web Services, Outlook Anywhere, and Autodiscover)
Client Access Server (POP/IMAP)
Unified Messaging Server
Hub Transport Server
Legacy Exchange Server

Nou ben ik benieuwd voor welke services ik externe certificaten nodig heb en voor welke ik interne nodig heb(we hebben een interne CA server).

Ik ben zelf al tot het volgende gekomen:

code:

??: Sharing
EXTERNAL: Client Access Server (Outlook Web App)
EXTERNAL: Client Access Server (Exchange ActiveSync)
EXTERNAL: Client Access Server (Web Services, Outlook Anywhere, and Autodiscover)
EXTERNAL: Client Access Server (POP/IMAP)
INTERNAL: Unified Messaging Server
??: Hub Transport Server
??: Legacy Exchange Server

Thanks!

[Remco]

Met externe certificaten bedoel je neem ik aan niet self-signed certificates?
In principe heb je ze nergens nodig.

Wat wil je bereiken? Webmail? Synchronisatie met telefoons?
Dan kan het handig zijn om wel trusted certificaten aan te schaffen.

[CMD-Snake]

Kijk ook naar de kosten ook zou ik zeggen. Je kan self signed gebruiken, dat is even valide als certificaten kopen.

Als je al een CA hebt kan het gunstig zijn om je eigen certifcaten te maken. Zeker als je veel servers hebt die voorzien moeten worden van een certificaat.

Mocht je niet al te veel servers hebben en geen eigen CA, dan kan kopen interessant zijn.

[Red Cell]

Eigenlijk is het simpel; hoeveel services moeten van buitenaf bereikbaar zijn?
Elke dienst die je buitenaf bereikbaar moet hebben heeft een extern certificaat nodig. Want voor externe clients is je interne CA niet bereikbaar om het certificate path te bevestigen. (Ja dit is een aanname m.b.t. de bereikbaarheid van je CA)

Overigens kan je met wat creatief benamen meestal wel met een beperkt certificaat af.
Wat ik je kan aanraden is een multi-domain certificaat te nemen. Dit is 1 certificaat (al je exchange hosting gebeurt namelijk op 1 server waarschijnlijk) met meerdere subnamen.

Denk het volgende qua namen.

webmail.externdomein.nl -> WebApp/WebServices, Outlook Anywhere (wat eigenlijk gewoon Webapp is) en Activesync (is namelijk een subpath van deze naam).
smtp.externdomein.nl -> SMTP, POP en IMAP
servernaam.interndomein.extensie

Dit laatste is als je interne domein naam anders is dan je externe (denk interne AD is tweakers.local en extern tweakers.net) Anders (omdat er in exchange maar 1 certificaat gebruikt mag worden) heb je met al je interne clients errors.

Autodiscover is niet perse nodig vanaf extern vaak en intern kan je dit afvangen met een SRV record in de DNS welke naar servernaam.interndomein.local verwijst.

Als je legacy exchange ook extern benaderbaar moet blijven moet je een multidomain met 4 of meer namen nemen. Aangezien je over legacy begint neem ik aan dat je met een migratie zit. Als dat de case is zou ik mezelf afvragen of je niet alle mailboxen in 1 weekend over kan zetten daarmee het legacy deel over slaand (dit geeft MS ook in hun migratie documentatie aan dit te overwegen als het mogelijk is).

Als laatste moet je dus herrinderen dat je maar 1 SSL certificaat per service kan gebruiken. Als dus je unified messaging gebruikt word extern moet deze er ook bij.

Overigens, als ik even snel spiek bij sslcertificaten.nl is een multidomein SSL zonder bedrijfsvalidatie met 6 namen 210,- euro voor een jaar. Vind ik meevallen.

[Snors]

Red Cell schreef op vrijdag 04 januari 2013 @ 22:35:
Eigenlijk is het simpel; hoeveel services moeten van buitenaf bereikbaar zijn?
Elke dienst die je buitenaf bereikbaar moet hebben heeft een extern certificaat nodig. Want voor externe clients is je interne CA niet bereikbaar om het certificate path te bevestigen. (Ja dit is een aanname m.b.t. de bereikbaarheid van je CA)

Overigens kan je met wat creatief benamen meestal wel met een beperkt certificaat af.
Wat ik je kan aanraden is een multi-domain certificaat te nemen. Dit is 1 certificaat (al je exchange hosting gebeurt namelijk op 1 server waarschijnlijk) met meerdere subnamen.

Denk het volgende qua namen.

webmail.externdomein.nl -> WebApp/WebServices, Outlook Anywhere (wat eigenlijk gewoon Webapp is) en Activesync (is namelijk een subpath van deze naam).
smtp.externdomein.nl -> SMTP, POP en IMAP
servernaam.interndomein.extensie

Dit laatste is als je interne domein naam anders is dan je externe (denk interne AD is tweakers.local en extern tweakers.net) Anders (omdat er in exchange maar 1 certificaat gebruikt mag worden) heb je met al je interne clients errors.

Autodiscover is niet perse nodig vanaf extern vaak en intern kan je dit afvangen met een SRV record in de DNS welke naar servernaam.interndomein.local verwijst.

Als je legacy exchange ook extern benaderbaar moet blijven moet je een multidomain met 4 of meer namen nemen. Aangezien je over legacy begint neem ik aan dat je met een migratie zit. Als dat de case is zou ik mezelf afvragen of je niet alle mailboxen in 1 weekend over kan zetten daarmee het legacy deel over slaand (dit geeft MS ook in hun migratie documentatie aan dit te overwegen als het mogelijk is).

Als laatste moet je dus herrinderen dat je maar 1 SSL certificaat per service kan gebruiken. Als dus je unified messaging gebruikt word extern moet deze er ook bij.

Overigens, als ik even snel spiek bij sslcertificaten.nl is een multidomein SSL zonder bedrijfsvalidatie met 6 namen 210,- euro voor een jaar. Vind ik meevallen.

Deze uitleg is GOUD! Super bedankt! Vervelende is dat we internationaal 24/7 bereikbaar moeten zijn(groot bedrijf). Die 210 euro kunnen we wel missen.

Thanks,