[SBS2003 / Exchange] Verbinding via Internet (RPC via HTTPS)

[JunkieXP]

Mijn Windows Server kennis is vrij beperkt, maar bij gebrek aan de vaste systeembeheerder is mij gevraagd of het ook mogelijk is zonder VPN gebruik te maken van de Exchange Mail (o.a. met het oog op Mobiele Devices).

Nu is er geen "officieel, CA approved, SSL Certificaat", maar wel een voor bedrijfsnaam.local. De URL die echter wordt gebruikt om de server van buitenaf te benaderen is uiteraard afwijkend en geeft bij een verbinding via Outlook:

Er is een probleem met het beveiligingscertificaat van de proxyserver.

De naam van het beveiligingscertificaat is ongeldig of komt niet overeen met de naam van de doelsite <domain URL>

Kan geen verbinding maken met de proxyserver. (Foutcode 10).

Nu heb ik, "via via" al geprobeerd een eigen Certificaat in elkaar te freubelen, en hoewel het Certificaat ingesteld kan worden, is vanaf dat moment de https verbinding niet langer beschikbaar.

Is het mogelijk om, met basisauthenticatie dus over een niet al te beveiligde verbinding zonder officieel certificaat toch gebruik te kunnen maken van Exchange buiten het eigen netwerk / vpn?

[Linke Loe]

In dat geval zou je kunnen proberen om een self-signed certificaat te genereren, met de juiste hostnaam en het betreffende certificaat importeren in de 'trusted root certification authorities' store, op iedere PC die Outlook RPC over HTTPS gaat gebruiken.

Aan de andere kant: een SSL certificaat voor Exchange ActiveSync en RPC over HTTPS kost zo'n 400 euro voor 3 jaar, dus waar hebben we het over?

[ Voor 9% gewijzigd door Linke Loe op 22-02-2014 14:50 ]

[JunkieXP]

Nog suggesties om een self signed certificaat te fabriceren? Want hoewel het in IIS7 een functie is, bestaat deze in eerdere versies naar mijn weten niet.

Heb nu dus een Apache Certificaat geconverteerd, maar kan me goed voorstellen dat hierdoor de https:// niet langer bereikbaar is.

Wil binnenkort het volgende proberen: Als je het bedrijfsnaam.local certificaat zou kopiëren en via de hostfile deze zou resolven, zal dit kunnen werken?

[Farg0]

Of je kan eens kijken bij een reseller van starfieldtech.com
Bij deze kopen wij onze certificaten altijd https://www.securepaynet....x?prog_id=423530&ci=1789&

[Dennism]

JunkieXP schreef op zondag 23 februari 2014 @ 08:38:
Nog suggesties om een self signed certificaat te fabriceren? Want hoewel het in IIS7 een functie is, bestaat deze in eerdere versies naar mijn weten niet.

Heb nu dus een Apache Certificaat geconverteerd, maar kan me goed voorstellen dat hierdoor de https:// niet langer bereikbaar is.

Wil binnenkort het volgende proberen: Als je het bedrijfsnaam.local certificaat zou kopiëren en via de hostfile deze zou resolven, zal dit kunnen werken?

Je kan deze route volgen als je echt een gratis certificaat wil. : http://www.msexchange.org...SL_Enabling_OWA_2003.html

Ik vind het echter het gekloot met foutmeldingen op de mobieltjes nooit waard (zeker als je er veel hebt).

Exchange 2003 certificaten zijn vrij goedkoop omdat dit nog geen SAN certificaten zijn. Je kan dus een hoop gedoe besparen door alleen het CSR gedeelte uit de guide te volgen en een echt certificaat te kopen (wel eerst ff kijken waar het goedkoopst want certificaat prijzen willen nog wel eens verschillen), koste mij voor zover ik me kan herinneren rond de 100 euro voor een exchange 2003 certifcaat voor 3 jaar de laatste keer dat ik een 2003 certificaat aanvroeg.

Gaan lopen klungelen met hostsfiles en .local certificaten zou ik niet doen, vooor je het weet heb je in je exchange ergere problemen dan het niet hebben van een geldig certificaat.

[Razwer]

Farg0 schreef op zondag 23 februari 2014 @ 09:01:
Of je kan eens kijken bij een reseller van starfieldtech.com
Bij deze kopen wij onze certificaten altijd https://www.securepaynet....x?prog_id=423530&ci=1789&

dat kan stukken goedkoper
http://www.ssls.com/
nog geen tientje per jaar

[Linke Loe]

Als je een SSL certificaat inkoopt, zal ik zeker een SAN certificaat inkopen, ermee rekening houdend dat je Exchange 2003 zo snel mogelijk gaat migreren naar 2010 of 2013...

[Dennism]

Linke Loe schreef op zondag 23 februari 2014 @ 14:41:
Als je een SSL certificaat inkoopt, zal ik zeker een SAN certificaat inkopen, ermee rekening houdend dat je Exchange 2003 zo snel mogelijk gaat migreren naar 2010 of 2013...

Als je voor langere periode aankoopt en snel binnen die periode gaat migreren wel inderdaad, bij een aankoop voor bijv. een jaartje zou ik het niet doen. Voor je het weet zet je niet de juiste namen op het certificaat omdat je bijv. tijdens de migratie toch wat anders wil gaan gebruiken in is je SAN certificaat alsnog waardeloos.

[JunkieXP]

De organisatie in kwestie vind de huidige omgeving prima en vind het daardoor niet noodzakelijk budget uit te trekken voor de upgrade.

Ook gaat er weinig tot geen belangrijke / vertrouwelijke informatie overheen waardoor ook beveiliging geen argument is.

Is misschien een voordeel met het oog op het certificaat, maar met een 2tal mensen die het wenselijk (niet noodzakelijk) vinden om mail toegang te hebben op hun mobiele toestel is het zelfs voor €100,- wellicht nog te duur. Dan is een continue VPN verbinding wellicht een betere (in ieder geval goedkopere) oplossing

[Dennism]

De support voor SBS 2003 begint stilaan wel te verlopen trouwens, dus wellicht kan het inderdaad interresant zijn niet meer in deze omgeving te investeren en naar wat nieuws te gaan kijken.

http://blogs.technet.com/...ct-support-lifecycle.aspx

[Jazzy]

En denk er aan dat je de CEICW gebruikt om het ding te configureren, niet zelf in IIS of Exchange gaan rommelen op SBS 2003.