Suche vernünftiges Lehrbuch für Zertifikate

Guten Morgen und herzlichen Dank für die Info.

Irgendwie weis ich jetzt nicht so recht, wo ich hingreifen muß.
Wenn ich beim IIS auf Bindungen der Default Website gehe, kann ich die neue Zertifizierungsstelle (die neu installierte des eigenen Servers) auswählen.
Wähle ich die aus, meint er, er kann die Datei nicht mehr finden.
Wo hinterlege ich denn die URL?

Beim Installieren der Zertifizierungsdienste:
Welche sind denn notwendig, um zB mit Outlook von einem anderen Standort aus zuzugreifen?

Ciao, Rüdiger

Entschuldige bitte, ich habe meine Frage falsch gestellt.
Welche URL muss hinzugefügt werden?
Die lokale? also test.local?
Die öffentliche? also test.dyndns.org?
Oder die der eMailadresse? test.de?
Muss der Servername in der URL mit angegeben werden? also https://servername.test.local?
Ich glaube hier liegt mein Fehler begraben.
Ich habe alle hinzugefügt.
Beim Deinstallieren der Zertifizierungsstelle meint er, er könne die Infos des Zertifikats-Registrierungs-Webdienstes nicht entfernen und ich müsse diesen Eintrag von Hand mit Certutil -config rauswerfen.
Über die Powershell geht das aber irgendwie nicht.

Welchen Modus soll ich beim installieren verwenden? Benutzername und Passwort? Windowsauthentifizierung?

Ciao, Rüdiger

Hi Grexit,

vielen Dank für den Link, so etwas habe ich ja gesucht
Mir fehlts völlig an den Grundlagen dazu und dann an der Handhabungsweise innerhalb einer Umgebung.
Damit ich nicht alles online lesen muss bzw. auch weitere Hintergrundinfos erhalte:
Gibts empfohlene Literatur zu diesem Thema?
Von Markt und Technik oder Galileo Computing gabs früher sehr gute Bücher für die Serververwaltung, die ich besser gegliedert fand als die von MS Press.
Leider habe ich nix entsprechendes gefunden.

Ciao, Rüdiger

Hi Dani,

wie sieht das dann mit neueren Serverbetriebssystemen aus?
2008 R2 habe ich momentan in der Testumgebung, weil ich ihn noch besser zu administrieren finde als 2012 mit seinen vielen Powershell-Befehlen.
Ich denke mal, das Ganze ist bestimmt auch für neuere Server anwendbar?

Ciao, Rüdiger

Guten Abend allerseits,

ich habe heute den ganzen Tag mit der Lektüre von Rheinwerk verbracht und ausprobiert.

Zuerst einmal habe ich folgendes getan:
Deinstallieren und Neuinstallieren der Zertifizierungsstelle mit den Komponenten:
Zertifizierungsstelle
Zertifizierungsstelle-Webregistrierung
Onlineresponder

Der IIS war bereits installiert, diesen habe ich nicht neu installiert.
Die Bindungen verweisen auf das neue Zertifikat.

Nach der Anleitung von Rheinwerk habe ich eine Unternehmenszertifizierungsstelle als Stammzertifizierungsstelle konfiguriert.

Das eigene Zertifikat test-ca habe ich der vertrauenswürdigen Stammzertifizierungsstelle hinzugefügt.

1. Problem im Servermanager: Unternehmens-PKI: Hier sagt er, AIA-Speicherort und Sperrlistenfehler -> Download nicht möglich.
Unter windows/system32/certsrv/certenroll sind aber beide Dateien vorhanden.

2. Problem: Der BPA zeigt an, dass die automatische Benutzer- und Computerregistrierung nicht aktiviert wäre. Dies habe ich aber in der Gruppenrichtlinienverwaltung / Default Domain Controllers Policy vorgenommen

3. Problem: Lokal auf dem Server mit dem IE rufe ich die Zertifizierungsstelle auf (https://server-pdc/certsrv)
Hier erhalte ich immer einen Zertifikatsfehler.
Warum? Ich habe das Zertifikat test-ca doch in der vertrauenswürdigen Stammzertifizierungsstelle installiert? Die Meldung besagt, dass das Zertifikat für eine andere Adresse ausgestellt wurde.

4.Problem: Von extern komme ich nicht auf die Zertifizierungsstelle.
Dies müsste eigentlich doch passieren unter https://testserver.dyndns.org/certsrv
Hier sagt er, Datei oder Verzeichnis wurde nicht gefunden.

5.Problem: Auf meinem Win 8 System habe ich das Zertifikat der Zertifizierungsstelle in den vertrauenswürdigen Stammzertifizierungsstellen installiert.
Dieses Zertifikat berechtigt normal für alle Dienste.
Wenn ich eine RDP-Verbindung mit dem Server aufbaue, muss ich trotzdem überprüfen.
Meldung: Angeforderter Remotecomputer: testserver.dyndns.org
Zertifikat des Remotecomputers: testserver.domain.local

6.Problem: Auf dem Exchange Server habe ich ein neues Zertifikat erstellt.
Dieses finde ich bei den Zertifikaten unter eigene Zertifikate aber nicht.
Ich habe im Exchange Server einige Zertifikatssignieranforderungen.
Diese kann ich aber nicht abschließen, weil er sagt, das Zertifikat mit dem Fingerabdruck wäre bereits installiert?

7. Versuche ich via OWA auf den Exchange zu kommen, schlägt er mir nur ein abgelaufenes Zertifikat vor.

Fazit: Die Rheinwerk-Dokumentation hat mir zwar ein wenig die Hintergründe vermittelt, so ganz erschließt sich mir aber die Handhabung im tatsächlichen Betrieb nicht wirklich.

Dabei wären vor allem folgende Fragen von Interesse:
Kann ich und ist es sinnvoll ein Hauptzertifikat für alle Anwendungsbereiche zu erstellen?
Oder sollte für jedes Anwendungsgebiet ein eigenes Zertifikat erstellt werden (zB Remotedesktop-Dienste)?
Muss ich für interne Domains und extern erreichbare Domains jeweils eigene Zertitikate erstellen?
Oder wie sage ich dem, das das Zertifikat für testserver.domain.local genauso gilt wie für testserver.dyndns.org?
Dieser Server ist ja auch gleichzeitig Webserver. Die CRL ist ja auch vorhanden. Trotzdem findet er sie nicht. Habe ich noch irgendwo etwas vergessen, ist noch zusätzlich irgendwo etwas einzustellen, damit die crl und crt gefunden werden?


Ciao und schonmal vielen Dank
Rüdiger

Guten Morgen allerseits,

also Punkt 1 hat sich erledigt.
Nach Neustart und über Nacht findet er den AIA-Speicherort und hat keine Sperrlistenfehler mehr.

Beim Owa-Zugriff haben ich festgestellt, dass er mit FF nicht möchte, mit IE gehts aber trotz Zertifikatsfehler

Ciao, Rüdiger

Dies habe ich im IIS Manager unter Serverzertifikat / Selbstsigniertes Zertifikat erstellen getan.
Stimmt dies so?


Ich arbeite momentan via Notebook / Internet über RDP auf dem virtuellen Testserver, der an einem anderen Standort steht.
Das Notebook ist somit momentan nicht mit der Domäne verbunden, ein pushen via GPO also nicht möglich.


http-Zugriff ist gestattet.
Die Bindung von http verweist auf testserver.dyndns.org
Ich hoffe dies passt so?


Ich bin schon im Internet am Suchen nach Dokumentationen zu diesem Bereich.


Wie wäre der denn? Ich habe den Servernamen (Server-PDC), die lokale Domäne (domain.local) und die Erreichbarkeit nach außen (wenn ich testdomain.dyndns.org eingebe, komme ich eigentlich auf server-pdc.testdomain.dyndns.org)



Port 443 ist am Router freigegeben.
Das komisch ist: Nach einem Serverneustart sind die Sperrlisten erreichbar.
Läuft er eine Zeit lang. erhalte ich im Servermanager bei den Zertifikatsrollen die Meldung, dass die Listen nicht mehr erreichbar sind.
Beim System handelt es sich um ein reines Testsystem. Ich will mich immer wieder mit dem ganzen Thema beschäftigen, habe sonst aber keine Zeit dazu.
Momentan habe ich Weihnachtsurlaub und kann mich endlich mal ein bisschen weiterbilden.


siehe oben. Ich hänge nicht an der Domäne.
Und ich habs in beide Stores installiert


Den Punkt werde ich mir mal in Ruhe durchlesen.
Ich habe momentan ein bisschen die Vermutung, dass mein System mittlerweile durchs viele rumspielen schon verkonfiguriert ist.
Vielleicht sollte ich wirklich mal einen 2012 installieren und damit testen.


Mach ich. Liegt wohl an dem vielen Installieren und Deinstallieren der Stammzertifikatsstelle



Momentan nur ein Testserver, der alles kann.
Exchange, Webserver, Domain Controller.



Puh, das mit dem Zertifikat der CA und Nachtragen bzw. Neuausstellen eines Zertifikats mit den Weburls erschließt sich für mich immer noch nicht so recht.
Du meinst jetzt bei der CA den Sperrlisten-Verteilerpunkt oder gibts da noch eine andere Stelle?

Von der Theorie ist mir das Ganze ja schon klar, wie es aber wo und an welcher Stelle zu handeln ist bei der tatsächlichen Installation - das fehlt mir komplett.
Gibts dazu irgendwo Literatur?
Nach der Dokumentation von Rheinwerk bin ich ja vorgegangen aber das öffnet eher mehr Fragen als es Antworten liefert

Ciao, Rüdiger

Siehst du, das sind die Hintergründe und systemspezifischen Dinge, an denen es mir fehlt.
Zertifikat ist im IIS erstellt und hat nun auch die entsprechenden öffentlichen Verweise.
Wie gehts weiter? Das nun in der Stammzertifizierungsstelle importieren?
Oder wird das automatisch signiert und ich muss nichts mehr damit tun?


OK, an der Stelle hab ichs auch gemacht.
Nicht nur bei den Sperrlisten sondern auch beim Zugriff auf Stellenimformation selbst.
Trotzdem sagt er bei der Unternehmens-PKI dass er weder die internen noch die externen downloaden kann. Erst stehts ewig auf "verifizieren", dann auf Fehler - Download nicht möglich.

Ausgestellte Zertifikate habe ich mittlerweile 5.
Zertifizierungsstellenaustausch
Benutzer
Domaincontroller
2x Webserver, die beide aber dieselben Verzeichnisse haben.


Die Sache, wenn man keine Ahnung hat, ist eben die: Man weis eigentlich nicht, was man fragen soll.
So wie jetzt ergibt sich das erst so nach und nach wenn man etwas probiert und konfiguriert hat.


Sollte sich das in Form quasi eines Kurses / Schritt-für-Schritt-Anleitung, dass ich auch was bei lerne und die Zusammenhänge begreife, gestalten wäre das sicher kein Problem.
Immerhin sage ich meinem Chef seit 2 Jahren, dass man ohne das Thema nicht mehr herum kommt.
Das letzte Mal, als Exchange Zertifikate abliefen, hat das ein Bekannter von ihm erneuert. Outlook Anywhere zB hat aber nie funktioniert.
Nun ist es so, dass er Office 2016 in Einsatz nehmen will/schon hat und da gehts nicht mehr ohne vernünftig konfiguriertes Autodiscover und ohne Zertifikate.
Also gibts nur 2 Möglichkeiten: Ich nehme mir die Zeit und lerne den Krams durch Einlesen in das Thema oder ich muss irgendwo einen Kurs dafür mitmachen, der ihn auch was kostet.
Ich mache den ganzen Krams eigentlich nur aus privatem Interesse nebenher und nur für unseren kleinen Firmenserver, ansonsten mache ich eigentlich was ganz anderes.

LG, Rüdiger

Guten Morgen,

ich habe gestern noch etwas rumgetestet und dabei folgendes festgestellt:
Beim Ort der Sperrlisten:
Mal findet er sie, mal nicht ?!?
Gestern abend war folgender Stand:
Gebe ich ein: http://testserver.domain.local (den FQDN), kann er die Sperrlisten nicht finden.
Gebe ich http://testserver.dyndns.org ein, findet er sie auch nicht.
Gebe ich nur http://testserver (natürlich mit den entsprechenden Dateierweiterungen wie CaName etc.) ein, findet er sie.

Heute morgen habe ich einen anderen Stand.
AIA-Speicherort1: Findet er unter dem FQDN
AIA-Speicherort2: Findet er nicht unter testserver.dyndns.org
AIA-Speicherort3: Nur unter dem Servernamen: findet er nicht

Sperrlisten-Verteilerpunkt1: FQDN: findet er
Punkt 2: testserver.dyndns.org: Findet er nicht
Punkt3: nur Servername: Findet er wiederum.

OCSP-Speicherorte stehen 2 drin, einmal der FQDN und einmal nur der Servername - die findet er beide nicht.

Muss er auf jeden Speicherort zugreifen können oder würde einer reichen?
Bringt es Nachteile, wenn er nicht auf jeden zugreifen kann?

Mit Deinen Tipps habe ich nun zumindest schonmal Outlook Anywhere von meinem Notebook zum Testsystem zum laufen bekommen. Ich habe 2 Exchange Zertifikate erstellt: Eins für internes Netzwerk, eines für außerhalb.
Wahnsinn. Das ging bisher nie.

Ciao, Rüdiger

Guten Morgen und Alles Gute für 2016 an alle.

@122990: SAN-Zertifikat habe ich nun eingerichtet.

Erst hatte ich das Ausstellen eines Zertifikats darüber probiert (hier stand auch, dann man ein weiteres Zertifikat für die öffentliche Adresse einrichten soll).
Exchange Serverzertifikat erstellen
Dies hat aber kein SAN Zertifikat erstellt.

Nun habe ich dazu eine gute Anleitung gefunden:
SAN-Zertifikat für Exchange 2010

Was das Lesen und recherchieren betrifft, ist es schwer, Antworten zu finden, wenn man nicht weis, nach was genau man suchen muss bzw. wie man fragen muss.
Viele weitere Fragen haben sich ja erst ergeben, als wir hier darüber geschrieben haben und Du mir Tipps und Hinweise zur Handhabung gegeben hast.
Auch finde ich es nicht schlimm, auf einem Testsystem sich mit den verschiedenen Mitteln und Möglichkeiten vertraut zu machen.
Es gibt ja mehrere Möglichkeiten, Zertifikate zu beantragen oder auszustellen.
Einmal in der Zertifizierungsstelle selbst, dann über den Servermanager bei den Rollen und einmal in der Exchange Server Verwaltungskonsole.
Die unterschiedlichen Vorgehensweisen einmal auszuprobieren und sich mit der Handhabung vertraut zu machen ist doch nichts schlechtes?

Die grundsätzliche Problematik ist ja:

• Server 2008 R2 mit Exchange 2010 ohne feste IP, wird über DynDNS angesprochen
• Ein Mailkonto info@domain.de für alle Benutzer für eingehende und ausgehende Mails
• Abrufen von Mails via PopCon von einem Pop3 Server mit entsprechender Weiterverteilung auf die Exchange Postfächer
• Exchange Server Zertifikat abgelaufen
• Arbeitsstationen werden umgestellt auf Windows 10 und Office 2016
• Probleme beim Verbindungsaufbau von Outlook 2016 mit Exchange 2010, da hier nur noch Autodiscover funktioniert
• Einsatz eines Handys mit Exchange Active Sync
• Outlook Anywhere um mit einem Notebook unterwegs mit Internetverbindung auf den Exchange Server zugreifen zu können (OWA ist nicht so komfortabel)

Dazu habe ich als Testumgebung ein Abbild unseres Servers erstellt und diesen virtualisiert.
Hat sich zum testen ja wunderbar geeignet.

Alle Probleme bis auf eines konnten gelöst werden.

Das nun noch bestehende Problem ist das Autodiscover für die Anbindung der internen Stationen mit Outlook 2016 an Exchange.

Hier ist die Schwierigkeit, dass die Benutzer eine Mailadresse haben, die nicht benutzer@domain.local lautet sondern benutzer@domain.de

Möchte ich nun einen Benutzer mit dem Exchange verbinden, bleibt ewig das Fenster, dass er versucht den Exchange zu kontaktieren aber das wars auch schon.
Bei Office 2013 war es einfacher durch die manuelle Konfigurationsmöglichkeit.
Hier habe ich den Exchange Server und den internen Benutzernamen angegeben und hatte eine Verbindung zum Postfach und die Station musste nichtmal in der Domäne eingegliedert sein.
Das funktioniert aber bei Outlook 2016 nicht mehr.
Autodiscover ist im neuen SAN Zertifikat konfiguriert und die Bindung im IIS verweist auch auf das neue Exchange Zertifikat.
Hat jemand hierzu noch eine Idee?

Ciao und vielen Dank
Rüdiger

Hi und guten Morgen,

das Tool gefällt mir sehr gut.
Nur habe ich dann doch anscheinend Probleme.

Das Tool sagt folgendes:
Beim Test der Outlook-Autoermittlung für einen Benutzer:
Kann er erfolgreich testen, aber nur wenn er an Strato durchreicht.

Für die interne Domain kann er nicht.
DNS-Eintrag für domain.de findet er
Port ist auch geöffnet
Bei der Gültigkeitsprüfung kann er kein Remote SSL Zertifikat abrufen.
Klar, der Eintrag im Zertifikat lautet ja auch autodiscover.domain.de und wenn er nur domain.de abrufen möchte, findet er keinen Eintrag dazu.
Oder muss hier noch ein zusätzliches Zertifikat eingerichtet werden?

Für autodiscover.domain.de sagt er, den Host kann er nicht im DNS auflösen

Beim Test der http-Umleitungsmethode meint er auch, er kann den DNS Namen nicht auflösen.

Als UPN Suffix habe ich die externe Domain mit als vertrauenswürdig hinzugefügt.
Der Benutzer kann sich auch als domain.de anmelden.
Hilft aber im Endeffekt nix, weil er dann wieder zu den Strato Autodiscover Infos durchreicht.
Wenn ich beim Benutzer benutzer@domain.local hinterlege, wie es ja sowieso Standard war, richtet ers richtig ein, stürzt dann aber ab und bleibt ewig darin hängen, dass er keine Verbindung zum Exchange Server bekommt.

Auch beim Exchange Active Sync spinnt er rum (obwohl dies mit Handy eigentlich 1a funktioniert).
Namen, Port und Zertifikatsgültigkeit sind OK
Fehler bringt er bei "Die IIS-Konfiguration wird im Hinblick auf die Clientzertifikatsauthentifizierung überprüft". Clientzertifikatsauthentifizierung erkannt. Clientzertifikate für Akzeptieren/Anfordern gefunden. Legen Sie in der IIS-Konfiguration fest, dass Clientzertifikate ignoriert werden, wenn Sie diesen Authentifizierungstyp nicht verwenden.
Hier verstehe ich nicht, was falsch ist?
Ist doch OK, wenn er Zertifikate findet? Oder nicht?

Bei der Autoermittlungsprüfung für Active Sync meckert er auch wieder das Remote Zertifikat an, bei den Details meint er: Unbekannter Fehler bei der Überprüfung des SSL-Zertifikats
Einen CName Autoermittlungseintrag kann er nicht finden

Beim Test der Exchange Webdienste mit Autoermittlung meint er:
Keine Einstellungen für EXPR oder EXCH in der Antwort der AutoErmittlung gefunden.

Für was eine Adressbook-Policy? Ich dachte diese ist dafür da, wenn ich 2 unterschiedliche Domains getrennt an einem Exchange Server verwalten möchte, ohne das die eine die Daten der anderen sehen darf?

Wie gesagt ein MX Record soll bei Strato nicht erstellt werden, da Strato dann alle Mails direkt an den Exchange weiterleitet und sie nicht mehr stratointern speichert, um ggf. auch über andere Quellen abzurufen.

Was gibts nun noch für Möglichkeiten?
Das Exchange Zertifikat nochmal neu einstellen und als Domain nicht nur autodiscover.domain.de hinterlegen sondern domain.de selbst?

Was muss im DNS Server noch hinterlegt werden und wo und wie?

Bei anderen Tests sagt er, er kann keine vollständige Zertifikatskette finden.

Ciao und LG,
Rüdiger

So, Problem gelöst.
Es war nicht der A-Record, der will immer eine IP-Adresse haben und da der Server ja keine feste IP hat....
Es war der SRV-Record, der bei Strato fehlte.
Nun verweist autodiscover korrekt auf den internen Server zurück.

Häkchen im IIS von Clientzertifikaten zulassen auf ignorieren, seitdem geht alles
Juhu. Hätte nicht gedacht, das es funktioniert.

Nun muss ich nochmal alles in eine produktive Umgebung bekommen und hoffen, dass ich alles noch richtig hinbekomme

Nach 5 Tagen rumbastelei hab ich erstmal die Nase voll

Als nächstes schaue ich mir die Grundlagen von Zertifikaten und Zertifikatsspeichern an und mache mich mit der Powershell vertraut, dann kommt ein Testsystem aus 2012 Server und Exchange 2016 dran.

Ganz lieben Dank für Deine tolle Hilfe.
Wenn ich mich irgendwie erkenntlich zeigen kann?
Wo kommst Du eigentlich her?

LG, Rüdiger