SSL Aktivierung des Exchange OWA 2003 mit Benutzung eines 3rd. Part Zertifikates

Ausgehend von einer Gerätesituation eines SBS 2003 Premium Servers, Outlook Clients sowie PDA Clients mit WM 2003 und WM5.

Gehen wir von einer Standard Umgebung aus, wo ein Exchange Server intern die Clients mit dem Namen post.intra.domain.de bedient und extern eine öffentliche IP zugewiesen ist. Der ISP hat in seinen DNS Servern, unserem Server einen A-Eintrag und MX Eintrag spendiert, der post.domain.de lautet.

Um eine SSL Verschlüsselung zu konfigurieren, braucht man eine Stammzertifizierungsstelle, die ein Zertifikat ausstellt. Hat man das Zertifikat erstellt und auf den Mailserver und auf die Clients übertragen, ist eine Verschlüsselung möglich.

Um die Verschlüsselung zu testen, öffnet man mit einem Notebook und einer externen Internetverbindung den Browser und trägt in der Adresszeile https://post.domain.de/exchange ein. Kommt jetzt eine Zertifikatsmeldung, ist eine Synchronisierung per Active Sync nicht möglich. Das Sicherheitszertifikat welches für die Firma erstellt wurde, wird nicht vertraut. Dies wird gemeldet, weil es kein öffentliches Zertifikat ist.


Man kann öffentliche CA Zertifikate kaufen, jedoch ist diese Möglichkeit für kleinere Firmen unakzeptabel, da sich diese Zertifikate im 3stelligen Euro Bereich bewegen.
Hier gibt es eine kostenfreie Lösung einer Firma namens Startcom.
Man kann sich darüber streiten, welcher Anbieter, sei es Verisign oder Startcom usw. sicherer ist.


Vorgehensweise

Auf dem Exchange Server erstellst du unter c: einen Ordner Cert.

Jetzt muss das ca.cer und sub.class1.email.ca.cer auf dem Server und Clients installiert werden.

Root CA Zertifikat
http://cert.startcom.org/ca.crt (PEM encoded)
http://cert.startcom.org/ca.der (DER encoded)
http://cert.startcom.org/ca.cer (For Windows®)

Zwischen Email und CA Zertifikat
http://cert.startcom.org/sub.class1.email.ca.crt (PEM encoded)
http://cert.startcom.org/sub.class1.email.ca.der (DER encoded)
http://cert.startcom.org/sub.class1.email.ca.cer (For Windows®)

Jetzt speicherst du die beiden Zertifikate unter c:cert ab.

Exchange Server

Du öffnest eine leere MMC, mit Start > ausführen mmc und Enter.
Dann unter Datei > Snap-In hinzufügen > Hinzufügen > Zertifikate

Du wirst nach dem Verwalter gefragt, wo Computerkonto ausgewählt wird.
Sollte das Zertifikats Snap-In nicht angezeigt werden, wiederhole die Schritte und wähle Eigenes Benutzerkonto aus.

Jetzt importierst du die beiden Zertifikate in die Vertrauenswürdige Stammzertifizierungsstellen Zertifikate wie folgt:

Menü Vertrauens...Stammzertifikate erweitern, Rechtsklick auf Zertifikate->Alle Tasks->Importieren


Vorbereiten des Exchange OWA Servers

Solltest du ein Front-/Back-End Server Szenario haben, so verfolge die Steps nur auf dem Front-End Server!

Öffne IIS Manager > Menü erweitern > Websites > Standardwebsite > Eigenschaften > Klicke auf Verzeichnissicherheit > Serverzertifikat > Erstelle ein neues Zertifikat, weiter auf Anfrage starten, aber später senden.

• jetzt wird der Name des Zertifikates angegeben. Es sollte einen Wiedererkennungswert besitzen
• spezifiziere den Firmennamen und Abteilung sowie den FQDN des OWA Servers, wie er im DNS/Internet aufgelöst wird
• spezifiziere die Region und den Speicherort und fertig

Ok, jetzt ist es Zeit für die Zertifikatsanfrage bei Startcom. https://cert.startcom.org/
Klicke auf den Certificate Creation Wizard und wähle > Class 1 Certificate, dann Server Certificate(without CSR generation).
Nach einer Registrierung deiner persönlichen Details klicke auf weiter.

Wichtig!
Du brauchst für den Registrationsprozess eine Administrator Emailadresse deiner Domain, wie postmaster@domain.de oder webmaster@domain.de.
Ansonsten ist ein Versand des Zertifikates nicht möglich.

Jetzt muss der Text aus der Certreq.txt kopiert und in das Feld auf der Startcom Seite eingefügt werden. Beim Klick auf Continue werden dir ein paar Email Adressen angezeigt. Wähle hier deine Email aus, denn ein paar Minuten später erhältst du eine Verifizierungsmail mit einem Code.
Den verification code kopierst du dir und fügst in auf der Startcom Seite ein und drückst Continue.
Nun kopierst du den Text in eine txt Datei und nennst diese Datei SSL.CRT und speicherst sie in c:cert deines OWA Servers.

Installationsprozess nach der Anfrage

Zurück zum OWA Server öffnest du den IIS Manager > Standardwebsite > Eigenschaften > Registerkarte Verzeichnissicherheit > Server Zertifikat > Weiter und wählst Ausstehende Anforderung verarbeiten und Zertifikat installieren

Den Speicherort der SSL.CRT angeben und weiter > akzeptiere SSL Port 443 > weiter und verifiziere die Zertifikatszusammenfassung

Du öffnest eine leere MMC, mit Start > ausführen mmc und Enter.
Dann unter Datei > Snap-In hinzufügen > Hinzufügen > Zertifikate

Du wirst nach dem Verwalter gefragt, wo Computerkonto ausgewählt wird.
Sollte das Zertifikats Snap-In nicht angezeigt werden, wiederhole die Schritte und wähle Eigenes Benutzerkonto aus.

Nun sollte das eben installierte Zertifikat unter Vertrauenswürdige Stammzertifizierungsstellen Zertifikate angezeigt werden.
Wenn das so ist, wurde alles korrekt ausgeführt.

Installation auf Mobile Geräte

Jetzt muss das Root CA Zertifikat, das "zwischen Email und CA Zertifikat" und das SSL.CRT auf den PDA installiert werden.
Docke ein mobiles Gerät an einen PC an und schiebe die Zertifikate auf das Gerät. Nun müssen alle Zertifikate doppelt angeklickt werden. Nach der Installation sollten alle 3 Zertifikate im Zertifikatsspeicher des mobilen Gerätes auftauchen.
Unter den Servereinstellungen des Active Sync muss noch die SSL Verschlüsselung angehakt werden.

Überprüfung der Zertifikate

Gehe mit dem Internet Explorer des mobilen Gerätes auf deinen OWA Server wie z.B. https://post.domain.de/exchange.

INFO
Der Benutzer sollte ein Open WEP ACCESS aktiviertes Postfach besitzen

Wenn jetzt nur das Anmeldefenster des Benutzers kommt, ist alles korrekt. Es dürfen keine Zertifikats/Sicherheitsmeldungen des Browsers erscheinen.
Ist dies der Fall, kann mit Active Sync eine Synchronisation angestoßen werden, die SSL verschlüsselt