Exchange 2007: Installation av SSL-certifikat

Komplett guide för administration av SSL-certifikat på Exchange 2007: DNS-planering, Split-DNS, CSR-generering, certifikatinstallation och aktivering av tjänster.

Gå från interna till publikt giltiga servernamn

När en Exchange-server installeras är standardkonfigurationen att den använder ett internt servernamn för intern kommunikation. Interna servernamn får dock inte längre ingå i publikt betrodda SSL-certifikat. Eftersom Exchange inte kan använda flera certifikat för samma tjänst får certifikatet bara innehålla DNS-namn som är giltiga på internet.

Exempel på interna servernamn:

• server01
• exch01.fairssl.local
• srv01.fairssl.lan
• localhost
• 192.168.100.10
• 10.0.0.10

Det kräver ett eller flera DNS-namn som pekar på Exchange-servern och kan nås både internt och från internet, och att Exchange-servern konfigureras med dessa namn.

Vi föreslår en av följande två vanliga lösningar:

Split-DNS

Ett DNS-namn, t.ex. webmail.fairssl.dk, pekar på Exchange-serverns interna IP-adress i det lokala nätverket och på den publika IP-adressen från internet.

Om du inte vill göra hela domänen till en split-DNS-zon rekommenderar vi att du skapar själva servernamnet som en egen zon, så att split-DNS bara gäller det namnet.

Se avsnittet om konfiguration av Split-DNS

Ställ därefter in serverns interna och externa URL-adresser på detta namn.

Två DNS-namn

Här används ett DNS-namn för intern åtkomst och ett annat för extern åtkomst. Det är vanligt hos företag som har skapat en underdomän till sin publika domän, t.ex. intern.fairssl.dk.

Det kan till exempel vara webmail.fairssl.dk som pekar på den externa IP-adressen och exch01.fairssl.dk som pekar på den interna IP-adressen.

Därefter ställer du in Exchanges interna och externa URL-adresser på dessa namn.

Konfiguration av Split-DNS

1. Logga in på domänkontrollanten med ett administratörskonto.

2. Tryck på Windows-tangenten + R och skriv följande kommando för att öppna DNS Manager:

dnsmgmt.msc

3. Högerklicka på Forward Lookup Zones och klicka på New Zone.

4. Klicka på Next.

Välj Primary zone och Store the zone in Active Directory om detta alternativ är tillgängligt.

Klicka på Next.

5. Välj To all DNS servers running on domain controllers in this forest.

Klicka på Next.

6. Skriv det DNS-namn som den interna DNS-servern ska svara för (t.ex. mail.fairssl.dk).

Du kan också använda hela domänen (t.ex. fairssl.dk), men då måste du skapa en A-post för varje DNS-namn (se punkt 10).

Klicka på Next.

7. Välj Allow only secure dynamic updates.

Klicka på Next.

Klicka på Finish.

8. Högerklicka på den nya zonen och klicka på New Host (A or AAAA).

9. Lämna Name tomt.

Ange den interna IP-adressen till Exchange-servern.

Om du har skapat en reverse lookup-zon eller planerar att göra det, markerar du Create associated pointer (PTR) record, annars lämnar du rutan omarkerad.

Klicka på Add Host.

10. Om du skapade en zon för hela domänen följer du stegen nedan. Du måste skapa en A-post för varje DNS-namn du använder (t.ex. www.fairssl.dk, vpn.fairssl.dk, login.fairssl.dk).

Skriv DNS-namnet utan domän i Name (t.ex. mail).

Ange den interna IP-adressen till Exchange-servern.

Om du har skapat en reverse lookup-zon eller planerar att göra det, markerar du Create associated pointer (PTR) record, annars lämnar du rutan omarkerad.

Konfiguration av interna och externa URL-adresser för Exchange-tjänster

Följ stegen nedan för att ändra de interna och externa DNS-namnen för alla Exchange-tjänster.

1. Logga in på Exchange-servern med ett administratörskonto.

2. Tryck på Windows-tangenten och skriv exch för att söka efter Exchange Management Shell.

Högerklicka på Exchange Management Shell och välj Run as administrator.

3. Kör följande kommando:

Get-ExchangeServer | fl name

4. Kör följande kommando:

SERVERNAVN är namnet du hittade i punkt 3. INTERNURL är e-postserverns interna adress, t.ex. exch01.fairssl.dk eller mail.fairssl.dk. EKSTERNURL är e-postserverns externa adress utan https://, t.ex. mail.fairssl.dk. Behåll citattecknen ”” runt SERVERNAVN, INTERNURL och EKSTERNURL:

$CASserver = ”SERVERNAVN” ; $internalURL = ”INTERNURL” ; $externalURL = ”EKSTERNURL”

5. Kör följande kommandon för att byta till adresser som är giltiga på internet (alla kommandon samlade i ett skript finns i punkt 6):

Get-AutodiscoverVirtualDirectory -Server $CASserver | Set-AutodiscoverVirtualDirectory –InternalUrl ”https://$internalURL/Autodiscover/Autodiscover.xml” -ExternalUrl ”https://$externalURL/Autodiscover/Autodiscover.xml”

Get-ClientAccessServer -Identity $CASserver | Set-ClientAccessServer –AutoDiscoverServiceInternalUri ”https://$internalURL/Autodiscover/Autodiscover.xml”

Get-WebservicesVirtualDirectory -Server $CASserver | Set-WebservicesVirtualDirectory –InternalUrl ”https://$internalURL/Ews/Exchange.asmx” -ExternalUrl ”https://$externalURL/Ews/Exchange.asmx”

Get-OabVirtualDirectory -Server $CASserver | Set-OabVirtualDirectory –InternalUrl ”https://$internalURL/Oab” -ExternalUrl ”https://$externalURL/Oab”

Get-OwaVirtualDirectory -Server $CASserver | Set-OwaVirtualDirectory –InternalUrl ”https://$internalURL/Owa” -ExternalUrl ”https://$externalURL/Owa”

Get-ActiveSyncVirtualDirectory -Server $CASserver | Set-ActiveSyncVirtualDirectory -InternalUrl ”https://$internalURL/Microsoft-Server-ActiveSync” -ExternalUrl ”https://$externalURL/Microsoft-Server-ActiveSync”

6. Här är alla kommandon ovan samlade på en rad, så att du kan kopiera och klistra in dem i ett steg. Om du redan har följt punkt 5 behöver du inte köra dem:

Get-AutodiscoverVirtualDirectory -Server $CASserver | Set-AutodiscoverVirtualDirectory –InternalUrl ”https://$internalURL/Autodiscover/Autodiscover.xml” -ExternalUrl ”https://$externalURL/Autodiscover/Autodiscover.xml” ; Get-ClientAccessServer -Identity $CASserver | Set-ClientAccessServer –AutoDiscoverServiceInternalUri ”https://$internalURL/Autodiscover/Autodiscover.xml” ; Get-WebservicesVirtualDirectory -Server $CASserver | Set-WebservicesVirtualDirectory –InternalUrl ”https://$internalURL/Ews/Exchange.asmx” -ExternalUrl ”https://$externalURL/Ews/Exchange.asmx” ; Get-OabVirtualDirectory -Server $CASserver | Set-OabVirtualDirectory –InternalUrl ”https://$internalURL/Oab” -ExternalUrl ”https://$externalURL/Oab” ; Get-OwaVirtualDirectory -Server $CASserver | Set-OwaVirtualDirectory –InternalUrl ”https://$internalURL/Owa” -ExternalUrl ”https://$externalURL/Owa” ; Get-ActiveSyncVirtualDirectory -Server $CASserver | Set-ActiveSyncVirtualDirectory -InternalUrl ”https://$internalURL/Microsoft-Server-ActiveSync” -ExternalUrl ”https://$externalURL/Microsoft-Server-ActiveSync”

Generering av CSR för certifikatbeställning

1. Tryck på Windows-tangenten och skriv exch för att söka efter Exchange Management Shell.

Högerklicka på Exchange Management Shell och välj Run as administrator.

2. Kör följande kommando:

• SubjectName:

• Common Name (CN): Det primära fullständiga domännamnet, t.ex. www.fairssl.dk
• Organization Name (O): Företagets fullständiga namn, exakt som det är registrerat, t.ex. FairSSL A/S
• Organizational Unit (OU): Avdelningen som ska använda certifikatet. Fältet kan lämnas tomt eller fyllas i med företagsnamnet, t.ex. FairSSL A/S
• Locality (L): Ort, t.ex. Oerum Djurs
• State (S): Län eller region. I Sverige anges oftast länet, t.ex. Norddjurs
• Country (C): Landskod med två bokstäver enligt ISO-standard, skrivs med versaler, t.ex. DK

• KeySize: nyckellängd i bitar (använd 2048)
• PrivateKeyExportable: Om certifikatet senare ska kunna exporteras för backup

$CSR = New-ExchangeCertificate -GenerateRequest -SubjectName "CN=mail.fairssl.dk, O=FairSSL A/S, OU=FairSSL A/S, L=Oerum Djurs, S=Norddjurs, C=DK" -KeySize 2048 -PrivateKeyExportable $true

3. Du kan nu kopiera den genererade texten och klistra in den direkt i certifikatbeställningen, eller spara den i en fil med följande kommando:

• Path: Sökvägen där CSR-filen ska sparas

Set-Content -Path "c:\mail.fairssl.dk.csr" -value $CSR

4. Öppna CSR-filen i en textredigerare (t.ex. notepad www.fairssl.dk.csr) och kopiera hela texten, inklusive bindestrecken före och efter.

Klistra in texten i CSR-fältet i certifikatbeställningen.

Nedan visas ett exempel på en komplett CSR-text:

En CSR innehåller ingen hemlig information, så det är ingen säkerhetsrisk att t.ex. skicka den med okrypterad e-post.

Installation av mellanliggande certifikat

Så här importerar du mellanliggande certifikat på en Windows-server, även på en Exchange-server. Klienterna kan bara verifiera hela certifikatkedjan om det mellanliggande certifikatet är installerat på Exchange-servern.

Windows installerar ibland det mellanliggande certifikatet automatiskt tillsammans med servercertifikatet. Det skadar inte att importera samma certifikat flera gånger, du får bara en varning om att det redan finns.

1. Logga in på servern med ett administratörskonto.

Kopiera texten för det mellanliggande certifikatet (Intermediate certificate) från e-postmeddelandet med ditt nya certifikat till en textredigerare, t.ex. Notepad. Spara filen på skrivbordet med namnet mellanliggande.cer

2. Tryck på Windows-tangenten + R

Skriv mmc.exe

Klicka på OK.

3. Klicka på File och därefter på Add/Remove Snap-in.

4. Välj Certificates.

Klicka på Add.

5. Välj Computer account.

Klicka på Next.

6. Se till att Local computer är valt.

Klicka på Finish.

Klicka på OK.

7. Expandera Certificates (Local Computer) och Intermediate Certification Authorities.

Högerklicka på Certificates.

Välj All Tasks och klicka på Import.

8. Klicka på Browse och välj filen du sparade på skrivbordet.

Klicka på Next.

9. Välj Automatically select the certificate store based on the type of certificate.

Klicka på Next.

Klicka på Finish.

Här hittar du mellanliggande certifikat från olika utfärdare.

Vi rekommenderar att du använder det mellanliggande certifikat som följde med beställningen och bara hämtar det härifrån om du har tappat bort det, eftersom det medföljande alltid hör till just ditt servercertifikat.

Mellanliggande certifikat från olika utfärdare

Import och aktivering av certifikat från PFX-fil (.PFX/PKCS12)

Så här importerar och aktiverar du ett certifikat från en PFX-fil i Exchange.

Om du beställer certifikatet med vår CSR-tjänst levereras det som en PFX-fil skyddad med en unik kod.

1. Tryck på Windows-tangenten och skriv exch för att söka efter Exchange Management Shell.

Högerklicka på Exchange Management Shell och välj Run as administrator.

2. Kör följande kommando:

• Path: Sökvägen till certifikatfilen
• Services: De tjänster som ska aktiveras

Import-ExchangeCertificate –Path c:\mail.fairssl.dk.pfx –Password:(Get-Credential).password | Enable-ExchangeCertificate –Services “IIS,POP,IMAP,SMTP,None”

Lägg till UM i Services om Unified Messaging är installerat.

Om du väljer tjänster som inte är installerade misslyckas kommandot, så välj bara de tjänster som certifikatet ska användas för.

Kommandot importerar först certifikatet och aktiverar det sedan för de valda tjänsterna.

Om filen är lösenordsskyddad visas en ruta där du anger lösenordet (se punkt 3).

Till sist får du frågan om du vill byta standardcertifikat för SMTP. Skriv y och tryck på [ENTER].

3. En ruta för användarnamn och lösenord visas. Fältet för användarnamn används inte, men det får inte vara tomt.

Skriv None som användarnamn och filens lösenord i lösenordsfältet.

Vi rekommenderar att du testar installationen med vår SSL-scanner på: https://www.fairssl.se/sv/verktyg/ssl-scanner

Aktivera certifikat för specifika tjänster

1. Tryck på Windows-tangenten och skriv exch för att söka efter Exchange Management Shell.

Högerklicka på Exchange Management Shell och välj Run as administrator.

2. Kör följande kommando:

• Thumbprint: Certifikatets tumavtryck (visas med kommandot Get-ExchangeCertificate)
• Services: De tjänster certifikatet ska aktiveras för

Enable-ExchangeCertificate -Thumbprint <certifikat ID> -Services "IIS, POP, IMAP, SMTP, None"

Lägg till UM i Services om Unified Messaging är installerat.

Om du väljer tjänster som inte är installerade misslyckas kommandot, så välj bara de tjänster som certifikatet ska användas för.

Därefter bekräftar du att SMTP-tjänstens certifikat ska ersättas. Tryck på [ENTER] för att godkänna.

Vi rekommenderar att du testar installationen med vår SSL-scanner på: https://www.fairssl.se/sv/verktyg/ssl-scanner