Предупреждение SSL в Outlook 2013
Недавно получил сертификат SSL для нашего внешнего домена и добавлен в обмен, внешние клиенты работают нормально, внутренние клиенты получают предупреждение системы безопасности при открытии Outlook, в котором говорится, что наш внутренний server.domain.local "имя в сертификате безопасности недействителен", а просмотр сертификата показывает наш внешний домен.
Как мне решить эту проблему? Для внешнего URL-адреса для автообнаружения заданы как внутренние, так и внешние имена хостов.
Невозможно получить SSL-сертификат для внутренних имен от какого-либо доверенного SSL-провайдера. Это не разрешено - не было с ноября 2014 года.
"Как мне это решить? Как внутренние, так и внешние имена хостов установлены для внешнего url для автообнаружения."
Как именно вы это сделали? Если вы изменили значения URL в виртуальном каталоге Autodiscover, то это неправильный способ сделать это. Положите это обратно на значение по умолчанию. Правильным способом является использование set-clientacccessserver:
set-clientaccessserver servername -AutodiscoverServiceInternalURI https://host.example.com/Autodiscover/Autodiscover.xml
Это остановит SSL подсказки. http://semb.ee/hostnames2013 имеет полную информацию о том, что нужно изменить.
Сертификат, кажется, выдан вашему внешнему домену, на данный момент я буду называть его server.domain.com. Это не совпадает с server.domain.local, поэтому вы получаете предупреждение безопасности.
У вас есть несколько вариантов:
- Получить новый сертификат, который содержит
server.domain.localв качестве альтернативного имени. Он будет действителен для внешнего и внутреннего доступа, но не каждый ЦС позволит вам создать такой сертификат. - Настройте ваш локальный DNS на преобразование
server.domain.comдля вашего сервера Exchange вместо.local. Вероятно, это самый простой способ решения проблемы. - Измените всю вашу внутреннюю сеть, чтобы использовать домен
.com. Это решение требует наибольших усилий, но оно предотвратит подобные проблемы в будущем с другими серверами, которые должны быть доступны изнутри и снаружи. - Установите прокси-сервер для вашей биржи, который обрабатывает SSL. Вы можете либо поместить прокси в DMZ и заставить его предоставить внешний сертификат, либо поместить его внутрь и заставить его предоставить сертификат вашим внутренним центром сертификации, это не имеет значения.