Обновление сертификата Exchange Server 2007 — Отражение в сети — Антон Борисов

Как обновить сертификат почтового сервера microsoft exchange?

Transport layer security между сайтами active directory

Серверная роль Exchange 2007 Hub Transport использует сертификат для шифрования всего SMTP-трафика между сайтами Active Directory. Невозможно сконфигурировать Exchange для пересылки нешифрованного SMTP-трафика между серверами Hub Transport, расположенными в различных сайтах.

Для того, чтобы увидеть, какой сертификат используется между двумя серверами Hub Transport, расположенными в различных сайтах Active Directory, вы можете включить логгирование протокола SMTP на внутреорганизационном коннекторе отправки (Send) на каждом сервере Hub Transport, как показано ниже на рисунке 2, используя командлет Set-TransportServer в Exchange Management Shell.

Задавая так называемый IntraOrgConnectorProtocolLoggingLevel для подробного вывода, логгирование протокола будет добавлено к логу протокола коннектора отправки. После отправки письма из ящика, расположенного в сайте B в ящик, расположенный на Mailbox сервере Exchange 2007 в сайте A, просмотр лога протокола отправки позволяет обнаружить, что сервер Exchange Hub Transport в сайте B (Ex2007SE) использует сертификат, предложенный сервером Exchange Hub Transport в целевом сайте Active Directory (Ex2007EE) для того, чтобы обеспечить безопасность транспортного уровня, как можно видеть на рисунке 3.

Взглянув на сертификат на сервере Hub Transport, доступный для TLS, видно, что используется самоподписанный сертификат (рисунок 4).

Запрос сертификата

Есть несколько путей, чтобы выполнить процедуру генерации CSR-запроса. Самый простой из них — через оснастку Диспетчер служб IIS, который я рассматривал в статье Exchange Hybrid — Подготовка серверов федерации. В этой же статья я рассмотрю более «хардкорный» вариант, когда запрос надо сгенерировать из консоли EMS1. Итак, сделать это можно командой как в примере ниже:

Примечание: если вдруг надо указать данные об организации, вы можете это сделать внутри параметра -SubjectName, например -SubjectName [C=<CountryOrRegion>, S=<StateOrProvince>, L=<LocalityOrCity>, O=<Organization>, OU=<Department>], CN=<HostNameOrFQDN>.

Папка \exch01c$tmpcert_01 должна существовать. После выполнения команды там будет лежать CSR-запрос cert_01.req. С его помощью вы сможете получить сертификат в локальном доменном ЦС, либо отправить его публичному ЦС.

Использование самозаверяющего сертификата для клиентов outlook
2007, присоединенных к домену

Для работы самозаверяющего сертификата с клиентами
Microsoft Office Outlook 2007, присоединенными к
домену, не требуется дополнительная настройка. При подключении
таких клиентов не выводятся предупреждения безопасности, потому что
URL-адреса, используемые ими для подключения к службе
автообнаружения, ссылаются на внутреннее полное доменное имя
сервера клиентского доступа.

Самозаверяющий сертификат имеет общее
имя, сопоставленное с NetBIOS-именем сервера. Кроме того,
самозаверяющий сертификат включает полное доменное имя сервера в
качестве дополнительного DNS-имени, которое хранится в поле
дополнительного имени субъекта.

Это позволяет клиентам,
присоединенным к домену, успешно подключаться к службе
автообнаружения без вывода предупреждений о сертификате, так как
срок действия сертификата не истек, а полное доменное имя сервера,
к которому выполняется подключение, хранится в его поле
дополнительного имени субъекта.

Хотя клиенту не удается проверить
самозаверяющий сертификат до доверенного корня, это разрешается при
подключении клиентов, присоединенных к домену, к службе
автообнаружения с помощью самозаверяющего сертификата. Тем не менее
не рекомендуется долгосрочно применять самозаверяющий сертификат,
так как его основная цель — позволить отложить на некоторое время
получение надлежащего сертификата и дать клиентам Outlook 2007
возможность немедленно приступить к использованию
Exchange 2007.

Истечение
срока действия сертификата

Как «прикрутить» ssl сертификат в exchange 2007 ?

Общие сведения о самозаверяющем
сертификате

Ограничения
самозаверяющего сертификата

Случаи, в которых можно
использовать самозаверяющий сертификат

Установка сертификата на microsoft exchange 2007

Шаг 1. Сохраните полученный в емаил письме ваш сертификат в виде отдельного файлаСкопируйте с емаила сертификат SSL и обязательно скопируйте заголовок и нижний колонтитул
—– BEGIN CERTIFICATE —– и —– END CERTIFICATE —–
Убедитесь, что нет пробелов, дополнительных разрывов строк или дополнительных символов.

Шаг 2. Загрузите и установите промежуточный Intermediate chain сертификат Центра сертификации

Скопируйте и сохраните отдельным файлом промежуточный сертификат

Шаг 3. Найдите и отключите общедоступный первичный центр сертификации VeriSign Class 3 Public Primary Certification Authority – G5 Root CA certificate

1. Создайте Certificate Snap-In in Microsoft Management Console (MMC)
2. В открывшейся консоли MMC и оснастки «Сертификаты» разверните папку «Доверенные корневые центры сертификации»
   слева и выберите подпапку «Сертификаты».
3. Найдите следующий сертификат:
   Issued to: ;VeriSign Class 3 Public Primary Certification Authority – G5
   Issued by: VeriSign Class 3 Public Primary Certification Authority – G5
   Expiration Date: 7/16/2036
   Serial Number: 18 da d1 9e 26 7d e8 bb 4a 21 58 cd cc 6b 3b 4a

   

4. Если этот сертификат присутствует, он должен быть отключен.
5. Щелкните правой кнопкой мыши сертификат
6. Выберите Свойства
7. В разделе «Цели сертификата» выберите «Отключить все цели для этого сертификата»

   

8. Нажмите кнопку «ОК»
9. Закройте MMC – нет необходимости сохранять настройки консоли

Шаг 4. Установка SSL сертификата:

Чтобы установить сертификат SSL на Microsoft Exchange 2007, вам необходимо использовать среду управления Exchange –
( Exchange Management Shell)

1. Скопируйте файл сертификата SSL, например newcert.p7b и сохрание его на C: Exchange server.
2. Откройте командную консоль Exchange. Нажмите «Пуск» > «Программы» > «Microsoft Exchange Server 2007» > «Командная консоль Exchange» .
3. Запускайте команды Import-ExchangeCertificate и Enable-ExchangeCertificate
   ((обе команды запускаются в одной строке, разделенные символом pipe).

   Import-ExchangeCertificate -Path C:newcert.p7b | Enable-ExchangeCertificate -Services “SMTP, IMAP, POP, IIS”

   Параметр Services может быть любой комбинацией этих значений: IMAP, POP, UM, IIS, SMTP.
   Чтобы отключить сертификат, установите для параметра Services значение «Нет».

4. Убедитесь, что ваш сертификат включен, выполнив команду Get-ExchangeCertificate

   C:> Get-ExchangeCertificate -DomainName your.domain.name

В столбце «Службы» буквы SIP и W обозначают SMTP , IMAP , POP3 и We b (IIS) .

Enable-ExchangeCertificate -ThumbPrint [paste] -Services “SMTP, IMAP, POP, IIS”

Перезапустите ваш сервер и проверьте работу SSL сертификата при помощи онлаин сервиса

Установка сертификата ссл на microsoft exchange 2021

Шаг 1. Сохраните ваш и соответствующий промежуточный сертикат в формате .p7b ( PKCS#7 ) в виде отдельных файлов

Шаг 2. Найдите и отключите сертификат VeriSign Class 3 Public Primary Certification Authority – G5 Root CA certificate

1. Создайте Certificate Snap-In in Microsoft Management Console (MMC)
2. В открывшейся консоли MMC и оснастки «Сертификаты» разверните папку «Доверенные корневые центры сертификации»
   слева и выберите подпапку «Сертификаты».
3. Locate the following certificate:
   Issued to: VeriSign Class 3 Public Primary Certification Authority – G5
   Issued by: VeriSign Class 3 Public Primary Certification Authority – G5
   Expiration Date: 7/16/2036
   Serial Number: 18 da d1 9e 26 7d e8 bb 4a 21 58 cd cc 6b 3b 4a

   

4. Если этот сертификат присутствует, он должен быть отключен.
5. Щелкните правой кнопкой мыши по сертификату
6. Выберите Свойства
7. В разделе «Цели сертификата» выберите «Отключить все цели для этого сертификата»

   

8. Нажмите ОК.
9. Закройте MMC, не сохраняя настройки консоли.

Шаг 3. Установка SSL сертификата

1. Откройте «Пуск» > «Администрирование» > «Менеджер служб IIS» .
2. В левом меню выберите имя соответствующего сервера.
3. В области «Свойства» (средняя панель) в разделе «Безопасность» дважды щелкните «Сертификаты сервера» .
4. На панели «Действия» (правая панель) выберите «Полный запрос сертификата» .
5. Укажите местоположение файла сертификата и дружественное имя.
   
   Дружественное имя является ссылочным именем для быстрой идентификации сертификата для администратора.
   Убедитесь, что выбрано личное хранилище, затем нажмите «ОК» .

   

Шаг 4. Связывание служб с сертификатом с помощью Центра администрирования Exchange:

Установка сертификатаssl через exchange powershell

1. Запустите Exchange Powershell.

2. Запустите следующую команду:

Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content
-Path c:your_domain_name.crt -Encoding byte -ReadCount 0)) |
Enable-ExchangeCertificate -Services “IIS,POP,IMAP,SMTP”

Укажите путь к Вашему сертификату SSL после “-Path” и выберите сервис который Вы хотите защищать после “Services”.

Установка промежуточного сертификата (Intermediate Certificate)

1.Получите промежуточный сертификат соответствующий вашему SSL сертификату
Скопируйте и вставьте содержимое в текстовый файл с расширением .crt

2. Запустите консоль Microsoft Management Console (следуйте Start > Run > MMC).

3. Перейдите File >Add/Remove Snap-in.

4. Кликните Add. Выберите Certificates и кликните Add.

5. Выберите Computer Account. Кликните Next и выберите Local Computer.

6. Кликните Finish.

7. В MMC, кликните правой кнопкой мыши на Intermediate Certification Authorities и перейдите All Tasks > Import.

8. Клкните Browse и выберите Ваш промежуточный (intermediate) сертификат (из шага 1).

9. Кликните Дальше.