Renovação do certificado do Exchange 2010 SP1, a nova regra não permite domínios de intranet local e isso alterará o fluxo de mensagens?

Question

Estou em apuros com a mensagem infame " O certificado de segurança expirou ou ainda não é válido " e sei que é devido ao nosso (certificado de nome de domínio múltiplo; ou acho que é chamado um certificado SAN cert? direito?) que expirou para nosso nome de dns do servidor local:

servername.domainname.local

Vejo que o GoDaddy renovou nosso certificado automaticamente e normalmente seria muito fácil importá-lo e esperar que a mensagem "O certificado de segurança expirou ou ainda não é válido" desapareça para TODOS os clientes do Outlook da Internet, mas o servername.domainname.local O dns não está no certificado de renovação automática e, em vez disso, nosso nome de dns externo está nele: mail.domainname.md

Pelo que tenho lido, preciso agora alterar servername.domainname.local para mail.domainname.md e isso me fez infelizmente perceber que teria que alterar todos os clientes do Outlook manualmente para apontar para o novo DNS externo ... o que também me faz pensar que isso significa que todos os clientes INTERNAL do Outlook que existam na mesma rede que os servidores Exchange iriam então à INTERNET para obter seus mail e voltar em que eu não quero isso. Eu só quero que eles vão direto para os servidores do Exchange localmente.

Essa nova regra "sem registro de domínio local cert" significa que o fluxo de mensagens é alterado de interno para interno para interno para externo para interno para fluxo de tráfego entre os clientes do Outlook (2007)?

Se SIM, isso significa que preciso ir manualmente para cada cliente do Outlook 2007 e alterar o nome do servidor para aliviar a mensagem "O certificado de segurança expirou ou ainda não é válido"?

Poderei simplesmente executar novamente determinados scripts Powershell auto-assinados de certificados que encontrei e gerar um novo certificado local que funcionará para eliminar a mensagem pop-up para que os usuários evitem temporariamente o registro de um certificado com um nome DNS externo?

Se estou certo sobre a necessidade de alterar o nome do servidor do Exchange ao qual todos os clientes do outlook se referem, posso usar este procedimento para alterá-lo:

Exchange 2010: clientes do Outlook que se recusam a atualizar para o novo servidor CAS

Eu realmente espero que alguém responda com "algo" viável. Eu não posso ser a única pessoa que enfrentou isso e tudo estava bem antes da renovação do certificado e da regra interna / externa do certificado alterada. Eu tenho cerca de 60 usuários exigentes e alguns simplesmente não toleram o popup em TODOS.

    

Answer 1

Eu acho que você está combinando a questão mais do que merece. Supondo que o seu certificado já tenha o nome externo no certificado e você tenha importado e configurado os serviços apropriados para ele, é realmente simples dizer aos clientes do Outlook para procurarem pelo certificado.

Há três coisas principais que você deseja alterar, apenas lembre-se das práticas recomendadas e exporte essas configurações primeiro para poder consultá-las mais tarde se algo der errado.

Mais ou menos você deseja definir o InternalURL como o ExternalURL no WebServicesVirtualDirectory, OabVirtualDirectory e ActiveSyncVirtualDirectory.

Além disso, se você ainda não tiver no DNS, certifique-se de ter um registro do SVC para AutoDiscover que aponte para o nome de host externo (principalmente o que causa os avisos para clientes internos).

    

Answer 2

De acordo com a nova diretriz do fórum da CA / B para a depreciação de nomes de domínio local em certificados SSL, nenhuma autoridade de certificação emitirá SSL para o nome de domínio local. Além disso, você não pode adquirir o ssl para nomes e endereços IP do NetBios.

Até a data ociosa configurada para o acesso do servidor de troca à rede local usada. nome de domínio local e para nomes de domínio público de uso externo para outlookanywhere e owa. Acessar um servidor Exchange em qualquer rede requer conexão segura.

Qual ação é necessária para o administrador do Exchange?

É necessário remover a configuração do domínio .local do servidor do Exchange. Antes de removê-lo, você deve fazer o seguinte.

Opção 1: use nomes de domínio público para conectar o intercâmbio em ambas as redes, como mail.exahngedomain.tld.

Opção 2: Adicione um subdomínio adicional no servidor do Exchange, como local.exchangedomain.com, host no endereço IP da rede local. Em seguida, adicione / propague o DNS para este nome de host na rede local. Dessa forma, você pode manter o acesso local do Exchange Server limitado à rede local.

Não escape dos avisos de certificado ssl na conexão do Outlook, senão seus usuários enfrentarão problemas sempre que iniciarem o Outlook.