Exchange 2016 и сертификат. Откуда?

Question

[Дмитрий Шумов]

Коллеги, приветствую!
Помогите понять некую несообразность. Есть Exchange 2016, работает, сертификаты при мне уже два раза менялись. Но иногда, рандомно, при подключении Outlook, начинает ругаться на сертификат, который был когда-то 2 года назад. В IIS, в самом Exchange, стоят правильные, свежие сертификаты. Старые ни где не фигурирует.
Вопрос, откуда вылазит старый сертификат, если его давно нет?

Comments

[Роман Безруков]

в локальных хранилищах (user/local machine) сертификатов нигде не застрял случайно?

[MaxKozlov]

Если вылезает - значит где-то таки есть :)
для начала стоит посмотреть в локальном хранилище всех exch серверов и прокси, если таковое присутствует.
а, точнее даже, посмотреть куда настроен autodiscovery, куда показывает dns по этому адресу и вот там и посмотреть
а то может где-то в dns осталась ссылка на сервер, который уже давно не exch, но с iis

[Дмитрий Шумов]

Роман Безруков, Все локальные хранилища обоих Exchange серверов, пересмотрены и не по одному разу ( ни где нет такого.....
MaxKozlov, Exchange сервер, куда настроен autodiscovery, так же просмотрен на предмет "протухшего и несуществующего" сертификата - тоже мимо. Серверов, которые не Exchange - таких тоже нет (
Есть еще какие-то идеи как проверить? Может команды PS есть какие-то?

[Роман Безруков]

Дмитрий Шумов, пока только Get-ExchangeCertificate и Get-OutlookProvider

[Дмитрий Шумов]

Get-ExchangeCertificate - выдает нормальные сертификаты. Левых среди них нет....

[MaxKozlov]

Дмитрий Шумов, Можно поискать его по сервисам. вдруг кто-то умудрился его туда запихнуть

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Services
А там по id (thumbprint)

и в оснастке iis убедиться, что никто на него не указывает. хотя за пару лет наверное сервер таки перезагружали

dns у вас всегда одну запись про autodiscover выдаёт ?

Снаружи exch доступен? через что? tmg, другой какой reverse proxy ?

[Дмитрий Шумов]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Services
А там по id (thumbprint)

- пусто, нет такого отпечатка...

dns у вас всегда одну запись про autodiscover выдаёт ?

да, выдает одну запись

Снаружи exch доступен? через что? tmg, другой какой reverse proxy ?

- да, доступен, через PalAlto как то сетевики выпускают. У них спрашивал, там тоже не фигурирует этот серт.
Единственно, где нашел этот серт на DC там (зачем то?) поднят iis и сайт-редирект с http на https. И все...

[MaxKozlov]

Дмитрий Шумов, А вот это как раз скорее всего и причина - autodiscover, в том числе, проверяет и адрес domain.tld кроме autodiscover.domain.tld
а domail.tld - это адреса dc

https://<SMTP-address-domain>/autodiscover/autodiscover.xml
http s://autodiscover.<smtp-address-domain>/autodiscover/autodiscover.xml

https://learn.microsoft.com/en-us/exchange/archite...

[Дмитрий Шумов]

MaxKozlov, ок, спасибо. Удалил - понаблюдаем...