Как корректно поправить сертификаты в Exchange2013?

Question

[Вячеслав Иванов]

Всем привет!

Случилась неприятная история. На предприятии крутится exch2013, у которого пару недель назад истекал срок действия сертификата сервера. Человек, который разворачивал-админил этот самый почтовик, перевыпустил сертификаты, прикрепил их и покинул организацию.
После смены сертификатов случилось следующее:
- Некоторые клиенты, которые пользуются outlook на win10 перестали подключаться к серверу. Никакой связи не обнаружил, у всех разные версии outlook, разные пользователи в разных группах.
- Отвалились все клиенты, использующие evolution на linux (Alteros). Ругается на TLS подключение
Логи с самого почтовика, которые показались мне странными:
1. Microsoft Exchange не удалось загрузить сертификат с отпечатком 638A1***** из хранилища личных сертификатов на локальном компьютере. Этот сертификат настроен для проверки подлинности с другими серверами Exchange Server. Эта ошибка может повлиять на поток почты к другим серверам Exchange Server. Если сертификат с этим отпечатком все еще существует в хранилище личных сертификатов, выполните команду Enable-ExchangeCertificate 638A**** -Services SMTP для устранения проблемы. Если сертификат отсутствует в хранилище личных сертификатов, восстановите его из резервной копии с помощью командлета Import-ExchangeCertificate или создайте новый сертификат для полного доменного имени или сервера с поддержкой SMTP с помощью команды New-ExchangeCertificate -DomainName serverfqdn -Services SMTP. До этого будет использоваться сертификат с отпечатком AC94*****.
Источник MSExchange Certificate Deployment
Код 2005
2. Сертификат федерации или проверки подлинности не найден: B376*****. Не удалось найти сертификат на локальных и соседних объектах. Убедитесь, что в вашей топологии доступен сертификат, и при необходимости установите в качестве сертификата доверия федерации допустимый сертификат с помощью Set-FederationTrust или Set-AuthConfig. Распространение сертификата на локальных и соседних объектах может занять некоторое время.
Источник MSExchange Certificate Deployment
Код 2005

Что было сделано?
1.Проверены все службы Exchange на сервере. Работают корректно
2. Проверены сертификаты Exchange, скрин прикладываю:

3.Включены:
EnableCompatibilityHttpListener = true
EnableCompatibilityHttpsListener = true

Не считаю себя спецом по exchange и по работе с сертификатами. Так уж получилось, что больше разбираться с этим некому, т.к сотрудник, который админил почтовик - увы, больше не работает и от него физически невозможно получить какие-то комментарии. Пока что спасает owa, но эта не панацея.
Буду очень благодарен за помощь!

Comments

[Alexey Dmitriev]

Ну хорошо, в Exchange не специалист, но что мешает найти ошибки в логах или ивентам, погуглить их и почитать советы?
Проверить опять таки, что именно за сертификат отдается.
Найти инструкции по замене сертификата на вашей версии Excnahge и пройти по ним заново, чтобы разобраться в том числе.

[MaxKozlov]

Вячеслав Иванов, вот у вас на скрине нет ни 638A1*****, ни B376*****.

Так в чём ваш вопрос ?

[Роман Безруков]

Покажите вывод Get-ExchangeCertificate

[Вячеслав Иванов]

MaxKozlov, хотелось бы узнать в какую сторону ещё посмотреть, чтобы выяснить почему exchange до сих пор запрашивает старые и очевидно, удаленные сертификаты.

[Вячеслав Иванов]

Роман Безруков, EMS безнадежно не работает. Чуть позже попробую завести и показать вывод

[Роман Безруков]

Вячеслав Иванов, тут можно предположить некорректную привязку сертификатов к сервисам, после замены сертификатов не выполнили перезапуск IIS и Exchange Transport и т.д...надо смотреть

[Вячеслав Иванов]

Роман Безруков, перезапуск служб - самое первое что было сделано.

[MaxKozlov]

Вячеслав Иванов, Для начала вы могли бы сказать, какие из упомянутых сертификатов таки были свежевыпущены.
Потому что это неочевидно

Если не удаётся их поставить на место через Enable-ExchangeCertificate
вы можете в IIS его руками установить на нужные сайты и перезапустить их, тогда EMS может заработать.
А потом уже подтвердить установку, выполнив все рекомендации МС

[MVV]

Вячеслав Иванов, если EMS не работает - это само по себе есть проблема, и решать надо, прежде всего, её. Для начала, раз уж у вас речь пошла про сертификаты, проверьте через консоль управления IIS сертификат для внутреннего сайта Exchange (который слушает на 444 порту), только не торопитесь исправлять - там есть нюансы.
А пока можно временно, для диагностики, загрузить модуль Exchange в обычную сессию Powershell (см. к примеру здесь) и выполнить команду через нее (надо делать это из-под учетной записи с правами администратора леса и одновременно адимнистратора локального сервера Exchange).
PS Приведенные вами сообщения об ошибках IMAP не касаются: первое - про необязательную поддержку с TLS в SMTP , без которой жить можно, а второе - вообще про функциональность, которую вы вряд ли используете: у вас ведь нет гибридного (с использованием облака MS) разверьывания или единой организации Exchange для нескольких лесов?

Answer 1

[CityCat4]

Evolution подключался напрямую, без davmail? Я просто не знаю ни одного клиента, способного зацепиться к эксчу (как к экчсу, а не как к IMAP-серверу), кроме оутлука.
Для установки в эксч нам приходится покупать честный и нехило дорогой сертификат с SAN, куда вписывается полное доменное имя типа owa.nichego.net и обязательно autodiscover.nichego.net ! Без автодисковера в сертификате хрен чего работать будет.
(То, что nichego.net меняется на свой домен - я думаю и так понятно)

Comments

[Вячеслав Иванов]

Да, evolution подключался без davmail, по imap.

[CityCat4]

Вячеслав Иванов, Хех, IMAP в эксче тооооормоз и никаких фич своих не обеспечивает, смысла никакого.

[Gynaecologist]

>>>нам приходится покупать честный и нехило дорогой сертификат с SAN
ну и зря. а могли бы пользоваться бесплатно сертификатами Let's Encrypt. win-acme в помощь, прекрасно создаются CA-сертификаты и настраивается их авто-обновление.

>>>Без автодисковера в сертификате хрен чего работать будет.
глупости. можно не заводить поддомен с таким именем, и соответственно, не выпускать на него серт. Автонастройку внешних клиентов можно сделать без этого домена, настроив перенаправление службы в DNS. будет SRV запись вида _autodiscover._tcp 0 0 443 owa.nichego.com.

[CityCat4]

Gynaecologist, Ой, правда? Ну расскажи мне, умник, как мне в сертификат от LE запихать два независимых имени - например owa.blabla.ru и autodiscover.blabla.ru?

Автонастройку внешних клиентов можно сделать без этого домена

А ничего, что адресная книга без него отваливается?

[Gynaecologist]

В один сертификат можно напихать несколько имен, и не только от одного родительского домена, а вообще разных. Представьте себе, можно даже делать wildcard сертификаты. Если бы вы потрудились сами во всем разобраться, вы бы не были настолько самоуверены. А если бы вы были повежливее, даже сказал бы что именно нужно сделать, чтобы получить серт одновременно на несколько имен.
Книга перетекает клиенту по основному подключению. Autodiscover нужен только для того, чтобы словить настройки один раз.