MSXFORUM - Exchange Server 2003 > SSL Aktivierung für OWA 2003

Transkript

1 Page 1 of 23 SSL Aktivierung für OWA 2003 Kategorie : Exchange Server 2003 Veröffentlicht von webmaster am Die Aktivierung von SSL, für Outlook Web Access 2003 (OWA), kann mit einem selbst ausgestellten oder auch durch extern signiertes Zertifikat erfolgen. Generell sollte die Ausstellung eines selbst signierten Zertifikats nur zur Testzwecken, in einer Testumgebung erfolgen. Da die Installation einer selbst erstellten CA unter Windows weit reichende Konsequenzen hat und wenn man das Thema Sicherheit ernst nehmen möchte, dann bedarf das einer sorgfältigen Planung und Keykontrolle. Wenn es nur um ein Testzertifikat für OWA geht, ist selfssl.exe die optimale Lösung. Einmal ausgeführt (ohne Parameter) erstellt das Zertifikat für 7 Tage, gültig auf den Kurzname des Servers, ein Zertifikat und rekonfiguriert auch gleich die Default-Website des IIS. Per Kommandozeilenparameter kann man dann noch Dinge wie Laufzeit, common name, Vertrauen in den Aussteller, Website-Nummer, etc. fein justieren. Alternativ kann auch mit "makecert.exe" ein Zertifikat gerechnet werden, ohne einen Zertifikatdienst zu installieren. Das Tool ist zwar etwas schwieriger in der Handhabung dafür ist es aber auch flexibler in der Nutzung. Darüber hinaus können auch Zertifikate für beispielsweise SQL-Server erstellt werden. Weitere Informationen zu "MakeCert" findet Ihr in der How-To "SSL Zertifikats - Tool". Einer der bekanntesten Anbieter ist beispielsweise Verisign. Im folgenden Fall nehmen wir ein selbst ausgestelltes Zertifikat, welches nach aussen hin als nicht vertrauenswürdig gilt. Installation und Konfiguration Zertifikatdienst (CA): Zuerst muss der Zertifikatsdienst auf einem Server installiert werden. Dies erfolgt über Start -> Einstellung -> Systemsteuerung -> Software -> Windowskomponenten hinzufügen

2 Page 2 of 23 Die Zertifikatdienste auswählen und mit weiter fortfahren. Den Hinweis mit JA bestätigen.

3 Page 3 of 23 Den Stammzertifizierungsstelle des Unternehmens auswählen da es die erste Zertifizierungsstelle im Unternehmen ist. Den Allgemeinen Name der Zertifizierungsstelle eingeben, worüber künftig der Server auch angesprochen wird.

4 Page 4 of 23 Falls Bedarf kann der Speicherpfad angepasst werden. Den Hinweis mit JA bestätigen.

5 Page 5 of 23 Installation wird abgeschlossen. Erstellung einer Zertifikatsanforderung: Die Zertifizierungsanforderung wird im IIS erstellt. Dazu über Start -> Programme -> Verwaltung -> Internetinformations-Manager den IIS öffnen. Über Servername -> Websites in die Eigenschaften der Standartwebseite gehen und in das Register Verzeichnissicherheit wechseln.

6 MSXFORUM - Exchange Server 2003 > SSL Aktivierung für OWA 2003 Page 6 of 23 Unter Sichere Kommunikation auf den Button Serverzertifikat drücken. Den Assistenten mit Weiter starten.

7 Page 7 of 23 Neues Zertifikat erstellen auswählen und fortfahren. Sollte bereits zuvor der OWA Admin installiert wurden sein, so wurde bereits ein Zertifikat eingetragen, welches zuerst entfernt werden muss. Entsprechend des Abbildes auswählen und fortfahren um eine Anforderung zu erstellen.

8 Page 8 of 23 Den Namen für das Zertifikat eingeben. Dies sollte auch für die Organisation und Organisationseinheit erfolgen.

9 Page 9 of 23 Für den hier eingetragenen Name, sollte bei ISP einen A Rekord gesetzt werden, damit der Server auch von aussen erreichbar ist. Zusätzlich müssen auf der Firewall Ports geöffnet und zum Exchangeserver geroutet werden. Aus Sicherheitsgründen sollte ein Zugriff aus dem Internet nur über eine Frontend Konstellation erfolgen. Die entsprechenden Felder eintragen zum den Aussteller zu verifizieren.

10 Page 10 of 23 Den Pfad und Namen für die Speicherung der Zertifikatsanforderung eingeben. Alle eingegebenen Daten können nun noch mal überprüft und gegebenenfalls noch mal angepasst werden.

11 MSXFORUM - Exchange Server 2003 > SSL Aktivierung für OWA 2003 Page 11 of 23 Die Anforderung ist abgeschlossen. Ausstehende CA Anforderung annehmen: Um die ausstehende CA Anforderung annehmen zu können muss im Browser die URL aufgerufen werden. Da dies ein geschützter Bereich ist, bedarf es eine Anmeldung. Dies kann beispielsweise mit Domänen Administrator erfolgen.

12 Page 12 of 23 Im Browser Ein Zertifikat Anfordern drücken. Dann ein Erweiterte Zertifikatanforderung auswählen.

13 Page 13 of 23 Reichen Sie eine Zertifikatanforderung ein, die eine Base64-codierte CMD- oder PKCS10-Datei verwendet, oder eine Erneuerungsanforderung, die eine Base64-codierte PKCS7-Datei verwendet, ein.

14 Page 14 of 23 Kopiere den Inhalt aus der zuvor abgespeicherten certreq.txt Datei und füge dies in die Gespeicherte Anforderung ein. Wähle als Zertifikatsvorlage Webserver und drücke Einsenden.

15 Page 15 of 23 Wähle Base-64-codierung aus und drücke Download des Zertifikates! Speichern das Zertifikat ab so das es Der Exchange Server in Zugriff bekommt. Einbindung des Zertifikates: Für die Einbindung des Zertifikates muss wieder in den IIS gewechselt werden. Über Start -> Programme -> Verwaltung -> Internetinformations-Manager wird der IIS wieder geöffnet. Über Servername -> Websites in die Eigenschaften der Standartwebseite gehen und in das Register Verzeichnissicherheit wechseln.

16 MSXFORUM - Exchange Server 2003 > SSL Aktivierung für OWA 2003 Page 16 of 23 Unter Sichere Kommunikation auf den Button Serverzertifikat drücken. Den Assistenten mit Weiter starten.

17 Page 17 of 23 Die Ausstehende Anforderung bearbeiten und das Zertifikat installieren. Die zuvor gespeicherte cer Datei auswählen und forfahren.

18 Page 18 of 23 Falls nötig kann der Standard 443 SSL Port geändert werden. Die SSL Informationen werden noch mal dargestellt.

19 MSXFORUM - Exchange Server 2003 > SSL Aktivierung für OWA 2003 Page 19 of 23 Die Einbindung ist abgeschlossen. Aktivierung SSL: Nachdem alles Vorbereitet ist, muss SSL für die Standardwebseite noch aktiviert werden. Dazu über Start -> Programme -> Verwaltung -> Internetinformations-Manager den IIS starten. Über Servername -> Websites in die Eigenschaften der Standartwebseite gehen und in das Register Verzeichnissicherheit wechseln.

20 Page 20 of 23 Unter Sichere Kommunikation auf den Button Bearbeiten.

21 Page 21 of 23 In dem Fenster Sicheren Kanal voraussetzen (SSL) und 128 Bit Verschlüsselung erforderlich aktivieren. Beim übernehmen der Einstellung fragt das System ob die SSL Konfiguration auch auf die Unterverzeichnisse übernommen werden soll. Hierbei sollte darauf geachtet werden, dass bei den Verzeichnissen Microsoft-Server-ActiveSync, OMA und Public die SSL Aktivierung nicht übernommen wird. Hierbei kann es sonst zu Fehlermeldungen und Problemen im Bereich Exchange System Manager (Administration von Public Folder), Active Sync und OMA bekommen. Letztere beide unterstützen kein HTTPS. Siehe dazu auch: You receive an SSL Certificate error message when you view public folders in Exchange System Manager Error When You Expand Exchange 2000 Public Folders in Exchange System Manager You receive the "The operation failed. ID no: " error message when you try to expand public folders in Exchange 2000 Server System Manager Exchange ActiveSync and Outlook Mobile Access errors occur when SSL or forms-based authentication is required for Exchange Server Besser ist es, hier für OMA und ActiveSync einen eigenen Ordner mit z.b. ExchDAV als Namen anzulegen, der ohne SSL erreichbar ist oder die Implementierung eines Frontend-Servers vorzunehmen, wo Anfragen des Clients per SSL an den Frontendserver abgegeben und diese dann ohne SSL an den Backendserver durchgereicht werden. SSL Testen:

22 Page 22 of 23 Um den OWA Zugriff über SSL zu testen, muss das Postfach über einen Browser mit der URL aufgerufen werden. Der in der URL verwendete Domainenname sollte der common name des Zertifikats sein, da dies sonst zu Probleme bei OMA und RPC over HTTP führt! Die Sicherheitsabfrage über das SSL Zertifikat mit Ja annehmen. Mit einem Outlook Benutzer anmelden und im Browserfenster ist nun das Schloss zu sehen.

23 Page 23 of 23 Nun ist der Datenstrom verschlüsselt! Jeder OWA Aufruf muss nun explizit mit HTTPS erfolgen da ein Zugriff mit HTTP immer zu einer Fehlermeldung führt und der Anwender manuell das HTTPS eintragen muss. Um dies für den Endanwender angenehmer zu gestallt stehen mehrere Optionen bereit. Die erste Möglichkeit ist, auf der Standardwebseite SSL required zu entfernt und an dessen stelle ein simples HTTP-Redirect auf SSL zu implementieren, was in den meisten Fällen ausreicht. Durch das ASP-Script kann der angegebenen Servernamen übernommen werden, was von Vorteil in einem NAT-Szenarien ist: Automatische Umleitung auf die Anmeldeseite von Outlook Web Access Eine zweite Möglichkeit wäre, sich vom ISA mit den Rewrite-Regeln helfen zu lassen. Die dritte ist auch recht elegant. Man benutzt die Errorseite und ersetzt sie mit einem ASP- Script, was automatisch den Redirect macht: How to: Redirect an HTTP connection to HTTPS for Outlook Web Access (OWA) in Exchange 2003 Server