☰

Как назначить сертификат для IMAP/S и SMTP/S в Exchange 2016?

tag-icon • tag-icon security exchange certificate imap
Как назначить сертификат для IMAP/S и SMTP/S в Exchange 2016?

Пожалуйста, дайте мне совет, потому что я выдергиваю все волосы.

У меня Exchange 2016, и я хочу назначить один официально подписанный сертификат на порт IMAP/S 993/tcp и порт SMTP/S 465/tcp. Я перебрал несколько вариантов конфигурации, но проверка портов (с помощью nmap) оба порта представляют абсолютно разные сертификаты. Теперь я не понимаю всей концепции управления сертификатами Exchange.

Настройка IMAP на Exchange

[PS] C:\Windows\system32>Get-ImapSettings | fl

RunspaceId                        : 669149f3-c8f4-43af-b80c-3019ec26bd08
ProtocolName                      : IMAP4
Name                              : 1
MaxCommandSize                    : 10240
ShowHiddenFoldersEnabled          : False
UnencryptedOrTLSBindings          : {[::]:143, 0.0.0.0:143}
SSLBindings                       : {[::]:993, 0.0.0.0:993}
InternalConnectionSettings        : {mail.doamin.il:143:TLS, mail.domain.il:993:SSL}
ExternalConnectionSettings        : {mail.domain.il:993:SSL, mail.domain.il:143:TLS}
X509CertificateName               : mail.domain.il
Banner                            : The Microsoft Exchange IMAP4 service is ready.
LoginType                         : SecureLogin
AuthenticatedConnectionTimeout    : 00:30:00
PreAuthenticatedConnectionTimeout : 00:01:00
MaxConnections                    : 2147483647
MaxConnectionFromSingleIP         : 2147483647
MaxConnectionsPerUser             : 16
MessageRetrievalMimeFormat        : BestBodyFormat
ProxyTargetPort                   : 1993
CalendarItemRetrievalOption       : iCalendar
OwaServerUrl                      :
EnableExactRFC822Size             : False
LiveIdBasicAuthReplacement        : False
SuppressReadReceipt               : False
ProtocolLogEnabled                : False
EnforceCertificateErrors          : False
LogFileLocation                   : C:\Program Files\Microsoft\Exchange Server\V15\Logging\Imap4
LogFileRollOverSettings           : Hourly
LogPerFileSizeQuota               : 0 B (0 bytes)
ExtendedProtectionPolicy          : None
EnableGSSAPIAndNTLMAuth           : True
Server                            : SERVER
AdminDisplayName                  :
ExchangeVersion                   : 0.10 (14.0.100.0)
DistinguishedName                 : CN=1,CN=IMAP4,CN=Protocols,CN=SERVER,CN=Servers,CN=Exchange Administrative Group (FYDIBO
                                    HF23SPDLT),CN=Administrative Groups,CN=SERVERADS,CN=Microsoft Exchange,CN=Services,CN=Configu
                                    ration, DC=domain,DC=ils
Identity                          : SERVER\1
Guid                              : c2bfe9aa-f252-419a-910d-62687592dc34
ObjectCategory                    : domain.ils/Configuration/Schema/ms-Exch-Protocol-Cfg-IMAP-Server
ObjectClass                       : {top, protocolCfg, protocolCfgIMAP, protocolCfgIMAPServer}
WhenChanged                       : 2024. 01. 23. 20:56:48
WhenCreated                       : 2021. 04. 29. 16:12:26
WhenChangedUTC                    : 2024. 01. 23. 19:56:48
WhenCreatedUTC                    : 2021. 04. 29. 14:12:26
OrganizationId                    :
Id                                : SERVER\1
OriginatingServer                 : DC.domain.ils
IsValid                           : True
ObjectState                       : Unchanged

Результат nmap.

[root@revenant ~]# nmap -p 993 --script ssl-cert mail.domain.il
Starting Nmap 7.92 ( https://nmap.org ) at 2024-01-23 22:09 CET
Nmap scan report for mail.domain.il (192.168.99.31)
Host is up (0.00027s latency).

PORT    STATE SERVICE
993/tcp open  imaps
| ssl-cert: Subject: commonName=*.domain.il/organizationName=IL Inc./stateOrProvinceName=F/countryName=IL
| Subject Alternative Name: DNS:*.domain.il
| Issuer: commonName=internal-ca/organizationName=IL Inc./stateOrProvinceName=F/countryName=IL
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha256WithRSAEncryption
| Not valid before: 2023-06-15T20:20:44
| Not valid after:  2028-06-13T20:20:44
| MD5:   ffc2 d46a f66e b7ee 8f2c 0468 4f39 f01e
|_SHA-1: 626d bfac d38c db8f 5ea9 d328 c42c d94a d9fe 09c1
MAC Address: 00:0C:29:0D:B3:C3 (VMware)

Nmap done: 1 IP address (1 host up) scanned in 0.47 seconds

Уточняю: у меня два сертификата. mail.domain.il подписан Truster Root Issuer, а *.domain.il подписан моим внутренним CA.

Exchange OWA настроен с mail.domain.il в IIS и работает хорошо, но службы EXCHANGE не хотят его принимать или я не знаю, как службы решают, что им следует работать.

Enable-ExchangeCertificate -Server SERVER -Thumbprint 1KJ24JH12G41JKG41J23H4G12JKL3G -Services IIS,SMTP,POP,IMAPиспользовалось несколько раз. Я действительно пробовал все, но не могу сделать это.

Пожалуйста помоги.

решение1

Сертификаты можно назначать службам в центре администрирования Exchange (EAC) или в консоли управления Exchange. После назначения сертификата службе вы не сможете удалить назначение. Если вы больше не хотите использовать сертификат для определенной службы, вам нужно назначить другой сертификат службе, а затем удалить сертификат, который вы не хотите использовать.

Важно отметить, что не следует назначать wildcard-сертификат для службы IMAP4 или POP3. Вместо этого используйте командлет Set-ImapSettings для настройки полного доменного имени (FQDN), которое клиенты используют для подключения к службе IMAP4, и используйте командлет Set-PopSettings для настройки FQDN, которое клиенты используют для подключения к службе POP3.

Связанный контент