Рейтинг:2

Ошибка Имя хоста НЕ ПРОВЕРЯЕТСЯ — Тестовые сертификаты TLS Exchange 2016 cu21

флаг cn

Практика с сертификатами, в давайте зашифруем победа создается обычный, отправляю и получаю обычную почту, https в owa и остальные сервисы

Тестирование с проверки, это дает мне предупреждающее сообщение:

Имя хоста сертификата НЕ ПРОВЕРЯЕТ:

(mail.contoso.com != mail | DNS:mail | DNS:mail.lan.contoso.com)

Я не понимаю ошибку DNS mail.lan.contoso.com. Я думал, что ошибка была в DNS SPLIT, но прочитал в Форум они комментируют что-то об ошибке.

Я так понимаю, что остальные разъемы менять в форумах, книгах и туториалах нельзя, их никто не меняет. Вот почему для получения из Интернета создается новый соединитель, на который можно изменить полное доменное имя.

Рекомендации этого Форум, мои настройки днс:

Частный AD DNS (lan.contoso.com)

Тип записи DNS-имя Внутренний IP
А mail.lan.contoso.com 192.168.1.4
А DC01.lan.contoso.com 192.168.1.3

Общедоступный DNS (contoso.com)

Тип записи DNS-имя Стоимость
А mail.contoso.com ххх.ххх.ххх.ххх
А autodiscover.contoso.com ххх.ххх.ххх.ххх
МХ @ mail.contoso.com
Ivan_Wang avatar
флаг us
Вот аналогичная тема, проверьте, полезны ли ответы в ней: **Имя хоста сертификата НЕ ПРОВЕРЯЕТСЯ, сертификат позволяет зашифровать обмен 2016 cu 21** (https://docs.microsoft.com/en-us/answers/ вопросы/536588/cert-hostname-does-not-verify-certificate-let39s-e.html)
Рейтинг:2
флаг cn

После долгих испытаний я понял некоторые сообщения об ошибках в CheckTls. Это сертификат, используемый коннектором приема Exchange. я повторно тестирую в CheckTls и прошел весь тест без ошибок.

Спасибо за совет @Лутц Виллек , я буду продолжать практиковать.


Я делюсь с вами своим решением, надеюсь, оно поможет другим решить эту проблему.

Я не знаю, хорошая ли это процедура, решение, которое я использую Используйте следующее документация Майкрософт для справки.

  1. Убедитесь, что сертификат Let's Encrypt создан и службы включены.
    Get-ExchangeCertificate | Список форматов FriendlyName, отпечаток, эмитент, тема, домены сертификатов, службы
  1. Определите разъем приема для назначения, я был больше сосредоточен на анонимные пользователи
    Get-ReceiveConnector | где {$_.Bindings - как '*25' -AND $_.PermissionGroups - как '*AnonymousUsers*'} | Список форматов Identity, Bindings, RemoteIPRanges, PermissionGroups
  1. Определив коннектор, приступаю к назначению сертификата
    $cert = Get-ExchangeCertificate-Thumbprint хххххххх
    $tlscertificatename = "<i>$($cert.Issuer)<s>$($cert.Subject)"
    Set-ReceiveConnector "Server_Name\Default Frontend Server_Name" -TlsCertificateName $tlscertificatename
  1. Проверьте, был ли сертификат назначен соединителю приема.
    Get-ReceiveConnector -Identity "Server_Name\Default Frontend Server_Name" | Имя списка форматов, Fqdn, TlsCertificateName
Ivan_Wang avatar
флаг us
Я рад, что вы исправили проблему с TLS, и в то же время спасибо, что поделились. Если все работает хорошо, вы можете пометить свое решение как лучший ответ, чтобы его могли найти другие люди с такой же проблемой.
Рейтинг:1
флаг in

Другой отвечать на 100% правильно.

Случилось так, что (внутренний) сервер был создан с использованием имени хоста mail.lan.contoso.com. Ошибка в том, что сертификат, созданный для этого хоста, все еще представлен, если имя dns mail.contoso.com используется для подключения к серверу.


Так что вы необходимость сделать следующее, чтобы создать функциональный сервис:

  • Удалите разделенную конфигурацию DNS для autodiscover.contoso.com, как конкретное разрешение имени для 192.168.1.4 не требуется в вашей внутренней сети. (Поскольку всегда можно использовать разрешение общедоступного имени)
  • Настройте своих клиентов для подключения к mail.contoso.com. (проверьте настройки автообнаружения)
  • Настройте сервер обмена для использования сертификата, созданного для mail.contoso.com - в настоящее время сертификат на mail.lan.contoso.com Представлен.

Что ты мог сделать, чтобы повысить надежность и уменьшить затраты на обслуживание: (это позволяет отделить службу от сервера)

  • На стороне сервера настройте второй внутренний IP-адрес. 192.168.1.5 и укажите разрешение внутреннего имени для mail.contoso.com на этот IP-адрес. (Не меняй mail.lan.contoso.com который по-прежнему указывает на сам сервер)
  • На стороне сервера (обмена) настройте почтовые службы для прослушивания этого конкретного IP-адреса. 192.168.1.5 вместо 192.168.1.4.

Что вы могли бы по крайней мере рассмотреть возможность, не использует разделенный DNS вообще:

  • Мой опыт показывает, что существуют значительные недостатки, если разделение DNS не реализовано тщательно, а также то, что опыт работы в сети среднего администратора, к сожалению, недостаточен для контроля и решения всех связанных с этим проблем.
  • Еще одна важная причина — упрощенный дизайн сети, который помогает (среди прочих преимуществ) быстрее изолировать первопричину в случае инцидента.
  • Существует не так много реальных преимуществ разделенной настройки DNS, которые нельзя было бы достичь более эффективно с помощью других методов.

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.