交换证书不匹配

Question

好的，所以我有两个子域进入我的 Exchange 工作台（Server 2008 上的 Exchange 2007）。内部子域是 exchange.company.com，外部域是 webmail.company.com。我们的 AD 域与我们的网站域同名。我们的 DNS 服务器在内部将 exchange.company.com 指向 Exchange 框，webmail.company.com 也是如此。Exchange.company.com 未指向外部 DNS 上的任何内容。

因此，为了让人们能够从外部访问他们的电子邮件并更容易处理电话等连接，我前几天买了一个 GoDaddy SSL 证书并安装了它。不幸的是，GoDaddy 证书指向 webmail.company.com，而每个人的 Outlook 都指向 exchange.company.com。因此，人们不断收到“证书有效，但分配给它的域与它所在的域不匹配”之类的消息。我不记得确切的措辞。

无论如何，我的问题是：如何设置一个证书（由我公司内部受信任的 CA 分发的证书）用于 MAPI，另一个用于 IIS？或者，更好的是，如果机器作为 webmail.company.com 访问，则使用 GoDaddy，如果它是 exchange.company.com，则使用内部 CA 证书。

Answer 1

更好的方法和最佳实践方法是使用 UC 证书，也称为 SAN（主题备用名称）证书。这里有一些关于 SAN 是什么/什么是 SAN 以及它是如何工作的重要信息。

但基本上，证书中有几个名称，最有可能的是：netbios 服务器名称、本地服务器 FQDN、您的网络邮件 url 和自动发现 url

作为附加说明，我在我的一台服务器上进行了类似的设置。它正在运行 Sharepoint 和 Exchange 2007。我有一个包含以下内容的 SAN 证书：

服务器名称、服务器名称.域.本地、自动发现.域.com、去.域.com、内部.域.com

这允许我的 Outlook 客户端在没有证书警告的情况下连接到 Exchange，并且从内部和外部连接到我的 Sharepoint 和 OWA 站点也没有任何警告。这也使我的客户能够使用 Outlook Anywhere 和 Autodiscover 进行连接。

可能不是您想听到的答案，但是在涉及 IIS、需要多个 IP 地址、主机标头等时，将 2 个单独的证书用于 SAN 将为您省去一大堆麻烦需要鬼混才能让它按照你想要的方式工作。