Связь Outlook 2007 c Exchange 2007 из внешнего мира
 

Проблема следующая:

Server 2008 R2, Ex 2007, IIS 7.

В локальной сети внутри домена всё работает без проблем. Связь есть.

Но при попытке подключиться из внешнего мира ничего не получается.

Пробую подключаться через RPC over HTTP.

Выход в интернет идёт через апаратный раутер.

Вроде все нужные порты перенаправлены на Exchange-сервер: 443, 6000-6004, 593

Пока что описываю коротко, с надеждой, что возможно есть какой-то маленький стандартный прикол о котором я не позаботился.

Ещё один важный нюанс - в SSL-настройках Rpc директории в IIS почему-то отсутствует настройка "Require 128-bit encryption". Есть только "Require SSL".

То ли меня переклинило или я о чё-то забыл установить.

Exchange Server 2007 с текущими наборами обновлений не ставится на WS2008r2, нужен как минимум SP3 для этого, которого в природе еще нет. Да и IIS на WS2008R2 не 7.0, а 7.5. Поэтому точнее описывайте конфигурацию.
И вопросы:
1. Установлен ли компонент RPCoverHTTP в системе?
2. Включен ли на CAS Outlook Anywhere?
3. Является ли сертификат, который поставляется Outlook Provider доверенным?
Это излишество. Для работы нужен только HTTPS, все остальное происходит в туннеле.
Проверьте при помощи http://testexchangeconnectivity.com и покажите результат теста.

Как это не ставится? А у меня что стоит?
Просто надо некоторые шаманские пасы с бубном сделать (поиграться с Compatibility файла Setup.exe) - и всё устанавливается.

Уточняю конфигурацию:

Server 2008 R2 Standard (ver. 6.1 Build 7600)

Exchange Server 2007
Version: 08.01.0240.006
(типа SP1)

IIS 7.5.7600.16385

Далее:
1. RPC over HTTP установлен.
2. CAS Outlook Anywhere включен. OWA работает без проблем как из локалки так и из внешнего мира.

А дальше попрошу поподробнее:
3. Сертификат в системе с Outlook 2007 установлен в Trusted Root Cert. Auth. Сертификат выпущен на домен.
Я понимаю, что это смешно, но в сертификатах я немножко ламер и возможно что-то не доделал именно в этом плане.

Ещё меня очень смущает отсутствие настройки "Require 128-bit encryption"

У Вас стоит неподдерживаемое решение :) И отловить все глюки такого решения крайне сложно.
Это на клиентской системе, а какой сертификат стоит на сервисах Exchange? Get-ExchangeCertificate |fl в PowerShell и вывод покажите. Фактически интересуют три поля:
Issuer
ItSelfSgned
Services

HasPrivateKey : True
IsSelfSigned : True
Issuer : CN=f***e.lviv.ua


----

testexchangeconnectivity.com
выдаёт следующее:
ExRCA is testing RPC/HTTP connectivity.
RPC/HTTP test failed

Test Steps

Attempting to resolve the host name f***e.lviv.ua in DNS.
Host successfully resolved

Additional Details
Testing TCP Port 443 on host f***e.lviv.ua to ensure it is listening and open.
The port was opened successfully.
ExRCA is testing the SSL certificate to make sure it's valid.
The SSL certificate failed one or more certificate validation checks.

Test Steps

The certificate name is being validated.
Successfully validated the certificate name

Additional Details
Found hostname f***e.lviv.ua in Certificate Subject Common name
Certificate trust is being validated.
Certificate trust validation failed.
Tell me more about this issue and how to resolve it

Additional Details
The certificate chain did not end in a trusted root. Root = CN=f***e.lviv.ua

Ну вот одна из причин. Клиент должен доверять сертификату. У вас доверия нет, т.к. сертификат самовыданный и отношения к доменному CA не имеет. Правильный вариант - купить коммерческий от Thawte или Comodo, но это деньги, причем в расчета на год.
Второй вариант - заменить сертификат на ваш, выданный внутренним CA. Но на недоменных клиентов придется импортировать корневой сертификат вашего CA в хранилище Trusted Root CA. Как сделать? А вот так: http://www.redline-software.com/rus/...2007-part7.php
Вы опубликовали во внешнем DNS запись autodiscover кстати? Очень рекомендую.

После вынужденного перерыва опять вернулся к теме.
Итак с сертификатами разобрался, внутренний СА поднят, всё сделано, сертификаты импортированы, "клиент доверяет".

Теперь при подключении Outlook-a через RPC over HTTP запрашивает имя/пароль, вводим, сразу опять запрашивает и так до бесконечности.

Что посоветуете?

Кстати тест выдаёт следующее:

ExRCA is testing RPC/HTTP connectivity.
The RPC/HTTP test failed.

Test Steps

Attempting to resolve the host name ***.lviv.ua in DNS.
Host successfully resolved

Additional Details
IP(s) returned: 77.***.***.***, 82.***.***.***
Testing TCP Port 443 on host ***.lviv.ua to ensure it is listening and open.
The port was opened successfully.
ExRCA is testing the SSL certificate to make sure it's valid.
The SSL certificate failed one or more certificate validation checks.

Test Steps

The certificate name is being validated.
Successfully validated the certificate name

Additional Details
Found hostname ***.lviv.ua in Certificate Subject Alternative Name entry
Certificate trust is being validated.
Certificate trust validation failed.

Additional Details
The certificate chain couldn't be built. You may be missing required intermediate certificates.

Но я так понимаю, что в моём случае иначе быть не может (я относительно теста)?

И опять к забытой теме.

С сертификатами всё выглядит нормально - клиенты под Vista и Seven подключаются без проблем.
А вот ХР и 2003 - никак. Постоянно просят пароль и всё...

возник такой вот вопрос, есть купленный сертификат типа *.company.com (crt и key файлы) можно ли как то его прикрутить к ексченджу и после этого создать сертификат типа mail.company.com?

Какой тип проверки подленности? У меня получилось при "обычной проверки подленности". При NTLM постоянно выскакивает запрос на аутентификацию.
На счет сертификатов. Если есть свой внутренний CA то можно выпустить мульти сертификат (несколько имен серверов). Хорошая инструкция. Но опять же сертификат внутреннего CA нужно добавлять в доверенные центры сертификации.

сейчас работают на основе сертификата выданного внутренним ЦС, но у нас есть купленный сертификат типа *.company.com вот как его прикрутить я не пойму

Так у меня выпущено, всё типа в порядке:

SAN выглядит слудеющим образом:

DNS Name=company.lviv.ua
DNS Name=company
DNS Name=server.company.lviv.ua
DNS Name=autodiscover.company.lviv.ua

[РЕШЕНО]

Итак, спасибо всем, особенно Oleg Krylov.

Проблема была реально с сертификатами. А то что потом то работает то не работает на разных системах, так оказывается загвоздка в следующем:

Я сертификат выдавал на имя server.company.lviv.ua, тоесть на имя сервера Exchange, а надобно на имя домена company.lviv.ua

И импортируем на клиентские компьютеры только сертификат СА.

И всё прекрасно работает.

Странно только одно: как я понял Виста и 7 корректно работают с SAN, а ХР видать что-то недопонимает.