V. 2010 - [решено] Толстый Outlook 2010 ругается на сертификат

exo · Конфигурация компьютера

Цитата old_nick:

что отображается в сертификатах IIS-сервера и в консоли Exchange 2010 »

а какой тогда это?
если пользователи - внешние и внутренние, то там должны быть имена всех доменов, как внутренний и как внешних.
РОР3\ИМАП - им всё равно, если они не используют SSL.

Pavel Nagaev · Отправлено: **13:04, 05-07-2013** | #3

В процессе подключения по автодискавер Outlook проверяет вебсайт domain.ru и там может быть другой сертификат.

Опция в Outlook "Проверить автоконфигурацию Outlook" вам поможет.

exo · Конфигурация компьютера

Цитата Pavel Nagaev:

В процессе подключения по автодискавер Outlook проверяет вебсайт domain.ru и там может быть другой сертификат. »

а разве первый не autodiscover.domain.ru ?
я столкнулся с ситуацией, когда у одного домена стояла запись А *.domain.ru (т.е. не было отдельной на autodiscover), вот тогда он и лез на domain.ru.
Добавили запись А на autodiscover - всё ок стало.

old_nick · Отправлено: **14:47, 05-07-2013** | #5

Цитата exo:

а какой тогда это? »

в сертификатах Exchange у меня имя сертификата mail.myfirma.ru, а в Outlook'е вылезает firma.ru

Цитата exo:

если они не используют SSL »

У меня как раз с SSL, и там подхватывается нужный сертификат.

Pavel Nagaev, похоже, Вы правы. Зашел в браузере на https://myfirma.ru - и браузер заругался на тот же сертификат. Дело в том, что сайтом занимаются другие люди и сертификат, соответственно, подхватился не тот. И на том сервере, где хостится сайт, хостится их почта.
Судя по логам проверки конфигурации, Outook сначала лезет на myfirma.ru/autodiscover/autodiscover.xml и находит там кривой сертификат от чужой почты.

Цитата exo:

а разве первый не autodiscover.domain.ru ? »

Присоединяюсь к вопросу, т.к. autodiscover.myfirma.ru прописан во внешнем DNS, но в данной ситуации игнорируется.

exo · Конфигурация компьютера

Цитата old_nick:

У меня как раз с SSL, и там подхватывается нужный сертификат »

потому что вы там в ручную указываете сервер, к которому подключать и от куда берётся сертификат.

есть у вас в ДНС запись А указывающая на autodiscover.domain.ru ?

сейчас проверил тут https://www.testexchangeconnectivity.com autodiscover.domain.ru вторая проверка, если с первой что-то не то.

old_nick · Отправлено: **16:22, 05-07-2013** | #7

Цитата exo:

есть у вас в ДНС запись А указывающая на autodiscover.domain.ru »

Да, есть, я писал об этом выше.

Посмотрел на https://www.testexchangeconnectivity.com
Сначала проверяется myfirma.ru. Когда доходит до того, что сертификат просрочен, проверка прекращается и начинается проверка autodiscover.myfirma.ru. Там все завершается успешно (я снял галочку "Пропустить доверие SSL" в мастере проверки, т.к. сертификат не коммерческий).

Толстый Outlook 2010, похоже, действует по той же схеме, поэтому и вываливается окно с предупреждением, когда он лезет на https://myfirma.ru/autodiscover/ в попытке найти Autodiscover.xml (которого там нет). Я так понимаю, данная логика "зашита" в Outlook и ничего поправить не удастся, кроме как попросить тех, кто занимается сайтом, перевыпустить сертификат с нормальным сроком действия и прописать его на клиентских машинах в Root-CA?

old_nick · Отправлено: **01:31, 12-07-2013** | #8

Проблему решили закрытием HTTPS-порта на myfirma.ru
Но что интересно, на других доменах, где у сертификатов невалидные имена или они являются самоподписанными, но имеют валидный срок действия, Outlook 2010 не ругается. Очевидно, предупреждение выдается лишь в том случае, когда сертификат просрочен. Проверить это предположение с помощью перевыпуска сертификата, к сожалению, не получилось: коллеги, обслуживающие сайт, решили ограничиться закрытием порта.

exo · Конфигурация компьютера

old_nick, проверка сертификата осуществятся по трём параметрам:
- имя доменов
- срок действия
- кем подписан
если хоть один неправильный - ругань.
в вашем случае на самоподписанный не ругались, т.к. вы добавляли корневой сертификат в доверенные.