Exchange Server 2010 SSL Sertifika Yönetimi
Firmalar Sunucu Güvenliklerini artırmak ve dış iletişimlerini algoritma tabanlı şifreleme teknolojisiyle korumak için bir sertifika yetkilisine ihtiyaç duymaktadırlar. Bu sertifikalara sahip olduğunuz sunucularda isteğinize uygun olarak “Güvenli Yuva Katmanı (SSL) ve “Güvenli Aktarım Katmanı (TLS) ‘i yapılandırma sağlayabilirsiniz.
Microsoft Exchange Server 2010 varsayılan olarak SSL güvenlik sertifikası ile beraber gelmektedir. Siz bu sertifikayı dilediğiniz bir Sertifika Otoritesi ( Ör: GlobalSign , VeriSign , Digicert vs gibi ) ile değiştirebilirsiniz.
Şimdi detaylarıyla Exchange 2010’da sertifika konusuna başlayalım.
Resim-1
Exchange Management Console da Server Configuration a tıklıyoruz. Sağdaki menüden New Exchange Certificate seçiyoruz.
“New Exchange Certifika” tıkladığımızda karşımıza aşağıdaki ekran geliyor sertifikamıza friendly name tanımlıyoruz. Friendly name tanımlaması gerçekleştirdikten sonra “NEXT” diyerek devam diyoruz.
Resim-2
“Domain Scope” ekranı geliyor karşımıza “Enable wilcard certificate” burada şunu belirlememizi istiyor eğer ortamımızda sub-domainimiz var ise oluşturacağımız sertifikanın sub-domainlerde de kullanılabileceğini söylüyor bir değişiklik yapmadan “NEXT” diyerek devam ediyoruz.
Resim-3
“Exchange Configuration” ekranı geliyor karşımıza oluşturacağımız sertifika isteğinin hangi servisler tarafından kullanacağını belirliyoruz. Client Access Server ( Outlook Web App ) altında ki Outlook web App is on the Intrant seçeneği yani local de ki sertifika ismini belirtiyorum, Outlook Web Apps is on the Internet yani external sertifika ismini belirtiyorum.
Client Access Server ( Exchange ActiveSync ) altında ki Exchange Active Sync is enabled mail.domain.com olarak tanımlıyoruz.
Client Access Server ( Web Services,Outlook Anywhere anda Autodiscover) oluşturacağımız sertifikamızın Web Servisleri ve Outlook Anywhere da kullanabileceğini ve bunun için external adresi de belirtebiliyoruz.
Autodiscover da enable ederek oluşturduğumuz sertifikanın mail sunucumuza Authentication sağlayabiliriz.
Diğer servislerle ilgili tanımlamaları gerçekleştirdikten sonra “NEXT” diyerek devam ediyoruz.
Not: Exchange Server Sertifikası ve Dikkat Edilmesi Gerekenler
Exchange Server üzerinde kullanılan ve kullanıcı erişimlerinde güvenli iletişimi sağlayan sertifikalar özellikle yaşanan problemlerin ana kaynağını oluşturmaktadır. Bu noktada özellikle kullanıcı-sunucu erişimlerinde kullanılacak sertifikalar için aşağıdaki formatta olmasına dikkat ederseniz en az hata ile Exchange yapınızı kullanmış olursunuz.
Bu bilgileri verirken özellikle Autodiscovery,OWA, RPC/HTTPs ve ActiveSync üzerinde yaşanan problemlere çözüm olacak bir yapıyı paylaşacağım.
Bu yapıda sertifikanızı oluştururken aşağıdaki bilgilerin sertifika içerisinde olduğundan emin olun.
- Subject Name (Common Name) kısmında ActiveSync erişiminde kullanılacak adresin FQDN‘inin olmasına dikkat edin.Bu aynı zamanda RPC/HTTPs içinde kullanılacaktır (örneğin: mail.mslinuxtrmailServers.com)
- DNS Name = Internet Published OWA URL (OWA URL içerisinde yer alan FQDN ) (örneğin: webmail.mslinuxtrmailServers.com)
- DNS Name = CAS machine NETBIOS name (CAS Sunucunun Netbios Adı) (örneğin: MSEXCCAS01)
- DNS Name = CAS machine Full Computer Name (CAS Sunucunun FQDN’i) (örneğin: MSEXCCAS01.mslinuxtrmailServers.local)
- DNS Name = Internal Domain Name (FQDN ) (SMTP Domain Adı) (örneğin: mslinuxtrmailServers.local)
- DNS Name = autodiscover.<InternalDomainName> (AutoDiscover için kullanılacak iç SMTP Domain adı) (örneğin: autodiscover.mslinuxtrmailServers.local)
- DNS Name = autodiscover.<ExternalDomainName> (AutoDiscover için kullanılacak dış SMTP Domain adı) (örneğin: autodiscover.mslinuxtrmailServers.com)
Resim-4
“Certificate Domains” ekraninda domain namelerimizi yazıyoruz. Default Common Name ne olacaksa ( Oluşturduğumuz sertifika üzerinde görülecek isim ) Set as common name diyerek onu belirliyoruz.
Resim-5
“Organization and Location” ekraninda sertifika talebinde bulunacağımız için burdaki gerekli bilgilerini giriyoruz ve “Certificate request file path” ini oluşturulacak sertifikani nereye kaydedileceğini belirtiyoruz.Bu için “Browse” tikliyoruz.
Resim-6
Ben sertifikami Local Disk C dizini altinda oluşturduğum “Cert” ismini verdiğim folder altina kaydedilmesini istiyorum.Oluşturulacak sertifikaya “Bjkcert” ismini vererek oluşturulacak sertifika talebini certificate request file olarak kaydediyoruz.
Resim-7
“Certificate Configuration” ekraninda oluşturulacak olan sertifikayla ilgili özet bilgi geliyor karşımıza “New” diyerek sertifikamizi oluşturuyoruz.
Resim-8
Finish ile bu işlemi tamamlıyoruz.
Resim-9
Oluşturduğumuz sertifika MMC’ye geldi.
Resim-10
Oluşturduğumuz sertifikamızın kaydettiğimiz yeri kontrol ediyoruz. Notepad ile açıp request bilgisini kopyalıyoruz.
Sertifikayı satın alacağımız kuruluşun web sayfasına login oluyoruz. Burada test olarak Digicert kullanılmıştır.
Resim-11
Login oluyorum.
Resim-12
Oluşturduğum Bjkcert dosyasının içeriğini sayfadaki CSR kısmına yapıştırıyorum.
CSR nedir?
CSR (Certificate Signing Request), webe açık sunucunuz tarafından üretilen, içerisinde web sunucunuza ve SSL Sertifikasını kullanacağınız web sitesine dair bir takım veriler içeren bir koddur. SSL Sertifika başvurusu sırasında, web sitenize ait bilgiler bu kod vasıtasıyla tespit edilmekte ve başvuru sonrasında ilgili güvenlik sertifika firması tarafından imzalanmaktadır.
Resim-13
Oluşturduğum CSR dosyasına göre sertifika firmasının bana verdiği sertifikayı download ediyorum.
Resim-14
Resim-15
Sıra geldi bu sertifikayı import etme işlemine. MMC konsolda sağdaki menüden İmportExchange Certificate menüsüne tıklıyoruz.
Resim-16
Sertifikanın yerini gösterip bir password girip Next ile devam ediyoruz.
Resim-17
Next ile ilerliyoruz.
Resim-18
Import diyerek sertifikamızı import ediyoruz.
Resim-19
Sonrasında yapacağımız işlem ise import ettiğimiz bu sertifikayı assign etmek. Sertifika üzerine sağ klik yapıp Assign Services To Certificate seçiyoruz.
Resim-20
Sertifikayı kullanacağımız servisleri seçip Assign diyoruz.
Resim-21
Resim-22
Sertifikamız başarılı bir şekilde oluşturuldu ve Exchange Server üzerindeki kullanılan servislere assign işlemi başarıyla tamamlandı. Artık bütün mail alışverişlerimizi oluşturduğumuz SSL sertifikamız üzerinden sağlayabiliriz.
Aynı işlemleri (Sertifika oluşturma – Import etme) sertifikayı satın aldığınız firmaların toolları var. Bunlar vasıtasıyla da yapabilirsiniz.
Bu konuyla ilgili sorularınızı alt kısımda bulunan yorumlar alanını kullanarak sorabilirsiniz.
Referanslar
