Eigenes TLS-Zertifikat - Austausch

[obraun]

V14

Hallo,

wir verwenden ein eigenes TLS-Zertifikat (Wildcard) für den eingehenden und den ausgehenden Konnektor. Da dieses bald abläuft, habe ich das neue Zertifikat bei den Computerzertifikaten hinterlegt und dem Benutzer "NT Service\NoSpamProxyGatewayRole" die Leserechte gegeben. Der Austausch des Zertifikates bei den beiden Konnektoren hat auch funktioniert. Das alte Zertifikat habe ich über die MMC entfernt und den Server neu gestartet.

Leider verbindet sich jetzt das Command Center nicht mehr mit den Rollen. Möglicherweise läuft der NoSpamProxy ansonsten noch, aber wenn man das nicht sehen kann...

Hat jemand eine Idee?

Viele Grüße
Oliver

 

[obraun]

Da der NoSpamProxy nicht mehr funktionierte (also auch keine E-Mails mehr ankamen), habe ich ihn deinstalliert und neu installiert. Nun funktioniert wieder alles.

 

[obraun]

Optimal ist das aber nicht. Habe ich ein Howto übersehen? Nächsten Dezember steht das wieder an...

 

[StefanCink]

Hm, seltsam. Welches Zertifikat wurde dann genau gelöscht? Wurde evtl. das NoSpamProxy-eigene Zertifikat aus Versehen gelöscht? Die NCC verbindet sich ja nicht mit dem HTTPS-Dienst auf 443 sondern über Port 6060/6061 TCP und verwendet dort das NoSpamProxy eigene Dienst-Zertifikat.
Gruß Stefan

 

[obraun]

Gelöscht habe ich das demnächst ablaufende, gekaufte Zertifikat, würde ich sagen. Nachstellen kann ich das jetzt nicht mehr, aber unter den Computerzertifikaten -> Eigene Zertifikate finde ich jetzt ein Zertifikat mit dem Namen <hostname>, welches am 09.09.2022 ausgestellt wurde. Aus der Erinnerung würde ich sagen, dass ich damals den NSP V14 erstmalig installiert habe. Demnach habe ich es offenbar nicht gelöscht, und bei der Neuinstallation wurde es nun wieder verwendet. Nun gut, nachstellen können wir das nicht mehr.

Viele Grüße
Oliver

---

Ich bin gerade etwas verwirrt. Wenn ich nospamproxyserver.domain.de:6061 aufrufe (NoSpamProxy Web App, geht hier nur aus dem lokalen Netz), dann komme ich in das Webinterface des NoSpamProxy. So weit, so gut.

Dort wird aber das eigene, gekaufte Zertifikat verwendet. Sonst würde mir der Browser ja auch einen Fehler melden. Das wird deshalb auch im NoSpamProxy hinterlegt: "Benutzer können sich mit den NoSpamProxy-Backend-Diensten und der NoSpamProxy Web App auf nospamproxyserver.domain.de verbinden."

Die Anleitung sollte also so aussehen:

Neues Zertifikat bei Computerkonten hinterlegen mit Leserechten wie im ersten Post
Neues Zertifikat bei der NSP Web App hinterlegen
Dienste oder Server neu starten
Neues Zertifikat bei den Inbound-/Outbound-Konnektoren hinterlegen
Dienste oder Server neu starten
ggf. altes Zertifikat löschen

PS: Ich vermute, das Problem bestand darin, dass ich das Zertifikat für die Web App nicht geändert hatte vom alten gekauften Zertifikat in das neue gekaufte Zertifikat. Nicht klar ist mir, in welcher Konstellation die NCC das NoSpamProxy-eigene Dienst-Zertifikat verwenden würde und die Web App das eigene gekaufte Zertifikat.

 

[JanJäschke]

Hallo Oliver,

deine Annahme wird richtig sein.
Da dein eigenes Zertifikat als sogenanntes "WebApi" Zertifikat im NSP hinterlegt ist fehlte dieses nach dem du es gelöscht hast und der NSP konnte nicht mehr untereinander kommunizieren.
Deine beschriebene Update Reihenfolge ist also ganz richtig, im schlimmsten Fall kannst du dann nämlich nach einem Fehler nochmal zurück auf das alte Zertifikat.


Gruß
Jan