Gelöst Office 365 Konnektor: Zertifikat für Client-Indentität entfernen

[Fabian]

Hallo zusammen,

wie im Blogbeitrag Ende der TLS-Client-Authentifizierungszertifikate erwähnt:
"[...]
Kunden können ihre bisher verwendeten, „normalen“ TLS-Zertifikate nicht länger für die Client-Authentifizierung einsetzen
[...]"

fällt die Option eine Client-Indetität mitzugeben mit den bisherigen (Server Authentication und Client Authentication)
Zertifikaten weg.
Nun heißt es, hat man für Office 365 aka Exchange Online 2 Optionen:

1. Separates Zertifikat mit passendem Verwendungszweck besorgen
oder
2. Auf IP-Filterung umsteigen bzw. auf IP-Filter anstatt IP-Filter + Client-Authentifizierung umstellen in EXO.

Beim Versuch das Zertifikat beim Konnektor unter E-Mail-Server des Unternehmens, Type Office 365 zu entfernen scheitere ich jedoch.
Es gibt diese Option in der GUI nicht - nur mit einem anderen zu ersetzen.



Einfach aus dem Zertifikatsspeicher löschen findet der NSP auch nicht so cool (keine Angst, wofür hat man eine Testumgebung)


Das PowerShell Befehl:

# Get-NspInboundSendConnector -> Hat nur den Office365 Konnektor zurück geliefert, sonst zuvor filtern
Get-NspInboundSendConnector | Set-NspInboundSendConnector -TlsCertificateThumbprint $null -Office365

Das hat auch nicht wirklich geholfen.

Bliebe noch final den Konnektor zu löschen und neu anlegen -> Ist das die gewollte Lösung oder gibt es einen besseren Weg?

LG
Fabian

 

[JanJäschke]

Danke für den Hinweis =)

Tatsache wird dir löschen und neu anlegen auch nicht helfen denn du musst eine der beiden Optionen auswählen und das führt dazu, dass du immer ein TLS Zertifikat in irgendeiner Form haben musst ^^

Ich habe aber gestern ein Update zum Thema bekommen:
Es wurde erfolgreich getestet wie sich EXO verhält wenn die EKU fehlt:

Wir haben dafür ein neues Lets Encrypt Zertifikat angefragt und in einer unserer Umgebungen eingesetzt.
EXO arbeitet problemlos mit diesem Zertifikat, somit kannst du jedes beliebige TLS Zertifikat verwenden.
Über die NCC ist es nur derzeit nicht mögliches jedes auszuwählen, das werden wir ändern, per PS lässt es sich aber auf jeden Fall schon setzen.

Ein Update zum Blogbeitrag werde ich ebenfalls noch veranlassen =)

 

[Sakul]

EXO arbeitet problemlos mit diesem Zertifikat, somit kannst du jedes beliebige TLS Zertifikat verwenden.

Verstehe ich das so richtig?

Nutze ich ein Zertifikat einer öffentlichen CA (in unserem Fall GlobalSign),
dann wird mein Exchange-Online-Inbound-Connector (mit Mutual TLS-Prüfung) weiter funktionieren?
Wenn dem so ist, müsste dann nicht der Artikel https://www.nospamproxy.de/de/ende-der-tls-client-authentifizierungszertifikate/ geupdatet werden?
Der Satz "empfiehlt es sich, die Konnektoren auf IP-basierte Filterung umzustellen" wäre doch nicht korrekt, da man tatsächlich NICHT auf IP-Filter umstellen muss?

 

[JanJäschke]

Hey,

Ja es ist richtig, dass es ohne die Erweiterung funktioniert
Ich schaue mir den Beitrag nochmal an, eig hatten wir ein Update gemacht, vlt ist da was schief gegangen.

Danke für den Hinweis