[CaNNoN]

hallo,

ich muesste folgendes zertifizieren:

° exchange 2010 inkl. OWA (mail.* / autodiscover.* / remote.* - zeigen auf ext-ip1; im haus hosted)
° webserver (www.* - zeigt auf ext-ip2; shared hosting im rechenzentrum)
° evtl. weitere subdomains auf ext-ip1 oder ext-ip2

dementsprechend waere wohl ein wildcard zertifikat angebracht? gibt es die auch mit dieser "gruenen adresszeile", oder braeuchte man dafuer pro (sub)domain ein eigenes zertifikat?

die hauptfrage ist, wo ich soetwas halbwegs kostenguenstig und serioes herbekomme? (wenn moeglich mit non-profit-rabatt?)

ich haette nach meiner recherche hier (df.eu) je 1x "OrganisationSSL Wildcard" (fuer die subdomains auf ext-ip1) und "ExtendedSSL" fuer www.domain.tld (wegen der gruenen adresszeile) genommen.
womoeglich bin ich da aber auch am komplett falschen dampfer, ist nicht gerade mein fachgebiet

bitte um vorschlaege :-)

[RalphS]

Nur damit da keine Mißverständnisse sind:

- Es GIBT Wildcard-Zertifikate für *.domain.tld.
- Es gibt aber KEINE Wildcardzertifikate für host.subdomain.* .

Wildcard, extended wird, wie Du Dir denken können solltest, teuer. Für solche Geschichten fragst Du am besten direkt bei den Anbietern an und läßt Dir ein unverbindliches Angebot unterbreiten. Die können Dir dann auch sagen, wie es evtl aussieht mit non-profit Organisationen. Dringend empfohlen: Such zusammen, wieviele Namen das werden insgesamt (sollte ja nicht komplett unüberschaubar werden) für die die Zertifikate dann benötigt werden, und schreib das in die Anfragen mit rein. Denn Wildcard ist erwartungsgemäß *teurer* als n viele dedizierte Zertifikate (das lohnt sich wirklich erst ab 'so richtig viele'). Ganz abgesehen davon, daß es immer irgendwie blöd aussieht, wenn da *.domain.tld dasteht.  

Übrigens, für in-house braucht ihr keine externen Zertifikate. Die könnt ihr selber ausstellen. Externe braucht ihr nur für alle diejenigen Dienste, die *von extern* zu erreichen sein sollen.

In-house Exchange-Zertifikate kriegst Du am einfachsten über die Exchangekonsole hin. Da einfach erstellen und zuweisen und dann das/die zugehörigen Zertifikate ohne den privaten Schlüssel auf alle Clients verteilen (via GPO oder so) damit die wissen, scheiße dem muß ich jetzt vertrauen. (Oder ihr habt eine in-house PKI; dann natürlich darüber; in dem Fall über die Exchange-Konsole das/die Zertifikate mit dem PK importieren statt selber erstellen).

Dieser Beitrag wurde von RalphS bearbeitet: 08. Februar 2017 - 04:37