Multi Domain und autodiscover / Warnung Outlook

high

Hi, ich habe jetzt mal einen spezielle Frage. ich kriege es nicht hin.
ich habe ein Testumgebung in der ich Multi Domains verwende mehrere Orga.

Domain a: xxx-xxx.de
dort läuft auch der server mit mail.xxx-xxx.de
dort ist autodiscover eingerichtet und funktioniert auch

Domain b: xxx.at
dort habe ich die mx auf den mail.xxx-xxx.de gesetzt
ein autodiscover mit autodiscover.xxx.at mit cname auf autodiscover.xxx-xxx.de

Zertifikate existiert jetzt natürlich nur für Domain a bei Installation.
wenn ich jetzt OL anbinde auf Domain b geht das zwar aber bei jedem starte motzt er über die autodiscover.xxx.de sei nicht gültig.

mach ich mit der cname Weiterleitung einen Fehler geht es auch anders? oder muss am Server ein Multi Zertifikat für alle Domains installiert werden?

Wie ist der richtige Vorgang?

mwilliams

high

https://community.grommunio.com/d/6-grammm-zertifikats-1x1/15 sollte auch sehr helfen. mehrfachangabe von -d als parameter mit certbot sorgt dafür, dass domains auch erweitert werden.

crpb

Hey,

da gibt es viele Möglichkeiten und bevor ich jetzt aushole würde ich dich bitten etwas mehr über die Umgebung zu beschreiben um diese *möglichkeiten* etwas eingrenzen zu können.

Sind alle "Outlook-Clients" an einer Domäne und via Gruppenrichtlinien konfigurierbar?

Resourcen die ich grad zur Hand (in Tabs offen) hab:

Schau dir mal den Autodiscovery-Test aus Outlook an was er da ausspuckt.

https://www.msxfaq.de/exchange/autodiscover/autodiscover_testen.htm

high

crpb

also mein Problem etwas genauer:

Ich habe mehrere öffentliche Domains meiner Firma mit 2 Standorten unterschiedliche Domain, sollen aber das Mails von einer Domain nutzen können in OL.

Outlook Clients sind aktuell per Hand eingerichtet bzw. das ganze ist ein Testumgebung die ich gern zum Jahreswechsel online schalten möchte mit Lizenz.

Es funktioniert alles bis auf die Zertifikatsmeldung im Autodiscover.
Wie gesagt der Mailserver läuft auf einer Domain am Hauptstandord.
Der neben Standort sucht natürlich in dem am Nebenstandort konfigurierten Domain nach Auto Discover wird durch meinen DNS C-Name Eintrag zum Hauptstandort geleitet.

Jetzt meldet das Zertifikat natürlich einen Host miesmacht. das ich jedes mal bestätigen muss.
Wenn es hier eine abhilft gibt Domainweit eine Umleitung im DNS zu setzten wäre super.

Ich möchte vermeiden die Zertifikate zu erweitern, aber ev. geht es nur damit?

crpb

Also wahrscheinlich sollte das dann schon hinhauen wenn du wie von mwilliams erwähnten '-d' Schalter nutzt.

high Ich habe mehrere öffentliche Domains meiner Firma mit 2 Standorten unterschiedliche Domain, sollen aber das Mails von einer Domain nutzen können in OL.

Soll das bedeuten das alle Benutzer E-Mail-Adressen mit der selben Domain nutzen?

Also etwa so:

DomainHauptStandort
- userPrincipalName: user1@domain1.tld
- mail: user1@domain1.tld
DomainZweitStandort
- userPrincipalName: user2@domain2.tld
- mail: user2@domain1.tld

high

crpb

ja genau. 2 standorte 1 hauptdomain.
2 Standorte e-mail mit nur vor dem @ unterschiedlichen Bezeichner.
die Domain dahinter ist in beiden Standorten domain1.ltd
die domain2.ltd verweist auf den Auto Discover von domain1.ldt das Zertifikat spielt aber nicht mit.

der schalter -d hilft sicher. nur ich finde nicht wie ich den konfigurieren kann damit das auch bei den Verlängerungen bleibt autorenewals.

gibt's da keine Datei bzw. wie heißt der Befehl genau. ich glaube ich habe mir das Zertifikat schon zerschossen.

crpb

Also wenn du mit Letsencrypt mehrere Domains auf einem Zertifikat laufen hast macht er auch die "Verlängerung" ordentlich mit allen Domains.

Ich hab pers. keine einzige Grommunio-Kiste mit Letsencrypt da ich mir wildcard-zertifikate von meinen opnsense-kisten einfach drauf schiebe.

sollte vielleicht so ganz gut gehen nach der anleitung von @mwilliams etwas umgemodelt 😛

Habs aber nicht komplett getestet...

# preparation
expor FQDN="mail.example.com"
# just add/remove your domains which will point to the server / keep in mind that this has to be changed for your environment
DOMAINS=( domain1.tld domain2.tld domain3.tld )
# maybe like that
# export SSL_DOMAINS=( $(printf '\-d %s \-d autodiscover.%s ' "${DOMAINS[@]}" "${DOMAINS[@]}" |tr '\\' ' ') )
# or more likely this?!
export SSL_DOMAINS=( $(printf '\-d autodiscover.%s ' "${DOMAINS[@]}" |tr '\\' ' ') )
export SSL_EMAIL="admin@myexample.com"
export SSL_BUNDLE_T="/etc/grommunio-common/ssl/server-bundle.pem"
export SSL_KEY_T="/etc/grommunio-common/ssl/server.key"

# install LE dependencies
zypper install -y python3-certbot python3-certbot-nginx
firewall-cmd --add-port=80/tcp --zone=public --permanent
firewall-cmd --reload

# stop nginx and get LE certificate
test -e "/etc/nginx/conf.d/grommunio.conf" && mv "/etc/nginx/conf.d/grommunio.conf" "/etc/nginx/conf.d/grommunio.conf.grommunio-setup"
systemctl stop nginx
certbot certonly -n --standalone --agree-tos --preferred-challenges http --cert-name=${FQDN} -d ${FQDN} ${SSL_DOMAINS[@]} -m "${SSL_EMAIL}"

test -e "/etc/nginx/conf.d/grommunio.conf.grommunio-setup" && mv "/etc/nginx/conf.d/grommunio.conf.grommunio-setup" "/etc/nginx/conf.d/grommunio.conf"

# create bundles
cat "/etc/letsencrypt/live/${FQDN}/cert.pem" "/etc/letsencrypt/live/${FQDN}/fullchain.pem" > "${SSL_BUNDLE_T}"
cp -f "/etc/letsencrypt/live/${FQDN}/privkey.pem" "${SSL_KEY_T}"
find /etc/grommunio-common/ssl/ -type f -exec chown -h gromox:gromox {} +

# enable the renewing timer
systemctl enable grommunio-certbot-renew.timer
systemctl start grommunio-certbot-renew.timer

# verify nginx config
nginx -t && systemctl restart nginx

# restart certificate-dependent system services
systemctl restart gromox-http.service gromox-imap.service gromox-pop3.service postfix.service gromox-delivery-queue.service

# check systemctl status
test -z $(systemctl --no-legend --failed) && echo "Yippie!"

Und der Bundle-Kram da, falls das notwendig ist dann kann man im certbot/letsencrypt auch post-tasks später hinzufügen die einem sowas abnehmen.

high

läuft danke! erledigt!