Das Ende von .local und anderen TLD in SSL Zertifikaten

(openPR) Mit dem 1. November 2015 wird internen Hostnamen nicht mehr vertraut. Was bedeutet dies fur den Gebrauch von SSL Zertifikaten in solchen Umgebungen und welche Losungen gibt es?

Es ist schon uber 2 Jahre her, da ubernahm das CA/Browser Forum Grundvoraussetzungen, die fur die Ausstellung von Zertifikaten zu gelten haben. Diese traten im Juli 2012 in Kraft.

In dieser Regelung wurde unter anderem festgehalten, dass SANs und das Betreff (genauer der Commonname im Subject) keine reservierten IP Adressen oder interne Servernamen enthalten durfen. Als effektives Datum fur die Umsetzung wurde der 31. Oktober 2015 festgehalten. Seit dem durfen keine Zertifikate mehr ausgegeben werden, deren Auslaufdatum hinter diesem Zeitpunkt liegt. Alle Zertifikate die zuvor ausgestellt wurden und langer gultig waren, sollen mit dem 01. Oktober 2016 von den CA widerrufen werden.

Das stellt speziell Anwender vor ein Problem, die den Standard Vorgaben bei der Installation Ihrer MS Exchange Umgebung folgten. Hier, aber auch in anderen Anwendungsbereichen wurde fur interne Zwecke oft die .local Domain oder auch andere TLD verwendet, die fur den internen Gebrauch explizit vorgesehen wurde.

Um dieser Herausforderung zu begegnen, ist es notwendig eine Split DNS Losung zu implementieren. Split-DNS zielt dabei darauf ab, die Hostnamen fur Autodiscover und andere Exchange-spezifische Dienste intern mit anderen Adressen aufzulosen, als dies ausserhalb des Intranets der Fall ware. Auf diese Weise sind die Dienste auch im Intranet uber regulare Servernamen erreichbar, so dass die .local Hostnamen verworfen werden werden konnen.

Gegebenenfalls kann es daruber hinaus notwendig sein, den Exchange-Server um zu konfigurieren, so dass die intern nun korrekt auflosenden Hostnamen von den Exchangediensten auch verwendet werden. Dies geschieht seit Exchange 2007 uber die dafur vorgesehenen Commandlets.

Die detailliertere Vorgehensweise sowie eine Auswahl von verschiedenen Exchange kompatiblen SSL Zertifikaten finden Sie auf http://icertificate.eu/de/hilfe/faqs/ms-exchange-auf-splitdns-umstellen.html.