Exchange Server 2010客戶端的安全訪問

實驗描述
默認情況下，MAPI的方式是安全加密的
演示：實現POP3S的方式收發郵件
演示：實驗https的方式實現郵件的收發

證書
1.CA（證書頒發機構）和證書有什么區別？
CA:shi 服務器中的一個服務，主要是用來為計算機（用戶）來頒發證書，安裝CA的服務器稱為證書服務器
證書：從CA上獲取的一個文件（工具）
2.證書有什么作用？
1)安全加密----HTTPS://
演示：http：\www.icbc.com-----工商銀行
http：\mail.baidu.com------百度郵箱

2）身份驗證----U盾（在線支持，或者轉賬時需要U盾），U盾里面放了一張證書。
3.如何獲取證書？
1）從公網的證書提供商處購買證書

www.verisign.com---全球證書做得最好的 www.ssl.com wwww.wosign.com----國外的證書廠商
www.icbc.com ---工商 www.ccb.com----建行 www.ebank---上海浦發銀行 mail.baidu.com---百度郵箱，這里的證書是用的verisign的證書

2）在內部的服務器上面安裝證書服務，然后通過CA來頒發證書

CA的名稱 vbers Enterprise Root CA
4.在公網上面購買的證書和公司內部部署CA頒發的證書有何區別？
1）相同點：從安全性加密的角度來看，完全一樣。
2)區別：
A：公網上購買的證書，默認情況下所有的客戶端都信任頒發證書的CA；而自己部署的CA默認情況下用戶不信任。
www.earthhome.com-----不受信任的網站
www.12306.cn------鐵道部網站

B:很多的加密時要到CA上去校驗證書的有效性，如果CA沒辦法正常工作，校驗就會以失敗結束，這樣的就無法實現加密。

實驗過程
實驗演示一：基于OWA的客戶端的安全訪問
第一步：在DC上面安裝AD的證書服務，安裝WEB服務
在“運行”中輸入“servermanager.msc”


第二 步：在這里把注冊證書的web機構勾選上

選擇“企業”，因為是為企業頒發的證書


在此填寫CA的公用名稱“這個地方我填寫有點問題？”理論上填寫“contoso Enterprise Root CA”，關系不大







在Exchange 2010上輸入運行里面輸入“inetmgr”，然后回車

查看本地受信任的證書頒發機構

在客戶端通過web來申請證書------在地址欄輸入“http：\vbers\certsrv”

在下面“點擊下載CA證書或證書鏈或者CRL即可”

下面選擇下載CA證書鏈

下面點擊保存，這里我保存在桌面上

如下圖所示，這就是剛下載好的證書鏈，下面可以右鍵開始導入這個證書鏈了，直接導入到被受信任的頒發機構就可以了




這這里Exchange Sever 2010安裝好后就在自動的在本地生成一張證書，這張證書是自簽名證書，它默認不信任所以的客戶端

下面在Exchange Server 2010上面來創建“域證書”---------這里創建證書的方法是錯誤的，它只能為單個的用戶申請證書，并且只支持單域名的郵箱訪問，僅支持通過OWA來訪問

下面填寫可辨別的證書的信息---------完成后會生成一張證書

呵呵，發現怎么這個地方是灰色的呢？ 恩，對了，這是因為沒有信任DC上面的vbers Enterprise Root CA這張證書

下面在本地查看發現沒有這張證書，所以才會顯示是灰色的原因

下面我在Exchange Server 2010上面強制刷新一下組策略

現在就有這個受信任的頒發機構了


現在發現就沒有問題了，下面給這個創建的證書去一個好的名字------提供外網做身份登錄及驗證

現在發現在本地多了一張證書

下面開始綁定https這個訪問端口

把mail.contoso.com這張證書給替換掉

下面開始在客戶端強制刷新組策略

下面在客戶端通過輸入Internet的訪問的地址：http：\mail.contoso.com\owa

現在發現沒有包錯誤的提示，發現在地址欄處多了一把鎖

查看證書的路徑

|演示二：通過MAPI來實現安全加密的訪問
使用多域名的訪問方式，這就是正確的演示過程
下面在客戶端刪掉“Marry”的郵箱記錄

新建一個文件的標識符，名字可以隨便取

直接的點擊下一步的時候，發現Aclice的帳號被自動的勾選上了，這是非常的智能化，簡化了辦公

呵呵，看到了沒有，這里提示報錯，說明了什么？？？
說明：使用web的形式申請的證書不夠本地用戶的使用，所以單域名的證書是不行的，所以這里要使用多域名的證書才行

下面在服務器配置里面選擇“新建Exchange 證書”

為證書去一個好記的名字

這里我們不使用通配符來新建證書，原因是通配符申請證書很貴
![](https://s1.51cto.com/images/blog/201712/19/fd8cb886535f95ae82a2fb61202b01a1.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_90,type_ZmFuZ3poZW5naGVpdGk=)

下面只需要勾選上面的兩項即可，在后面展開后會發現自動的有兩項被勾選上了

下面把“mail.contoso.com”設置為公共名稱-----------------提供公網的訪問的域名

下面把新建好的證書導出到桌面上，并且取一個好記的名字

下面發現多了好多的證書，其中一個是現在申請的，這個是在最前面，有一個是錯誤的申請，排在第二位

下面要做的任務是打開剛才導出的文件，然后copy里面所以的內容

現在開始訪問通過web來申請基于bash 64編碼的證書

下面點擊“申請證書”

下面點擊“高級證書申請”

這里選擇bash74編碼的證書申請

下面在證書模板里面選擇“web服務器”，然后點擊提交

我在做這個實驗是用IE訪問發現產生了沖突，怎么弄也無法的把證書下載下面，下面可以通過Firefox游覽器來訪問，并把證書下載下來，如下所示：

在此處填寫受信任的證書頒發機構

點擊“是”

點擊“完成擱置請求”

點擊游覽剛才想CA機構申請的證書


點擊“為證書分配服務”

把前面四個勾選上

把本地的“自簽名”證書刪掉

現在發現通過OWA訪問時是加密的

查看證書的的路徑

下面通過MAPI的方式來登錄

現在發現此處直接的通過了

通過MAPI的安全登錄成功

下面測試通過POP3登錄郵箱

此處要選擇手動配置

配置完成后，然后點擊“測試賬戶設置”

下面到Exchange 2010上面把POP3服務開啟

下面啟用“匿名用戶”來登錄

當你選擇匿名登錄的時候，這里就不需要填寫登錄的帳號及密碼了

下面在高級選項里面勾選上“此服務器要求加密連接”，然后發送服務器的端口修改為587，然后密碼連接類型為自動

POP3的郵箱登錄測試成功


到此為止有關OWA、MAPI及POP3的客戶端安全訪問演示結束