exchange 2010应用环境

  • 四台前端服务器，两台位于DMZ区，两台位于办公网环境，办公网和DMZ的服务器做了NLB负载均衡，操作系统为windows server 2008 r2.
  • 目前前端https绑定的是企业自颁发的sha1证书，加密套件为系统默认.
  • 默认开启了RC4
  • 使用了非安全的协议SSL_V2.0及SSL_V3.0

更改需求

  1. 将DMZ区两台服务器IIS证书替换为公网的sha256证书
  2. 关闭RC4
  3. 禁用SSL_V2.0及SSL_V3.0,启用TLS_V1.2，TLS_V1.1,TLS_V1.0(默认已启用)协议
  4. 更新加密套件的优先顺序，配置Forward secrecy

操作

  • 购买证书

    由于公司有统一人员负责证书事宜，只提供了相关的域名，最终拿到手的是证一个私钥(private.key)及一个cer(20170928.cer)证书文件。需要将cer证书文件转为pfx类型的证书，然后导入服务器-个人区域。

    * 

    1. openssl.exe pkcs12 -in 20170928.cer -inkey private.key -export -out server.pfx

    2. 输入两次证书密码，就可以导出证书文件server.pfx





    * 需要安装完整的证书链，否则证书不能正常的使用。

  • 绑定证书

    iis管理器选择刚刚导入的证书，绑定到https

  • 禁用RC4

    将以下代码保存为rc4.reg并导入系统

    1.  Windows Registry Editor Version 5.00
    3. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers]
    5. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 128/128]

    6. "Enabled"=dword:00000000
    8. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128]

    9. "Enabled"=dword:00000000
    11. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128]

    12. "Enabled"=dword:00000000

  • 禁用ssl,启用tls

    将以下代码保存为ssl.reg并导入系统

  1. Windows Registry Editor Version 5.00
  2. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols]
  3. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0]
  4. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client]
  5. "DisabledByDefault"=dword:00000001
  6. "Enabled"=dword:00000000
  7. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server]
  8. "Enabled"=dword:00000000
  9. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0]
  10. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client]
  11. "Enabled"=dword:00000000
  12. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server]
  13. "Enabled"=dword:00000000
  14. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1]
  15. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client]
  16. "Enabled"=dword:00000001
  17. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]
  18. "Enabled"=dword:00000001
  19. "DisabledByDefault"=dword:00000000
  20. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
  21. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
  22. "Enabled"=dword:00000001
  23. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
  24. "Enabled"=dword:00000001
  25. "DisabledByDefault"=dword:00000000

  • 更新加密套件

    可以运行gpedit.smc，选择计算机-管理模板-网络-ssl密码套件 启用并将$cipherSuitesOrder的值填入，参数之间用英文状态下的逗号隔开

  2. 以下为powershell脚本
  3. $cipherSuitesOrder = @(
  4.   'TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521',
  5.   'TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384',
  6.   'TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256',
  7.   'TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P521',
  8.   'TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384',
  9.   'TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256',
  10.   'TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521',
  11.   'TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P521',
  12.   'TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384',
  13.   'TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256',
  14.   'TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384',
  15.   'TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256',
  16.   'TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P521',
  17.   'TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384',
  18.   'TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521',
  19.   'TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384',
  20.   'TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256',
  21.   'TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P521',
  22.   'TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384',
  23.   'TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P521',
  24.   'TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384',
  25.   'TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P256',
  26.   'TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P521',
  27.   'TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384',
  28.   'TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256',
  29.   'TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P521',
  30.   'TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P384',
  31.   'TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256',
  32.   'TLS_DHE_DSS_WITH_AES_256_CBC_SHA256',
  33.   'TLS_DHE_DSS_WITH_AES_256_CBC_SHA',
  34.   'TLS_DHE_DSS_WITH_AES_128_CBC_SHA256',
  35.   'TLS_DHE_DSS_WITH_AES_128_CBC_SHA',
  36.   'TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA',
  37.   'TLS_RSA_WITH_AES_256_CBC_SHA256',
  38.   'TLS_RSA_WITH_AES_256_CBC_SHA',
  39.   'TLS_RSA_WITH_AES_128_CBC_SHA256',
  40.   'TLS_RSA_WITH_AES_128_CBC_SHA',
  41.   'TLS_RSA_WITH_RC4_128_SHA',
  42.   'TLS_RSA_WITH_3DES_EDE_CBC_SHA'
  43. )
  44. $cipherSuitesAsString = [string]::join(',', $cipherSuitesOrder)
  45. New-ItemProperty -path 'HKLM:\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002' -name 'Functions' -value $cipherSuitesAsString -PropertyType 'String' -Force | Out-Null

exchange 2010 邮件服务器owa证书更新的更多相关文章

  1. Exchange 2010邮件服务器的搭建和部署

    Exchange主要是针对内部网或者企业网用户进行搭建的邮件服务器软件,利用它能够很快地搭建安全性较高的内部网邮件系统. 本次搭建在个人环境中实践,纯属爱好折腾,分四步骤,1.搭建windows 20 ...

  2. Windows Server 2008 R2 配置Exchange 2010邮件服务器

    windows server 服务器系统搭建邮件服务器一般两种情况: 1:Winmail server 软件 2:Exchange 参考教程:http://www.cnblogs.com/zhongw ...

  3. exchange 2010入门到精通

    exchange 2010入门到精通 Exchange产品介绍和功能演示 Exchange是什么 目前最受欢迎企业级邮件服务器产品 市场占有率70%(2011数据) 微软消息协作平台中核心产品 Exc ...

  4. Exchange 2010 邮箱大小限制原则

    在 Exchange中文站 的QQ群(68280328)里经常会有朋友问到关于 Exchange 2010 邮件大小限制的问题,因为有许多地方,而且定义的内容又是同样的,所以,让本来很简单的限制原则变 ...

  5. 邮件服务器hMailServer管理工具hMailServer Administrator汉化（转）

    //实现:邮件服务器hMailServer管理工具hMailServer Administrator的汉化 //环境: Windows Server 2008 R2 hMailServer Admin ...

  6. Exchange 2010 服务器邮件传输配额设置详解

    在企业的邮件系统管理中,传输邮件的大小配额关系到邮件队列.邮件传输速度以及关系到该附件是否能正常发送,直接关系到用户体验.为此,传输邮件大小的设置,也经常是企业邮件管理员比较迷惑的地方.如下: 1)  ...

  7. Exchange邮件服务器安全

    Exchange是由微软推出的用于企业环境中部署的邮件服务器.Exchange在逻辑上分为三个层次:网络层(network layer).目录层(directory layer).消息层(messag ...

  8. Exchange 2010 OWA部分用户不能访问

    Exchange 2010 OWA部分用户不能访问 http://blog.csdn.net/xuhuojun/article/details/17364619

  9. Exchange Server 2010邮件策略与遵从性

    本文档附带了一个附档,里面详细的描述了如何在Exchange Server 2010中配置如下内容: 1.邮件分类 2.免责申明 3.配置信息隔离墙 4.邮件审核 5.Exchange 2010与AD ...

随机推荐

  1. 【转发】Webdriver使用自定义Firefox Profile运行测试

    点击进入转发地址: 一般我们使用如下代码启动Firefox: 这样Selenium Server启动的Firefox将是一个全新的,不安装任何Add-On的Firefox. 如果有需要,我们可以使用我 ...

  2. Office 的下载、安装和激活（图文详细）

    不多说,直接上干货! 在这里,推荐一个很好的网址,http://www.itellyou.cn/ 销售渠道不同,激活通道也不同.有零售版,有大客户版.零售的用零售密钥激活,一对一. SW开头或在中间有 ...

  3. selector.select()和selector.selectedKeys()

    当调用selector.select()时会阻塞: This method performs a blocking selection operation. It returns only after ...

  4. leetcode简单题目两道(5)

    Problem Given an integer (signed bits), write a function to check whether it . Example: Given num = ...

  5. 打乱数组——shuffle

    在学习vue移动端音乐项目时,看到一个打乱数组函数,感觉很有意思就记录一下(意外发现:slice是个有趣的知识点) 原理:遍历数组,(let i = 0; i < _arr.length; i+ ...

  6. Spring发送基于freemarker模板的邮件

    在项目开发过程中,我们经常会遇到需要发送邮件的场景,比如:用户验证邮箱的时候,有活动通知或者提醒通知的时候……有些时候我们可能只需要发送一些简单文本内容即可,但是大多数情况下我们更希望邮件的内容是丰富 ...

  7. JSONP数据调用

     json 是一种数据格式  jsonp 是一种数据调用的方式. 什么是JSONP          为了便于客户端使用数据,逐渐形成了一种非正式传输协议,人们把它称作JSONP,该协议的一个要点就是 ...

  8. [转]Web Api系列教程第2季（OData篇）（二）——使用Web Api创建只读的OData服务

    本文转自:http://www.cnblogs.com/fzrain/p/3923727.html 前言 很久没更新了,之前有很多事情,所以拖了很久,非常抱歉.好了,废话不多说,下面开始正题.本篇仍然 ...

  9. SQL Serever学习6——数据表

    数据表 表的构成 数据库中的基本表由记录(行)和字段(列)构成,SQLServer2008每个表可以有1024个列,每个列可以有8060字节(不包括iamge,ntext,text类型). 记录(Re ...

  10. C#对Windows服务组的启动与停止

    Windows服务大家都不陌生,Windows服务组的概念,貌似MS并没有这个说法. 作为一名软件开发者,我们的机器上安装有各种开发工具,伴随着各种相关服务. Visual Studio可以不打开,S ...