Sicherheitshinweis bei Outlook Start

[honk013]

Moin allerseits,

ich habe die Suchfunktion bemüht, aber leider nichts gefunden.
Aus diesem Grund meine Frage:

Ich benutze Kopano in Verbindung mit Outlook (2013 noch) und bekomme immer nach dem Start die Sicherheitsmeldung von Outlook.
Das Zertifikat habe ich schon installiert (deswegen ist der erste grüne Haken da), aber weiter komme ich nicht.



Was muss man tun, um dieses Fenster nicht immer mit "Ja" zu beantworten?

Vielen Dank im Voraus.

 

[Benares]

Ich weiß zwar nicht, was Kopano ist, aber ich vermute mal, dass das Zertifikat für einen bestimmten Namen ausgestellt ist, du aber irgendwo direkt mit der IP-Adresse (192.168...) des Ziels arbeitest.
Sieh zu, dass du den Common Name (Antragsteller) und/oder einen der Alternate Names (Alternative Antragstellernamen) des Zertifikats verwendest, und nicht die IP.
Der Name muss natürlich auf die richtige IP auflösen.

 

[Andy+]

Ich habe auf meiner DS extra für Kopano ein Lets Encrypt Zertifikat eingerichtet, welches sich auf eine DNS bezieht, welche bei einem Anbieter eingerichtet werden kann, zB. bei https://spdns.de/ und damit kann eine eigens für diesen Zweck eine DNS eingerichtet werden z.B. https://MeinPersönlicherDNSname.spdns.de. Diese DNS ist dann auf der DS bei der Erstellung des Lets Encrypt Zertifikats zu hinterlegen. Dann musst Du nur in der Systemsteuerung oder über eine APP zB. DDNS Updater 2 diese DNS hinterlegen, damit die dydnamische IP Deines Routers auf diese DNS zeigt. Eine entsprechende Portfreigabe am Router vorausgesetzt, kannst Du dann Kopano über https://MeinPersönlicherDNSname.spdns.de:9443/webapp ansprechen. Dann sollte diese Meldung nicht mehr erscheinen.

 

[honk013]

Moin Benares, Moin Andy,

vielen Danke für Eure Hilfeversuche. Leider verstehe ich im Moment davon äußerst wenig (tut tut -> Banhof). Aber ich kämpfe!

Das Zertifikat, was ich installiert habe, sieht so aus:



Die Servereinstellungen von Outlook so:



Naja; und den Sicherheitshinweis nach jedem Outlook Start seht Ihr oben.

Was kann ich ev. an dem Zertifikat oder woanders ändern, damit der Hinweis nicht mehr auftritt?

@ Andy: Dein Weg ist für mich nur "Böhmische Dörfer". Ich bin und bleibe halt ein (L)USER

 

[Andy+]

Bist Du ganz sicher nicht, Du machst doch gute Fortschritte und den Rest machen wir schon. Hast Du in der Systemsteuerung besondere Zertifikate eingerichtet oder ist da noch das Standardzertifikat von Synology drin?

 

[honk013]

Moin Andy,

Du weißt doch; ich gebe mein Bestes und kämpfe weiter.

Okay; Zertifikate von Synology: Wo finde ich das, oder soll das sein in der Systemsteuerung? Du meinst sicher auf dem PC, oder?

Ich habe mal mit der Microsoft Management Console (mmc) -> Zertifikate gesucht und nur ein Zertifikat mit Synology gefunden.
Das sieht bei mir so aus:



Das scheint aber abgelaufen zu sein. Wozu brauche ich denn ein Zertifikat von Synology?
Es funktioniert bei mir, soweit ich es beurteilen kann, alles (Zugriff auf die DS und die APPs).

Nur halt dieses PopUp beim Outlook Start.

 

[honk013]

Wie sagte gestern Sean Connery so schön in "The Rock".

Losers geben immer ihr Bestes, Gewinner gehen nach Hause und vög...... die Ballkönigen. (Fällt mir gerade dazu noch so ein)

 

[Andy+]

...Ein sehr gutes Vorhaben ...

Nein, auf der DS. Das erreichst Du wie folgt:

DSM > Systemsteuerung > Sicherheit > Reiter: Zertifikat

Ich entnehme dem, dass Du keine Zertifikate hinterlegt hast. Wenn Du für Deine Domain bei Deinem Hoster bzw. Provider individuelle DNS einrichten kannst, müsste diese eingerichtet werden. Ich habe meine Domain bei Strato und kann dort DNS hinterlegen. Für Kopano habe ich eigens eine eingerichtet. Diese verwende ich dann für das Zertifikat und später zum Ansprechen von Kopano. Nach dem Einrichten kommt dann nochmals einmal eine Abfrage nach dem ersten Aufrufen, wie gezeigt, und danach sollte diese weg sein.

Um am Ende dieser DNS nicht die :9443 hinzufügen zu müssen, also zB. "https://MeinPersönlicherDNSname.spdns.de:9443/webapp", habe ich noch einen Reverse Proxy eingerichtet:

DSM > Systemsteuerung > Anwendungsportal > Reiter: Reverse Proxy



damit ich mit Smartphone oder anderen Clients eine ganz normale https-Verbindung aufbauen kann, also zB. "https://MeinPersönlicherDNSname.spdns.de"

 

[honk013]

Also auf der DS habe ich unter Systemsteuerung > Sicherheit > Reiter: Zertifikat nur folgendes:



und bei Reverse Proxy sieht das ziemlich leer aus:



Ich verstehe das Ganze nur noch nicht! Kopano funktioniert ja 1a. Es verschickt Mails und holt sie ab. Warum soll/muss ich da irgendwelche DNS von meinem Provider einrichten bzw. hinterlegen?

Dieser Sicherheitshinweis kommt doch erst, wenn Outlook eine Verbindung zu Kopano herstellt. Für mich sieht das so aus, als ob Outlook einen Beweis (Zertifikat) benötigt um festzustellen, ob die bei den Serverinformationen gemachten Daten und die aktuelle Verbindung auch die Richtige ist! Aus diesem Grund die Nachfrage "Möchten Sie den Vorgang fortsetzen".
Ich müsste Outlook irgendwie beibringen, dass die Verbindung zu "192.168.178.12:9443" die Richtige ist.

 

[ottosykora]

>Ich müsste Outlook irgendwie beibringen, dass die Verbindung zu "192.168.178.12:9443" die Richtige ist. <

da müsstest du einen Zertifikat haben der auf den Namen 192.168.178.12 lautet.

Ansonsten halt ist es etwas mit Arbeit und Aufwand verbunden, so wie es Andy beschrieben hat etwa.
So wie es bei dir ist, kann Betriebssystem (nicht outlook) die Verbindung nicht verifizieren, weil du "google" gerufen hast und es hat sich "facebook" gemeldet.


Kannst du es nicht einfach wegklicken?

 

[Andy+]

........nach dem Start die Sicherheitsmeldung von Outlook.......

Es geht nur darum, die Meldung wegzubekommen. Das hat mit der Funktionalität im eigentlichen Sinne nichts zu tun.

 

[honk013]

Kannst du es nicht einfach wegklicken?

So mache ich es ja seit Anbeginn. Ich dachte ja nur, dass es eventuell eine "nicht zu komplizierte" Lösung dafür geben kann.

Das Zertifikat habe ich ja installiert. Es meckert ja "nur" über den letzten Punkt "Der Name auf dem Sicherheitszertifikat ist ungültig oder stimmt nicht mit dem Namen der Website überein."
Könnte man dieses Zertifikat nicht ev. so verändern / anpassen, dass dieser Hinweis nicht mehr kommt? Also wenn sich immer facebook meldet, auch facebook ins Zertifikat schreiben und nicht google.

 

[Andy+]

Das geht nicht. Du müsstest schon ein Zertifikat einrichten.

 

[honk013]

Schade, dass das immer so kompliziert ist!

 

[ottosykora]

einen existierenden zu verändern geht nicht, das wäre doch zu einfach für Betrüger.

Man muss schon einen neuen erstellen.

 

[honk013]

Okay; folgender Gedankengang von mir, als NICHT-IT-PROFI!!!!

Könnte man auf der DiskStation unter Systemsteuerung->Sicherheit->Zertifikat nicht ein Zertifikat für Kopano erstellen und zwar mit der oben genannten IP-Adresse? Und dieses Zertifikat dann in Outlook importieren. Oder muss man zwingend mit einer Adresse (myDynDNSAdresse.com:9443) arbeiten; geht es nicht mit einer direkten IP-Adresse im eigenen LAN?

 

[Andy+]

Das geht auch. Einfach mal testen, Du kannst Zertifikate auch wieder löschen, wenn etwas falsch sein sollte.

 

[honk013]

Das hat leider irgendwie nicht so funktioniert, wie ich es mir gewünscht und erhofft habe!

Ich klicke jetzt einfach weiter auf "JA".

Trotzdem VIELEN DANK an EUCH ALLE!!

 

[Tosoboso]

Okay; folgender Gedankengang von mir, als NICHT-IT-PROFI!!!!
Könnte man auf der DiskStation unter Systemsteuerung->Sicherheit->Zertifikat nicht ein Zertifikat für Kopano erstellen und zwar mit der oben genannten IP-Adresse? Und dieses Zertifikat dann in Outlook importieren. Oder muss man zwingend mit einer Adresse (myDynDNSAdresse.com:9443) arbeiten; geht es nicht mit einer direkten IP-Adresse im eigenen LAN?

Hi, die Funktion Zertifikat für Kopano Erstellen und Nutzen gibt es schon lange in k4s.
Schrittweise: Ports und TLS, DNS, LetsEncrypt, Sync SSL in k4s
- Ports, TLS/SSL: K4s verwendet Webserver mit Port 9443 /443 und Mail Server mit Port 25, 237, 993
Wenn du dich mit Outlook zu k4s verbindest, dann entweder per Webserver Active Sync (9443), oder Zarafa Client (237), oder IMAP (993).
Bei ausgehenden Mails gehst du auf Port 25. K4S verwendet für Alles dein Synology Default Zertifikat.
- DNS: Es gibt keine Zertifikate für IPs, sondern nur für Namen und eine Namensauflösung DNS zeigt auf die passende IP
Du musst also im Synology Server einen DNS Server anlegen und deine Domaine, meistens was mit DynDns auf die Server IP zeigen lassen
Alternativ kannst du auf internen DNS verzichten, DynDns von Aussen benutzen und den Port 9443 auf dem Router freigeben und an die Synology schicken. Dann sprichst du von Innen wie Aussen deine Dynamische Domain mit dem Namen an z.B honk013.diskstation.me (das kann man bei Symology Anlegen).
- LetsEncrypt: Synology erlaubt mit LE ein Zertifikat zu Erstellen, wenn es einen Webserver auf der Adresse gibt.
Du legst also z.B mit Synology external connect deine Andresse an mit Suffix diskstation.me. Dann gibst du im Router per Port Forward 80, 443 und 9443 auf die Synology frei. Prüfe, ob dein Synology Webserver von Draussen mit dem Namen sichtbar ist Dann Erzeuge das Zertifikat xy.diskstation.me (dzu gibt es Tutorials)
-Sync SSL k4s: wenn die Konfiguration in der Admin CFG GUI Sync SSL aktiviert ist, dann wird das neue Zertifikat übertragen. Alternativ per Cmd-Line: > kopano4s-init ssl.
Hoffe das hilft
-TosoBoso

 

[Benares]

Für den rein internen Gebrauch habe ich mir vor einiger Zeit auf der DS einfach ein selbstsigniertes Zertifikat erstellt mit meiner DynDNS-Adresse als Common-Name und all meinen internen Geräten (also z.B. "DS415", aber auch "fritz.box" usw.) als "Alternative Antragstellername" ("Betreff Alternative Namen" im DSM). Das habe ich ich dann gespeichert und verwende es intern überall, z.B. auch auf meinen PCs, wo ich es als "Vertrauenswürdiges Stammzertifikat" hinterlegt habe (s. certmgr.msc).

Ich denke, dass auch Outlook (wie alle Browser auch) den zentralen Zertifikatsspeicher von Windows nutzt und da nichts eigenes hat.

Nachtrag:
Prinzipiell gingen sogar IP-Adressen als "Alternate Names" nur leider unterstützt das der Zertifikatsassistent im DSM nicht.