Configuration du routeur. Installer le service de certificats

Transcription

1 Page 1 sur 21 Avec les paramètres par défaut, Outlook Web Access transmet tout le traffic en clair (y compris les noms d'utilisateur et les mots de passe) entre le serveur et le client. C'est pourquoi il est fortement recommandé d'encrypter le traffic en utilisant SSL. Dans cette partie, nous verrons comment créer et implémenter un certificat SSL en utilisant notre propre authorité de certificat. Vous pourriez également utiliser un certificat tiers comme VeriSign mais ce service est payant et uniquement interessant pour les banques ou les sites de vente en ligne. Configuration du routeur Installer le service de certificats Pour la démonstration, je vais installer ce service sur FRBAR-MAIL01 (serveur Exchange) Pour installer le composent d'authorité de certificat, exécuter les étapes suivantes : Cliquez sur Démarrer, Panneau de configuration, Ajout ou suppression de programmes. Selectionnez Ajout/Suppression de composants Windows. Cochez la case Services de certificat Un message d'erreur Microsoft Certificate Services va apparaître. Il vous informe que vous ne pourrez plus changer le nom de la machine ou le domain tant que celleci servira de serveur de certificat. Cliquez sur Yes

2 Page 2 sur 21 Sélectionnez Certificat principal d'entreprise, puis cliquez sur Suivant Entrez le nom de la machine dans le champ Nom commun pour ce CA. Vous pouvez changer la Période de validité mais cinq ans sont en général suffisants. Quand vous avez tout complété, cliquez sur Suivant

3 Cliquez sur Suivant Page 3 sur 21 Une fenètre d'avertissement va apparaître. L'installation est maintenant terminée. Le service IIS doit etre temporairement arreté. Cliquez sur Oui. Installation Cliquez sur Terminer

4 Page 4 sur 21 Faites un test d acces à Vous pouvez accéder à la console via :

5 Page 5 sur 21

6 Créer une requête de certificat Page 6 sur 21 Maintenant que le service d'authorité de certificat est installé, nous devons créer une requête de certificat pour le site web par défaut d'exchange Suivez les étapes ci-dessous : Cliquez sur Démarrer, Outils d'administration, Console d'administration IIS. Dépliez Sites Web, Clique droit sur Site Web par défaut, et selectionnez Propriétés. Cliquez sur l'onglet Sécurité des repertoires Dans la partie Communications sécurisées, cliquez sur le bouton Serveur de certificat.

7 Cliquez sur Suivant Page 7 sur 21 Selectionnez Créer un certificat et cliquez sur Suivant Selectionnez Envoyez immédiatement la requête à une authorité de certificat puis Cliquez sur Suivant.

8 Page 8 sur 21 Entrez le nom du certificat dans le champ Nom. Ce nom est indicatif et ne suit pas de règles précises. Il est simplement la pour décrire le certificat. Laissez la valeur de la clé par défaut à Cliquez sur Suivant. Entrez un nom pour Organisation et Unité d organisation puis cliquez sur Suivant

9 Page 9 sur 21 Tapez le FQDN de votre site dans le champ Nom commun. Cette adresse sera l'adresse externe que les utilisateurs souhaitant accéder à leur mails devront taper. Cliquez sur Suivant. Tapez vos informations régionales et cliquez sur Suivant.

10 Page 10 sur 21 L'écran suivant vous permet de changer le port SSL pour votre site web. Laissez par défaut le port 443. Cliquez sur Suivant. Selectionnez l'autorité de certificat et cliquez Suivant Cliquez sur Suivant

11 Cliquez sur Terminer Page 11 sur 21 Cliquez maintenant sur Appliquer puis OK Vue du certificat pour le serveur Web sous Autorité de Certification :

12 Page 12 sur 21 Invite OWA Premium à la place de l invite simple (gris) Depuis le Menu Démarrer lancez le Gestionnaire système Ouvrez le protocole HTTP du serveur FRBAR-MAIL01, clique droit sur Serveur virtuel Exchange Propriétés Pour l onglet Paramètres cochez Activer l authentification basée sur les formulaires en compression Haute.

13 Page 13 sur 21 Cliquez sur OK Lancez depuis le client

14 Page 14 sur 21 Test de connexion OK OK OK OK OK car si je tape HTTP ou HTTPS je suis redirigé sur mon dnsalias (mlmd.dnsalias.net) (utilisation de dnsalias car je n ai pas d ip fixe) Rappel : http et HTTPS pointe via mon routeur sur le serveur Exchange ATTENTION : avec un Pack AMEN comme j utilise pour la démonstration, nous avons un sous domaine nous ne pouvons donc pas tapez sous Internet Explorer à cause de la présence du HTTP Pour pouvoir avoir j ai besoin d un pack qui prend en charge ce mode de connexion ainsi je pourrais définir soit une redirection vers http ou HTTPS oui car déjà configuré avant avec redirection vers http dans procédure N 2 NON pris en charge dans ce pack Vous pouvez quand même créer la redirection vers mais sous IE vous ne pourrez indiquez HTTPS Résultat si vous tapez https :

15 Page 15 sur 21 Si vous créez la redirection, vous êtes obligé d utiliser et vous aurez l affichage suivant Après autorisation du contenu bloqué : Au final vous aurez quand même acces à OWA en SSL, vous le verrez en cliquant sur une partie du menu

16 Test HTTP/HTTPS Page 16 sur 21 Test avec un analyseur réseau différence HTTP/HTTPS: Le moniteur réseau utilisé est celui de Windows Server que vous pouvez installer depuis Ajout/Suppression de fichiers Windows. Visualisation d un mail en http via Le texte passe en claire

17 Page 17 sur 21 Si utilisation HTTPS via l adresse qui est redirigé vers Le texte est crypté

18 Pour exiger HTTPS pour OWA Page 18 sur 21 Avec la configuration actuelle vous avez accès à OWA soit en http soit en HTTPS. Voici la procédure pour interdire les connexions en http Depuis le site web par défaut, cliquez droit sur Exchange puis sélectionnez Propriétés Pour l onglet Sécurité cliquez sur Modifier

19 Page 19 sur 21 Cochez Requérir un canal sécurisé (SSL) ainsi que Exiger le cryptage 128 bits Test en HTTP : Test en HTTPS :

20 Personnalisation de la page d'authentification Page 20 sur 21 Voici la page d'authentification par défaut Nous allons voir comment modifier celle-ci. 2.1 Un simple fichier HTML La page d'authentification est placée dans C:\Program Files\Exchsrvr\exchweb\bin\auth\usa et s'appelle logon.asp pour la version anglaise. Mais cette page est disponible dans d'autres langages dans le repertoire auth. Ce fichier est un simple fichier HTML accompagné de quelques scripts. Il est fortement recommandé de faire une copie de sauvegarde avant de modifier celui-ci. Vous pouvez maintenant changer la couleur de fond ou insérer le logo de votre entreprise. La page par défaut est composé de 4 images. Vous pouvez donc facilement les modifier ou les remplacer : logon_microsoft.gif : le mot microsoft en haut à droite. logon_logo.gif : le gros logo au centre. logon_ie_top.gif : le logo en haut à gauche. logon_ie_bot.gif : le logo en bas à gauche (un pixel de haut) 2.2 Exemple de personnalisation Regardons à présent un exemple de personnalisation : la page d'authentification du Webmail MLMD. Par Mael Le Clech Bienvenue sur l accès Webmail du site mlmd.eu

21 ATTENTION Page 21 sur 21 Après les modifications apportés pour avoir une connexion SSL, l Authentification et contrôle d accès du site Exchange peuvent avoir été automatiquement modifiés de la façon suivante : Pour l onglet Sécurité Cliquez sur Modifier Voici la nouvelle configuration (à modifier selon vos besoins)