Hallo an alle,

wir betreiben einen Exchange 2013 CU 23 mit Self-signed Certificate sowie ein paar Firmenhandys (alles iPhones mit aktuellem iOS 14.4.2 oder 14.5).

Der Exchange ist über eine dyndns-Adresse erreichbar. Jedoch wurde in den Mail-Einstellungen mancher der Handys die (feste) Internet-IP als Server-Adresse eingetragen anstelle der dyndns-Adresse. Die erstmalige Einrichtung der Mail App erfolgte da noch zu Zeiten, als man im iOS dem Zertifikat trotz Warnung noch einfach per Klick vertrauen konnte.

Nach einer Änderung unserer Internet-IP-Adresse im Zuge des Wechsels unseres Internet Providers stellt dies bei den Handys, wo die Internet-IP anstelle der dyndns-Adresse eingetragen ist, nun einen neuen Mail-Server dar und es akzeptiert die Verbindung aufgrund selbst-signiertem Zertifikat bei Korrektur der Einstellungen nun nicht mehr. Die anderen Handys (mit dyndns-Adresse) funktionieren weiterhin anstandslos.

Ich habe nun zunächst nur mit einem der betroffenen Handys verschiedene Lösungsansätze versucht. Dazu zählt Entfernen des Mail-Profils und versuchsweises Neuhinzufügen mit dyndns-Adresse sowie alternativ mit nun neuer Internet-IP. Auch das händische Löschen der "ExchangeActiveSyncDevices"-OU im Active Directory für diesen einzelnen Nutzer habe ich in diesem Zuge versucht.

Auch gibt es ja einen Lösungsansatz, wonach man sich das Server-Zertifikat per Mail auf das Handy senden soll und dann als "Profil laden" und das Zertifikat manuell installieren kann. Dies funktionierte mit zwei verschiedenen Versuchen nicht. Vermutlich mache ich hierbei etwas falsch / mein Verständnis von Server-Zertifikaten ist gebe ich offen zu leider auch sehr begrenzt.

Ich kann das Zertifikat über den Exchange nicht exportieren, da dies vermutlich entweder nicht vorgesehen ist oder bei der Server-Einrichtung die Möglichkeit, den privaten Schlüssel mit zu exportieren, nicht gestzt wurde. Bei Exportier-Versuch erhalte ich den Fehler "Der private Schlüssel konnte nicht als PKCS-12 exportiert werden. Entweder war kein Zugriff möglich, oder der Schlüssel kann nicht exportiert werden."

Auch habe ich über einen Webbrowser das Zertifikat als pem-Datei gespeichert und versucht im iPhone hinzuzufügen. Das "Installieren" klappt auch aber er vertraut dem Zertifikat dennoch nicht.

Am iPhone erhalten ich weiterhin die Meldung "Die Identität von {Serveradresse} kann nicht überprüft werden". Bei Klick auf "Details" zeigt es mir das Zertifikat mit Vermerk "nicht vertrauenswürdig" an.

Selbst ein Neuaufsetzen des iPhones mit iOS 10 oder 11 und Einrichtung der Mail App und anschließendem Wieder-Hoch-Patchen war eine Überlegung wert, ist aber offiziell gar nicht mehr möglich, da bereits einschließlich alle iOS-Versionen einschließlich 13 nicht mehr seitens Apple zur Installation freigegeben sind.

Da es mit den anderen iPhones jedoch grundsätzlich ebenfalls funktioniert, meine oder hoffe ich, es auch mit den drei "Problem-Handys" wieder hinbekommen zu können.

Für jegliche Hilfestellung bedanke ich mich im Voraus!

Freundliche Grüße,

Enrico