Cấu hình Exchange dùng FQDN thay vì Local Name

Một lỗi phổ biến trong triển khai Microsoft Exchange là dùng hostname nội bộ (VD: mailserver.local, EXCH1.local). Điều này dẫn đến:

SSL certificate mismatch → Outlook/Webmail báo lỗi “certificate name mismatch”.
Khó triển khai Autodiscover, Outlook Anywhere, ActiveSync.
Không đạt chuẩn bảo mật khi triển khai TLS.

Giải pháp: cấu hình lại Exchange để dùng FQDN công khai (VD: mail.example.com) đồng bộ với chứng chỉ SSL.

1. Mục tiêu

Tránh dùng tên miền nội bộ (VD: mailserver.local).
Sử dụng FQDN công khai (VD: mail.example.com) khớp với SSL certificate.
Đồng bộ cho tất cả dịch vụ: OWA, Autodiscover, Outlook Anywhere, ActiveSync.

2. Kiểm tra hostname hiện tại

Chạy PowerShell để xem Autodiscover URL:

Get-ClientAccessService | fl Name,AutoDiscoverServiceInternalUri

Nếu thấy https://EXCH1.local/Autodiscover/... → cần đổi sang https://mail.example.com/....

3. Cập nhật sang FQDN công khai

Chạy lần lượt các lệnh trong Exchange Management Shell:

Autodiscover Service

Set-ClientAccessService -Identity EXCH1 -AutoDiscoverServiceInternalUri https://mail.example.com/Autodiscover/Autodiscover.xml

Outlook Anywhere

Set-OutlookAnywhere -Identity "EXCH1\Rpc (Default Web Site)" `

-ExternalHostname mail.example.com `

-InternalHostname mail.example.com `

-ExternalClientsRequireSsl $true `

-InternalClientsRequireSsl $true `

-IISAuthenticationMethods Basic,NTLM,Negotiate

OWA Virtual Directory

Set-OWAVirtualDirectory -Identity "EXCH1\owa (Default Web Site)" `

-ExternalUrl https://mail.example.com/owa `

-InternalUrl https://mail.example.com/owa

Tương tự, cần chỉnh cho ECP, ActiveSync, EWS nếu đang dùng.

4. Kiểm thử

Truy cập OWA:

https://mail.example.com/owa

→ Trình duyệt phải hiển thị chứng chỉ SSL hợp lệ (CN hoặc SAN = mail.example.com).

Test Autodiscover:

Test-OutlookWebServices

Test SMTP STARTTLS:

openssl s_client -connect mail.example.com:587 -starttls smtp

Best Practices

Chứng chỉ SSL: dùng SAN hoặc Wildcard cert bao gồm:
- mail.example.com
- autodiscover.example.com
Internal DNS: cấu hình Split DNS để mail.example.com trỏ về IP nội bộ khi user ở LAN.
Reverse DNS (PTR): IP public phải khớp FQDN (mail.example.com) để tránh bị chặn mail.
Hardening TLS: chỉ bật TLS 1.2/1.3, disable TLS 1.0/1.1 trong Windows Registry.

Kết luận

Việc dùng FQDN công khai thay hostname nội bộ là bắt buộc để tránh lỗi SSL mismatch trong Exchange.
Các bước chính:
1. Kiểm tra cấu hình Autodiscover/OWA hiện tại.
2. Cập nhật sang mail.example.com.
3. Test lại bằng OWA, Outlook, OpenSSL.
Đồng bộ với DNS, chứng chỉ SSL, reverse DNS để hệ thống mail ổn định và bảo mật.