Lync 2013演示PPT提示证书出现问题的解决办法

柔光的暖阳◎ 2022-04-03 13:28 348阅读 0赞

**Lync 2013演示PPT提示证书出现问题的解决办法**

企业的Lync server部署一般是这样两种情况，内部域和外部域一致，内部域和外部域不一致，这样解决办法也对应的有两种。

一、下面我们先讲内部域和外部域一致的情况。

1、当我们部署完lync server 2013前端、后端、边缘和office web apps服务器后，在域内进行PPT演示正常，但是在工作组和域外均出现如下的报错。

[![wKioL1MCMEHDvNX6AABiR6cDQT0839.jpg][]][wKioL1MCMEHDvNX6AABiR6cDQT0839.jpg]

2、通过查找互联网资料及诸多权威资料，确认问题原因是由于内部工作组和外部用户无法通过LDAP查询CA吊销列表，所以需要启用CA吊销列表的http访问，并且已确认可通过修改CA扩展属性解决问题。

选择证书颁发机构，右键属性，在属性框里，选择扩展页面。选择扩展，选择CRL分发点（CDP）

[![wKiom1MCNKmSgfpmAAOatebMuxw240.jpg][]][wKiom1MCNKmSgfpmAAOatebMuxw240.jpg]

3、勾选包括在CRL中。客户端用它来寻找增量CRL的位置和包括在颁发的证书的CDP扩展中。

[![wKioL1MCNIbywBzRAAKZwTnBfjs760.jpg][]][wKioL1MCNIbywBzRAAKZwTnBfjs760.jpg]

4、扩展页面中，继续选择扩展，选择到授权信息访问(AIA).

[![wKiom1MCNKzSb2UyAAIbUcmSDgs980.jpg][]][wKiom1MCNKzSb2UyAAIbUcmSDgs980.jpg]

5、选择包括在颁发的证书的AIA扩展中(I),应用，证书服务将会重新启动。

[![wKioL1MCNIjxzDmfAAIVfh3Vzxo618.jpg][]][wKioL1MCNIjxzDmfAAIVfh3Vzxo618.jpg]

6、选择吊销的证书，所有任务，发布

[![wKioL1MCNxfCse7UAAH5ddWcDX8886.jpg][]][wKioL1MCNxfCse7UAAH5ddWcDX8886.jpg]

7、在弹出框里选择新的CRL，确定。

[![wKiom1MCN5jTRVxjAAETOrK42-k207.jpg][]][wKiom1MCN5jTRVxjAAETOrK42-k207.jpg]

8、后面再重新申请office web apps服务器，lync服务器证书，exchange服务器证书，是不是感觉很折腾，如果感觉很折腾的话，我们以后做规划的时候第一步就先把CA规划好，在去做后面的部署，这样才省时省力。

如果朋友你觉得以上步骤都麻烦的话，那你接着往下看内部域和外部域不一致的情况，你会觉得这才是真正的折腾和费时费力。

二、接下来我们继续讲内部域和外部域不一致的情况。

我的Lync server 2013环境介绍

内部域名contoso.com，外部域为tiancang.net,

两个前端服务器，fe01.contoso.com,fe02.contoso.com

两个边缘服务器，edge01.contoso.com,edge02.contoso.com

三个后端数据库，be01.contoso.com,be02.contoso.com,be03.contoso.com

两个持久聊天服务器，chat01.contoso.com,chat02.contoso.com

一个office web apps服务器,owas.contoso.com

[![wKiom1MDJ1TzZbJ7AAK8mOHbYVA554.jpg][]][wKiom1MDJ1TzZbJ7AAK8mOHbYVA554.jpg]

1、首先我们按照内部域和外部域一致的情况处理，发现在域内正常了，可以共享PPT了，但是域外不能共享PPT，我们使用certutil -verify e:\\edge\_internet.cer检查状态，提示吊销列表脱机，如下截图：

[![wKiom1MC5vyzaK\_KAAE6a1biBQw638.jpg][wKiom1MC5vyzaK_KAAE6a1biBQw638.jpg]][wKiom1MC5vyzaK_KAAE6a1biBQw638.jpg]

2、以上的原因是由于内部域和外部域不一致，在外网无法访问内部地址的CRL，我们手动添加可以让外网访问的CRL。

单打开证书颁发机构扩展选项页面，点击添加后，我们在这里键入一个http地址，这个地址是域外可以访问的，比如我们的ca服务器地址或者exchange cas服务器的外部地址。然后在后面加上/crld/表示专门的CRL虚拟目录，再后面加上三个变量，分别是<CAName><CRLNameSuffix><DeltaCRLAllowed>，然后最后加上.crl。

注：我这里是使用的CA服务器地址，因为有两点考虑，第一、cas服务器是IIS目录是默认加密的，再有cas服务器有两个，以上步骤要操作两次，有点繁琐；第二、ca服务器IIS目录是默认不加密的，再有ca服务器的certsrv一般是默认打开的，以提供给外部人员自行申请私有证书，刚好可以搭这个顺风车。

完整的应该类似这样：

[http://dc002.tiancang.net/crld/<CAName><CRLNameSuffix><DeltaCRLAllowed>.crl][http_dc002.tiancang.net_crld_CAName_CRLNameSuffix_DeltaCRLAllowed_.crl]

[![wKiom1MC69Lywa\_nAAL9i7Lh0Ys439.jpg][wKiom1MC69Lywa_nAAL9i7Lh0Ys439.jpg]][wKiom1MC69Lywa_nAAL9i7Lh0Ys439.jpg]

3、添加好供外部访问的HTTP地址后我们选中它，然后选择下方的两个选项，分别是“包括在CRL中。客户端用它来寻找增量CRL的位置”和“包含在颁发的证书的CDP扩展中”。

[![wKioL1MC7cHjzdRZAAKNmrL9xmk350.jpg][]][wKioL1MC7cHjzdRZAAKNmrL9xmk350.jpg]

4、然后再次单击添加，因为我们还需要将CRL发布到CA服务器相应的虚拟目录中。还是类似的，只不过这里我们是输入一个共享地址，比如\\\\dc002\\crldist\\<CAName><CRLNameSuffix><DeltaCRLAllowed>，然后最后加上.crl。

[![wKiom1MC793RGO2eAAMDJp1rVds961.jpg][]][wKiom1MC793RGO2eAAMDJp1rVds961.jpg]

5、建立好后选中它，然后选择下方的两个选项，分别是“发布CRL到此位置”和“将增量CRL发布到此位置”。

[![wKioL1MC77mT8pEhAAKZhGGCJcw263.jpg][]][wKioL1MC77mT8pEhAAKZhGGCJcw263.jpg]

6、然后我们到CA服务器去创建共享文件夹。这里我们需要进行高级共享，因为需要设置CA完全控制权限。注明：如果不设置的话，证书发布列表发布新的CRL的时候会提示无权限，报错。\[注明:如果CA是单独的成员服务器，添加CA为共享和安全所有权限后还是提示无权限，请添加everyone的共享完全访问权限。\]

[![wKioL1MC8XWCwHcYAAEl09qMszY389.jpg][]][wKioL1MC8XWCwHcYAAEl09qMszY389.jpg]

7、我们把DC002，也就是我们的CA添加到权限列表中，并赋予完全控制权限。需要注意下，在添加的时候默认是组和用户，我们需要更改类型，把计算机加入到其中，否则是找不到计算机的。

[![wKiom1MDCGazuHSiAAEjdbeLQ8I863.jpg][]][wKiom1MDCGazuHSiAAEjdbeLQ8I863.jpg]

8、然后我们用同样的方法把DC002也加到安全属性中，同样赋予完全控制权限。

[![wKioL1MDCEKytoBYAAGeUeL2\_jA244.jpg][wKioL1MDCEKytoBYAAGeUeL2_jA244.jpg]][wKioL1MDCEKytoBYAAGeUeL2_jA244.jpg]

9、然后我们到CA服务器，打开IIS，右键添加虚拟目录。

[![wKioL1MDCMziOVgWAAJ0K7OApNk686.jpg][]][wKioL1MDCMziOVgWAAJ0K7OApNk686.jpg]

10、然后我们创建前面对应的别名，比如crld，然后物理路径指向刚才创建的共享文件夹crldist。

[![wKiom1MDCUnjUNEmAAC8hwj9cTw940.jpg][]][wKiom1MDCUnjUNEmAAC8hwj9cTw940.jpg]

11、选择吊销的证书，所有任务，发布

[![wKioL1MCNxfCse7UAAH5ddWcDX8886.jpg][]][wKioL1MCNxfCse7UAAH5ddWcDX8886.jpg]

12、在弹出框里选择新的CRL，确定。

[![wKiom1MCN5jTRVxjAAETOrK42-k207.jpg][]][wKiom1MCN5jTRVxjAAETOrK42-k207.jpg]

13、在域外使用certutil -verify e:\\edge\_internet.cer检查状态，依旧提示吊销列表脱机。登录到CA服务器，运行pkiview.msc 打开Enterprise PKI展开所有节点，在出现错误的节点截图。发现其中一个CRL状态是“无法下载”：

[![wKioL1MCKvHhsIjFAAKtWrktNz0648.jpg][]][wKioL1MCKvHhsIjFAAKtWrktNz0648.jpg]

14、在crldist文件夹打开生成的证书列表。

[![wKiom1MCKxixRwTmAAIntCvAyF8467.jpg][]][wKiom1MCKxixRwTmAAIntCvAyF8467.jpg]

15、打开contoso-DC002-CA,显示最新CRL地址为[http://dc002.tiancang.net/crld/contoso-DC002-CA\+.crl][http_dc002.tiancang.net_crld_contoso-DC002-CA_.crl]。

[![wKiom1MCKxuwV65ZAAPAiUd-L9k764.jpg][]][wKiom1MCKxuwV65ZAAPAiUd-L9k764.jpg]

16、打开网页，输入地址[http://dc002.tiancang.net/crld/contoso-DC002-CA\+.crl][http_dc002.tiancang.net_crld_contoso-DC002-CA_.crl]，报错，提示请求筛选模块被配置为拒绝包含双重转义序列的请求。

[![wKioL1MCKvixkuqrAANI01T0xmk199.jpg][]][wKioL1MCKvixkuqrAANI01T0xmk199.jpg]

17、根据“请求筛选模块被配置为拒绝包含双重转义序列的请求”关键字搜索，找到以下链接：[http://it.oyksoft.com/post/5876/][http_it.oyksoft.com_post_5876]该链接提示需要修改web.config配置文件，但是由于虚拟目录没生成该配置文件，所以需要修改IIS配置：打开IIS控制台，选中我们之前创建的虚拟目录，双击“目录浏览”，点击“启用”。

[![wKiom1MCKyDQq3xtAAPMe8weLlM858.jpg][]][wKiom1MCKyDQq3xtAAPMe8weLlM858.jpg]

[![wKioL1MCKv3BMmzxAAK727ervE8334.jpg][]][wKioL1MCKv3BMmzxAAK727ervE8334.jpg]

18、在crldist目录下打开web.config。

[![wKiom1MCKyTxwsjnAAHubC\_suYQ526.jpg][wKiom1MCKyTxwsjnAAHubC_suYQ526.jpg]][wKiom1MCKyTxwsjnAAHubC_suYQ526.jpg]

19、使用文本格式打开web.config后，添加如下的三行代码。

</security>

[![wKioL1MCKwCg5n8EAAGL8nFTDe4021.jpg][]][wKioL1MCKwCg5n8EAAGL8nFTDe4021.jpg]

20、见证奇迹的时刻到了，刷新企业PKI，发现状态已经变为确定了。

[![wKioL1MCKwOTtIZYAAKRKDgZZ-M300.jpg][]][wKioL1MCKwOTtIZYAAKRKDgZZ-M300.jpg]

21、打开网页，重新输入地址[http://dc002.tiancang.net/crld/contoso-DC002-CA\+.crl][http_dc002.tiancang.net_crld_contoso-DC002-CA_.crl]，已经可以下载CRL列表了。

[![wKiom1MCKyvyFZ-7AASfC4gdtMU500.jpg][]][wKiom1MCKyvyFZ-7AASfC4gdtMU500.jpg]

22、我们在域外使用certutil -verify e:\\edge\_internet.cer检查状态，吊销列表状态显示正常，如下图。

[![wKiom1MDFaGyVUYXAADok9-b0sM631.jpg][]][wKiom1MDFaGyVUYXAADok9-b0sM631.jpg]

23、然后我们在域外使用lync2013重新上传PPT，显示正常，到此我们的操作步骤就全部完成了。

[![wKiom1MDFyKQdYiLAAGCm-4hUTQ250.jpg][]][wKiom1MDFyKQdYiLAAGCm-4hUTQ250.jpg]

24、同时在企业PKI里面我们还看到了另外一个CA，这个是我之前的虚拟机环境因为断电，AD蓝屏无法启动后，重新搭建的CA，这个也说明平常我们的AD的快照和备份工作有多么的重要。我们依次打开AIA容器等各个选项卡，把contoso-DC001-CA删除掉。

[![wKioL1MCKwiBUIcXAAKjMjlQrko856.jpg][]][wKioL1MCKwiBUIcXAAKjMjlQrko856.jpg]

[![wKioL1MCKwnAPioCAAF5RhVg8zY410.jpg][]][wKioL1MCKwnAPioCAAF5RhVg8zY410.jpg]

25、删除完坏掉的CA后，界面清爽多了。而且我们后面lync服务器申请的时候也不会再跳出contoso-DC001-CA供你选择了。

[![wKiom1MCKy-DAoBOAAJqRNhFmuY786.jpg][]][wKiom1MCKy-DAoBOAAJqRNhFmuY786.jpg]

26、我们可以将certutil -crl保存为.ps1每天自动续订一次

27、出于安全起见，我们一般不会发布CA到公网，我们可以发布独立的一台域成员服务器到外网，也可以直接利用Exchange服务器或者其他发布到外网的机器来发布我们的CRL吊销列表，下面我们就通过邮件服务器来发布我们的CRL吊销列表(同时确保在internet可以下载CRL吊销列表)。

[![wKioL1nS6hvA2KN9AAHEHsmD758331.png-wh\_50][wKioL1nS6hvA2KN9AAHEHsmD758331.png-wh_50]][wKioL1nS6hvA2KN9AAHEHsmD758331.png-wh_50]

[![wKiom1nSX-eweYEVAAG986BOP30001.png-wh\_50][wKiom1nSX-eweYEVAAG986BOP30001.png-wh_50]][wKiom1nSX-eweYEVAAG986BOP30001.png-wh_50]

[![wKioL1nS5DyRDGZQAADlNwHtfxg423.png-wh\_50][wKioL1nS5DyRDGZQAADlNwHtfxg423.png-wh_50]][wKioL1nS5DyRDGZQAADlNwHtfxg423.png-wh_50]

[![wKiom1nS49TSBQ8QAAEBqLIuGuI868.png-wh\_50][wKiom1nS49TSBQ8QAAEBqLIuGuI868.png-wh_50]][wKiom1nS49TSBQ8QAAEBqLIuGuI868.png-wh_50]

[![wKioL1nS4-vgh1TfAACyRxJIvEE712.png-wh\_50][wKioL1nS4-vgh1TfAACyRxJIvEE712.png-wh_50]][wKioL1nS4-vgh1TfAACyRxJIvEE712.png-wh_50]

28、我们在外网检查吊销列表，失败，如下图

[![wKioL1nTXuqD0be2AAFBzKRqHlc819.png-wh\_50][wKioL1nTXuqD0be2AAFBzKRqHlc819.png-wh_50]][wKioL1nTXuqD0be2AAFBzKRqHlc819.png-wh_50]

29、将吊销列表所在的Exchange2010服务器80端口发布出去，检查吊销列表显示成功(同时确保在internet可以下载CRL吊销列表)

[![wKiom1nTX7nQ7e-0AAEg6Qb7RcU518.png-wh\_50][wKiom1nTX7nQ7e-0AAEg6Qb7RcU518.png-wh_50]][wKiom1nTX7nQ7e-0AAEg6Qb7RcU518.png-wh_50]

[wKioL1MCMEHDvNX6AABiR6cDQT0839.jpg]: /images/20220403/e152c872de5d4d5b8efbf2406e173676.png
[wKiom1MCNKmSgfpmAAOatebMuxw240.jpg]: /images/20220403/295064b15ae0430286da1ef926c25c18.png
[wKioL1MCNIbywBzRAAKZwTnBfjs760.jpg]: /images/20220403/04e90e9d23c7443ea882b49eae61bd3a.png
[wKiom1MCNKzSb2UyAAIbUcmSDgs980.jpg]: /images/20220403/7161eb3cd739418da60aa7734a0aed42.png
[wKioL1MCNIjxzDmfAAIVfh3Vzxo618.jpg]: /images/20220403/d42734734fab4ca0b0c0d28b7c88ec8a.png
[wKioL1MCNxfCse7UAAH5ddWcDX8886.jpg]: /images/20220403/ba8c01cb9a0d44a0a702d5acf02b7576.png
[wKiom1MCN5jTRVxjAAETOrK42-k207.jpg]: /images/20220403/8e1d96efeeeb4a089f81544fe65216fd.png
[wKiom1MDJ1TzZbJ7AAK8mOHbYVA554.jpg]: /images/20220403/d34cac7a561c4e3ab9b11ec89607b640.png
[wKiom1MC5vyzaK_KAAE6a1biBQw638.jpg]: /images/20220403/d6af01be29a9425693f26b16831aefb6.png
[http_dc002.tiancang.net_crld_CAName_CRLNameSuffix_DeltaCRLAllowed_.crl]: http://dc002.tiancang.net/crld/
[wKiom1MC69Lywa_nAAL9i7Lh0Ys439.jpg]: /images/20220403/731ff2a55e3c4bf3a7e51ff5f43f5a82.png
[wKioL1MC7cHjzdRZAAKNmrL9xmk350.jpg]: /images/20220403/0e38b22139734fad8405b688310d944c.png
[wKiom1MC793RGO2eAAMDJp1rVds961.jpg]: /images/20220403/9f29511dbcda45499d5669ba304b71a8.png
[wKioL1MC77mT8pEhAAKZhGGCJcw263.jpg]: /images/20220403/8223b311bf694aef8a34e41ca29d5b78.png
[wKioL1MC8XWCwHcYAAEl09qMszY389.jpg]: /images/20220403/394d2e4618974af1971f29535fe09f10.png
[wKiom1MDCGazuHSiAAEjdbeLQ8I863.jpg]: /images/20220403/8c748422786a4155ba3c405444536898.png
[wKioL1MDCEKytoBYAAGeUeL2_jA244.jpg]: /images/20220403/f9809078f4264fb7988bc29a84d21a18.png
[wKioL1MDCMziOVgWAAJ0K7OApNk686.jpg]: /images/20220403/866d6cd0b72a4f69b86be294b4113454.png
[wKiom1MDCUnjUNEmAAC8hwj9cTw940.jpg]: /images/20220403/ce0ccaff7bf14219837c33cfa3ee18e1.png
[wKioL1MCKvHhsIjFAAKtWrktNz0648.jpg]: /images/20220403/eda9d65af16845bf8a5d62c6edb42701.png
[wKiom1MCKxixRwTmAAIntCvAyF8467.jpg]: /images/20220403/4b2a146198ef494a8617bf7b77e38a23.png
[http_dc002.tiancang.net_crld_contoso-DC002-CA_.crl]: http://dc002.tiancang.net/crld/contoso-DC002-CA+.crl
[wKiom1MCKxuwV65ZAAPAiUd-L9k764.jpg]: /images/20220403/aa879e157c0c4dfea158fe715fbca7f5.png
[wKioL1MCKvixkuqrAANI01T0xmk199.jpg]: /images/20220403/c00d6d2c99ba49b6b709269c9029c54a.png
[http_it.oyksoft.com_post_5876]: http://it.oyksoft.com/post/5876/
[wKiom1MCKyDQq3xtAAPMe8weLlM858.jpg]: /images/20220403/aeb63e1fb86849ee944d3317b1736b46.png
[wKioL1MCKv3BMmzxAAK727ervE8334.jpg]: /images/20220403/7b18eaec9ffa4a419f6bf037d3fef4c2.png
[wKiom1MCKyTxwsjnAAHubC_suYQ526.jpg]: /images/20220403/01222818c9494945b6838034652990ae.png
[wKioL1MCKwCg5n8EAAGL8nFTDe4021.jpg]: /images/20220403/7e4abddb93da4819b659dff05220a0ca.png
[wKioL1MCKwOTtIZYAAKRKDgZZ-M300.jpg]: /images/20220403/2f9f02a9fe0744b5ba305585b836461c.png
[wKiom1MCKyvyFZ-7AASfC4gdtMU500.jpg]: /images/20220403/695ccc1194ae4021aceabc4eec754759.png
[wKiom1MDFaGyVUYXAADok9-b0sM631.jpg]: /images/20220403/82ad8951fa8542e4850b95d12e103f27.png
[wKiom1MDFyKQdYiLAAGCm-4hUTQ250.jpg]: /images/20220403/6ad64399742449f1a06674bc07238dc4.png
[wKioL1MCKwiBUIcXAAKjMjlQrko856.jpg]: /images/20220403/a6081199a33b484aab0f636a62b52168.png
[wKioL1MCKwnAPioCAAF5RhVg8zY410.jpg]: /images/20220403/276251184911448c8b781366b9b11204.png
[wKiom1MCKy-DAoBOAAJqRNhFmuY786.jpg]: /images/20220403/74564b54c2d04c56bd460f98d9d2db09.png
[wKioL1nS6hvA2KN9AAHEHsmD758331.png-wh_50]: /images/20220403/4d2d5340b2d648979dc1edd1677da7d1.png
[wKiom1nSX-eweYEVAAG986BOP30001.png-wh_50]: /images/20220403/3d5c429656fa4b04af0d5f3d2ee6a379.png
[wKioL1nS5DyRDGZQAADlNwHtfxg423.png-wh_50]: /images/20220403/d81ad7a3e33240c183065b9537793d7d.png
[wKiom1nS49TSBQ8QAAEBqLIuGuI868.png-wh_50]: /images/20220403/bb174ffc12884918a2ce51bc92d312ce.png
[wKioL1nS4-vgh1TfAACyRxJIvEE712.png-wh_50]: /images/20220403/2a9ef73a8b8c4dc989363c8f9286084e.png
[wKioL1nTXuqD0be2AAFBzKRqHlc819.png-wh_50]: /images/20220403/4240124311604f08882862217815f0a2.png
[wKiom1nTX7nQ7e-0AAEg6Qb7RcU518.png-wh_50]: /images/20220403/d8b14d696cba430b9517b6c82557dc42.png