Как победить Exchange?
К сертификату для Exchange предьявляются особые требования.

У него обязательно должен быть SAN, потому что в нем (в SAN) должно быть как минимум два имени - org.blabla.bla и autodiscover.blabla.bla. При этом, если предполагается предоставлять доступ к OWA извне - обязательно придется его (сертификат) купить, иначе не видать Вам почты на мобильных клиентах :)

Самоподписанный сертификат должен совпадать с именем, на котором работает эксч - а как иначе? и иметь в SAN autodiscover. Ну то есть, если контора имеет домен ktoto.local, а сервер exch.ktoto.local, то сертификат должен включать имена exch.ktoto.local и autodiscover.ktoto.local. Если же хотите еще и внешний доступ - то эксч должен работать на домене ktoto.ru, и соответственно сертификат должен включать имя autodiscover.ktoto.ru.

Эксчевские сертификаты недешевые - от десятки рублей.
1) выясните на какое имя выдан сертификат
2) "переведите" Exchange на использование FQDN в .ru