none
Exchange 2016 <-> 2010 Zugriffsprobleme RRS feed

  • Frage

  • Hallo zusammen,

     

    Wir haben derzeit eine Exchange Server 2010 UR17 Umgebung und in einem separaten neuen Netz Exchange Server 2016 CU6 (mit DC im Netz). Vor den Exchange Server 2016 (Netz) ist ein KEMP LB implementiert worden.Bis zum KEMP ist alles per SSL und von KEMP zu den neuen Exchange Servern 2016 ist SSL-Offloading eingerichtet (Port 80).

    Die neue Umgebung (OWA/EAC etc.) ist aktuell über exchange.domaene.de erreichbar. Die alte 2010er wird über exchange.domäne.local aufgerufen. Autodiscover DNS-Zonen sind bisher nicht Intern & Extern eingerichtet. In der Proxy.pac sind die Autodiscover Zonen und exchange.domaene.de so hinterlegt, dass diese den internen DNS fragen und nicht nach Extern gehen.

     

     

     

    Aktuell haben Wir Probleme im Bereich Zugriff.

     1. Ein Benutzer (mit Postfach auf  Exchange 2010) der auf ein 2016er Postfach mit Vollzugriff berechtigt ist, kann dieses nicht öffnen.

     2. Beim Starten von Outlook 2010 durch einen Benutzer mit einem Postfach auf dem Exchange 2016 kommt die Meldung, dass keine Verbindung zum Exchange möglich ist.

    3. Beim ersten Starten von Outlook 2016 durch einen Benutzer mit einem Postfach auf dem Exchange 2016 kommt anfänglich nochmals eine Kennwortabfrage die dann nicht mehr erscheint. Der Benutzer kann hier die Öffentlichen Ordner nicht öffnen obwohl Er alle Rechte dazu hat. Innerhalb von OWA werden die PublicFolder auch nicht angezeigt.

     

     

    Die Einrichtung zur Sichtbarkeit der PublicFolder habe ich wie folgt umgesetzt und in meiner Testumgebung hat das auch reibungslos funktioniert.

     

     

    A. Neue Datenbank für die ProxyMailbox auf dem EX2010 angelegt:

    Set-MailboxDatabase PFProxyDatabase -IsExcludedFromProvisioning $true

     

    B. ProxyMailbox in der neuen Datenbank anlegen (Ex 2010):

    New-Mailbox -Name PFProxyMailbox1 -Database PFProxyDatabase -UserPrincipalName PFProxyMailbox1@domaene.local

     

    C. ProxyMailbox aus dem Adressbuch ausblenden (Ex 2010):

    Set-Mailbox -Identity PFProxyMailbox1 -HiddenFromAddressListsEnabled $true

     

    D. Zugriff auf die Öffentlichen Ordner einschalten (Ex 2016):

    Set-OrganizationConfig -PublicFoldersEnabled Remote -RemotePublicFolderMailboxes PFProxyMailbox1

     

     

    Ich weiß das jede Umgebung anders ist, aber irgendwie habe ich gerade keinen Anhaltspunkt wo die Ursachen für diese Fehler liegen könnten.

     

    Die MAPI Authentifizierung habe ich auch schon geprüft wie hier: hier

    Habe auch "OAuth" den Authentifizierungsmethoden hinzugefügt für das MAPI Verzeichnis aber keine Verbesserung.

    Get-MapiVirtualDirectory | Set-MapiVirtualDirectory -IISAuthenticationMethods NTLM,Negotiate,OAuth

    Mit freundlichen Grüßen

    Paul

     

     








    • Bearbeitet Lexxitus Freitag, 29. September 2017 19:41
    Freitag, 29. September 2017 14:36

Antworten

  • Moin,

    ich empfehle dir, dich an den Support von Kemp zu wenden.

    Die helfen dir schnell und Professionell.

    Zudem kennen die ihr Produkt....

    ;)


    Gruß Norbert



    Dienstag, 10. Oktober 2017 15:43
    Moderator

Alle Antworten

  • Hallo Paul,

    Das sind einige Abhängigkeiten die Du in Deiner TCP Strecke hast. Gleichzeitig wurde mit der Umstellung von Exchange 2010 auf 2013 die Architektur der Public Folder komplett neu gemacht.

    Was also die Migration der Public Folder betrifft, könnte Dir dieser Artikel weiterhelfen: https://technet.microsoft.com/en-us/library/jj150486(v=exchg.150).aspx

    Die öffentlichen Ordner werden immer als vorletzter Schritt umgestellt. Der letzte Schritt ist die Deinstallation der alten Exchange Server.

    Was Deine Clientzugriffe betrifft. Wie sieht das Verhalten aus wenn Du mittels der Host-Datei dafür sorgst, dass der Client direkt zum Exchange Server geht?

    Die Proxy.pac steuert nicht die DNS Auflösung, sondern erst anschließend den Kommunikationsweg. Hast Du die Möglichkeit für den Testclient, den Proxy auch mal zu umgehen?

    Gruß Malte

    Freitag, 29. September 2017 21:28
  • Hallo Malte,

    danke für die Antwort.

    Die Umstellung der Öffentlichen Ordner ist wirklich erst geplant wenn alle Postfächer in die neue Umgebung migriert wurde, so wie MSvor gibt. Es ist aber derzeit nicht möglich von einem Benutzer mit Postfach auf dem Exchange 2016 über diePFProxyMailbox1 auf die Öffentliche Ordnerstruktur in Exchange 2010 (trotz vorhandener Rechte) zuzugreifen. Dies war in der Testumgebung relativ zeitnah möglich aber so ist das halt mit frischen Testumgebungen ;-)

    Das mt der Host-Datei werde ich nächste Woche einmal ausprobieren und die Proxy.pac ist schon so konfiguriert, dass die interne DNS-Zone (exchange.domaene.de) auch nur intern aufgelöst wird, auch wenn Sie auf .DE endet. Auf einem Windows 10 mit Outlook 2016 wird das Postfach einwandfrei gefunden auch wenn dort bei der Einrichtung das Benutzerkennwort einmalig abgefragt wird. Auf einem Windows 7 mkt Outlook 2010 dagegen kann keine Verbindung zu dem Exchange Server direkt (es wird der Postfachserver in der Meldung angezeigt und nicht die Mailbox GUID) hergestellt werden.

    Ein erholsames WE....

    MfG Paul

    Samstag, 30. September 2017 12:46
  • Moin,

    was ich an all dem nicht verstehe ich das Neue Netz - also eine komplette neue Domäne?

    Warum?

    ;)


    Gruß Norbert

    Montag, 2. Oktober 2017 05:44
    Moderator
  • Hallo Norbert,

    es wurde nur ein neues Netzwerksegment (Subnetz) für die Exchange Server erstellt und die Exchange 2016 Server sowie ein DC dort platziert (Keine neue Domäne). Es ist somit ein anderer AD-Standort und die Installation von Exchange 2016 hat (te) keine Auswirkung auf die Clients bzw. Exchange 2010 Server Umgebung. Der Loadbalancer von KEMP hat in das RZ-Netz und Exchange-Netze jeweils ein Bein (Netzwerkinterface) zu stehen. Das gesamte Routing soll so nur über den Loadbalancer (läuft so weit ich das sehe im Transparenz Modus) erfolgen. Die Ex2016 Server haben die KEMP als Ihr Standardgateway eingetragen. Der Loadbalancer ist eigentlich soweit eingerichtet und das versenden/empfangen zwischen ein Postfach auf dem Ex2010 und Ex2016 funktioniert auch schon.

    Outlook 2016 findet auch sein Postfach nur der Outlook 2010 Client nicht. Des Weiterem kann der Outlook 2016 Testbenutzer die PublicFolder trotz PFProxyMailbox nicht sehen/aufrufen.

    Nachtrag: Wir haben unsere Öffentlichen Ordner auf 2 MBX Server syncron bereitgestellt.



    • Bearbeitet Lexxitus Montag, 2. Oktober 2017 20:42
    Montag, 2. Oktober 2017 08:39
  • Update:

    Sofern ich Outlook 2010 das erstemal mit einem Benutzer (keine Proxy Einstellungen gesetzt) starte, der sein Postfach auf dem Exchange 2016 Server hat passiert folgendes:

    1. Outlook findet seine E-Mail Adresse

    2. Servereinstellungen werden abgefragt

    "Netzwerkverbindung herstellen" & "Suche nach E-MailAdresse-Servereinstellungen" = grüner Haken

    "Am Server anmelden" = Fehlermeldung "Es steht keine Verbindung mit Microsoft Exchange zur Verfügung"

    3. Neues Fenster öffnet sich wo der korrekte Mailbox Server (ex2016) vom Anwender und das Postfach aufgelistet ist. Das hinterlegen des Server im FQDN (ex2016.domaene.local) schlägt auch fehl. Ebenso führt das hinterlegen der neuen Exchange URL vom KEMP (exchange.domaene.de) nicht zum Erfolg.

    !! Gebe ich jetzt unsere Adresse vom CAS (Exchange 2010 - exchange.domaene.local) ein und wähle "Namen prüfen" so findet Er seinen Server ex2016.domaene.local und kann das Postfach erfolgreich einbinden.

    Das Einbinden klappt aber auch nur wenn der Exchange-Cache-Modus aktiviert ist. Sofern ich diesen bei der Einrichtung oder später in Outlook deaktiviere findet Outlook sein Postfach nicht mehr.

    Beim ausführen von "E-Mail-AutoKonfiguration Test" wird anscheinend Autodiscover nicht gefunden, welches wir aber derzeit als DNS-Zonen noch nicht hinterlegt haben.


    • Bearbeitet Lexxitus Mittwoch, 4. Oktober 2017 15:20
    Mittwoch, 4. Oktober 2017 15:07
  • Hallo Paul,

    hast Du die Möglichkeit, Testclients direkt mit den Exchange Servern sprechen zu lassen und im gleichen Subnetz zu platzieren wie Deine Exchange Server.

    Ich meine Systeme die nicht über den LB gehen sondern die Exchange Dienste direkt erreichen. Egal wann und wie, wichtig ist das die CAS Rollen immer ohne LB erreicht werden. Da können (Sofern TCP Verbindungen zu den Exchange Server möglich sind) helfen.

    Host-Datei:
    2010er CAS Array --> zeigt auf eine IP eines Exchange 2010 Servers
    ex2016.domaene.local --> zeigt auf eine IP eines Exchange 2016 Servers

    Autodiscover ist noch ein weiteres Thema und kann auch eine Ursache sein.

    Domain Clients verwenden den SCP im Active Directory. Entsprechende DNS Einträge werden nur für nicht Domain-Clients benötigt.

    Gruß Malte

    Samstag, 7. Oktober 2017 20:35
  • Hallo Malte,

    Ich habe in der hosts-Datei folgendes hinterlegt:

    172.31.x.x exchange.domaene.de (IP des Mailboxservers 2016 auf dem das Test Postfach liegt)

    Auf einem Client mit Windows 7 und Office 2010 findet Er jetzt sofort sein Postfach und zeigt es auch mit seiner Mailbox-GUID (statt SMTP-Server) an. Dies klappt sowohl bei einem Client im Exchange-Netz aber auch im normalen Client-Netz.

    Auf einem Client mit Windows 10 und Outlook 2016 stürzt aktuell Outlook beim Konfigurieren immer wieder ab. Weis gerade nicht woran das liegen könnte. Da bei den Exchange Servern 2016 SSL-Offloading eingestellt ist, vermute ich den Fehler eher darin und werde weiter suchen.

    Anmerkung:

    exchange.domaene.de = neuer Zugriffspunkt auf dem KEMP-Loadbalancer mit Weiterleitung an die Realserver (Exchange 2016) im Exchange Netz

    exchange.domaene.local = aktuelles CAS-Array Exchange 2010

     

    Auf dem ersten Blick sieht es für mich doch danach aus, als ob der KEMP Loadbalancer die Anfragen nicht an die Exchange Server 2016 weiiterreicht. Sofern ich mich aber auf die URL https://exchange.domaene.de/owa mit einem Benutzer aus der Exchange 2010 oder 2016 anmelde, lande ich auf den richtigen Server. Der Benutzer mit einem Postfach auf dem Exchange 2010 auf die OWA-Seite vom 2010 und der Benutzer mit 2016 Postfach auf seine OWA-Seite.

    MfG Paul




    • Bearbeitet Lexxitus Dienstag, 10. Oktober 2017 14:59
    Dienstag, 10. Oktober 2017 14:43
  • Moin,

    ich empfehle dir, dich an den Support von Kemp zu wenden.

    Die helfen dir schnell und Professionell.

    Zudem kennen die ihr Produkt....

    ;)


    Gruß Norbert



    Dienstag, 10. Oktober 2017 15:43
    Moderator
  • Ja es war in unserer KEMP Konfiguration etwas unstimmig und nach dem doch sehr professionellen Support funktioniert auch der Verbindungsaufbau von Outlook 2010/2016 und ebenfalls der Zugriff auf die Öffentlichen Ordner ;-)

    MfG Paul
    Mittwoch, 11. Oktober 2017 15:14
  • Moin,

    danke für die Rückmeldung! - ja, die sind wirklich gut.

    ;)


    Gruß Norbert

    Mittwoch, 11. Oktober 2017 19:05
    Moderator
  • Das was jetzt immernoch nicht passt, ist die Kennwortabfrage beim Start von Outlook 2010 im Cache Modus. Beim Start von Outlook (2010) ohne Cache Modus bleibt diese aus. Der Zugriff auf die Öffentlichen Ordner ist hier jetzt auch möglich.

    Beim initialen Einrichten von Outlook 2016 erscheint aber weiterhin noch die Kennwortabfrage, taucht dann aber nicht mehr auf. Hier ist der Zugriff auf die Öffentlichen Ordner mit dem selben Benutzer aber nicht möglich.

    Woran könnte das noch liegen?

    Update:

    Nachdem ich an den Exchange Servern bei der Option "Outlook Anywhere" von Aushandeln auf "NTLM" umgestellt habe, funktioniert Outlook 2010 sauber mit und ohne Cache Modus.

    Alleinig Outlook 2016 fragt weiter nach dem Kennwort bei der initialen Einrichtung und der Zugriff auf die PublicFolder ist nicht möglich ;-(

    MfG Paul


    • Bearbeitet Lexxitus Donnerstag, 12. Oktober 2017 08:32
    Donnerstag, 12. Oktober 2017 07:00
  • Update:

    In unsere Umgebung befinden sich die Exchange Server 2010 und die 2016er in unterschiedlichen Netzen (Routing funktioniert) Die KEMP hat in beide Netze ein Beinchen und ist auf der Farmsite (Exchange 2016) bei den Exchange Servern 2016 als Gateway eingetragen ist. Wir haben mit dem KEMP Support zusätzliche  Routen auf den Exchange Servern 2016 zu den Exchange Servern 2010 direkt über das normale Gateway x.x.x1 hinterlegt. Jetzt kann ein Postfachbenutzer der Exchange 2010 Umgebung auf ein Postfach in der Exchange 2016 Umgebung zugreifen soweit Vollzugriff aktiviert wurde.

    Der Zugriff mit Outlook 2016 eines Postfachbenutzers vom Exchange 2016 auf die PublicFolders (über den PFProxyMailboxUser) in der Exchange 2010 Umgebung funktioniert weiterhin nicht. Hier half es auch nicht die HOST Datei so anzupassen, das der Client sich direkt zu dem CAS-Array bzw. OWA in der Exchange 2010 Umgebung verbinden kann.

    ??? Hätte noch jemand einen Ansatz den Wir verfolgen könnten?

    Andere Frage zu SSL-Offloading zwischen KEMP <-> Exchange : Was haltet Ihr davon ;-)

    Donnerstag, 19. Oktober 2017 14:40
  • Hallo,

    kannst du dich zufällig dran erinnern was genau "unstimmig" war? Würde mich gerade mal interessieren.

    Danke.

    Norbert

    Donnerstag, 9. November 2017 16:14
  • Hallo Norbert,

    ich das ich noch alles zusammen bekommendenn Wir stecken derzeit noch mit in der Migration. Als erstes war am vService (443 Zugriff) auf der KEMP global ESP aktiviert aber keine SSO-Domains hinterlegt. Da Wir nur ESP für bestimmte SubVSs benötigten wurde der globale Haken entfernt und nur die vorbestimmten SubVSs hatte ESP an (u.a. Autodiscover). Des Weiterem ist zwar an den Exchange Server als Gateway die sharedIP der KEMP (EX-LAN) angegeben gewesen, aber die Exchange Server 2016 konnten nicht zu den anderen Exchange 2010 Server im RZ-LAN routen. zusammen mit den KEMP Support haben Wir dann auf den Exchange Server 2016 die Routen per "route add....." zu den Ex2010 Servern hinterlegt. Jetzt klappte auch der Zugriff über ein Postfach aus der Exchange 2016 Umgebung auf die PublicFolder der 2010 Server.

    Da Wir in der Exchange Umgebeung 2 PublicFolder DB`s einsetzen, mussten Wir auf beiden Servern welche die PublicFolderDB halten, eine PFProxyMailboxDB mit PFProxyMailbox erstellen (hatten nur eine DB und ein Postfach erstellt.). Der Zugriff mittels Outlook 2016 klapp aber weiterhin nicht und das liegt daran, dass Wir die Rollen auf unseren Exchange 2010 Servern getrennt haben. Es gibt CAS/HT und MB. Die PublicFolderDB liegen auf den MB Servern und hier ist womöglich die Fehlerursache.

    Wir müssen in der nächsten Wartung auf den Mailbox-Servern welche die PublicFolderDB`s hoste, die CAS Rolle nachinstallieren denn das steht in einem Whitepaper drin welches mir bisher nicht bekannt war. Es oist daher noch einiges zu tun ;-)

    MfG Paul

    Donnerstag, 9. November 2017 17:50
  • Am 09.11.2017 um 18:50 schrieb Lexxitus:
    Hi Paul,

    Da Wir in der Exchange Umgebeung 2 PublicFolder DB`s einsetzen, mussten Wir auf beiden Servern welche die PublicFolderDB halten, eine PFProxyMailboxDB mit PFProxyMailbox erstellen (hatten nur eine DB und ein Postfach erstellt.). Der Zugriff mittels Outlook 2016 klapp aber weiterhin nicht und das liegt daran, dass Wir die Rollen auf unseren Exchange 2010 Servern getrennt haben. Es gibt CAS/HT und MB. Die PublicFolderDB liegen auf den MB Servern und hier ist womöglich die Fehlerursache.

    Du mußt dann für jede PFProxyMailboxDatabase den RPCCLientaccess auf den Server setzen, auf dem sie selbst liegt (also jeweils den public Folder Server, für den sie proxy spielt). Standardmässig hat man dort bei neuen Mailboxen meist das RPCClientAccessArray drin stehen. Hab das vorhin noch probiert und siehe da, es war bei mir nicht der Kemp. Ich gebe zu, deine Kemp Probleme da oben klingen schon nach ziemlich schiefer Konfiguration. ;)

    Schau mal hier:
    https://technet.microsoft.com/en-us/library/dn690134(v=exchg.150).aspx
    Set-MailboxDatabase <NewMDBforPFs> -RPCClientAccessServer <PFServerName_with_CASRole>

    Wir müssen in der nächsten Wartung auf den Mailbox-Servern welche die PublicFolderDB`s hoste, die CAS Rolle nachinstallieren denn das steht in einem Whitepaper drin welches mir bisher nicht bekannt war. Es oist daher noch einiges zu tun ;-)

    Ich vermute obigen Link. Siehe meinen Hinweis. Hat man nun davon, wenn man damals den CAS Server vorgelagert hat. :p

    HTH
    Norbert

    Donnerstag, 9. November 2017 21:07
  • Hallo Norbert,

    Wir haben erfolgreich die CAS Rolle installiert. Jetzt wird es aber verwirrend ;-)

    Mit einem Testbenutzer der direkt in der Exchange 2016 Umgebung sein Postfach erhalten hat, funktioniert jetzt der Zugriff mittels Outlook 2016 auf die PublicFolder. Dieser greift auf den Server EX08 zu (steht im Verbindungssatus von Outlook 2016).

    Wenn Ich bei einem von 2010 nach 2016 migrierten Testbenutzer mittels Outlook 2016 die PublicFolder aufrufen möchte, kommt wieder der Hinweis das die Ordnergruppen nicht geöffnet werden kann. Dieser Benutzer schaut aber auf den Server EX07. Beide PFProxyMaibox Datenbanken (EX07 = PFProxyMaiboxDB2 & EX08 = PFProxyMaiboxDB) sind so konfiguriert, das Sie sich selbst als RPCClientAccessServer drin zu stehen haben. Es scheint so, dass beim Aufruf der PublicFolder nur die zuerst erstellte "PFProxyMaiboxDB" mit dem Postfach "PFProxyMailbox1" funktioniert. Der Zugriff über die nachträglich erstellte "PFProxyMaiboxDB2" mit dem Postfach "PFProxyMailbox2" funktioniert dagegen nicht. Beide PFProxyMailboxen sind identisch konfiguriert. Bei der zuletzt erstellten "PFProxyMailbox2" war der Parameter IsExcludedFromProvisioning auf "False" was ich korrigierte. Der Zugriff klappt aber trotzdem nicht.

    In der Outlook "Auto-Email-Autokonfiguration" der beiden Benutzer ist erkennbar, das  beide Benutzer einen andere PFProxyMailbox nutzen. Über die "PFProxyMailbox1@domaene.local" (PFProxyMaiboxDB) klappt der Zugriff und bei "PFProxyMailbox2@domaene.local" (PFProxyMaiboxDB2) dagegen nicht.

          <PublicFolderInformation>
            <SmtpAddress>PFProxyMailbox1@domaene.local</SmtpAddress>
          </PublicFolderInformation>

          <PublicFolderInformation>
            <SmtpAddress>PFProxyMailbox2@domaene.local</SmtpAddress>
          </PublicFolderInformation>





    • Bearbeitet Lexxitus Freitag, 17. November 2017 14:50
    Freitag, 17. November 2017 14:38
  • Am 17.11.2017 um 15:38 schrieb Lexxitus:
    Guten Abend,
     > Mit einem Testbenutzer der direkt in der Exchange 2016 Umgebung sein Postfach erhalten hat, funktioniert jetzt der Zugriff mittels Outlook 2016 auf die PublicFolder. Dieser greift auf den Server EX08 zu (steht im Verbindungssatus von Outlook 2016).


    Wenn Ich bei einem von 2010 nach 2016 migrierten Testbenutzer mittels Outlook 2016 die PublicFolder aufrufen möchte, kommt wieder der Hinweis das die Ordnergruppen nicht geöffnet werden kann. Dieser Benutzer schaut aber auf den Server EX07. BeidePFProxyMaibox Datenbanken (EX07 =PFProxyMaiboxDB2 &EX08 = PFProxyMaiboxDB) sind so konfiguriert, das Sie sich selbst alsRPCClientAccessServer drin zu stehen haben. Es scheint so, dass beim Aufruf der PublicFolder nur die zuerst erstellte "PFProxyMaiboxDB" mit dem Postfach "PFProxyMailbox1" funktioniert. Der Zugriff über die nachträglich erstellte "PFProxyMaiboxDB2" mit dem Postfach "PFProxyMailbox2" funktioniert dagegen*nicht*. Beide PFProxyMailboxen sind identisch konfiguriert. Bei der zuletzt erstellten"PFProxyMailbox2" war der Parameter IsExcludedFromProvisioning auf "False" was ich korrigierte. Der Zugriff klappt aber trotzdem nicht.

    Ich würde einfach deine Public Folders zusammenführen, wenn nichts dagegenspricht. Mußt du früher oder später ja sowieso machen. ;) Der IsEcxludedFromProvisioning Schalter tut nix zu Sache, der bewirkt nur, dass nicht aus "automatischem" Versehen dort weitere Mailboxen hingeschoben werden.

    Beinhalten beide Public FOlder DBs die selben INfos? Oder wozu sind die da?

    Bye
    Norbert

    Montag, 20. November 2017 22:06
  • Hallo Norbert,

    leider kann ich erst jetzt antworten da dein Eintrag erst heute im Forum sichtbar ist, obwohl ich am 20. die E-Mail mit deiner Antwort erhalten habe. Ganz scöne Zeitverzögerung ;-)

    Unsere PublicFolder halten den selben Inhalt und ich habe jetzt auch nur die funktionierende PFProxyMailbox1 in der Exchange 2016 Konfiguration angegeben. Jetzt können alle Testbenutzer auf die PublicFolder zugreifen. Ich werde auch die Replikation der PublicFiolder vor der Migration aufheben und auf eine PublicFolder DB reduzieren. Die Last sollten Wir abfangen können.

    Set-OrganizationConfig -PublicFoldersEnabled Remote -RemotePublicFolderMailboxes PFProxyMailbox1

    Danke für deine Antworten ;-)

    Mittwoch, 22. November 2017 13:24