Лучший отвечающий
Не устанавливаются подключения на 25 порт

Вопрос
-
Exchange 2013. Все роли на одном физическом сервере. Без видимых причин перестал устанавливать SMTP-соединения.
Get-TransportService | Test-SmtpConnectivity проходит успешно. Также успешно можно подключиться по telnet на 25 порт непосредственно с самого сервера. Но с других компьютеров (и из Интернета и из локальной сети) telnet на 25 порт ни к чему не приводит (Connection Closed by remote host). Файрвол порт не блокирует, у себя в логах пишет в момент подключения:
2013-12-13 21:58:21 ALLOW TCP 172.16.0.2 172.16.2.38 59488 25 0 - 0 0 0 - - - RECEIVE
2013-12-13 21:59:34 DROP TCP 172.16.0.2 172.16.2.38 59563 25 52 S 500425709 0 8192 - - - RECEIVEPortQry возвращает следующий результат:
TCP port 25 (smtp service): LISTENING
Data returned from port:
portqry.exe -n 172.16.2.38 -e 25 -p TCP exits with return code 0x00000000.На соединителе отключены все проверки:
RunspaceId : 06494117-0c0b-45ec-82ac-633f00cd3524 AuthMechanism : None Banner : BinaryMimeEnabled : True Bindings : {0.0.0.0:25} ChunkingEnabled : True DefaultDomain : DeliveryStatusNotificationEnabled : True EightBitMimeEnabled : True BareLinefeedRejectionEnabled : False DomainSecureEnabled : False EnhancedStatusCodesEnabled : True LongAddressesEnabled : False OrarEnabled : False SuppressXAnonymousTls : True ProxyEnabled : False AdvertiseClientSettings : False Fqdn : EX-SRV-01.farm.local ServiceDiscoveryFqdn : TlsCertificateName : Comment : Enabled : True ConnectionTimeout : 00:10:00 ConnectionInactivityTimeout : 00:05:00 MessageRateLimit : Unlimited MessageRateSource : IPAddress MaxInboundConnection : 5000 MaxInboundConnectionPerSource : 20 MaxInboundConnectionPercentagePerSource : 2 MaxHeaderSize : 128 KB (131,072 bytes) MaxHopCount : 60 MaxLocalHopCount : 12 MaxLogonFailures : 3 MaxMessageSize : 35 MB (36,700,160 bytes) MaxProtocolErrors : 5 MaxRecipientsPerMessage : 200 PermissionGroups : AnonymousUsers PipeliningEnabled : True ProtocolLoggingLevel : None RemoteIPRanges : {192.168.0.0-192.168.255.255, 172.16.0.0-172.16.255.255, 10.2.2.1-10.2.2.255, 10.1.1.1-10.1.1.255} RequireEHLODomain : False RequireTLS : False EnableAuthGSSAPI : False ExtendedProtectionPolicy : None LiveCredentialEnabled : False TlsDomainCapabilities : {} Server : EX-SRV-01 TransportRole : FrontendTransport SizeEnabled : Enabled TarpitInterval : 00:00:05 MaxAcknowledgementDelay : 00:00:30 AdminDisplayName : ExchangeVersion : 0.1 (8.0.535.0) Name : SMTP IN DistinguishedName : CN=SMTP IN,CN=SMTP Receive Connectors,CN=Protocols,CN=EX-SRV-01,CN=Servers,CN=Exchange Administrative Group (FYDIBOHF23SPDLT),CN=Administrative Groups,CN=MSK,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=fa rm,DC=local Identity : EX-SRV-01\SMTP IN Guid : f6834711-2e20-4538-92c0-36e0fdfedbe2 ObjectCategory : farm.local/Configuration/Schema/ms-Exch-Smtp-Receive-Connector ObjectClass : {top, msExchSmtpReceiveConnector} WhenChanged : 13.12.2013 20:10:25 WhenCreated : 13.12.2013 13:41:03 WhenChangedUTC : 13.12.2013 16:10:25 WhenCreatedUTC : 13.12.2013 9:41:03 OrganizationId : OriginatingServer : DC-SRV-04.farm.local IsValid : True ObjectState : Unchanged
Буду признателен за любую помощь по существу. В какую сторону рыть?
UPD: PortQry запущенный непосредственно на сервере Exchange возвращает:
TCP port 25 (smtp service): LISTENING Data returned from port: 220 EX-SRV-01.farm.local Microsoft ESMTP MAIL Service ready at Fri, 13 Dec 2013 22:35:26 +0400 portqry.exe -n 172.16.2.38 -e 25 -p TCP exits with return code 0x00000000.
MCSA
- Изменено ЙоЖыГ 13 декабря 2013 г. 18:42 дополнение
13 декабря 2013 г. 18:16
Ответы
-
Вообщем, переустановка Exchange, естественно, вылечила проблему. Но, уже после переустановки, при создании кастомного релейного коннектора мне попалась вот эта статья. В частности, вот эта команда из приведённой выше статьи:
Get-ReceiveConnector "Relay E15MB1" | Add-ADPermission -User 'NT AUTHORITY\Anonymous Logon' -ExtendedRights MS-Exch-SMTP-Accept-Any-Recipient
возможно позволила бы правильно настроить кастомный релейный коннектор, не влияя при этом на дефолтные. Проверить, к сожалению, это уже не могу, но есть большое подозрение, что проблема была именно в этом.
P.S. Если кому-то будет это полезно, то в русской версии NT AUTHORITY\Anonymous Logon - это NT AUTHORITY\АНОНИМНЫЙ ВХОД
MCSA
- Помечено в качестве ответа ЙоЖыГ 22 декабря 2013 г. 9:10
22 декабря 2013 г. 9:10
Все ответы
-
Случайно нет еще кастомного конектора с транспортной ролью HubTransport на 25 порт?
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 9:21 -
Спасибо за ответ. На роли HubTransport только дефолтные коннекторы. Их настройки я уточнял у вас вчера. :)
MCSA
14 декабря 2013 г. 9:45 -
Создаётся впечатление, что коннектор не хочет "привязываться" к сетевому интерфейсу. Проверил следующее:
Get-NetworkConnectionInfo
RunspaceId : b70e83ac-a2bf-42bd-90f4-7b7397f6413c Name : Intel(R) I350 Gigabit Network Connection #4 DnsServers : {172.16.2.2, 172.16.2.3} IPAddresses : {172.16.2.38} AdapterGuid : 460e4d0e-6c7e-49c5-925f-f065623a0061 MacAddress : C8:60:00:24:59:74 Identity : 460e4d0e-6c7e-49c5-925f-f065623a0061 IsValid : True ObjectState : Unchanged
Потом Get-TransportService | fl inter*
InternalDNSAdapterEnabled : True InternalDNSAdapterGuid : 460e4d0e-6c7e-49c5-925f-f065623a0061 InternalDNSProtocolOption : Any InternalDNSServers : {172.16.2.2, 172.16.2.3} InternalTransportCertificateThumbprint : 6B29F13258D63A154A3FA0153B6A6E0F90A82B2C
Как видно GUID (460e4d0e-6c7e-49c5-925f-f065623a0061) одинаковый. Что ещё может мешать коннектору "привязываться" к сетевому интерфейсу?
MCSA
- Изменено ЙоЖыГ 14 декабря 2013 г. 10:01 оформление
14 декабря 2013 г. 10:01 -
попробуйте разрешить подключаться всем на 25 порт в этом коннекторе. и перезапустите службы транспорта
Restart-Service MSExchangeFrontEndTransport
Restart-Service MSExchangeTransport
И так же проверьте все ли службы относящиеся к Exchange запущены.
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 10:04 -
Это попробовал в первую очередь. Посмотрите пример соединителя отправки, который я создал для этих целей (в начале темы). Разве он не даёт всем подключаться на 25 порт? Службы естественно перезагружал. Если заходить локально - "откликается" именно этот коннектор (видно, если поменять на нём параметр Banner).
Службы проверял по Test-ServiceHealth
Role : Роль сервера почтовых ящиков RequiredServicesRunning : True ServicesRunning : {IISAdmin, MSExchangeADTopology, MSExchangeDelivery, MSExchangeIS, MSExchangeMailboxAssistants, MSExchangeRepl, MSExchangeR PC, MSExchangeServiceHost, MSExchangeSubmission, MSExchangeThrottling, MSExchangeTransportLogSearch, W3Svc, WinRM} ServicesNotRunning : {} Role : Роль сервера клиентского доступа RequiredServicesRunning : True ServicesRunning : {IISAdmin, MSExchangeADTopology, MSExchangeMailboxReplication, MSExchangePOP3, MSExchangeRPC, MSExchangeServiceHost, W3Svc, WinRM} ServicesNotRunning : {} Role : Роль сервера единой системы обмена сообщениями RequiredServicesRunning : True ServicesRunning : {IISAdmin, MSExchangeADTopology, MSExchangeServiceHost, MSExchangeUM, W3Svc, WinRM} ServicesNotRunning : {} Role : Роль транспортного сервера-концентратора RequiredServicesRunning : True ServicesRunning : {IISAdmin, MSExchangeADTopology, MSExchangeEdgeSync, MSExchangeServiceHost, MSExchangeTransport, MSExchangeTransportLogSear ch, W3Svc, WinRM} ServicesNotRunning : {}
MCSA
14 декабря 2013 г. 10:12 -
IPv6 не отключали на интерфейсах?
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 10:12 -
По-умолчанию отключено. Пробовал и с включенным и отключенным IPv6. Хотя, ИМХО, это тут не причём, т.к. telnet-ом я пытаюсь соединиться по IPv4, т.к. ввожу адрес 172.16.2.38 а не fe80::59fa:27b9:8f6a:7f04%15. Хотя и на fe80::59fa:27b9:8f6a:7f04%15 тоже безрезультатно пробовал telnet соединяться.
MCSA
14 декабря 2013 г. 10:20 -
Это попробовал в первую очередь. Посмотрите пример соединителя отправки, который я создал для этих целей (в начале темы). Разве он не даёт всем подключаться на 25 порт? Службы естественно перезагружал. Если заходить локально - "откликается" именно этот коннектор (видно, если поменять на нём параметр Banner).
Службы проверял по Test-ServiceHealth
Role : Роль сервера почтовых ящиков RequiredServicesRunning : True ServicesRunning : {IISAdmin, MSExchangeADTopology, MSExchangeDelivery, MSExchangeIS, MSExchangeMailboxAssistants, MSExchangeRepl, MSExchangeR PC, MSExchangeServiceHost, MSExchangeSubmission, MSExchangeThrottling, MSExchangeTransportLogSearch, W3Svc, WinRM} ServicesNotRunning : {} Role : Роль сервера клиентского доступа RequiredServicesRunning : True ServicesRunning : {IISAdmin, MSExchangeADTopology, MSExchangeMailboxReplication, MSExchangePOP3, MSExchangeRPC, MSExchangeServiceHost, W3Svc, WinRM} ServicesNotRunning : {} Role : Роль сервера единой системы обмена сообщениями RequiredServicesRunning : True ServicesRunning : {IISAdmin, MSExchangeADTopology, MSExchangeServiceHost, MSExchangeUM, W3Svc, WinRM} ServicesNotRunning : {} Role : Роль транспортного сервера-концентратора RequiredServicesRunning : True ServicesRunning : {IISAdmin, MSExchangeADTopology, MSExchangeEdgeSync, MSExchangeServiceHost, MSExchangeTransport, MSExchangeTransportLogSear ch, W3Svc, WinRM} ServicesNotRunning : {}
MCSA
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 10:20 -
IPv6 должен быть включен на сколько я помню по дефолту.
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 10:22 -
сделайте в RemoteIpRange - {::-ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff, 0.0.0.0-255.255.255.255}. Проверьте потом логи. Что там будет
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 10:24 -
[PS] C:\Program Files\Microsoft\Exchange Server\V15\Scripts>Get-NetworkConnectionInfo
RunspaceId : 4218a068-36db-4d9f-8f1b-90515a977404
Name : Сетевой адаптер Hyper-V (Майкрософт)
DnsServers : {192.168.1.3, 192.168.1.5}
IPAddresses : {192.168.1.8}
AdapterGuid : ca8c2dbb-597e-40ae-82f2-c6b9ac529dcd
MacAddress : 00:15:5D:90:90:0E
Identity : ca8c2dbb-597e-40ae-82f2-c6b9ac529dcd
IsValid : True
ObjectState : Unchanged[PS] C:\Program Files\Microsoft\Exchange Server\V15\Scripts>Get-TransportService | fl inter*
InternalDNSAdapterEnabled : True
InternalDNSAdapterGuid : 00000000-0000-0000-0000-000000000000
InternalDNSProtocolOption : Any
InternalDNSServers : {}
InternalTransportCertificateThumbprint : 6174865CC018AFB5A1AB9071C06AAEEB5523852Cвот как у меня
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 10:26 -
ОК. Сейчас попробую применить это к моей конфигурации.
MCSA
14 декабря 2013 г. 10:28 -
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 10:29 -
вот тут в ECP еще проверьте
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 10:30 -
Поменял, перезагрузился. Увы, пока безрезультатно. :(
MCSA
14 декабря 2013 г. 10:50 -
Удалите этот коннектор, и создайте новый или если остался дефолтный попробуйте использовать его.
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 11:15 -
А PortQry со всех машин пишет что порт открыт или напрямую с сервера?
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 11:42 -
К сожалению, это не помогает. Есть подозрение, что на 25 порт Exchange что-то не пускает. Думал, что какое-то приложение уже использует этот порт. Проверил эту догадку с помощью cports. Нет, только MSExchangeFrontEndTransport "висит" на этом порту.
System 3812 TCP 25 smtp 172.16.2.38 0.0.0.0 Listening 14.12.2013 14:31:13 NT AUTHORITY\СИСТЕМА MSExchangeFrontEndTransport 14.12.2013 15:39:25 System 3812 TCP 25 smtp :: :: Listening 14.12.2013 14:31:13 NT AUTHORITY\СИСТЕМА MSExchangeFrontEndTransport 14.12.2013 15:39:25
Может какие-то ограничения по SMTP-транспорту ещё где-то можно регулировать?
MCSA
- Изменено ЙоЖыГ 14 декабря 2013 г. 11:45 ачепятка
14 декабря 2013 г. 11:42 -
ну тут 2 варианта остается: либо файервол блочит входящие либо антивирь. Либо сетевуха мозгокрутством занимается...
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 11:52 -
Файрвол исключается. С ним "игрались" по-разному, пришли к выводу, что он всё-таки тут не при чём. То, что он в логах пишет через некоторое время DROP - это он по таймауту вырубает это соединение. Но изначально он всё-таки пускает.
На сетевуху тоже грешили. Сначала просто пробовали у неё "подкрутить" всё что знаем. Потом просто подключили Exchange к другой сетевухе (поменяв все GUID-ы). Тоже не дало результата.
Антивирь стоял. ESET. Снесли. Он, кстати, именно на транспортный агент "садился". Проверил реестр, почистил все записи связанные с ESET - не помогло. Буду в понедельник обращаться к ESET за консультацией. А пока вопрос: где можно посмотреть в реестре привязки по SMTP?
MCSA
14 декабря 2013 г. 12:03 -
может наведет на какие мысли - http://kb.eset-la.com/esetkb/index?page=content&id=SOLN3026
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 12:43 -
Интересная тема, сейчас проверим, спасибо!
MCSA
14 декабря 2013 г. 12:45 -
Так надеялся что у нас именно этот случай! Увы, ESET удалился корректно. По крайней мере в списке транспортных агентов его нет.
Всё равно большое спасибо за наводку!
MCSA
14 декабря 2013 г. 12:55 -
А у вас какой cu стоит? Как вариант обновить до cu3. Есть вероятность что чтонибудь пофиксит. Т.к. Он перезаписывает конфиги.
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 13:01 -
Именно CU3 и стоит. Есть подозрение, что проблема появилась после установки вот этого. Вы у себя его устанавливали?
MCSA
14 декабря 2013 г. 13:17 -
Да, стоит. Полет нормальный. Но это в моей конфигурации.
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 13:23 -
Повезло. Мой знакомый, например, не стал у себя устанавливать после того как у меня проблемы начались.
MCSA
14 декабря 2013 г. 13:36 -
а запустите командлет с доп параметром:
get-transportagent -transportrole FrontEnd
Какие там агенты...
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 14:38 -
Наверное, всё-таки Get-TransportAgent -TransportService FrontEnd?
Ничего не выдаёт. А должен?MCSA
14 декабря 2013 г. 14:44 -
по памяти писал командлет ) Если пусто - то хорошо. Еще раз подтверждаем что ESET на роли FrontEnd не застрял...
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 14:46 -
Давайте рассуждать логически:
На самом Exchange порт открыт - это мы видим через телнет, сервер отвечает
Удаленно c доменной машины через PortQry пишет LISTEN или NOT LISTEN ?
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 15:06 -
============================================= Starting portqry.exe -n 172.16.2.38 -e 25 -p TCP ... Querying target system called: 172.16.2.38 Attempting to resolve IP address to a name... IP address resolved to ex-srv-01.farm.local querying... TCP port 25 (smtp service): LISTENING Data returned from port: portqry.exe -n 172.16.2.38 -e 25 -p TCP exits with return code 0x00000000.
MCSA
14 декабря 2013 г. 15:08 -
Создайте новый сертификат и назначьте его на сервисы SMTP и перезапустите сервер.
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
14 декабря 2013 г. 15:15 -
Попробую. Хотя, в тестовом правиле (приведённом в самом начале) TLS нет и ИМХО сертификат не требуется. Но всё равно попробую. Отпишусь чуть позже. Сейчас поднимаю и настраиваю второй CAS. На нём пока telnet на 25 порт проходит.
MCSA
14 декабря 2013 г. 15:19 -
Сделал. Не помогло! :( Поднял второй CAS. На нём другая беда. Не запускается Exchange Management Shell и нет входа в ECP. Заколдованный круг какой-то!
MCSA
15 декабря 2013 г. 7:15 -
с какой ошибкой вылетает шелл? В виндовс логах что есть интересного?
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
15 декабря 2013 г. 9:48 -
В логах много чего интересного. Вообщем-то корни проблемы понятно откуда растут. Устраняем.
MCSA
15 декабря 2013 г. 9:50 -
Поделитесь решением потом.
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
15 декабря 2013 г. 10:08 -
Столкнулся с точно такой же проблемой на прошлой неделе. Как выяснилось, проблема была в кастомном receive коннекторе с ролью Front end. После его удаления транспорт заработал. В том числе и подключения по telnet к 25 порту. Если у вас сервер Exchange с совмещенными ролями, то кастомный коннектор получения настраивается несколько иначе, чем на отдельном сервере CAS. Подробности об этом можно почитать здесь.
Do not multiply entities beyond what is necessary
16 декабря 2013 г. 4:16 -
А разве не наоборот? на сервере с совмещенными ролями должен быть коннектор с ролью Front-End.
У меня именно в такой конфигурации и работает.
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
16 декабря 2013 г. 4:49 -
У нас в организации именно так и работает кастомный коннектор. Однако, у заказчика такая конфигурация вызвала проблему с транспортом, даже внутри организации (Exchange они поднимали и настраивали сами). После того, как сделали согласно приведенной статьи, все заработало.
Do not multiply entities beyond what is necessary
16 декабря 2013 г. 6:37 -
Спасибо за совет! Как кастомный коннектор он справился с задачей приёма сообщений от определённых IP. Но как замену дефолтному (от всех адресов) его делать, ИМХО, нельзя, ибо откроется релей. Пробовал пересоздать оба дефолтных коннектора. Увы, пока безрезультатно.
MCSA
17 декабря 2013 г. 13:06 -
Вообщем, переустановка Exchange, естественно, вылечила проблему. Но, уже после переустановки, при создании кастомного релейного коннектора мне попалась вот эта статья. В частности, вот эта команда из приведённой выше статьи:
Get-ReceiveConnector "Relay E15MB1" | Add-ADPermission -User 'NT AUTHORITY\Anonymous Logon' -ExtendedRights MS-Exch-SMTP-Accept-Any-Recipient
возможно позволила бы правильно настроить кастомный релейный коннектор, не влияя при этом на дефолтные. Проверить, к сожалению, это уже не могу, но есть большое подозрение, что проблема была именно в этом.
P.S. Если кому-то будет это полезно, то в русской версии NT AUTHORITY\Anonymous Logon - это NT AUTHORITY\АНОНИМНЫЙ ВХОД
MCSA
- Помечено в качестве ответа ЙоЖыГ 22 декабря 2013 г. 9:10
22 декабря 2013 г. 9:10 -
В предыдущим нашем обсуждении service connector так и настроен. Про который Вы спрашивали.
Если вам помог чей-либо ответ, пожалуйста, не забывайте жать на кнопку "Предложить как ответ" или "Проголосовать за полезное сообщение"
22 декабря 2013 г. 10:58