NorbertFe

Warum willst du sie denn überhaupt aus der Domäne nehmen?

Also wenn dnssec die Bedingung wäre, dürfte es recht wenig Mails dieser Art geben. ;) ich kenn nur wenige Domains die dnssec nutzen (von unserer abgesehen)

Ja. Und das bedeutet auch, ein dc ist kein hyper-v Host und ein hyper-v Host ist kein dc.

Bin mir grad nicht sicher, ob das nur mit den sensitivity headers funktioniert. Müßte man mal recherchieren.

https://www.granikos.eu/de/justcantgetenough/PostId/303/clear-private-flag-on-mailbox-messages und für zukünftige Mails kann man das afair per Transportrule regeln.

Na und? Dann lass halt über Nacht laufen. ;)

Na laps ;) ohne alles.

Und warum bist du auf active Sync gegangen?

Und was soll der Link sagen? Dass es mit Windows geht is mir auch klar. ;) mit sekundärem DNS gehts aber nicht.

Nein und du siehst grad ein weiteres Problem der ms eigenen Lösung. Kein sinnvolles logging. Ich würde da keine Zeit investieren.

Der Spam Score ist aber nichts von Exchange. Und scl 5 als junkthreshold bedeutet 6 oder höher. ;) https://docs.microsoft.com/de-de/exchange/antispam-and-antimalware/antispam-protection/scl?view=exchserver-2019 Ansonsten kann ich nur empfehlen sich einen alternativen spamfilter zu nutzen, weil das was man da noch im exchange drin hat weder weiterentwickelt wird, noch fehlerfrei ist. Ich geb mal www.vamsoft.com als Beispiel an, denn der würde dann direkt auf dem exchange laufen können, und bedeutet keine großen Umbauten.

Gar nicht. Ein secondary erlaubt ja keine Updates. ;) ich würde dort auch keine Last sehen. Oder über welche Bandbreite reden wir? Alternativ kann man schauen, welche Optionen bspw. Das vpn Gateway diesbezüglich bietet.

Naja man sollte wie bei allem wissen was man tut, was man nicht tut und was tut man, wenn’s schief geht. ;)

Stimmt, das geht nur bei vollmond und mit Opferung von 3 jungfräulichen stachelschweinen und dem lateinischen stossgebet an Bill Gates. ;)

Steht aber groß da und muss man manuell tun. ;)

Ereignisanzeige. <- da isses doch ;)

Einfach mal umlaufprotokollierung aktivieren und dann wieder deaktivieren.

Abgesehen davon registrieren sich moderne windowse mittels DNS Client Service und nicht mehr per dhcp. ;)

Exchange ist tatsächlich eine der wenigen Ausnahmen die ich nicht automatisch patche. Auch SharePoint und sql wäre so eine Sache. ;)

Der ist nicht gepatcht, weil er mit sp1 beim sbs installiert wurde und die paar rup die per WSUS oder mu Namen, sind doch egal. ;) gruselig...

Hmm genau. ;) weil ja nie Probleme durch „nicht patchen“ entstehen. ;)

Ja deswegen sag ich ja, ich würde eine andere deployment Methode als gpo verwenden.

Vielleicht war’s ja ein sbs 2008 ;)

Nee das geht bei halbwegs sinnvoller Konfiguration schon länger nicht mehr. Jedenfalls nicht ohne Dienste und Firewall zu konfigurieren

Ich würde den tm Client per WSUs verteilen und nicht per gpo.