Exchange 2007: Smart Host fällt weg + internes Relay

[sappel23 0]

Hallo zusammen,

ich habe eine etwas unschöne Konfiguration am laufen:
Letztes Jahr gab es einen neuen Server mit Windows 2016 Essentials als Ablösung eines SBS2008. Leider wurden die Mails bisher nach wie vor nicht vom Exchange weg migriert, so dass wir momentan eine neue Domäne mit dem 2016er Server haben und der SBS2008 nur noch als Exchange-Server agiert und die Outlook-Einrichtung separat mit den alten Login/Domäne-Daten erfolgen muss. Hat aber bis vor kurzem tadellos funktioniert.

 

Nun haben wir eine Änderung am Webhosting gehabt und ich habe feststellen müssen, dass der Exchange 2007 vom SBS einen Smart Host konfiguriert hatte, welcher durch den Umzug des Webkrams weggefallen ist. Kein großes Thema, statische IP ist längst vorhanden, ich konnte den Sendeconnector anpassen.

 

Nun habe ich aber das Problem, dass ein Anwendungsserver intern ebenfalls per Login auf den Smart Host zugegriffen hatte. Diesen Anwendungsserver muss ich nun über den SBS als interes Relay schleifen und an dieser Konfiguration hänge ich nun fest. Ich habe mir unter msxfaq die Anleitungen (https://www.msxfaq.de/connector/receiveconnector.htm) angesehen, komme damit aber nicht ganz klar. Bei uns gibt es derzeit nur einen Connector, der als Remote-IPs quasi alle Verbindungen außer dem eigenen LAN-Subnet zulässt (mit anonym auth) - ist das so stimmig? Mir fehlt von der Logik her mindestens noch ein interner Connector mit auth, oder?

 

In der Beispielkonfiguration auf msxfaq steht dann auch etwas mit mehreren Connectoren, da vermisse ich grundsätzlich Active-Sync Ports (oder hat das mit Empfangsconnectoren nichts zu tun, weil das via IIS läuft?). Außerdem verstehe ich nicht den Unterschied zwischen der Berechtigung "anonym" und "ADD: anonym" in der Beispieltabelle.

 

Außerdem bräuchte ich eben 2 statische IPs aus dem internen Netz, die ohne auth verschicken dürfen sollen. Wie konfiguriere ich so etwas?

 

Wäre schön, wenn mir jemand ein wenig Licht ins Dunkel bringt :)

[Dukel 436]

Wichtig sind zwei Dinge.

Muss dieser Dienst nach extern senden und muss dieser Anonym senden oder kann SMTP authentifizierung nutzen?

 

[mwiederkehr 351]

ActiveSync hat nichts mit den Konnektoren zu tun, die sind nur für SMTP.

 

Wenn sich die anderen Systeme authentifizieren können, würde ein Konnector ausreichen. Dort müsste dann sowohl der anonyme als auch der authentifizierte Zugriff erlaubt werden. Der Exchange erlaubt dann standardmässig anonymen Benutzern das Relay.

 

Können die Geräte keine Authentifizierung, braucht es einen zweiten Konnektor. Dieser darf dann nur die beiden Systeme als Quell-IP eingetragen haben und darauf muss "Anonymous" Relayrechte haben.

[sappel23 0]

Hallo,

also da der Exchange selbst direkt Mails von fremden Mailservern empfängt (Port 25 im Router weitergeleitet) und auch verschickt, ist die Antwort also ja, ich brauche einen anonymen Versand, oder?

[Dukel 436]

Es kommt auf die Applikation an. Unterstützt diese SMTP Authentifizierung?

 

Das Empfangen ist etwas anderes, hier sind die Empfänger interne Empfänger.

 

[sappel23 0]

Das eine wäre ein Log von einem Linux-Anwendungsserver mit Postfix - hier kann ich ein Auth aktivieren. Das andere eine Windows-Anwendung, bei der es ebenfalls Auth-Einstellungen gibt. D.h. die internen Server, die den Exchange als Relay brauchen, könnten sich theoretisch authen 

[Dukel 436]

Dann nutze am besten diese Authentifizierung. Dann muss am Exchange nichts umgestellt werden, wenn nicht vorher schon etwas verstellt wurde.

 

[sappel23 0]

Wie passt das denn zu der Konfiguration, dass es derzeit genau einen Empfangsconnector gibt, der als Remote-Netzwerk alles außer das eigene Subnet drin hat und anonym erlaubt?

Heißt das, intern kann sich abseits von Outlook gar kein anderes System am SMTP anmelden?

[Dukel 436]

Das klingt danach, dass vorher schon etwas verbastelt wurde.

Teste es doch einfach erstmal.

 

Edit:

Wenn die Default Connectoren fehlen kannst du diese mit den unten genannten Einstellungen erneut erstellen:

https://technet.microsoft.com/en-us/library/aa996395(v=exchg.141).aspx

bearbeitet 21. Februar 2018 von Dukel

[sappel23 0]

Bestimmt wurde da was gebastelt ... aber ich verstehe das "gebastelte" eben nicht. Wieso hat man einen Receive-Connector mit Berechtigungsgruppe "anonyme Benutzer" und sonst nichts und als Remote-Netzwerk alles, außer das eigene LAN-Subnetz?

 

Der Linux-Server verschickte z.B. Backup-Logs über Postfix bisher ohne auth, aber ich verstehe nicht, warum er das darf...

Ich finde übrigens auch keinen entsprechenden Eintrag in der Nachrichtenverfolgung, wenn ich das Zeitfenster da näher eingrenze. 

bearbeitet 21. Februar 2018 von sappel23

[Dukel 436]

K.a. Frag den, der das eingerichtet hat.

Für die Zukunft: Konfiguriere die Default Connectoren und nutze SMTP Auth. für deine Dienste.