Exch. 2003SP2: Ausgehende Authent. funktioniert nicht

[Markus Butz 10]

Hmmm.... wo könnte mein Denkfehler denn sein?

 

Wäre nett, wenn Ihr nochmal einen Tip hättet.

Danke...

[Markus Butz 10]

Hallo noch einmal,

 

mein Problem besteht noch immer... ist meine Frage einfach zu ****?

Wäre nett, wenn Ihr mir nochmal einen Tip geben könntet.

 

Danke!

 

Markus

[weg5st0 10]

Wenn ich dich richtig verstanden habe, hast du 2 Probleme:

 

1. Die Mailadressen werden nicht richtig aus der Richtlinie übernommen

 

2. Die ausgehenden Mails an Schlund werden nicht am entfernten Server authentifiziert

[Markus Butz 10]

Hallo weg5st0,

 

im Prinzip stimmt das mit den zwei Problemen, wobei sich diese ja auf zwei verschiedene Ansätze beziehen.

 

Punkt 2 von Dir betrifft mein Problem bzw. meinen Ansatz, nicht bekannte Empfänger über "Übermittlung" / "Ausgehende Sicherheit" an einen SMTP-Server von Schlund zu verschicken. Hier findet aber keine Authentifizierung statt, auch wenn ich die Anmeldedaten für den Schlund-Server entsprechend hinterlege. Also klappt das Senden an Schlund nicht, da kann ich logischerweise machen, was ich will. Und ich stelle jetzt einfach die Frage, warum die Auth. nicht stattfindet. Mehr als die Daten eintragen kann ich ja nicht. (Wie gesagt, ich habe nachvollzogen, dass Exchange es wirklich nicht probiert, es handelt sich also nicht um falsche Daten oder ähnliches).

 

Punkt 1 von Dir bezieht sich auf Ansatz B von GuentherH, welcher sich ja wiederrum auf einen KB-Artikel bezieht. Dieser besagt, eine neue Richtlinie anzulegen. So, wie ich das im vorletzen Posting beschrieben habe. Und das verstehe ich nicht: Die Adressen aus der zweiten Richtlinie werden doch gar nicht in das AD übernommen, können also auch nicht als Absender benutzt werden?!? Aber das ist doch das Ziel: Einen Adressraum zu teilen, von dem aus ich auch sende??

Die Adressen aus der 2. Richtlinie laut KB müssten doch erscheinen, oder? Mache ich bei meinem Vorgehen einen Fehler?

 

Danke!!

 

Markus

[weg5st0 10]

Es sind im Prinzip schon 2 Probleme, das eine ausgehend, das andere eingehend.

 

Erstmal zum ausgehenden:

Du solltest in jedem Fall einen Connector verwenden, den du zum ausgehenden Senden mit Auth konfigurierst. Wenn ich richtig gelesen habe, zeigt der MX für deine Domain auf den Schlund Server. Diesen solltest du für alle deine Mails dann als Relay verwenden. Dazu richtest du im Connector das versenden über den Smarthost ein und trägst den Schlundserver ein. ImReiter erweitert kannst du noch die ausgehende Sicherheit konfigurieren.

SMTP-Dienst neu starten. Dann teste, ob du ausgehend mailen kannst, und ob Auth stattfindet.

 

2. Empfängerrichtlinie: Wieviele Richtlinien hast du inzwischen eingerichtet? Welche Domains tragen sie jeweils ein und sind sie "Zuständig"?

[Markus Butz 10]

Hallo weg5st0,

 

danke für Deine Antwort.

Nun:

 

Erstmal zum ausgehenden:

Du solltest in jedem Fall einen Connector verwenden, den du zum ausgehenden Senden mit Auth konfigurierst. Wenn ich richtig gelesen habe, zeigt der MX für deine Domain auf den Schlund Server. Diesen solltest du für alle deine Mails dann als Relay verwenden. Dazu richtest du im Connector das versenden über den Smarthost ein und trägst den Schlundserver ein. ImReiter erweitert kannst du noch die ausgehende Sicherheit konfigurieren.

SMTP-Dienst neu starten. Dann teste, ob du ausgehend mailen kannst, und ob Auth stattfindet.

Ich habe im Moment nur einen Connector, der direkt ohne Smarthost versendet. Läuft auch einwandfrei. Der MX für meine Domain zeigt direkt auf den Exchange Server, nicht auf den Schlund Server!

Mein Gedanke, einen Smarthost zu verwenden, bezieht sich nur auf diverse Tips hier im Board, im Falle einer Mail-Adressraum-Aufteilung (eine Domain an mehreren Standorten mit dem Effekt, dass ich nicht untereinander verschicken kann, da der Empfänger lokal im Exchange ja nicht existiert und es einen NDR gibt) im "Virtuellen Standardserver für SMTP" (NICHT im Connector) unter "Nachrichten", "Alle E-Mails nicht mit ausgewerteten Empfängern weiterleiten an Host" einen Smarthost einzutragen. Und hier funktioniert nunmal die Auth. nicht (ja, ich habe es im Reiter Übermittlung korrekt eingetragen), weil Exchange es gar nicht erst probiert!

Generell ist dies ja aber laut Board-Tips und GuentherH die schlechtere der vorhandenen Möglichkeiten.

 

Empfohlen wird ja, es über die Richtlinien zu machen, so wie im erwähnten MS KB Artikel beschrieben.

 

2. Empfängerrichtlinie: Wieviele Richtlinien hast du inzwischen eingerichtet? Welche Domains tragen sie jeweils ein und sind sie "Zuständig"?

Dort ist standardmäßig eine Richtlinie.

Die .local ist "zuständig".

Im Moment ist noch die "richtige" Domain zusätzlich in der Richtlinie mit drin.

So funktioniert der Empfang und das Senden unter der richtigen Adresse.

 

Aber es funktioniert eben nicht, einem NICHT IM LOKALEN EXCHANGE vorhandenen Benutzer der selben Domain eine E-Mail zu senden (NDR).

 

Laut KB-Artikel soll nun zur Teilung des Adressreums eine zweite Richtlinie angelegt werden. Dies habe ich genau so getan wie vor 5 Postings beschrieben.

Aber das kann doch nicht funktionieren, da die Einträge einer zweiten Richtlinie nicht bei meinen AD-Benutztern landen und diese dementsprechend weder senden noch empfangen können?

 

Ich verstehe das einfach nicht. Was ist denn an meinem beschriebenen Vorgehen soo falsch? Ich mache es doch zu 100% wie in der KB beschrieben?!

 

Gruß

Markus

[weg5st0 10]

Hi,

 

Den Sachverhalt habe ich erst jetzt richtig verstanden (hoffe ich):

 

2 Ideen:

1. Wenn der MX auf Deinen Server zeigt, Dein Server mit DNS versendet, wo liegen dann die Mailboxen der Empfänger ausserhalb? Und vor Allem wie soll dein Server diesen externen Server finden?

Wenn ich es so richtig verstanden habe, brauchst du in jedem Fall einen 2ten Connector, der als Smarthost den eexternen Mailserver eingetragen hat. In diesem Connector solltest du in dem "Adressraum" Reiter deine Maildomain eintragen und die Kosten auf 1 setzen.

In der Empfängerrichtlinie muss der Haken "Exchange ist verantwortlich..." bei deiner Maildomain deaktiviert sein, so daß Exchange nicht verantwortlich ist. Hier auch die 2. Idee am Schluss:

 

2.

Hast du mal ein iisreset gemacht? (einfach in der dmc eingeben - oder neu starten).

[Markus Butz 10]

Hallo Götz,

 

1. Wenn der MX auf Deinen Server zeigt, Dein Server mit DNS versendet, wo liegen dann die Mailboxen der Empfänger ausserhalb? Und vor Allem wie soll dein Server diesen externen Server finden?

Nochmal kurz zur Strukur, wie ich diese aktuell habe. Es gibt @hauptdomain.de. An diese Domain schreiben Kunden. Hier gibt es 30 POP-Boxen sowie 5 Weiterleitungen zu @hilfsdomain.de.

Der MX für die Hauptdomain ist also der Schlund Server.

Der MX für die Hilfsdomain ist der Exchange Server.

Unterm Strich hat das den Effekt, dass der Kunde an @hauptdomain.de schreibt, der Großteil der Postfächer direkt in die POP-Boxen bei Schlund sortiert wird und 5 Adressen durch die Umleitung auf die Hilfsdomain direkt auf dem Exchange landen.

(Hintergrund ist eine Umstellung Schritt für Schritt, die POP-Boxen werden immer mehr wegfallen und durch den Exchange ersetzt werden.)

 

Nochmal kurz zum Verständnis der Richtlinien:

Ich brauche jetzt eine Empfänger-Richtlinie @hilfsdomain.de, denn ohne diese funktioniert die eingehende Zuordnung nicht, richtig?

Ich brauche eine Empfänger-Richtlinie @haupdomain.de, NICHT "zuständig" aber als Hauptadresse, denn sonst sende ich unter der falschen Adresse. Die Hilfsdomain soll ja nirgends auftauchen.

 

Fazit:

Wenn also jetzt der Exchange eine firmeninterne Mail an einen Benutzer @hauptdomain.de schreibt, der KEIN Exchange-Benutzer ist, muss dies im POP-Postfach der Hauptdomain landen.

 

Bist Du nach dieser Erklärung noch immer er Meinung, dass ich einen 2. Connector anlegen muss?

Was ich nicht verstehe: Warum muss das ausgehend unbedingt über einen Smarthost laufen? Ich meine, das könnte doch auch per DNS direkt zugestellt werden...

 

Verstehst Du, wie ich das meine?

 

Gruß

Markus

[weg5st0 10]

Ich brauche jetzt eine Empfänger-Richtlinie @hilfsdomain.de, denn ohne diese funktioniert die eingehende Zuordnung nicht, richtig?

Richtig.

Ich brauche eine Empfänger-Richtlinie @haupdomain.de, NICHT "zuständig" aber als Hauptadresse, denn sonst sende ich unter der falschen Adresse. Die Hilfsdomain soll ja nirgends auftauchen.

Richtig

Fazit:

Wenn also jetzt der Exchange eine firmeninterne Mail an einen Benutzer @hauptdomain.de schreibt, der KEIN Exchange-Benutzer ist, muss dies im POP-Postfach der Hauptdomain landen.

Genau.

Bist Du nach dieser Erklärung noch immer er Meinung, dass ich einen 2. Connector anlegen muss?

Was ich nicht verstehe: Warum muss das ausgehend unbedingt über einen Smarthost laufen? Ich meine, das könnte doch auch per DNS direkt zugestellt werden...

 

Als Schwabe sagt man: Jetz hods gschnackelt!

 

Also die ausghenden Nachrichten musst du in jedem Fall über Schlund senden!

Alleine schon, weil du eine Absenderadresse verwendest, deren MX nicht auf deinen Exchange zeigt. Viele Provider prüfen bei eingehenden Nachrichten (bspw. von dir zu T-Online), ob die IP Adresse des Absenders mit dem MX übereinstimmt.

 

Entscheidend ist jetzt, ob du überhaupt mit einem der User das Recht hast Mails für Alle anderen zu versenden. Das kannst du ja einfach prüfen.

 

Wenn die Mails nach der Umstellung des Connectors auf Smarthost mit ausgehender Auth nur für einen der Fünf rausgehen, musst du unter Umständen für jeden User einen Connector anlegen und den anderen jeweils das senden über die übrigen verbieten.

 

Oder du musst mit Schlund sprechen um einen Mail-Admin zu bekommen, der für alle andren relayen darf.

[PanFloete 10]

Hallo Zusammen,

 

ich möchte jetzt nicht irgendwie komisch klingen aber wieso verwendest du eine Hilfs domain?

 

Mach doch einfach Folgendes:

 

1. hauptdomain.tdl -> mx zeigt auf schlund und alle mail gehen dort hin.

2. du richtest den Exchange mit der Hauptdomain ein

3. du Richtest für die 5 User einen POP3 Connector ein, der die emails holt

4. du sagst im SMTP das alle E-Mail an schlund ausgeliefert werden.

 

sollte so das Problem mit der Hilfsdomain aus der Welt geschaffen sein und die Domain somit überflüssig?

 

LG

 

PanFloete

[weg5st0 10]

Hallo Panfloete,

 

da hast du recht, nur löst es das Problem beim versenden nicht.

 

Ich kenne auch genug Gründe warum POP3 zu vermeiden ist (Allein die Suche nach POP3 fördert genug zu Tage...).

[Markus Butz 10]

Hallo zusammen,

 

@weg5st0:

Als Schwabe sagt man: Jetz hods gschnackelt!

:-)

 

Also die ausghenden Nachrichten musst du in jedem Fall über Schlund senden!

Alleine schon, weil du eine Absenderadresse verwendest, deren MX nicht auf deinen Exchange zeigt. Viele Provider prüfen bei eingehenden Nachrichten (bspw. von dir zu T-Online), ob die IP Adresse des Absenders mit dem MX übereinstimmt.

Gut, die Problematik war mir an sich schon klar... aber ich hatte wohl noch einen Verständnisfehler drin. Also ist es so, dass wie Du meintest z.B. T-Online eine Mail von mir mit meiner statischen Sender-IP entgegennimmt, er ein Reverse-DNS macht und sieht, dass das nur der (MX)-Server für die Hilfsdomain ist und dies nicht mit dem für die Absende-Adresse der Hauptdomain zuständigen MX-Server übereinstimmt?

Oder wie ist der Ablauf?

Und was sind die Konsequenzen? Dass T-Online das als Spam filtert? Im Moment läuft das jetzt noch so und eigentlich ohne Probleme... wobei ich T-Online jetzt nicht explizit geprüft habe...?!

 

Entscheidend ist jetzt, ob du überhaupt mit einem der User das Recht hast Mails für Alle anderen zu versenden. Das kannst du ja einfach prüfen.

Also das geht bei Schlund, habe ich schon des öfteren genutzt und tue es an einigen Stellen noch immer.

Anmelden mit beliebigem Konto, danach darf ich - so meine ich - für alle bei Schlund registrierten Domains relayen... auf jeden Fall aber für alle Adressen der Domain, für die ich mich anmelde.

 

Wenn die Mails nach der Umstellung des Connectors auf Smarthost mit ausgehender Auth nur für einen der Fünf rausgehen, musst du unter Umständen für jeden User einen Connector anlegen und den anderen jeweils das senden über die übrigen verbieten.

Oder du musst mit Schlund sprechen um einen Mail-Admin zu bekommen, der für alle andren relayen darf.

Das entfällt ja dann...

 

@PanFloete:

ich möchte jetzt nicht irgendwie komisch klingen aber wieso verwendest du eine Hilfs domain?

Ja, das frage ich mich mittlerweile auch. Ich hatte es nur gut gemeint und wollte auf der einen Seite POP-Connectoren umgehen und auf der anderen Seite konnte ich nicht alle Adressen auf direkte Einlieferung umstellen. Deshalb dachte ich, ich leite einige Adressen an die Hilfsdomain und diese wird dann direkt eingeliefert.

Das oben angesprochene Problem war mir da noch nicht so ganz klar.

 

Jetzt aber die Frage an Euch beide, wie ich am besten weiter vorgehe...

 

Ich sehe ein: Der Direkt-Versand sollte wohl auf Versand über den Schlund Smarthost umgestellt werden.

 

Hilfsdomain abstellen und mit POP-Connector doch direkt von der Hauptdomain holen?

Das löst mein Problem mit dem geteilten Adressraum (teils im Exchange, teils nicht) ja aber auch nicht wirklich, da sich die Richtlinien ja auch nicht anders verhalten... oder bleibt es als Lösung bei:

Wenn ich es so richtig verstanden habe, brauchst du in jedem Fall einen 2ten Connector, der als Smarthost den eexternen Mailserver eingetragen hat. In diesem Connector solltest du in dem "Adressraum" Reiter deine Maildomain eintragen und die Kosten auf 1 setzen.

In der Empfängerrichtlinie muss der Haken "Exchange ist verantwortlich..." bei deiner Maildomain deaktiviert sein, so daß Exchange nicht verantwortlich ist.

??

 

Danke schonmal...

 

Gruß

Markus

[weg5st0 10]

Nein es reicht ein Connector und der muss als Smarthost an schlund senden.

Bei der Richtlinie machst du den Haken weg.

 

Anschliessend mindestens IISRESET und resvc restart, oder besser Server durch null...

[Markus Butz 10]

Nein es reicht ein Connector und der muss als Smarthost an schlund senden.

OK, das stelle ich dann morgen mal um.

Trotzdem nochmal zum Hintergrund... was passiert theoretisch, wenn ich es so lassen würde?

 

Bei der Richtlinie machst du den Haken weg.

Ist es ja, gibt aber trotzdem NDRs.

Ändert sich das Verhalten beim Senden über Smarthost?

 

Danke...

 

Gruß

Markus

[weg5st0 10]

Also ist es so, dass wie Du meintest z.B. T-Online eine Mail von mir mit meiner statischen Sender-IP entgegennimmt, er ein Reverse-DNS macht und sieht, dass das nur der (MX)-Server für die Hilfsdomain ist und dies nicht mit dem für die Absende-Adresse der Hauptdomain zuständigen MX-Server übereinstimmt?

 

Genau so ist es.

 

Mach den Smarthost rein und beobachte das Verhalten, dann sehen wir weiter.