eMail kommt nicht an - InternalError

[TheCracked 13]

Hallo Zusammen,

 

ich habe das Problem, dass ich von einem bestimmten Kunden keine eMails empfangen kann (Aus SAP versendete eMails).

Sendet der Kunde eMails aus seinem Outlook, kommt diese an.

 

Kurz zu meiner Umgebung:

Exchange 2016 (CU7)

2012 Domäne

 

 

Hier ein Auszug aus dem smtpReceive Log unseres Exchanges:

(eMail kommt von SAP heraus an uns) -> eMail kommt nicht an. Kunde bekommt eine "Message Delayed" Meldung von Ihrem eMailserver.

2018-01-02T09:31:10.050Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09132B,0,IP intern:25,ip.des.kunden.:16603,+,,
2018-01-02T09:31:10.051Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09132B,1,IP intern:25,ip.des.kunden.:16603,>,"220 exchange2016.Meine-Domain.local Microsoft ESMTP MAIL Service ready at Tue, 2 Jan 2018 10:31:09 +0100",
2018-01-02T09:31:10.693Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09132B,2,IP intern:25,ip.des.kunden.:16603,<,EHLO mail.Domain-Kunde.com,
2018-01-02T09:31:10.694Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09132B,3,IP intern:25,ip.des.kunden.:16603,>,250  exchange2016.Meine-Domain.local Hello [ip.des.kunden.] SIZE 37748736 PIPELINING DSN ENHANCEDSTATUSCODES STARTTLS X-ANONYMOUSTLS AUTH NTLM X-EXPS GSSAPI NTLM 8BITMIME BINARYMIME CHUNKING XRDST,
2018-01-02T09:31:10.835Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09132B,4,IP intern:25,ip.des.kunden.:16603,<,STARTTLS,
2018-01-02T09:31:10.835Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09132B,5,IP intern:25,ip.des.kunden.:16603,>,220 2.0.0 SMTP server ready,
2018-01-02T09:31:10.836Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09132B,6,IP intern:25,ip.des.kunden.:16603,*," CN=mx01.Meine-Domain.de, OU=IT, O=XY GmbH, L=XY, S=XY, C=DE CN=Meine-Domain, DC=Meine-Domain, DC=local 210000005AA01128C3E18C9C1400020000005A 4BDD0EDD3048F77B7B57258D28E5A51755D3D98C 2017-08-23T09:36:25.000Z 2019-08-23T09:36:25.000Z mx01.Meine-Domain.de;exchange2016.Meine-Domain.local;AutoDiscover.Meine-Domain.local;AutoDiscover.Meine-Domain.de;exchange2016;Meine-Domain.local;Meine-Domain.de",Sending certificate Subject Issuer name Serial number Thumbprint Not before Not after Subject alternate names
2018-01-02T09:31:11.155Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09132B,7,IP intern:25,ip.des.kunden.:16603,*,,TLS negotiation failed with error InternalError
2018-01-02T09:31:11.155Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09132B,8,IP intern:25,ip.des.kunden.:16603,-,,Local

Hier ein Auszug aus dem smtpReceive Log unseres Exchanges:

(eMail wird direkt aus Outlook oder o365 an uns gesendet) -> eMail kommt an. 

2018-01-05T09:00:35.528Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,0,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,+,,
2018-01-05T09:00:35.529Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,1,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,>,"220 exchange2016.Meine-Domain.local Microsoft ESMTP MAIL Service ready at Fri, 5 Jan 2018 10:00:34 +0100",
2018-01-05T09:00:35.561Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,2,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,<,EHLO Domain-Kunde.xx.xx.outlook.com,
2018-01-05T09:00:35.561Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,3,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,>,250  exchange2016.Meine-Domain.local Hello [IP.des.Kunden(ist jedoch eine andere als im Log davor)] SIZE 37748736 PIPELINING DSN ENHANCEDSTATUSCODES STARTTLS X-ANONYMOUSTLS AUTH NTLM X-EXPS GSSAPI NTLM 8BITMIME BINARYMIME CHUNKING XRDST,
2018-01-05T09:00:35.584Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,4,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,<,STARTTLS,
2018-01-05T09:00:35.584Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,5,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,>,220 2.0.0 SMTP server ready,
2018-01-05T09:00:35.584Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,6,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,*," CN=mx01.Meine-Domain.de, OU=IT, O=XY GmbH, L=XY, S=XY, C=DE CN=Meine-Domain, DC=Meine-Domain, DC=local 210000005AA01128C3E18C9C1400020000005A 4BDD0EDD3048F77B7B57258D28E5A51755D3D98C 2017-08-23T09:36:25.000Z 2019-08-23T09:36:25.000Z mx01.Meine-Domain.de;exchange2016.Meine-Domain.local;AutoDiscover.Meine-Domain.local;AutoDiscover.Meine-Domain.de;exchange2016;Meine-Domain.local;Meine-Domain.de",Sending certificate Subject Issuer name Serial number Thumbprint Not before Not after Subject alternate names
2018-01-05T09:00:35.734Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,7,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,*,,"TLS protocol SP_PROT_TLS1_2_SERVER negotiation succeeded using bulk encryption algorithm CALG_AES_256 with strength 256 bits, MAC hash algorithm CALG_SHA_384 with strength 384 bits and key exchange algorithm CALG_ECDH_EPHEM with strength 256 bits"
2018-01-05T09:00:35.758Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,8,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,<,EHLO Domain-Kunde.xx.xx.outlook.com,
2018-01-05T09:00:35.758Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,9,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,*,,Client certificate chain validation status: 'EmptyCertificate'
2018-01-05T09:00:35.758Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,10,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,*,,TlsDomainCapabilities='None'; Status='NoRemoteCertificate'
2018-01-05T09:00:35.758Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,11,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,*,,Client certificate chain validation status: 'EmptyCertificate'
2018-01-05T09:00:35.758Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,12,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,*,,TlsDomainCapabilities='None'; Status='NoRemoteCertificate'
2018-01-05T09:00:35.758Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,13,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,>,250  exchange2016.Meine-Domain.local Hello [IP.des.Kunden(ist jedoch eine andere als im Log davor)] SIZE 37748736 PIPELINING DSN ENHANCEDSTATUSCODES AUTH NTLM LOGIN X-EXPS GSSAPI NTLM 8BITMIME BINARYMIME CHUNKING XRDST,
2018-01-05T09:00:35.822Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,14,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,<,MAIL FROM:<Kunde eMailadresse> SIZE=30313,
2018-01-05T09:00:35.823Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,15,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,*,08D514BCEB09559E;2018-01-05T09:00:35.528Z;1,receiving message
2018-01-05T09:00:35.823Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,16,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,<,RCPT TO:<XX@Meine-Domain.de>,
2018-01-05T09:00:35.823Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,17,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,>,250 2.1.0 Sender OK,
2018-01-05T09:00:35.823Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,18,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,>,250 2.1.5 Recipient OK,
2018-01-05T09:00:35.885Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,19,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,<,BDAT 23607 LAST,
2018-01-05T09:00:35.937Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,20,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,*,,Ignored X-OriginatorOrg header value 'Domain des Kunden' because session capabilities do not allow it
2018-01-05T09:00:35.946Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,21,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,*,,Proxy destination(s) obtained from OnProxyInboundMessage event
2018-01-05T09:00:36.147Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,22,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,>,"250 2.6.0 <Kunde.xY.xY..outlook.com> [InternalId=13932873908228, Hostname=exchange2016.Meine-Domain.local] 25543 bytes in 0.187, 133,373 KB/sec Queued mail for delivery",
2018-01-05T09:00:36.212Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,23,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,<,QUIT,
2018-01-05T09:00:36.213Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,24,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,>,221 2.0.0 Service closing transmission channel,
2018-01-05T09:00:36.213Z,EXCHANGE2016\Default Frontend EXCHANGE2016,08D514BCEB09559E,25,IP intern:25,IP.des.Kunden(ist jedoch eine andere als im Log davor):4167,-,,Local

Liegt das Problem jetzt auf unserer Seite, oder des Kunden?

Wie ist hier am besten vor zu gehen?

 

 

Viele Grüße

TC

[NorbertFe 2.035]

Sendet der Kunde direkt über seinen sap Server? Oder steht da ein anderes relay dazwischen? Sieht aus, als wenn die tls Aushandlung nicht funktioniert.

 

Bye

Norbert

[testperson 1.680]

Hi,

 

steht doch da ;)

 

 

.. TLS negotiation failed with error InternalError ..

 

ggfs. hilft es mit IIS Crypto einmal die Best-Practice drüber zu bügeln + Reboot.

Ansonsten welchen Stand hat dein Exchange?

 

Gruß

Jan

 

P.S.: Meiner Meinung wäre es am einfachsten mit dem Kunden direkt in Kontakt zu treten und zu troubleshooten anstatt im Forum zu fragen ;)

bearbeitet 5. Januar 2018 von testperson

[NorbertFe 2.035]

Nein Kunden kann man doch nicht belästigen, wenn deren Systeme meist das Problem sind ;)

[Doso 77]

TLS negotiation failed with error InternalError 

 

Scheint mir eine recht eindeutige Fehlermeldung zu sein.

 

Die Systeme können sich nicht auf eine TLS Verschlüsselung einigen. Das kann daran liegen das eine Partei das Zertifikat des anderen nicht akzeptiert, das dürfte hier sein das SAP das Zertifikat des Exchange Servers nicht akzeptiert. Alternativ kommt keine Verbindung zu Stande da sie sich nicht auf eine TLS Version oder entsprechende Verschlüsselungsmethoden einigen können. Beispiel: Der Windows Server unter dem Exchange wurde so konfiguriert das er nur noch TLS 1.2+ akzeptiert, aber SAP kann nur TLS 1.0 und kein TLS 1.2.

 

Ist da ein öffentliches Zertifikat auf dem Exchange Server? Ist diese CA dann öffentlich akzeptiert? Nicht immer ist jede CA überall bekannt, ich kenne ältere Windows Mobile Geräte die kennen die Telekom Root CA nicht.

[TheCracked 13]

Sendet der Kunde direkt über seinen sap Server? Oder steht da ein anderes relay dazwischen? Sieht aus, als wenn die tls Aushandlung nicht funktioniert.

 

Bye

Norbert

 

Kann ich nicht beantworten. Habe nur erfahren, dass die besagten eMails automatisch vom SAP gesendet werden.. 

 

 

Hi,

 

steht doch da ;)

 

 

ggfs. hilft es mit IIS Crypto einmal die Best-Practice drüber zu bügeln + Reboot.

Ansonsten welchen Stand hat dein Exchange?

 

Gruß

Jan

 

P.S.: Meiner Meinung wäre es am einfachsten mit dem Kunden direkt in Kontakt zu treten und zu troubleshooten anstatt im Forum zu fragen ;)

 

 

IIS Crypto habe ich schon mal drüberlaufen lassen inkl. Reboot.. 

Stand ist CU7 (15.1.1261.35)

 

Wird dann wohl das beste sein, da mal vorsichtig anzuklopfen bei der Kunden IT :)

 

edit: 

 

 

 

Ist da ein öffentliches Zertifikat auf dem Exchange Server? Ist diese CA dann öffentlich akzeptiert? Nicht immer ist jede CA überall bekannt, ich kenne ältere Windows Mobile Geräte die kennen die Telekom Root CA nicht.

 

 

Ja ein öffentliches Zertifikat ist installiert (von Digicert).

 

bearbeitet 5. Januar 2018 von TheCracked

[testperson 1.680]

Ja ein öffentliches Zertifikat ist installiert (von Digicert).

 

Das scheint aber nicht an SMTP gebunden zu sein:

 

 

.. mx01.Meine-Domain.de;exchange2016.Meine-Domain.local;AutoDiscover.Meine-Domain.local;AutoDiscover.Meine-Domain.de;exchange2016;Meine-Domain.local;Meine-Domain.de ..

[TheCracked 13]

Also es gibt intern eine CA.

Hier ist für den Exchange ein Zertifikat ausgestellt. Gebunden an IIS und SMTP.

Auf unserer Firewall ist das DigiCert Installiert.

[NorbertFe 2.035]

Hmm na dann musst du wohl auf Der Firewall ins smtp log schauen. ;)