Autodiscover Outlook 2010 geht - Outlook 2016 nicht

[john23 5]

Hallo Leute,

 

oh überraschung ich habe wieder ein Autodiscover Thema.. Ich denke ich bin schon besser im Thema Exchange geworden, aber es gibt immer wieder Situationen wo ich nicht so recht weiter weis.

 

TLDR: Autodiscover Outlook2010 geht Outlook 2016 geht nicht.

 

2x CAS Exchange 2010

2x MB Exchange 210 DAG

CAS Array war outlook.domain.de  --> Der Name ist auf den LB übergegangen und das CAS Array Objekt in Form von dem Computerobjekt gibt es noch

 

Migration zu Exchange 2016

 

Kemp Loadmaster

3x Exchange 2016 DAG

 

Clients Windows 7 / Outlook 2010 / 2016

Die Postfächer sind bereits alle auf dem Exchange 2016

 

Bisher waren alle Clients überwiegend Outlook 2010 was mit meiner Konfiguration auch funktioniert hat.

 

URLs sind auf outlook.domain.de und mobil.domain.de

Split DNS ist vorhanden

Alles läuft momentan noch über RPC/HTTP(S)

MAPI ist Global deakiviert

Wenn ich MAPI auf ein Postfach aktiviere komme ich in Outlook nicht mehr rein, weder Outlook 2010 noch 2016.

 

Es gibt eine GPO welche für die Outlook 2010 Clients Konfiguration für Outlook Anywhere verteilt:

https://outlook.domain.de

Nur SSL für Verbindungen verwenden

Bei Langsamen und bei Schnellen Netzwerken Verbindung über HTTP Herstellen ,dann über TCP/IP

Auth NTML

 

EXPR und EXCH Eintrag wurden in der Migration nicht geändert:

CertPrincipalName      : leer

 

Nun kann ich bei den Outlook 2010 Clients problemlos Autodiscover machen, seltsam finde ich nur, dass wenn ich einen Test in Outlook mache ich beim ersten Test 2x http 401 herausbekomme und dann erst ein http 200. Danach nur noch ein HTTP 200.

 

Ein Outlook 2016 Client kann sich via Autodiscover nicht verbinden, es kommt ein Passwort Popup.

Über den Browser kann ich mich nicht einloggen wenn ich outlook.domain.de/autodiscover/autodiscover.xml aufrufe jedoch wenn ich am  Loadbalancer vorbei an einzelne Exchange Server gehe schon über server.domain.de/autodiscover/autodiscover.xml

 

Wenn ich das ganze zum testen in die Hosts eintrage kann ich dennoch kein Outlook einrichten.

Wenn ich den Autodiscover Test mache bekomme ich nur Http: 401 zurück mit Fehgeschlagen (0x800040413)

 

Test-OutlookWebServices | FL

 

Scenario            : AutoDiscoverOutlookProvider
ScenarioDescription : AutoErmittlung: Outlook-Anbieter
Result              : Failure
Latency             : 210
Error               : System.Net.WebException: Der Remoteserver hat einen Fehler zurückgegeben: (401) Nicht
                      autorisiert. ---> System.ComponentModel.Win32Exception: Der Zielprinzipalname ist falsch
                         bei System.Net.NTAuthentication.GetOutgoingBlob(Byte[] incomingBlob, Boolean throwOnError,

 

Security Kerberos ID 4 Fehler sind im Eventlog auf dem Client und auf dem Server zu finden.

 

Wenn noch konkrete Infos fehlen trage ich die gerne nach.

 

[NorbertFe 2.035]

vor einer Stunde schrieb john23:

CAS Array war outlook.domain.de  --> Der Name ist auf den LB übergegangen und das CAS Array Objekt in Form von dem Computerobjekt gibt es noch

Schlecht. Sinnvoller wäre es wahrscheinlich gewesen für den HTTPS Namensraum einen neuen Namen zu implementieren.

vor einer Stunde schrieb john23:

Wenn ich MAPI auf ein Postfach aktiviere komme ich in Outlook nicht mehr rein, weder Outlook 2010 noch 2016.

Siehst. :)

vor einer Stunde schrieb john23:

Es gibt eine GPO welche für die Outlook 2010 Clients Konfiguration für Outlook Anywhere verteilt:

Würde ich nicht empfehlen. Das "sollte" mittels Autodiscover funktionieren, denn dann weiß man auch, dass es korrekt ist.

vor einer Stunde schrieb john23:

URLs sind auf outlook.domain.de und mobil.domain.de

warum hast du dann nicht alles auf mobil konfiguriert und den RPC Punkt bei outlook belassen? So ists jetzt natürlich schwierig in deine Situation im Forum zu klären.

[john23 5]

Danke für die Antwort erst mal. Ich hoffe ja schlauer zu werden statt dümmer :P.

 

Ich habe die Endpunkte vom alten Exchange übernommen, da diese in vielen Systemen drin stehen. Dachte ich würde damit Probleme vermeiden, ist aber wohl anders.

 

Mobile.domain.de und outlook.domain.de zeigen intern momentan auf die gleiche IP - die Namen sind auch überall in den Zertifikaten drinne, daher sollte es wohl gehen, dass ich alle Endpunkte auf Mobile.domain.de ändere außer den RPC endpunkt.

 

EXPR und EXCH könnte ich außerhalb der Arbeitszeit setzten auf ServerExclusivConnect.

 

[NorbertFe 2.035]

vor 2 Stunden schrieb john23:

Ich habe die Endpunkte vom alten Exchange übernommen, da diese in vielen Systemen drin stehen.

Kann man ja machen, aber eben erst nachdem die MAPI Connections auch weg sind. ;)

vor 2 Stunden schrieb john23:

Dachte ich würde damit Probleme vermeiden, ist aber wohl anders.

Ja Erfahrungen muss offensichtlich jeder für sich selbst sammeln.

vor 2 Stunden schrieb john23:

Mobile.domain.de und outlook.domain.de zeigen intern momentan auf die gleiche IP

Das muss ja während der Migration nicht so bleiben. STell doch outlook.domain.de auf den alten Exchange (IP) und mobile auf den neuen. Dann die https URL alle auf mobile ändern (zumindest die für Outlook wichtigen, EWS, OWA, MAPI und OA) und warte ab, bis alle Clients diese Info per Autodiscover gezogen haben. ServerExclusiveConnect dann erst umschalten, wenn du sichergestellt hast, dass die Einstellungen auch auf den CLients funktionieren und automatisch angekommen sind.

[john23 5]

Bevor ich Outlook.domain.de auf die alte Exchange usmtelle muss ich sichergehen, dass alle Clients die neue richtige Konfig haben, da sonst keiner mehr eine Verbindung bekommen würde (Postfächer sind ja alle auf dem Exchange 2016).

 

Zudem ist die Frage in wie vielen Systemen outlook.domain.de noch eingetragen ist um sich eventuell an E-Mail Konten anzumelden und was zu machen. SMTP selbst wäre nicht schlimm, das sollte ja noch weiter funktionieren. 

 

Der ServiceConnection Point zeigt momentan auch auf outlook.domain.de - den sollte ich wohl als erstes auf autodiscover.domain.de ändern, damit der losgelöst von dem Namen funktioniert.

 

Ich habe in den letzten Tagen auch einen Test mit den SCP gemacht um den Loadbalancer zu umgehen --> den SCP auf server1.domain.de gesetzt ( ist auch auf den Zertifikat enthalten). Im Outlook konnte ich aber immer noch sehen, dass der Autodiscover test outlook.domain.de angesprochen hat. Wie lange dauert es bis der SCP aktiv wird für die Clients? Muss ich dienste dafür neu starten?

[NorbertFe 2.035]

vor 33 Minuten schrieb john23:

autodiscover.domain.de

oder auf mobile.domain.de?

[john23 5]

vor einer Stunde schrieb NorbertFe:

oder auf mobile.domain.de?

Stimmt würde natürlich auch gehen.