Exchange 2019 - Outlook läßt sich nicht verbinden

[Sunny61 806]

vor 4 Minuten schrieb Ruediger010:

Hätten wir es anders gemacht, hätten wir nach dem Verschlüsselungsvirus gar nix mehr bzw. wäre alles von etwa 2 Monaten weg.

Man kann auch das Ausführen so eines Verschlüsselungstrojaners erfolgreich verhindern. Deshalb müssen keine Mails bei Strato liegen. Ich werfe zusätzlich mal das Wort Datensicherung in die Runde.

 

vor 6 Stunden schrieb Ruediger010:

Hallo Sunny, danke aber die werden aus Sicherheitsgründen und wg externer Clients, die nicht an die Domäne angebunden werden sollen, auch noch auf Strato benötigt. Ein MX Record kommt deshalb nicht in Frage, da sie dann bei Strato gelöscht werden.

Alle Deine angeführten Begründungen sind Schall und Rauch in diesem Kontext. Datensicherungskonzept hast Du?

[Ruediger010 10]

Ja seit 2 Jahren. Anti Ransomware (Zitat: Sowas brauchen wir nicht, bekommen wir nicht, unsere Leute passen auf) bis hin zu 2.NAS mit Timeline-Sicherung (ja, müssen wir irgendwann mal machen, hat Zeit), zusätzlich Cloudbackup und mobilen Festplatten. Nun da es passiert ist, werden die Maßnahmen auch endlich mal umgesetzt. Und glaub mir: an mir lag es sicher nicht und die Argumentationen zu Strato und Popcon sind nicht meine sondern die, die mich einschränken.

[Nobbyaushb 1.471]

Vielleicht sollte mal ein externer mit dem Entscheider Klartext reden - ich mache das beim Consulting immer so, und da guckt man meist in ganz große Augen...

Auf interne wird nicht oder selten gehört, zumindest in kleineren Umgebungen.

Mich bezahlt man dafür, das ich eine klare Einschätzung abgebe und nichts beschönige...

 

Inzwischen bin ich bei Jan, ihr wärt bei O365 besser aufgehoben.

 

Um es mit einem Freund und auch MVP auszudrücken - man braucht kein Backup, sondern ein Wiederherstellungs-Scenario, daraus resultiert ein Backup-Konzept.

 

Alles andere ist Augen zu und wird schon gutgehen - tut es nur in der Regel nicht.

(wie erlebt...)

Und auch ein 8-Personen Betrieb unterliegt der Archivierungspflicht, da Mail bei euch wichtig ist (Zitat..)

 

Natürlich kann man das auch sicher lokal betreiben - dann aber bitte richtig.

 

Ich kann dich sogar verstehen - du hast eigentlich eine andere Aufgabe in der Firma.

 

Das erlebe ich etwa 20 Mal im Jahr...

 

[testperson 1.677]

vor 12 Stunden schrieb Ruediger010:

das Ganze nun mit der AD-Domäne unternehmen.local installiert und auch für den Exchange vergeben.

Egal, dann lass den ersten Punkt bzgl. der AD Domäne eben web.

 

vor 12 Stunden schrieb Ruediger010:

Seit Donnerstag wäre ja schön. Geht schon eine Woche länger

Ernsthaft?

vor 12 Stunden schrieb Ruediger010:

Bzgl Pop Connector: Vor Jahren hatten wir das Ganze über MX Record. Server hing und es waren eine Menge geschäftlicher Mails weg. Mind. 60% unserer Arbeit geht über Mail, Tasks werden in Outlook Aufgaben angelegt und kategorisiert, sind momentan über 12.000 Stück drin. Deshalb will mein Chef die parallel weiterhin in Strato vorhalten. Hätten wir es anders gemacht, hätten wir nach dem Verschlüsselungsvirus gar nix mehr bzw. wäre alles von etwa 2 Monaten weg. So können wir die Mails nachladen und haben den Rest noch.

Wieso sollte er es dann anders machen wollen? Hatte ja vermeitlich Recht mit seiner Meinung wie er findet.

Wenn "über MX Record" der Server hängt, verschwinden keine Mails. Die bleiben dann beim Absender bis er diese zustellen kann oder der Absender bekommt einen Hinweis, dass die Mail nicht zugestellt wurde.

Seit ca. 1,5 Wochen mehr als erhebliche Probleme bei 60% eurer Arbeit? Ernsthaft?

Wer entsprechend beratungsresistent ist muss eben noch öfters und evtl. noch heftiger auf die Nase fallen.

 

vor 12 Stunden schrieb Ruediger010:

Eigentlich habe ich kaum Ahnung. MCSE 2003 war 98, das ist 20 Jahre her und es hat sich wahnsinnig viel verändert. Von Split DNS war damals noch keine Rede. 

Grundlagen sollten dann aber spätestens nach ein wenig Arbeit mit / in der Materie wieder da sein.

vor 12 Stunden schrieb Ruediger010:

Da ich nun Domain.local habe:

Ich lege zusätzlich im DNS outlook.Domain.de als eigene Zone an und A-Record ohne Namen?

Dasselbe für autodiscover richtig? Autodiscover gibts bei Strato schon. outlook.Domain.de hatte ich als srv-Eintrag gesetzt

Dann lass den Part bzgl. der AD-Domäne (den ersten) einfach weg und mach mit dem Rest weiter.

Ja.

Dann ändere den Autodiscover Record auf eure feste IP.

Nein. Keinen SRV Record. A-Record.

vor 12 Stunden schrieb Ruediger010:

Was empfiehlst du als San-Zertifikat? Unter 2008R2/Exchange 2010 hatten wir eine eigene Zertifizierungsstelle

Z.B. eins von der PSW Group: https://www.psw-group.de/ssl-zertifikate/detail/c44-geotrust-quickssl-premium/

 

[Ruediger010 10]

Guten Morgen allerseits,

 

@Nobbyaushb:

sag das bitte meinem Chef. Ich stimme Dir völlig zu. Ich denke auch mit O365 wären wir besser (und schneller und unkomplizierter) bedient gewesen.

 

Mit der Wiederherstellungs-/Backup-Konzeption wären wir schon auf der sicheren Seite gewesen (100% Sicherheit gibt es ja nie) - aber es wurde ja nicht umgesetzt. Erst jetzt nachdem das Kind in den Brunnen gefallen ist, wird endlich drauf gehört - leider.

 

@Jan: Grundlagen sind ja noch da. Es hapert eher an der Neukonzeption mancher Dinge wie Webmanagement-Konsole gegenüber der alt hergebrachten bei Exchange 2010, Zertifikaten (früher ging server\benutzername und Passwort und man war mit Exchange verbunden) und Zertifikaten.

Die erste Installation habe ich versaut, weil ich ein (vermeintlich) gemeinsames Postfach gelöscht und als Benutzerpostfach neu angelegt habe. Kein Zugriff mehr auf die Toolbox und die Exchange Power Shell, auch wenn die Managementkonsole noch ging. Er meinte etwas von fehlerhaftem Token. Das sind eher Handhabungsfehler.

 

Momentan funktioniert es testweise sogar von extern mit dem internen Exchange Zertifikat. Hier hat nur das Häkchen bei SMTP gefehlt. Sowohl über Handy als auch über Outlook Anywhere komme ich auf den Server.

 

ABER: Internes Outlook 2019 lässt sich beim besten Willen nicht dazu bewegen, sich mit dem Exchange zu verbinden.

Ein nslookup von außerhalb auf outlook.domain.de und autodiscover.domain.de wird richtig mit der WAN Ip aufgelöst.

 

ein nslookup intern auf autodiscover wird als Server mit autodiscover.domain.local aufgelöst, der Name lautet aber autodiscover.domain.de und liefert die interne Ip des Servers.

Bei outlook.domain.de dasselbe.

 

Ich vermute das hier noch etwas falsch läuft. Aber was? Es kann doch nicht sein, das extern geht, intern aber nicht?

 

Hat da vll noch jemand einen Tipp?

 

Viele Grüsse

Rüdiger

[Nobbyaushb 1.471]

Eigentlich sollte man dir nach dem Verlauf bisher nicht antworten, aber nun denn

 

Jan hatte dir eine perfekte Schnell-Anleitung gepostet, Details findest du im Web, z.B bei Franky

 

Dein Split-DNS passt noch nicht, und Outlook 2016 / 2019 findet den Exchange nur dann, wenn dem Zertifikat vertraut wird - selfsigned sind übrigens nicht supportet 

 

Also entweder hast du eine interne Root-CA oder ein trusted Cert von extern signiert, da gibt es mittlerweile sogar kostenlose, zumindest für 4 Wochen 

 

Und ich rede gerne mit deinem Chef...  

 

Nachtrag: die Antwort von Jan hatte ich noch nicht gelesen, du hast jetzt alle erforderlichen Informationen 

bearbeitet 30. Juni 2019 von Nobbyaushb

[Ruediger010 10]

Hi Nobby,

 

vielen Dank nochmal. Warum sollte man mir nicht antworten? Tut mir Leid wenn ich irgendwie unhöflich oder komisch rüber kam. War nicht beabsichtigt.

 

Reicht testweise die CA des 2019 Standard aus? Eine vollwertige CA stellt ja nur der Datacenter zur Verfügung meine ich gelesen zu haben.

 

An Jans Anleitung und auch die von Franky habe ich mich gehalten.

Merkwürdig ist nur, dass es von extern geht, nicht aber von intern.

Ich vermute hier habe ich noch einen Denkfehler drin.

Als Forward Lookup Zonen habe ich die des AD (_msdcs.domain.local) mit NS Eintrag, CName (beide wurden automatisch angelegt) und einem A mit der IP des Servers. Autodiscover.domain.de mit A und NS (der automatisch angelegt wurde) Domain local mit A-Einträgen für Server, Autodiscover und Stationen. Outlook.domain.de mit A-Eintrag.

 

Deshalb weis ich ja momentan nicht was falsch läuft. Nur am Zertifikat kann es doch nicht liegen, sonst würde ich doch nicht von extern drauf kommen?

[testperson 1.677]

Führe das auf dem DC bzw. dem DNS Server deiner AD-Domäne aus:

dnscmd . /zoneadd outlook.<deine öffentliche Domain.tld> /dsprimary
dnscmd . /zoneadd autodiscover.<deine öffentliche Domain.tld> /dsprimary
dnscmd . /recordadd outlook.<deine öffentliche Domain.tld> . A <IP des Exchanges>
dnscmd . /recordadd autodiscover.<deine öffentliche Domain.tld> . A <IP des Exchanges>

 

Und jetzt klinke ich mich hier aus.

[Ruediger010 10]

Hallo Jan,

 

vielen Dank nochmals. Aber ging leider nicht. Fehler: Zone already exists.

Das war es also leider nicht.

 

Trotzdem vielen Dank für Deine Mühe und einen schönen Sonntag

Rüdiger

[Nobbyaushb 1.471]

Dein Zertifikat ist jetzt was für eines?

 

Nochmal - die Webseite muss ohne Zertifikatswarnung zu öffnen sein, sonst geht Office ab 2016 nicht.

 

Und nein, du willst keine CA installieren - zudem sind deine Informationen nicht korrekt, das geht bei jeder Server-Version.

 

Genau jetzt seid ihr an dem Punkt, wo ihr externe Hilfe braucht - egal was du oder dein Chef meint.

 

Ab diesem Punkt wird das nichts mehr in einem Forum - meine Meinung

 

Nehme mal einen Taschenrechner, was das bislang gekostet hat...

[Ruediger010 10]

So, fertig.

Danke an alle für Hilfe und Tipps.

Und ja Nobby - ich will keine eigene CA installieren. Genauso wenig wie ich Exchange 2019 installieren wollte oder einen Virus haben.

Getan hab ichs trotzdem.

 

Mobil und Outlook Anywhere liefen noch, weil Organisationsname gleich blieb und er sich das Zertifikat der alten CA gemerkt hatte.

 

Schönen Sonntag und einen guten Start in die Woche

 

Rüdiger

[Nobbyaushb 1.471]

Bin irritiert - was ist denn jetzt die Lösung gewesen?

[Ruediger010 10]

Lag an den Zertifikaten wie Du schon vermutet hast. CA installiert, seitdem läufts

[Nobbyaushb 1.471]

Also ist die Firma nicht in der Lage, ein Zertifikat für 100,00€ zu kaufen, statt dessen wird mit Halbwissen eine Root-CA installiert?

 

Sorry, hier endet mein Verständnis für dich und deine Firma.

 

Viel Erfolgt weiterhin 

[mba 133]

Wenn ich diese sparfuchserei so lese, der der exchange ist nicht zufällig die eval?