Exchange2016 - Send-MailMessage : Für den SMTP-Server ist eine sichere Verbindung erforderlich

[michelo82 12]

Hallo,

ich habe damit diverse Drucker, Server u.s.w ohne Authentifizierung intern Mails senden können, ein internes Relay angelegt. Nach hinzufügen der IP-Adresse des jeweiligen z.b. Druckers im neuen Empfangsconnector funktioniert der Mailversand. Soweit so gut.

Nun möchte ich, dass Exchange selbst über die Aufgabenplanung ein Powershellskript antriggert und mir eine Statusmail sendet. Das funktioniert sowohl unauthentifiziert oder mit Credentials nicht. Die IP des Exchange-Servers ist ebenfalls in dem internen-Relay Connector eingetragen.

 

Ich erhalte:

Send-MailMessage -To $emailAddress -From $emailFrom -Subject "Status" -SmtpServer "exchchange.meinefirma.de" -Body $tasks
Send-MailMessage : Für den SMTP-Server ist eine sichere Verbindung erforderlich, oder der Client wurde nicht authentifiziert. Die
Serverantwort war: 5.7.57 SMTP; Client was not authenticated to send anonymous mail during MAIL FROM

Was mache ich denn falsch?

[winmadness 79]

@michelo82 Hier verwende ich immer einen Bypass - Einfach als "From" Email eine Mail-Adresse ausserhalb der verwalteten Domains angeben z.B. "exchange@mail.de". Dann sollte es funktionieren.

[Nobbyaushb 1.464]

vor 4 Minuten schrieb michelo82:

 

Hallo,

ich habe damit diverse Drucker, Server u.s.w ohne Authentifizierung intern Mails senden können

warum? Das geht out-of-the-box - nur nicht nach extern.

Oder sollen die Mails auch nach extern gehen?

[michelo82 12]

Der Trick mit einer Absenderadresse ausserhalb der verwalteten Domain funktioniert leider nicht.

 

In der PS-Konsole funktioniert übrigens das Skript. Auch wenn der Task als Exchange-Administrator ausgeführt wird.

Aber nicht mit einem Dienstkonto (es ist unter "Anmelden als Stapelverarbeitung" eingetragen.)

Ich vermute sobald der Task läuft, wird ein anderer Empfangsconnector angesprochen?

 

Nein, die Mails sollen nicht nach extern gehen.

Wenn das nicht Out-of-the-box geht wurde an den Standardconnectoren bereits etwas verändert, oder?

 

Am Standard-Empfangsconnector sind die "Anonymen Benutzer" abgehakt. Mit dem neuen Empfangsconnector soll verhindert werden, dass alle Systeme senden können. Es sollen nur bestimmte Systeme (über die IP) gezielt zugelassen werden.

bearbeitet 4. Mai 2021 von michelo82

[winmadness 79]

vor 20 Minuten schrieb michelo82:

Mit dem neuen Empfangsconnector soll verhindert werden, dass alle Systeme senden können. Es sollen nur bestimmte Systeme (über die IP) gezielt zugelassen werden.

Dass Du über das Systemkonto senden willst, hattest Du nicht erwähnt. Ich hatte das gleiche Problem mit dem Systemkonto. Wie Du habe ich einen eigenen Empfangsconnector für bestimmte IP-Adressen / Bereich. In diesem Connector nur "Anonyme Benuzter" zulassen, ansonsten keine. Diese Einstellung funktioniert bei mir.

[michelo82 12]

Hi,

generell kann ich von anderen z.b. Servern senden, sobald ich die IP-Adresse im entsprechenden Connector erlaubt habe. Für die Aufgabenplanung nutze ich Dienstkonten, die nach dem hinzufügen zur Sicherheitsrichtlinie "Anmelden als Stapelverarbeitung" das PS-Skript ausführen können und die Mail wird versendet.

 

Warum kann dieses Dienstkonto nicht für den Mailversand am Exchange genutzt werden?

[NorbertFe 2.027]

vor 5 Minuten schrieb michelo82:

Warum kann dieses Dienstkonto nicht für den Mailversand am Exchange genutzt werden?

Kann es bestimmt, aber dann müßte ja die Authentifizierung innerhalb deines Skripts laufen. Oder wie soll das sonst laufen? 

[michelo82 12]

Das ist ja das blöde. Die anderen Server dürfen unauthentifziert senden. Das funktioniert.

Am Exchange aber funktioniert es weder unauthentifiziert noch mit Authentifizierung. In der PS-Konsole als Exchange-Admin funktioniert es. Auch wenn ich die Anmeldaten des Exchange-Admins in der Aufgabenplanung eingebe funktioniert es. Ich möchte aber so ein hochprivilegiertes Konto dafür nicht verwenden.

[Dukel 451]

Man muss immer unterscheiden:

Empfänger intern -> Kein Problem (wenn nichts verstellt wurde)

Empfänger extern -> Hier gibt es noch eine unterscheidung:

   Per Authentifizierung senden -> Kein Problem (wenn nichts verstellt wurde)

   Kann nur Anonym senden -> Hier benötigt man einen Relaying Receive Connector und grenzt das auf die Systeme ein, die Mails verschicken müssen

[NorbertFe 2.027]

vor 26 Minuten schrieb michelo82:

Das ist ja das blöde. Die anderen Server dürfen unauthentifziert senden. Das funktioniert.

 

Dann sendet da aber KEIN Dienstkonto, sondern unauthentifiziert. ;) Siehe Dukels Antwort.

[winmadness 79]

vor 1 Stunde schrieb michelo82:

generell kann ich von anderen z.b. Servern senden, sobald ich die IP-Adresse im entsprechenden Connector erlaubt habe

Für welche Berechtigungsgruppen hast Du den Connector konfiguriert?

[michelo82 12]

Hi, danke.

vor 17 Minuten schrieb Dukel:

Man muss immer unterscheiden:

Empfänger intern -> Kein Problem (wenn nichts verstellt wurde) - Funktioniert!

Empfänger extern -> Hier gibt es noch eine unterscheidung:

   Per Authentifizierung senden -> Kein Problem (wenn nichts verstellt wurde)

   Kann nur Anonym senden -> Hier benötigt man einen Relaying Receive Connector und grenzt das auf die Systeme ein, die Mails verschicken müssen - Funktioniert! Wurde über einen weiteren Connector gelöst (Add-ADPermission -User “NT AUTHORITYANONYMOUS LOGON” -ExtendedRights “Ms-Exch-SMTP-Accept-Any-Recipient”)

 

Damit funktioniert es jedenfalls nicht (egal mit oder eben ohne Credentials):

 

$EmailFrom = "Exchange <exchange@meine-firma.de>"
$EmailTo = "ich@meine-firma.de"
$Subject ="Alarm: $who - $Detail - auf $MachineName"
$Body = "Message: $Message"
$SMTPServer = "exchange.meine-firma.de"
$SMTPClient = New-Object Net.Mail.SmtpClient($SmtpServer, 25) #587
#$SMTPClient.EnableSsl = $true
#$SMTPClient.Credentials = New-Object System.Net.NetworkCredential("ich@meine-firma.de", Passwort");
$SMTPClient.Send($EmailFrom, $EmailTo, $Subject, $Body)

 

 

Empfangsconnector:

 

Links die Konsolenausgabe wenn ich das Sendmail direkt in der Powerstell-ISE ausführe (Mailversand funktioniert!), rechts wenn der Task als Dienstkonto das Skript ausführt (Mailversand funktioniert nicht):

 

 

[Dukel 451]

Wenn du Authentifiziert senden magst, dein Connector aber nur Anonym zu lässt, kann das nicht gehen.

[michelo82 12]

Okay das leuchtet ein. Aber ich sende doch ohne Auth? Die stellen sind doch im Skript auskommentiert. Oder hab ich da einen Denkfehler?

bearbeitet 5. Mai 2021 von michelo82

[winmadness 79]

@michelo82 Funktioniert es wenn Du "$EMailFrom" auf "exchange@mail.de" setzt?