Automatische Mails werden nicht weitergeleitet

[Blackshark 0]

Guten Tag

 

Ich habe bei einem Kunden das Problem, dass Abwesenheitsmails extern nicht an den EOP geschickt werden. Der Kunde verwendet einen Exchange Server 2019 mit Connectoren zu Microsoft EOP. Das Mail bleibt in der Queue hängen mit folgender Fehlermeldung:

 451 4.4.62 Mail sent to the wrong Office 365 region. ATTR35

Alle anderen Mails werden problemlos gesendet oder empfangen.

 

Hoffentlich hat jemand einen guten Tipp für mich.

 

Vielen Dank.

[tesso 375]

ATTR35 response code when mail is sent to EOP/EXO - Exchange | Microsoft Learn

 

[Blackshark 0]

Ja, danke. Habe ich auch schon alles durch. Wenn da etwas nicht stimmen würde, würde wahrscheinlich der ganze Mailfluss nicht funktionieren. Ausser beim CNAME Eintrag habe ich etwas anderes. Wie wichtig ist dieser CNAME Eintrag im DNS?

 

[NorbertFe 2.041]

Es geht also um OOF Nachrichten die von On-Prem Postfächern an ExO Postfächer gesendet werden oder auch an externe Empfänger gehen? Ich vermute mal ein Problem von O365 mit dem empty sender einer OOF. Wie ist denn dein HybridConnector konfiguriert? Kannst du da mal ein get-sendconnector | fl hier posten (ggf. anonymisiert)?

[Blackshark 0]

AddressSpaces                : {SMTP:*;1}
AuthenticationCredential     :
CloudServicesMailEnabled     : False
Comment                      :
ConnectedDomains             : {}
ConnectionInactivityTimeOut  : 00:10:00
ConnectorType                : Default
DNSRoutingEnabled            : False
DomainSecureEnabled          : False
Enabled                      : True
ErrorPolicies                : Default
ForceHELO                    : False
Fqdn                         : mail.**********.ch
FrontendProxyEnabled         : False
HomeMTA                      : Microsoft MTA
HomeMtaServerId              : ********
Identity                     : **********-to-EOP
IgnoreSTARTTLS               : False
IsScopedConnector            : False
IsSmtpConnector              : True
MaxMessageSize               : 50 MB (52,428,800 bytes)
Name                         : *********-to-EOP
Port                         : 25
ProtocolLoggingLevel         : Verbose
Region                       : NotSpecified
RequireOorg                  : False
RequireTLS                   : False
SmartHostAuthMechanism       : None
SmartHosts                   : {***********-ch.mail.protection.outlook.com}
SmartHostsString             : ***********-ch.mail.protection.outlook.com
SmtpMaxMessagesPerConnection : 20
SourceIPAddress              : 0.0.0.0
SourceRoutingGroup           : Exchange Routing Group (DWBGZMFD01QNBJR)
SourceTransportServers       : {************}
TlsAuthLevel                 :
TlsCertificateName           :
TlsDomain                    :
UseExternalDNSServersEnabled : False

[NorbertFe 2.041]

https://learn.microsoft.com/de-de/exchange/troubleshoot/email-delivery/wrong-office-365-region-exo

 

Zitat

If you are still seeing the ATTR35 error after you verify smart host and DNS settings, your servers or devices are probably sending mail outside of your organization without a properly configured Microsoft 365 Inbound Connector. In this case, you must configure the additional settings as described in Option 3 of How to set up a multifunction device or application to send email using Microsoft 365. This is because you cannot use Option 2 to send external to your organization. To use Option 3 to relay mail from your servers or devices through Microsoft 365, make sure that your Inbound connectors in Microsoft 365 contain the correct sending certificate name or SAN that is in use by that server or device, or the correct sending IP address of the sending server or device.

 

 

vor 31 Minuten schrieb Blackshark:

TlsAuthLevel                 :
TlsCertificateName           :
TlsDomain                    :
UseExternalDNSServersEnabled : False

 

Zitat

Konfigurieren Sie Ihr Setup nur, wenn Sie eine der folgenden Bedingungen erfüllt haben:

• Absenderdomäne: Stellen Sie sicher, dass die Absenderdomäne zu Ihrer Organisation gehört (d. a. Sie haben Ihre Domäne in Microsoft 365 registriert). Weitere Informationen finden Sie unter Hinzufügen einer Domäne zu Microsoft 365.
• Zertifikatbasierte Connectorkonfiguration: Stellen Sie sicher, dass Ihr lokaler E-Mail-Server so konfiguriert ist, dass er ein Zertifikat zum Senden von E-Mails an Microsoft 365 verwendet, und der Common-Name (CN) oder der alternative Antragstellername (Subject Alternate Name, SAN) im Zertifikat einen Domänennamen enthält, den Sie in Microsoft 365 registriert haben, und Sie haben in Microsoft 365 einen zertifikatbasierten Connector mit dieser Domäne erstellt.

 

Ich würde sagen, an der Stelle ist der Fehler zu suchen. Für "normale" Mails wird das funktionieren, weil ihr da vermutlich einen SPF Record mit der public IP des On-Prem Servers habt.

https://learn.microsoft.com/de-de/Exchange/mail-flow-best-practices/how-to-set-up-a-multifunction-device-or-application-to-send-email-using-microsoft-365-or-office-365?redirectSourcePath=%2farticle%2fhow-to-set-up-a-multifunction-device-or-application-to-send-email-using-office-365-69f58e99-c550-4274-ad18-c805d654b4c4#option-3-configure-a-connector-to-send-emails-using-microsoft-365-or-office-365-smtp-relay

 

[Blackshark 0]

Wenn ich einen Connector mache mit der Domäne drin *******.ch geht der Mailversand komplett nicht mehr. Im Connector welcher funktioniert ist die externe WAN IP drin.

[NorbertFe 2.041]

Wieso ist die externe WAN IP im Sendeconnector?

Die Links oben geben dir sehr wahrscheinlich die Möglichkeiten vor. Das wird man im Zweifel der Reihe nach durchtesten können/müssen. Ein Sendeconnector hat einen Ziel Adressraum (* oder eben bestimmte Maildomains), damit er für diesen Adressraum verwendet wird (plus die jeweilige Priorität). In deinem Fall ist also nicht der Adressraum das Problem, sondern der Smarthost von MS (EOP), der von dir für die Annahme solcher Mails eben bestimmte Voraussetzungen definiert.

[Blackshark 0]

Was kann ich machen?

[NorbertFe 2.041]

Gerade eben schrieb Blackshark:

Was kann ich machen?

Ich dachte ich hätte mit den entsprechenden Links in 

die Hinweise auf die mögliche Lösung deines Problems gegeben. Du wirst also testen müssen, ob die Konfiguration des Sendeconnectors zum Ziel führt. Da ich deine grundsätzliche Konfiguration nicht kenne, wird das etwas schwierig, sowas im Forum als Schritt für Schritt Anleitung hinzuschreiben. Vor allem, weil du ja bspw. die erste meiner Frage noch nicht mal beanwortet hast:

Es geht also um OOF Nachrichten die von On-Prem Postfächern an ExO Postfächer gesendet werden oder auch an externe Empfänger gehen?

 

Je nach der Konfiguration und des gewünschten/konfigurierten Mailflows kann es also evtl. unterschiedliche (oder keine sinnvolle) Lösung geben.

 

 

[Blackshark 0]

Oh, sorry.

 

Es geht also um OOF Nachrichten die von On-Prem Postfächern an ExO Postfächer gesendet werden oder auch an externe Empfänger gehen?

 

Diese Nachrichten werden von ON-Prem zu EOP geschickt, oder besser gesagt sollten geschickt werden.

 

 

[Blackshark 0]

Ich habe eher den Eindruck, dass das Mail nicht rausgeht, weil der Absender leer ist. Wo kann man einstellen, dass auch diese Mails akzeptiert werden?

[NorbertFe 2.041]

Ja, diese Vermutung wurde aber jetzt auch bereits von mir geäußert inklusive dem Vorschlag, den Sendeconnector mal zu bearbeiten. Ansonsten drehen wir uns hier im Kreis. 

[Blackshark 0]

OK. Können Sie mir bitte sagen, was ich denn jetzt mit diesen Connectoren einstellen und testen soll? Haben Sie da einen Tipp?

[NorbertFe 2.041]

Ich vermute, du erwartest das, was ich dir oben schon erklärt habe, hier nicht geben zu können:

Da ich deine grundsätzliche Konfiguration nicht kenne, wird das etwas schwierig, sowas im Forum als Schritt für Schritt Anleitung hinzuschreiben.

 

Insofern habe ich dir die Werkzeuge an die Hand gegeben, dich mit diesem Problem auseinanderzusetzen:

TlsAuthLevel                 :
TlsCertificateName           :
TlsDomain                    :
UseExternalDNSServersEnabled : False

 

Konfiguriere das mal korrekt (mit validen Zertifikatsdaten) und auf der Gegenseite in Exchange Online mit Zertifikatsvalidierung und schau ob sich was ändert. Wenn du das selbst nicht machen kannst oder willst, wäre es jetzt an der Zeit sich an (s)einen Dienstleister für diese Themen zu wenden um zu schauen, ob das Problem gelöst werden kann. Ich kann dir nicht sagen, ob es dafür eine "vernünftige" Lösung gibt, aber ich gehe stark davon aus.

 

Bye

Norbert

 

PS: Da hilft auch kein Siezen. Und wenn du immer nur deine Einzeiler hier postest, ohne mal mitzuarbeiten (zumindest ist das mein Eindruck), dann wird die Hilfe hier auch nicht sonderlich wirksam sein.