Exchange Windows Auth NTML extern nicht mehr möglich

[cybermcm 10]

Hallo,

 

Ich stehe an ;-). Exchange 2016, letzter Patchstand.

Vorbereitung auf eine Cloud Migration, Hybrid Conf Wizard scheitert relativ spät, weil er den MRSProxy Punkt nicht anlegen kann. Das Problem dahinter: von extern funktioniert NTLM anscheinend nicht

Was habe ich geprüft (es hat sicher schon mal funktioniert):

1. Exchange Health Script -> OK
2. Outlook Test Konnektivität intern -> OK
3. Priasoft AutoDiscover XML -> OK
4. Kein Proxy vor dem Exchange
5. ExchangeExtendedProtection schon abgeschalten -> keine Änderung
6. OWA funktioniert
7. Split DNS meiner Meinung nach OK, intern und extern mail.xyz.de, Public Zert
8. testconnectivity.microsoft.com -> scheitert! und zwar schon beim autodiscover. Mein Finding: Schalte ich im IIS bei Autodiscover "Windows Authentication" ab (es bleibt nur Basic aktiv), dann komme ich über diesen Punkt weiter

 

Ich scheitere an der NTLM Auth (egal ob ich domain\account oder account@domain versuche). Username/Passwort falsch, aber defintiv richtig

Aktuell habe ich keine Idee mehr, woran es liegen könnte, vielleicht hier noch jemand eine Idee? Gerne mehr Infos, wenn notwendig

bearbeitet 21. September von cybermcm
mehr Infos hinzugefügt

[cybermcm 10]

Update von meiner Seite. Ich habe (viel zu lange) an der falschen Stelle gesucht.

Nachdem ich mich mehr in Richtung NTLM Fehler orientiert habe, habe ich anhand der Fehlermeldungen am Exchange NTLM Fehlercodes gesehen und bin letztendlich über die GPO 

"Network security: Restrict NTLM: NTLM authentication in this domain" gestoßen. Möglicherweise war die zu Testzwecken (irgendwann mal) kurzzeitig aktiv. Setze ich die GPO auf disabled und mache ein gpupdate, dann klappt wieder alles. Was ich noch nicht 100% verstehe, nehme ich die Policy wieder weg, dann klappt es wieder nicht mehr. Ich hätte jetzt noch keinen Grund gefunden, warum NTLM wieder gesperrt ist, wenn ich die Policy wegnehme.   Update: Noch ein Update, warum es ohne Policy auch nicht mehr funktioniert hat, da auf einem Domaincontroller (Master) ein RegKey gesetzt war, der anscheinend bei dem o.a. Test nicht richtig gestellt wurde: Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters RestrictNTLMInDomain war auf 7 (deny all), Standard ist 0

bearbeitet 24. September von cybermcm
update

[MurdocX 954]

Hi,

 

anscheinend habt Ihr eine produktive Testumgebung  

An deinem Beispiel sieht man gut den Grund, warum man das nicht in einer produktiven Umgebung tun sollte.

 

VG,

Jan

[cybermcm 10]

@MurdocX Du hast vollkommen Recht, kleiner Kunde, keine wirkliche Testumgebung vorhanden. Grund der Tests war "Serverhardening", letztendlich gründlich daneben gegangen...

[MurdocX 954]

Freut mich zu lesen das es bei Euch - dem Kunden - wieder funktioniert.

Gute Arbeit, das die Einstellung gefunden wurde. Da hat sich die Mühe ausgezahlt. 👍