[Exchange 2007] Hoe uitgaand SMTP IP aan te passen?

[Urk]

Heb al even gezocht op GoT en Google.
Tevens gekeken onder Exchange 2007 MMC onder Organization Configuriation --> Hub Transport --> tabblad Send Connectors en Global Settings / Transport Settings.

Mijn server heeft 3 interne IP's, bijv. 192.168.5.1, 192.168.5.2 en 192.168.5.3.
192.168.5.1 is het primaire en default IP.

Hoe kan ik ervoor zorgen dat Exchange met zijn SMTP Send Connector mail verstuurd via een ander IP, bijv via 192.168.5.3 i.p.v. 192.168.5.1?

[Urk]

Stom, ik denk dat ik het al gevonden heb via een Exchange 2007 CmdLet:

Set-SendConnector -Identity "naam sending connector" -SourceIPAddress 192.168.5.4

En met:

Get-SendConnector -Identity "naam sending connector" | Format-List

haal je alle informatie op van de betreffende send connector
Dus voor degene die deze informatie ook zoekt.

[ Voor 26% gewijzigd door Urk op 15-12-2008 14:55 ]

[Verwijderd]

Heb je http://technet.microsoft.com/en-us/library/bb125243.aspx niet gevonden dan?
Ik denk dat je met set-sendconnector heel makkelijk de value voor SourceIpAddress kan veranderen.

Edit: Je hebt het al gevonden zie ik

[ Voor 10% gewijzigd door Verwijderd op 15-12-2008 14:57 ]

[Urk]

Verwijderd schreef op maandag 15 december 2008 @ 14:56:
Heb je http://technet.microsoft.com/en-us/library/bb125243.aspx niet gevonden dan?
Ik denk dat je met set-sendconnector heel makkelijk de value voor SourceIpAddress kan veranderen.

Edit: Je hebt het al gevonden zie ik

Inderdaad, maar toch bedankt!
Ik had weer eens niet verder gekeken dan m'n neus lang is....

[Urk]

Hmmm....dit verhaal krijgt toch nog een staartje.
Na wat te hebben getest blijkt dit helemaal niet te werken, sterker nog volgens Microsoft kan het niet op een Hub Transport Server, zie laatste alinea hier en de officiële docs van Microsoft waarin ook staat

This parameter specifies the local IP address to use as the endpoint for an SMTP connection to a remote messaging server. The default IP address is 0.0.0.0. This value tells the server to use any available local IP address. This parameter is only valid for Send connectors that are configured on Edge Transport servers.

Dit zou toch belachelijk zijn wanneer ik dit niet op een stand-alone Exchange 2007 server kan configureren, in ons geval hebben we 1 Exchange 2007 server die de Mailbox, Client Acces en Hub Transport rol speelt.
Een Edge Transport rol mag volgens Microsoft enkel buiten de beveiligde Activie Directory draaien, en dat gebruiken wij dus niet.

Hoe kan ik toch het andere IP gebruiken? Iemand...?

[ Voor 3% gewijzigd door Urk op 17-12-2008 22:18 ]

[Verwijderd]

Waarom wil je dat aanpassen dan?

[Urk]

Verwijderd schreef op woensdag 17 december 2008 @ 22:22:
Waarom wil je dat aanpassen dan?

Vanwege het scheiden van mail en normaal (bijv. web) verkeer. Tevens voor juiste SPF validatie, die komt nu vanaf een verkeerd IP. Ik kan wel de SPF policy aanpassen natuurlijk maar het lijkt me netter mail over hetzelfde IP naar buiten te gooien als dat het binnen komt (SMTP)

[sanfranjake]

Kan je het anders niet met een 1:1 NAT oplossen ofzo? Tenminste, ik ga er even vanuit dat je Exchangebak niet direct aan die internetverbindingen hangt, maar via (een) router(s)...

[Urk]

sanfranjake schreef op donderdag 18 december 2008 @ 00:14:
Kan je het anders niet met een 1:1 NAT oplossen ofzo? Tenminste, ik ga er even vanuit dat je Exchangebak niet direct aan die internetverbindingen hangt, maar via (een) router(s)...

Weet niet wat je precies bedoeld met een 1 op 1 NAT maar de Exchange 2007 zit achter een Cisco ASA waarin inkomend verkeer vanaf IP 192.168.5.4 naar buiten moet gaan via een apart extern IP. We hebben immers de beschikking over een gebundelde SDSL lijn met 16 IP's....
Die Cisco is al zo geconfigureerd, echter geeft exchange het dus niet door via het IP wat ik wil....

[sanfranjake]

Mja 1:1 NAT is vast niet de goede term, maargoed daarom doe ik ook de servers en niet de netwerken zullen we maar zeggen

Wat ik bedoel is >> default gateway op die exchange server aanpassen, en dan statische routes naar de interne subnetten (of 1 route voor 10.*.*.* oid naar de interne default gateway). Zo heb ik iets soortgelijks ooit bij een klant opgelost

[Urk]

sanfranjake schreef op donderdag 18 december 2008 @ 01:48:
Mja 1:1 NAT is vast niet de goede term, maargoed daarom doe ik ook de servers en niet de netwerken zullen we maar zeggen

Wat ik bedoel is >> default gateway op die exchange server aanpassen, en dan statische routes naar de interne subnetten (of 1 route voor 10.*.*.* oid naar de interne default gateway). Zo heb ik iets soortgelijks ooit bij een klant opgelost

Aha, ik denk dat ik je begrijp, echter wordt deze server niet alleen voor mail verkeer gebruikt maar ook voor andere zaken, daarom wil ik dus puur en alleen het mailverkeer van Exchange via een apart IP laten lopen zodat dat mooi apart blijft. En dat het door bijv. malware later niet mogelijk is dat het ene IP bijv. op een DNS-BL komt te staan terwijl dat bijv. niet door de mailserver is veroorzaakt die daar dan wel de dupe van zou worden...

Edit:
Als ik toch goed alle documentatie op internet doorlees kom ik er gewoon achter dat het niet kan wat ik wil...! Ik kan Exchange dus niet de opdracht geven uitgaand mailverkeer over een ander intern IP naar buiten te sturen (zodat de gateway, in dit geval de Cisco ASA) dat verkeer dan weer via een apart extern IP naar buiten kan sturen... Dat is toch krankzinnig?

[ Voor 17% gewijzigd door Urk op 18-12-2008 01:58 ]

[Question Mark]

Urk schreef op woensdag 17 december 2008 @ 22:17:
Dit zou toch belachelijk zijn wanneer ik dit niet op een stand-alone Exchange 2007 server kan configureren, in ons geval hebben we 1 Exchange 2007 server die de Mailbox, Client Acces en Hub Transport rol speelt.

Er zijn wel meer zaken waar je helaas een Edge-transport voor nodig bent.

Ik loop zelf tegen het feit aan dat ik aan "address-rewrite" moet gaan doen, terwijl de address-rewrite-agent enkel op een edge-transport server beschikbaar is.

[alt-92]

offtopic:
Workarounds als het routeren naar een andere GW voor een smarthost om de mail overheen naar buiten te trappen zijn ook niet acceptabel?

[sanfranjake]

Urk schreef op donderdag 18 december 2008 @ 01:56:
Dat is toch krankzinnig?

Neu vind ik eigenlijk niet. In een dusdanig grote omgeving waar je dit soort constructies toepast draait Exchange 99.9% van de keren dedicated, of zelfs met een server per rol... het is natuurlijk vervelend, maar ik kan het wel begrijpen

[Question Mark]

sanfranjake schreef op donderdag 18 december 2008 @ 14:50:
[...]

Neu vind ik eigenlijk niet. In een dusdanig grote omgeving waar je dit soort constructies toepast draait Exchange 99.9% van de keren dedicated, of zelfs met een server per rol...

Dat maakt toch niet uit?

Datzelfde geld/gold voor Exchange 2003, maar daar was de wens van de TS via het aanmaken van meerdere virtual smtp-servers nog wél te regelen.... Er zijn bij Exchange 2007 enkele design beslissingen door MS gedaan die niet altijd even handig uitpakken....

• adress rewrite enkel op edge transport
• Enkel mailboxserver role cluster-aware, wat betekend dat extra hardware ingezet moet worden om de overige rollen redudant te krijgen.
• Wens van TS kan niet zonder edge transport
• etc

Het zijn allemaal zaken die in Exchange 2003 geen probleem waren....

[/offtopic]

[chratnox]

Kun je op je firewall/packeteer of wat je ook hebt staan niet aangeven dat verkeer over poort 25 (SMTP) over een ander ip gaan? Lijkt me toch dat je dit wel kunt routeren op 1 of andere manier?

Ik weet er zo 1 2 3 het mijne niet van, maar dit lijkt me wel mogelijk.. Ik denk dat het eventueel met je verkeer via nat reguleren wel moet kunnen.

Nogmaals, ik speculeer maar even een beetje voor je

[Urk]

Question Mark schreef op donderdag 18 december 2008 @ 15:03:
[...]
Dat maakt toch niet uit?

Datzelfde geld/gold voor Exchange 2003, maar daar was de wens van de TS via het aanmaken van meerdere virtual smtp-servers nog wél te regelen.... Er zijn bij Exchange 2007 enkele design beslissingen door MS gedaan die niet altijd even handig uitpakken....

• adress rewrite enkel op edge transport
• Enkel mailboxserver role cluster-aware, wat betekend dat extra hardware ingezet moet worden om de overige rollen redudant te krijgen.
• Wens van TS kan niet zonder edge transport
• etc

Het zijn allemaal zaken die in Exchange 2003 geen probleem waren....

[/offtopic]

Precies, dat is het vreemde, in Exchange 2003 kon het nog wel, bovendien is deze instelling op precies dezelfde Cmdlet (voor zover dat klopt) wel beschikbaar op een Edge server, dan zou je zeggen dat dat makkelijk door te voeren is naar een Hub Transport Server... het is immers dezelfde settings/cmdlet

[Urk]

chratnox schreef op donderdag 18 december 2008 @ 17:55:
Kun je op je firewall/packeteer of wat je ook hebt staan niet aangeven dat verkeer over poort 25 (SMTP) over een ander ip gaan? Lijkt me toch dat je dit wel kunt routeren op 1 of andere manier?

Ik weet er zo 1 2 3 het mijne niet van, maar dit lijkt me wel mogelijk.. Ik denk dat het eventueel met je verkeer via nat reguleren wel moet kunnen.

Nogmaals, ik speculeer maar even een beetje voor je

Ja, dat klopt, dat is nu dan ook gedaan op de Cisco ASA box door het bedrijf wat die geleverd en geconfigureerd heeft, ik ben zelf namelijk geen Cisco Certified Engineer...
Het werkt nu wel goed, mail verkeer gaat nu over een apart extern IP naar buiten...

Vraag me echter wel af of dit ook gaat lukken wanneer je een simpele router/modem zoals bijv. een SpeedTouch hebt draaien.
Probleem is hiermee dus opgelost, maar blijft vreemd dat MS het in Exchange niet toelaat het IP te veranderen, misschien in SP2 wel...?

[ Voor 14% gewijzigd door Urk op 18-12-2008 21:53 ]

[sanfranjake]

Urk schreef op donderdag 18 december 2008 @ 21:52:
Vraag me echter wel af of dit ook gaat lukken wanneer je een simpele router/modem zoals bijv. een SpeedTouch hebt draaien.

SpeedTouch kan toch over het algemeen niet eens een tweede wan ip aan, dus lijkt me een non-issue Draytek routers bijvoorbeeld kunnen het prima op protocol of ip, wat jij wil

[chratnox]

sanfranjake schreef op donderdag 18 december 2008 @ 23:23:
[...]

SpeedTouch kan toch over het algemeen niet eens een tweede wan ip aan, dus lijkt me een non-issue Draytek routers bijvoorbeeld kunnen het prima op protocol of ip, wat jij wil

Daar komt bij dat je voor een productieomgeving natuurlijk geen Speedtouch wilt gebruiken, maar een appparaat wat _iets_ professioneler is. Blij dat het opgelost is, ook weer wat geleerd..