2 Exchange-omgevingen, mail naar elkaar

[Daffie]

Hallo,

Ik heb een testopstelling waarin ik de werking van de Edge Transport Server wil testen/bekijken. Ik heb op dit moment 2 PC's met daarop VMWare. Op elke fysieke PC staan 3 virtuele machines; 1 DC, 1 Exchange server en 1 Edge Transport Server. De Edge Transport server heeft via VMWare een tweetal network adapters, eentje waarmee hij kan communiceren met de DC en de Exchange server, en eentje is Bridged met de fysieke kaart van de PC. Van de ene PC loopt een kabel direct naar de andere PC, zonder tussenkomst van routers of switches.

Alles tot en met de Edge Subscription is reeds gelukt. Nu weet ik alleen niet zo 1 2 3 hoe ik ervoor zorg dat mail van de ene exchange omgeving naar de andere komt. Dus stel het ene domein heet jan.nl en het andere piet.nl, hoe zorg ik er dan voor dat een email van [e-mail] terecht komt in de mailbox van piet ([e-mail]).

Ben me nog aan het verdiepen in de mogelijkheden van Exchange

[ Voor 18% gewijzigd door Daffie op 22-11-2011 12:37 ]

[Jazzy]

De korte route is om op beide servers een smarthost in te stellen, dat de mail wordt afgeleverd bij het andere systeem. De nette (en meest echte) oplossing is om voor beide domeinen een MX-record aan te maken in je interne DNS. Dan kunnen ze de andere server vinden op basis van MX-record, net als in het echt.

[Mike2k]

Volgens mij haal je een paar dingen door elkaar...wil je mail routeren van jan.nl naar piet.nl of wil je mail laten afleveren bij je Edge Transport server welke de mail doorzet naar je Exchange Server?

[Daffie]

Mike2k schreef op dinsdag 22 november 2011 @ 12:37:
Volgens mij haal je een paar dingen door elkaar...wil je mail routeren van jan.nl naar piet.nl of wil je mail laten afleveren bij je Edge Transport server welke de mail doorzet naar je Exchange Server?

Dat tweede. Jan van de organisatie Jan (vandaar [e-mail]), stuurt een mailtje geadresseerd aan [e-mail] (andere organisatie).

[Daffie]

@Jazzy:

Waar maak ik die MX-record aan dan? Als ik naar de DNS server van de ene organisatie ga en ik wil een nieuwe MX-record aanmaken, dan wilt hij er vanzelf jan.nl of piet.nl achter zetten.

[Jazzy]

Waar kijken die Exchange servers voor het bezorgen van mail, externe DNS servers of de lokale DNS-server op de DC? In geval van dat laatste dan moet je daar natuurlijk eerst een zone aanmaken en een A-record, pas dan kun je een MX-record maken.

[Daffie]

De Exchange servers kijken naar een lokale DNS server. Wat voor zone maak in dan aan? Secondairy? Heb ooit wel eens wat gespeeld met DNS maar ik ben het helemaal kwijt.

[Jazzy]

Ik wil je best aan het handje nemen maar je leert er meer van als je het zelf even gaat uitzoeken. Serieus, dit is geen rocket science.

[Daffie]

Ik ben nu wat verder aan het rommelen geweest. Nu is het zo dat het ene domein (jan.nl) een DC, een Exchange server en een werkstation in het domein jan.nl. Daarnaast is er een Edge server, niet in het domein maar wel met de DNS suffix jan.nl (dus FQDN is ETS.jan.nl)

Om mail te sturen naar piet.nl heb ik op de DC bij de DNS een conditonal forwarder gemaakt naar piet.nl. Daarnaast is er ook een statische A-record voor de Edge server.

Ik heb op de Edge Transport server een .xml-file gemaakt, deze op de Exchange server gezet en een Edge subscription gemaakt. Bij Accepted domains stond standaard al jan.nl (authoritative) en daar heb ik piet.nl (external relay) bij gezet.

Als ik nu met het werkstationnetje een mail stuur, krijg ik geen foutmelding, maar de mail komt ook niet aan.

In het netwerk van piet.nl is precies hetzelfde ingesteld maar dan gespiegeld.

Qua pure netwerk connectiviteit is er niks fout voor zover ik weet, alle machines kunnen elkaar op ip adres en DNS naam pingen. Ik heb ook al een paar keer de mail flow analyzer gedraaid maar ik kom er niet uit.

Ik heb hier een schemaatje getekend van het netwerk. Het is puur een testopstelling.

Kan iemand mij een hint geven wat ik verkeerd doe?

[nielsl]

Ik snap in het tekeningetje het nut van 2 edge servers niet zo goed? Nu heb je namelijk alsnog niet echt één edge, maar 2 edges. An sich geen probleem, maar ik denk dat je het beste 1 edge server eruit halen, zodat je 2 netwerken hebt, met ieder zijn/haar Exchange bak, en die éne edge server gewoon netjes de mail te laten relayen naar de respectievelijke exchange bak. Dat kun je dus doen door middel van external relaying, maar daarbij moet je ook een transport rule aanmaken, zodat de edge server weet naar welke mailserver hij de mail moet relayen. Die transport rule kun je maken obv mx records, of obv fixed IP's.

[Daffie]

@nielsl:
Het gaat erom dat ik kan nabootsen hoe dit bij een bedrijf werkt. Je moet de twee domeinen jan.nl en piet.nl zien als 2 aparte bedrijven. Elk bedrijf heeft zodoende zijn eigen Edge Server. Het enige verschil met de 'real-world' is dat ik in dit geval een kabeltje heb getrokken tussen de 2 edge server, in plaats van dat daar normaal het internet zit. Die comm-lijn tussen de 2 edge servers stelt dus eigenlijk het WAN voor.

[ Voor 9% gewijzigd door Daffie op 23-11-2011 15:05 ]

[nielsl]

Daffie schreef op woensdag 23 november 2011 @ 14:21:
@nielsl:
Het gaat erom dat ik kan nabootsen hoe dit bij een bedrijf werkt. Je moet de twee domeinen jan.nl en piet.nl zien als 2 aparte bedrijven. Elk bedrijf heeft zodoende zijn eigen Edge Server. Het enige verschil met de 'real-world' is dat ik in dit geval een kabeltje heb getrokken tussen de 2 edge server, in plaats van dat daar normaal het internet zit. Die comm-lijn tussen de 2 edge servers stelt dus eigenlijk het WAN voor.

Prima, het is altijd goed om te experimenten immers .
Maar dan geldt dat voor het afleveren van e-mail vanaf jan.nl naar piet.nl er dus met MX records gewerkt moet worden. Normaliter wordt dat voor je gedaan omdat jan.nl en piet.nl ergens worden gehost en je mailserver daar het MX record opvraagt.
Omdat dat niet het geval is, zul je in de DNS van jan.local een MX record voor piet.nl moeten aanmaken dat wijst naar de edge server van piet.nl, en vice versa. In de DNS van piet.local moet een MX record komen te staan voor jan.nl die wijst naar de edge server van jan.nl. Je hoeft dus niet te werken met external relays, dan doe je immers in real life ook niet, daar kijk je op basis van MX records waar e-mail wordt afgeleverd.

[Daffie]

Oke, duidelijk

Maar, dien ik dan op de DNS server van jan.nl een nieuwe forward lookup zone te maken, genaamd piet.nl, en daarin een MX record maken die verwijst naar de edge server van piet.nl?

Of, kan ik ook op de DNS server van jan.nl een conditional forwarder maken voor piet.nl, en dan doorverwijzen naar de DNS server van piet.nl; om dan dáár vervolgens in de Forward Lookup zone piet.nl (die er uiteraard al is) een MX-record te maken voor de Edge Server?


EDIT: En dan nog iets, als ik een Edge subscription maak, dan worden er automatisch een tweetal Send Connectors aangemaakt; een 'Default-First-Site-Name to Internet' en en 'Inbound to Default-First-Site-Name'.

Als ik de properties bekijk van de 'Default-First-Site-Name to Internet' en op het tabje Network klik, dan staat daar 'Use Domain Name System (DNS) "MX" Records to route mails automatically', met daaronder de checkbox aangevinkt waarin staat 'Enable Domain Security (Mutual Auth TLS)'
Voor zover ik weet is dat de bedoeling want je had het in je vorige post ook over MX records.

Maar in de properties van de 'Inbound to Default-First-Site-Name' staat hij standaard op 'Route mail trough the following Smart Hosts', met daaronder een lijst waarin alleen twee streepjes (--) staan. Is dit de bedoeling of moet dit ook op dezelfde instelling staan als de eerste?

[ Voor 48% gewijzigd door Daffie op 23-11-2011 22:47 ]

[musiman]

Op de dns server van jan.nl moet je in de zone van jan.nl een mx record maken en die moet verwijzen naar het A record van de edge server van jan.nl.

Op de dns server van piet.nl moet je in de zone piet.nl een mx record maken en die moet verwijzen naar het A record van de edge server van piet.nl.

De mailserver van jan.nl wil een mail die aan [e-mail] gericht is, doorsturen naar de mailserver van @piet.nl. Daarom gaat de mailserver van jan.nl vragen aan DNS land: mag ik de MX records van piet.nl? Dankzij jouw conditional forwarder op de jan.nl dns server zal dit verzoek doorgestuurd worden naar de piet.nl dns server. Deze geeft het antwoord aan de jan.nl dns server en die geeft het antwoord weer door aan jouw jan.nl mailserver.

[Daffie]

Bedankt voor je reply. Ik heb het zo ingesteld als je hebt verteld, maar nog steeds werkt het niet. Bij voorbaat excuses voor enige 'newb' vragen maar ik heb al een viertal guides gevolgd maar allemaal gaan ze alleen over het instellen van de Edge Transport en het instellen van filters, maar over het daadwerkelijk mail sturen naar een andere exchange organisatie wordt nergens iets uitgelegd. Misschien omdat het gewoon uber simpel is maar ik krijg het niet aan de praat. Ik heb een zooitje screenshots gemaakt van de apparaten met daarin wat configs.

Misschien dat een van jullie de vinger op de zere plek kan leggen?

DNS instellingen van de DC (dit domein heet dus langakker.nl)
Tabje Remote Domains van de Exchange Server
Tabje Accepted Domains van de Exchange Server
Tabje Send Connectors van de Exchange Server, met de properties open op General
Tabje Send Connectors van de Exchange Server, met de properties open op Address Space
Tabje Send Connectors van de Exchange Server, met de properties open op Network
Tabje Send Connectors van de Exchange Server, met de properties open op Source Server
Edge Server, Organization Config -> Hub Transport
Edge Server, Tabje Receive Connectors met Properties open op General
Edge Server, Tabje Receive Connectors met Properties open op Network
Edge Server, Tabje Receive Connectors met Properties open op Authentication
Edge Server, Tabje Receive Connectors met Properties open op Permission Groups
Edge Server, Tabje Send Connectors
Edge Server. Tabje Accepted Domains

Overigens is het wel zo dat ik op DNS naam gewoon kan pingen, zowel binnen deze organisatie als naar de andere. Om dit voor elkaar te krijgen heb ik op de beide EDGE servers de Routing and Remote Access role geinstalleerd, en via RIP de netwerken geredistribute.

Elke keer als ik een mail wil sturen krijg ik vrijwel gelijk een mail van de Exchange Server met een hele lap text en de foutcode: #550 5.1.1 RESOLVER.ADR.RecipNotFound; not found ##

Nogmaals excuses voor de vele vragen . Maar ik ben er nu al 3,5 dag mee aan't rotzooien en ik wil wel eens weten wat ik nu grandioos over het hoofd zie of grandioos fout doe.

[ Voor 8% gewijzigd door Daffie op 24-11-2011 11:07 ]

[Jazzy]

Je hoefde niets aan Exchange te veranderen en RRAS op de Edge Servers zetten maakt het ook niet bepaald eenvoudiger. Het enige wat je moet regelen is dat de Exchange-servers in de DNS-server die ze gebruiken een MX-record kunnen vinden zodat ze weten bij welke server ze het mailtje voor die externe moeten afleveren.

Dus je servers in het langakker.nl domein moeten weten bij wie ze mail moeten afleveren welke aan @eekelen.nl gericht is. Om dat te testen log je op de langakker.nl server in en start je nslookup. Type nu eerst 'set type=mx' en dan op de volgende regel 'eekelen.nl'. Het resultaat moet zijn edge.eekelen.nl.

Werkt dat?

[Jazzy]

Ik zie trouwens dat je op de Exchange-server voor langakker.nl ook het domein eekelen.nl hebt toegevoegd als accepted domain, dat moet je natuurlijk niet doen. Zo denkt de server dat hij zelf verantwoordelijk is voor dat maildomein en gaat hij de mail nooit afleveren aan een andere server.

Verder zou ik TLS eerst maar even niet inschakelen. Probeer eerst de mailflow maar te regelen, daarna kun je het wel gaan versleutelen.

[ Voor 19% gewijzigd door Jazzy op 24-11-2011 11:12 ]

[Daffie]

Dit is het resultaat van de NSLookup.

Overigens heb ik RRAS gebruikt omdat het ene domein op het 192.168.0.x /24 netwerk zit, en het andere op het 172.16.0.x /24 netwerk zit. Dus wil 192.168.0.1 naar 172.16.0.1, dan moet hij wel weten welke kant hij op moet, en daar zorgt in mijn geval RIP voor. Het hele Network Policy-gebeuren heb ik niet aangeraakt, sterker nog, dat onderdeel van RRAS heb ik niet eens geinstalleerd.

EDIT: Ben nu bezig om dat tweede accepted domain eruit te gooien en de TLS versleuteling uit te zetten en dan een synch forcen.

[ Voor 11% gewijzigd door Daffie op 24-11-2011 11:24 ]

[Daffie]

We zijn al een stapje verder; ik krijg nu niet meteen een mail terug van de Exchange Server, maar de mail komt ook nog niet aan bij de ander.

Ik heb via Message Tracking van de Exchange server dit en dit gezien, maar waar de mail dan blijft weet ik niet.

EDIT: Op advies van PesaH heb ik de Queue Viewer bekeken, en op de Edge server krijg ik dit te zien

[ Voor 17% gewijzigd door Daffie op 24-11-2011 16:20 ]