Exchange 2013 SP1 op SRV2012R2 en gezeur met Edge Transport

[SilentDecode]

Hallo,

Ik moet voor mijn werk een Exchange omgeving bouwen en die moet ook naar buiten kunnen mailen via de Edge Transport server.
Momenteel draait het nog als testomgeving op mijn werk laptop.


Situatie:
We hebben 3 servers;
1: Windows Server 2012R2 als Domain Controller (incl. updates, 2GB RAM)
2: Windows Server 2012R2 als Exchange 2013 SP1 bak (ook weer met alle updates, 8GB RAM)
3: Windows Server 2012R2 als Edge Transport (ook met alle updates, 4GB RAM)

En 2 werkstations:
2x Windows 8.1 in het domein. (1 intern en de ander extern)


Op de servers staan geïnstalleerd:
1: ADDC, DNS, DHCP
2: Exchange 2013 SP1 met alle Prerequisites en updates
3: Exchange 2013 SP1 Edge Transport server met alle prerequisites en updates. Hier draait ook RRAS en DNS op.


Het probleem ligt niet op het interne netwerk, maar meer naar de buitenwereld.
Ik kan momenteel intern gewoon mailen, agenda's bekijken enzovoort wat je normaal met een Exchange machine moet kunnen.

Het probleem zit echter in de Edge server.
De Edge server is momenteel de RRAS server (Remote Routing and Access services) en functioneerd dus als router. Deze machine staat tevens in het domein.

De routing functionaliteit werkt in principe goed en alles is goed geforward.
Ik kan met een workstation (1 van de Windows 8.1 machines) op het WAN, ook op de OWA en ECP van de Exchange bak komen. Deze zijn volledig portforwarded in de Edge server.

Ik kan prima met OWA mailen enzovoort. Op het moment dat ik mijn Outlook 2013 op mijn Exchange machine probeer aan te sluiten op WAN, gaat het mis.
Op geen enkele manier kan ik die Exchange machine vanuit Outlook 2013 bereiken. Er is geen enkele manier dat het werkt in Outlook. Alle DNS records staan goed en zijn goed ge-forwarded naar de Exchange bak.

Momenteel kunnen dus de medewerkers alleen via OWA mailen en niet op Outlook buiten het domein.
Dit is echter wel een vereiste en dit zou gewoon moeten werken.


Met de Edge server ben ik al onderhand een aardige tijd aan het stoeien. Momenteel heb ik nog een Edge server draaien die zich buiten het domein bevind en deze werkt ook niet. Ik ben onderhand de klus kwijt en weet niet meer hoe ik het een en ander op moet lossen.


Zoals ik boven in het verhaal al heb gemeld, draait het momenteel in testfase, maar toch is het belangrijk dat ik weet hoe ik iets op moet lossen als ik het uiteindelijk ga verwerken in het bedrijf.

Momenteel draait de hele omgeving op het volgende:
HP Elitebook 8760w
i7 2860QM
24GB DDR3 1333 RAM
500GB Samsung Evo 840 (met nieuwe software)
Windows 8.1 geïnstalleerd maar het draait op ESX.


Kan iemand mij helpen met het probleem van de Edge server?
Weet iemand ook maar een detail wat ik ben vergeten bij de Edge server?
Elk antwoord is welkom en ik hoor jullie graag aan.
Ik zou zo snel mogelijk proberen te reageren.


Groet,
Tom

Onderstaand een Visio-tekening van het concept;

[Question Mark]

Je (domainjoined) edge server heeft een dns-server van Google geconfigureerd staan, dat is al een absolute Nogo.

Draai verder de Remote connectivity analyzer eens. Draai wat testen en ga eens met de output aan de slag. Of post ze hier mocht je er niet uitkomen.

[SilentDecode]

Question Mark schreef op donderdag 20 november 2014 @ 13:38:
Je (domainjoined) edge server heeft een dns-server van Google geconfigureerd staan, dat is al een absolute Nogo.

Draai verder de Remote connectivity analyzer eens. Draai wat testen en ga eens met de output aan de slag. Of post ze hier mocht je er niet uitkomen.

Die Google DNS heb ik er al uitgehaald en geforward naar mijn eigen DC.
Ik ben gewoon vergeten mijn Visio aan te passen .

Ik ga met dat testen even aan de gang.

[Verwijderd]

Hoezo gebruik je RRAS?

[SilentDecode]

Verwijderd schreef op donderdag 20 november 2014 @ 13:42:
Hoezo gebruik je RRAS?

Ik gebruik RRAS om een router te hebben in mijn netwerk om naar buiten te komen met de servers.

[Question Mark]

Verwijderd schreef op donderdag 20 november 2014 @ 13:42:
Hoezo gebruik je RRAS?

Ik vind de vraag waarom in deze opzet een Edge Transport gebruikt wordt veel belangrijker.

De Edge Transport in deze opzet is immers domainjoined en staat niet in een DMZ. Het hele idee om via een veilige manier SMTP aan te bieden tussen je interne netwerk en het internet wordt zo teniet gedaan. Het enige voordeel wat je dan nog zou kunnen hebben is anti-spam, maar dat kun je ook op je mailbox server regelen.

[Killah_Priest]

Um, voorzover ik weet zorgt de CAS voor de connectie tussen clients en server en niet de edge server.
Hoe zit je autodiscover trouwens in elkaar? Werkt deze wel correct intern? Outlook clients hebben namelijk veel voordeel hierbij (en bij een incorrecte autodiscover kunnen de clients ook de server niet bereiken als hier een verkeerde server staat).

[Jazzy]

Je testopstelling is nodeloos complex, maar als we de Edge Transport server nu even puur als router zien dan valt het wel mee. Outlook Anywere gebruikt dezelfde poort als OWA dus als je die forwarding in RRAS geregeld hebt dan ben je er wat netwerk betreft.

Dan de configuratie van Outlook, deze gebruikt Autodiscover om zijn profiel te kunnen configureren. In jouw geval is de Outlook client geen member van het domain/forest waar Exchange in staat dus de client zal geen SCP vinden. Dan valt hij terug op de DNS methodes (https://domain.nl/autodiscover/autodiscover.xml, https://autodiscover.domain.nl/autodiscover/autodiscover.xml, enzovoort.) en ik gok dat daar iets fout gaat. Je kunt dit proces inzichtelijk maken door in Outlook de Test Email AutoConfiguration te starten, je emailadres en wachtwoord in te vullen, beide GuessSmart vinkjes uitzetten en de test starten.

Verder moet ik wel even kwijt dat je aanpak me meer doet denken aan een huiswerkvraag dan het ontwerpen van Exchange in een zakelijke omgeving. Ik krijg een beetje het gevoel dat je bent gestart met een testomgeving, in plaats van dat je de testomgeving gebruikt om te controleren of je ontwerp klopt.

Verder nog een kleinigheidje, je gebruikt Exchange 2013 SP1 (CU4) terwijl CU6 al uit is.

[ Voor 3% gewijzigd door Jazzy op 20-11-2014 15:27 ]

[Question Mark]

Killah_Priest schreef op donderdag 20 november 2014 @ 15:11:
Um, voorzover ik weet zorgt de CAS voor de connectie tussen clients en server en niet de edge server.

Klopt, dus als TS op zijn maiboxserver ook de CAS en Hub/Transport geinstalleerd heeft staan heeft hij een werkende Exchange omgeving. Edge Transport verzorgt alleen anti-mailware en transport vanaf de "edge" van de organisatie.

Edge Transport is ook optioneel aangezien je HT ook al een transport role heeft.

[SilentDecode]

Killah_Priest schreef op donderdag 20 november 2014 @ 15:11:
Um, voorzover ik weet zorgt de CAS voor de connectie tussen clients en server en niet de edge server.
Hoe zit je autodiscover trouwens in elkaar? Werkt deze wel correct intern? Outlook clients hebben namelijk veel voordeel hierbij (en bij een incorrecte autodiscover kunnen de clients ook de server niet bereiken als hier een verkeerde server staat).

Mijn autodiscover binnen het domein werkt uitstekend en is erg snel. Daarmee zijn dus geen problemen.
Aan de buitenkant van het domein is het echter een ander verhaal. Hier werkt autodiscover totaal niet.
Ik kan de server in principe totaal niet bereiken in Outlook. OWA werkt echter wel correct.

[Jazzy]

Tompecht schreef op donderdag 20 november 2014 @ 15:50:
[...]


Mijn autodiscover binnen het domein werkt uitstekend en is erg snel. Daarmee zijn dus geen problemen.
Aan de buitenkant van het domein is het echter een ander verhaal. Hier werkt autodiscover totaal niet.
Ik kan de server in principe totaal niet bereiken in Outlook. OWA werkt echter wel correct.

Hoe heb je Autodiscover dan ingericht, welke DNS records heb je aangemaakt? En wat is de uitkomst van die test die ik noemde?

Question Mark schreef op donderdag 20 november 2014 @ 15:32:
[...]
Klopt, dus als TS op zijn maiboxserver ook de CAS en Hub/Transport geinstalleerd heeft staan heeft hij een werkende Exchange omgeving. Edge Transport verzorgt alleen anti-mailware en transport vanaf de "edge" van de organisatie.

Edge Transport is ook optioneel aangezien je HT ook al een transport role heeft.

Exchange 2013 dus er is geen Hub Transport rol meer. Anti-spam en -malware op Exchange 2013 Mailbox of Edge Transport is trouwens ook nog wel verschillend omdat je alleen op ET connection filtering kunt doen, bijvoorbeeld de Spamhaus RBL gebruiken.

[ Voor 38% gewijzigd door Jazzy op 20-11-2014 16:09 ]

[SilentDecode]

Jazzy schreef op donderdag 20 november 2014 @ 15:55:
[...]

Hoe heb je Autodiscover dan ingericht, welke DNS records heb je aangemaakt? En wat is de uitkomst van die test die ik noemde?

Autodiscover heb ik niet eens aangeraakt. Intern heeft hij het altijd al helemaal automatisch gedaan.
Ik heb dus geen idee hoe de instellingen staan.


[...]

Exchange 2013 dus er is geen Hub Transport rol meer. Anti-spam en -malware op Exchange 2013 Mailbox of Edge Transport is trouwens ook nog wel verschillend omdat je alleen op ET connection filtering kunt doen, bijvoorbeeld de Spamhaus RBL gebruiken.

Ik moet toegeven.. Ik weet weinig van Microsoft Exchange af en vrijwel alles wat je hier omschrijft is mij hocus-pocus. Ik heb geen enkel MS Certificaat en weet verder ook niet hoe een Exchange omgeving in zijn werking gaat. Dit is ook met een goede reden een testomgeving. Eerst kijken hoe het gaat, voordat ik verder ga met het échte werk. Zo te merken van iedereen heb ik nog veel te leren op dit gebied.

[_Arthur]

Hoeveel mailboxen moeten er uiteindelijk op komen te draaien?

[SilentDecode]

_Arthur schreef op donderdag 20 november 2014 @ 17:52:
Hoeveel mailboxen moeten er uiteindelijk op komen te draaien?

Ik heb 29 gebruikers en 5 gedeelde email adressen.

[Killah_Priest]

Welke poorten heb je geforward en vanaf welke servers?
En op welke servers van je Exchange draait welke Exchange rol?

Exchange moet je eigenlijk zien als een serie servers ; je kunt alles op 1 fysieke server zetten maar het ook spreiden (zoals jij gedaan hebt) ; om je goed te kunnen helpen is het denk ik wel handig als wij weten op welke server dus welke rol draait mbt Exchange en wat je geforward hebt qua poorten.

Normaal gesproken als je clients van buiten je (fysieke) netwerk connecten dit meestal dmv Outlook over RPC gaat ; hiervoor zul je dus wel op de correcte server de correcte poorten moeten forwarden.
Edge Transport zorgt alleen voor het afhandelen van mailverkeer ; je clients zullen hier dus niet rechtstreeks naar connecten (daar heb je immers je CAS voor).

Zie ook http://blogs.technet.com/...er-role-architecture.aspx voor meer info over hoe de rollen in elkaar zitten.

NB : geen certificaten hebben is geen probleem hoor, ik ben ook niet gecertificeerd (hoewel daar snel verandering in komt ; vooral Exchange wil ik mij voor certificeren). Het belangrijkste om een Exchange omgeving goed te kunnen beheren is toch wel echt : Powershell

[ Voor 23% gewijzigd door Killah_Priest op 20-11-2014 18:40 ]

[Jazzy]

Killah_Priest schreef op donderdag 20 november 2014 @ 18:29:
Welke poorten heb je geforward en vanaf welke servers?
En op welke servers van je Exchange draait welke Exchange rol?

Staat allemaal in de startpost. Een losse Edge Transport server en één multi-role (dus Mailbox en Client Access server).

[Killah_Priest]

Jazzy schreef op donderdag 20 november 2014 @ 18:47:
[...]

Staat allemaal in de startpost. Een losse Edge Transport server en één multi-role (dus Mailbox en Client Access server).

Je hebt gelijk, ik moet toegeven dat ik de OP niet goed gelezen heb (drukte op het werk tijdens het lezen ervan).
En het ziet er (zoals jij ook al in je eerste post aangeeft) inderdaad naar uit dat de autodiscover het probleem is.

(en autodiscover is zooooo heerlijk, extern ook alleen maar mailadres + password opgeven en je bent al klaar met configureren)

[_Arthur]

Waren/zijn er specifieke wensen/eisen om een Edge Transport te gebruiken?

[SilentDecode]

_Arthur schreef op donderdag 20 november 2014 @ 20:27:
Waren/zijn er specifieke wensen/eisen om een Edge Transport te gebruiken?

Nee niet specifiek, maar ik had hier en daar wat gelezen en dacht dat het wel een goede optie zou zijn.

[_Arthur]

Een beetje spelebele is natuurlijk harstikke handig om kennis op te doen; dus ga zo door.

Maar voordat je een ontwerp naar productie gaat zetten, zou ik er toch iets dieper in gaan duiken en eerst de functionele en organisatorische wensen en eisen in kaart brengen. Verder moet je natuurlijk ook rekening houden met de kosten van o.a. Exchange als je dit op 2 servers wilt draaien.

Bij wensen en/of eisen kan je onder andere denken aan:
- mag er down time zijn, zoja: hoeveel tijd, zonee, hoeveel budget heb je (specifiek hier voor)
- hoeveel budget is er uberhaupt
- wat voor hardware heb je ter beschikking of kan er worden geinvesteerd in iets nieuws
- ga je eventueel virtualiseren, zoja, waar op
- hoe groot zijn de huidige mailboxen (cq totale DB)
- hoeveel berichten per uur / seconden verwacht je binnen te krijgen (_{nog een nakomertje}).

Jij bent lekker enthousiast begonnen met bouwen, voordat volgens mij het design is afgestemd op de wensen en eisen

[ Voor 5% gewijzigd door _Arthur op 20-11-2014 21:13 ]

[Jazzy]

Tompecht schreef op donderdag 20 november 2014 @ 21:01:
[...]


Nee niet specifiek, maar ik had hier en daar wat gelezen en dacht dat het wel een goede optie zou zijn.

Even tussendoor... Heb je nu genoeg informatie om AutoDiscover te troubelshooten danwel te configureren of kunnen we nog wat voor je doen?

[SilentDecode]

_Arthur schreef op donderdag 20 november 2014 @ 21:10:
Een beetje spelebele is natuurlijk harstikke handig om kennis op te doen; dus ga zo door.

Maar voordat je een ontwerp naar productie gaat zetten, zou ik er toch iets dieper in gaan duiken en eerst de functionele en organisatorische wensen en eisen in kaart brengen. Verder moet je natuurlijk ook rekening houden met de kosten van o.a. Exchange als je dit op 2 servers wilt draaien.

Bij wensen en/of eisen kan je onder andere denken aan:
- mag er down time zijn, zoja: hoeveel tijd, zonee, hoeveel budget heb je (specifiek hier voor)
- hoeveel budget is er uberhaupt
- wat voor hardware heb je ter beschikking of kan er worden geinvesteerd in iets nieuws
- ga je eventueel virtualiseren, zoja, waar op
- hoe groot zijn de huidige mailboxen (cq totale DB)
- hoeveel berichten per uur / seconden verwacht je binnen te krijgen (_{nog een nakomertje}).

Het is inderdaad noodzakelijk dat ik eerst dieper in de stof duik voordat ik de échte omgeving ga bouwen en het ga uitwerken.
Er is momenteel nog geen sprake van budget. Ik draai momenteel alles nog virtueel op een gevirtualiseerde ESX bak op m'n laptop, puur als testomgeving.

Wanneer de testomgeving geaccepteerd wordt, gaat er pas actie ondernomen wat betreft het bedrag wat hiervoor vrijgemaakt mag worden. Erg handig is het niet, maar ik schijn hier geen keus in te hebben.

Virtualiseren gaan we sowieso wel doen, hier komt waarschijnlijk een behoorlijk krachtige ESX machine te staan. Specs kunnen pas bepaald worden na het uitkomen van het budget.

Jij bent lekker enthousiast begonnen met bouwen, voordat volgens mij het design is afgestemd op de wensen en eisen

Ik ben inderdaad meer iemand van het doen, zonder PvA, zonder planning of wat dan ook.
Gewoon bouwen en zien waar het schip strandt. Maarja, ook met een PvA en planning heb je soms problemen met het spul.

[SilentDecode]

Jazzy schreef op donderdag 20 november 2014 @ 21:12:
[...]

Even tussendoor... Heb je nu genoeg informatie om AutoDiscover te troubelshooten danwel te configureren of kunnen we nog wat voor je doen?

Ik ga morgen nog even kijken hoe ik bepaalde kanten van AutoDiscover kan configureren.
Ik ga hier morgen even mee aan het klooien .

[Question Mark]

Tompecht schreef op donderdag 20 november 2014 @ 22:46:
[...]
Wanneer de testomgeving geaccepteerd wordt, gaat er pas actie ondernomen wat betreft het bedrag wat hiervoor vrijgemaakt mag worden. Erg handig is het niet, maar ik schijn hier geen keus in te hebben.

Even een vervelende vraag, maar zijn er al acceptatie criteria opgesteld? Ik gok namelijk van niet.

[SilentDecode]

Question Mark schreef op vrijdag 21 november 2014 @ 09:09:
[...]
Even een vervelende vraag, maar zijn er al acceptatie criteria opgesteld? Ik gok namelijk van niet.

Er is helemaal niets opgesteld. Het was eerder van 'bouw het maar om rond te kijken hoe het werkt'.
Weinig om het mee te doen..

[Jazzy]

Ga je AutoDiscover eens fixen, dan weer op Tweakers posten.