Exchange 2007 loginscherm Outlook 2010 verschijnt continu

[GAITii]

Beste Tweakers!

Zojuist heb ik na jaren op mijn Exchange server een SSL (Multi Domain Certificate) certificaat gehangen en Autodiscover ingesteld.
Tevens ook DNS records goed gezet naar mijn server.

Dit lijkt allemaal goed te werken, en de autodiscover pikt die ook goed op.

Enkel krijg ik compleet willekeurig elke keer het aanmeldscherm van Outlook 2010 om vervolgens weer gebruikersnaam en wachtwoord in te voeren.

Het maakt trouwens niet uit of ik mij netjes inlog of elke keer op annuleren klik, Outlook blijft gewoon mail ophalen en versturen, maar het is wel bloed irritant aan het worden nu .

Heb al verschillende dingen geprobeerd zoals andere PC, compleet nieuw Outlook profiel, wachtwoord van de gebruiker gewijzigd maar niks hielp.

Kan iemand mij helpen of zeggen waar het in zou kunnen zitten?

[Sneezydevil]

Ik heb het lang geleden ook wel es gezien bij een klant, maar ik niet precies meer wat het was.

Wat zegt de Outlook Connection Status (Ctrl + rechts klik op het outlook tray icon)?

[Jazzy]

En volg ook deze even: http://kb.intermedia.net/article/2150

[GAITii]

Jazzy schreef op woensdag 01 juli 2015 @ 13:32:
En volg ook deze even: http://kb.intermedia.net/article/2150

Die test geeft aan dat AutoDiscovery voor <ExternalURL> geslaagd.

[Jazzy]

Maar krijg je ook de namen terug die je verwachtte?

[GAITii]

Ja ik krijg netjes overal de externe hostnaam te zien.

Enkel het enige opvallende wat ik kan zien is dat RPC voor Exchange het interne serveradres er staat en voor HTTP van Exchange het externe serveradres, maar dat het niet moeten zijn lijkt mij.

[GAITii]

Kan het toevallig zijn dat één van mijn InternalURL/ExternalURL settings van bepaalde services niet goed staan?

[Squ1zZy]

GAITii schreef op donderdag 02 juli 2015 @ 09:13:
Kan het toevallig zijn dat één van mijn InternalURL/ExternalURL settings van bepaalde services niet goed staan?

Kan je zien met "Get-AutodiscoverVirtualDirectory" in een Ex Shell.

Vergeet niet dat Outlook gebruik maakt van DNS wanneer Outlook is opgestart. Rechtermuis op het icoon en daar de check doen voor Autodiscover is SCP. Die kan dus wel werken, maar wanneer Outlook is opgestart wordt er gebruik gemaakt van DNS en je primair email adres.

Dus autodiscover.<naamdomaindns> / <naamdomaindns>.autodiscover etc.

Wat is je primair email adres? Geen load-balancer? Single server?
Met "Multi Domain" bedoel je een wildcard? Of een NAS cert?

Edit: Proxy ingesteld? En in Outlook een proxy ingesteld?

[ Voor 10% gewijzigd door Squ1zZy op 02-07-2015 09:21 ]

[GAITii]

Squ1zZy schreef op donderdag 02 juli 2015 @ 09:19:
[...]


Kan je zien met "Get-AutodiscoverVirtualDirectory" in een Ex Shell.

Vergeet niet dat Outlook gebruik maakt van DNS wanneer Outlook is opgestart. Rechtermuis op het icoon en daar de check doen voor Autodiscover is SCP. Die kan dus wel werken, maar wanneer Outlook is opgestart wordt er gebruik gemaakt van DNS en je primair email adres.

Dus autodiscover.<naamdomaindns> / <naamdomaindns>.autodiscover etc.

Wat is je primair email adres? Geen load-balancer? Single server?
Met "Multi Domain" bedoel je een wildcard? Of een NAS cert?

Edit: Proxy ingesteld? En in Outlook een proxy ingesteld?

Bij het commando: Get-AutodiscoverVirtualDirectory
Staat er bij zowel InternalURL als ExternalURL niets...

In de lokale DNS netjes de hoistnamen autodiscover. en mail. naar zijn eigen gezet.
Het is een single server (2K8 Standard met Exchange), zonder enige proxy.

code:

Name                          : Autodiscover (Default Web Site)
InternalAuthenticationMethods : {Basic, Ntlm, WindowsIntegrated}
ExternalAuthenticationMethods : {Basic, Ntlm, WindowsIntegrated}
BasicAuthentication           : True
DigestAuthentication          : False
WindowsAuthentication         : True
MetabasePath                  : IIS://<servername>.<internaldomain>.<local>/W3SVC/1/ROOT/Autod
                                iscover
Path                          : C:\Program Files\Microsoft\Exchange Server\Clie
                                ntAccess\Autodiscover
Server                        : <servername>
InternalUrl                   :
ExternalUrl                   :
AdminDisplayName              :
ExchangeVersion               : 0.1 (8.0.535.0)
DistinguishedName             : CN=Autodiscover (Default Web Site),CN=HTTP,CN=P
                                rotocols,CN=<servername>,CN=Servers,CN=Exchange Admin
                                istrative Group (FYDIBOHF23SPDLT),CN=Administra
                                tive Groups,CN=First Organization,CN=Microsoft
                                Exchange,CN=Services,CN=Configuration,DC=<internaldomain>,DC=<local>
Identity                      : <servername>\Autodiscover (Default Web Site)
Guid                          : a9d96e4a-f3fe-4c1d-ba45-fd411cc0e3c5
ObjectCategory                : <internaldomain>.<local>/Configuration/Schema/ms-Exch-Au
                                to-Discover-Virtual-Directory
ObjectClass                   : {top, msExchVirtualDirectory, msExchAutoDiscove
                                rVirtualDirectory}
WhenChanged                   : 19-5-2011 8:43:42
WhenCreated                   : 19-5-2011 8:43:42
OriginatingServer             : <servername>.<internaldomain>.<local>
IsValid                       : True

[ Voor 48% gewijzigd door GAITii op 02-07-2015 09:26 ]

[Squ1zZy]

Internal moet wel ingevuld zijn

https://technet.microsoft...bb232838(v=exchg.80).aspx

Waarom wordt de cert niet vertrouwd? Staat daar een URL op?

[ Voor 26% gewijzigd door Squ1zZy op 02-07-2015 09:35 ]

[Squ1zZy]

De melding komt duidelijk van autodiscover.

Er is een interval die om de zoveel tijd zoekt naar autodiscover. Gezien je een popup krijgt lijkt het of je moet authenticeren op de webserver/proxy.

Welke melding krijg je als je de autodiscover.xml invult in een browser? Je moet error 600 krijgen geloof ik, maar in ieder geval geen popup.

[GAITii]

Squ1zZy schreef op donderdag 02 juli 2015 @ 09:33:
De melding komt duidelijk van autodiscover.

Er is een interval die om de zoveel tijd zoekt naar autodiscover. Gezien je een popup krijgt lijkt het of je moet authenticeren op de webserver/proxy.

Welke melding krijg je als je de autodiscover.xml invult in een browser? Je moet error 600 krijgen geloof ik, maar in ieder geval geen popup.

Ik krijg daarin eerst een loginscherm, log ik in krijg ik een 600 melding.

Als ik overigens het commando Get-ClientAccessServer <servername> | fl *InternalUri* krijg ik wel netjes een URL (de externe overigens).

Tevens, ja ik heb een SAN certificaat met daarin 3 domeinnamen: mail.<externaldomain> & <servername>.<externaldomain> & autodiscover.<externaldomain>.

[ Voor 10% gewijzigd door GAITii op 02-07-2015 09:37 ]

[Squ1zZy]

Check je permissions eens in IIS...

Staat WindowsAuthentication aan?

[ Voor 33% gewijzigd door Squ1zZy op 02-07-2015 09:38 ]

[GAITii]

Stomme vraag welke permissies eigenlijk in IIS? Volgens mij staan die van Autodiscover allemaal goed.

[ Voor 92% gewijzigd door GAITii op 02-07-2015 09:39 ]

[Squ1zZy]

GAITii schreef op donderdag 02 juli 2015 @ 09:37:
Stomme vraag welke permissies eigenlijk in IIS? Volgens mij staan die van Autodiscover allemaal goed.

Die van de autodiscover site

Edit: Die popup hoor je niet te krijgen natuurlijk. Die geeft Outlook nu dus ook.

[ Voor 14% gewijzigd door Squ1zZy op 02-07-2015 09:39 ]

[GAITii]

Squ1zZy schreef op donderdag 02 juli 2015 @ 09:39:
[...]


Die van de autodiscover site

Bij Autodiscover in IIS -> Verificatie: Basisverificatie: ingeschakeld. & Windows-verificatie: ingeschakeld.
Bij permissions staat Authenticated Users op Read & Execute.

[Squ1zZy]

Wat staat er op de cert? De onderste van de 3 (name geloof) staat een kruisje? Welke naam staat er bovenaan de cert melding?

Weet even niet meer of die popup via een browser ok was. Heb al jaren geen Exchange 2007 aangeraakt.

Edit: Niets in het regsiter staan mbt autodiscover op de client?

[ Voor 42% gewijzigd door Squ1zZy op 02-07-2015 09:48 ]

[GAITii]

Op het certificaat staat mail.domein.nl.

Ik heb het op meerdere clients het probleem, zowel in Outlook 2010 als in 2013.

[ Voor 50% gewijzigd door GAITii op 02-07-2015 09:54 ]

[Squ1zZy]

GAITii schreef op donderdag 02 juli 2015 @ 09:49:
Op het certificaat staat mail.domein.nl.

Ik heb het op meerdere clients het probleem, zowel in Outlook 2010 als in 2013.

En wat zie je bij IIS staan op de cert? Is die ok?

IIS / Autodiscover / Directory Security

Edit: Dus je hebt een wildcard cert. Die heb je op SSL services gezet binnen Exchange. Je hebt een host record aangemaakt "mail" die verwijst naar de CAS server. En de server heet mail? Internal URL nu wel gezet?

[ Voor 24% gewijzigd door Squ1zZy op 02-07-2015 09:58 ]

[GAITii]

Directory Security? Deze staat niet in IIS 7.

Als je algemeen Authentication bedoeld? Hierin staan alleen Basic en Windows -authentication ingeschakeld.

Hoe zet ik die InternalURL voor enkel en alleen AutodiscoverVirtualDirectory? Vind overal alleen het SetClientAccessServer commando.

[ Voor 30% gewijzigd door GAITii op 02-07-2015 10:01 ]

[Squ1zZy]

GAITii schreef op donderdag 02 juli 2015 @ 09:59:
Directory Security? Deze staat niet in IIS 7.

Als je algemeen Authentication bedoeld? Hierin staan alleen Basic en Windows -authentication ingeschakeld.

SSL settings in IIS7. Moet alles uit me hoofd doen. Zit zelf achter een Mac

[GAITii]

Als ik daar Verbinding testen doe krijg ik het volgende:

Verificatie: Goed!

Machtiging:
De server is geconfigureerd voor het gebruik van pass-through-verificatie met een ingebouwde account om toegang te verkrijgen tot het opgegeven fysieke pad. IIS-beheer kan echter niet controleren of de ingebouwde account toegang heeft. Controleer of de identiteit van de groep van toepassingen leestoegang heeft tot het fysieke pad. Als deze tot een domein behoort en de identiteit van de groep van toepassingen NetworkService of LocalSystem is, controleert u of <domein>\<computernaam>$ leestoegang heeft tot het fysieke pad. Test deze instellingen vervolgens opnieuw.

[Squ1zZy]

Post eens:

Get-ClientAccessServer | fl identity,autodiscoverserviceinternaluri

[GAITii]

Identity : <servername>
AutoDiscoverServiceInternalUri : https://mail.domein.nl/autodiscover/autodiscover.xml

[ Voor 11% gewijzigd door GAITii op 02-07-2015 10:08 ]

[Squ1zZy]

GAITii schreef op donderdag 02 juli 2015 @ 10:08:
Identity : <servername>
AutoDiscoverServiceInternalUri : https://mail.domein.nl/autodiscover/autodiscover.xml

En internal en external is leeg?

Get-WebServicesVirtualDirectory | fl identity,internalurl,externalurl

Edit: Zet de internal even:

Set-WebServicesVirtualDirectory -Identity "<SERVERNAAM>\EWS (Default Web Site)” -InternalUrl https://mail.domain.nl/EWS/Exchange.asmx -BasicAuthentication:$true

[ Voor 22% gewijzigd door Squ1zZy op 02-07-2015 10:10 ]

[GAITii]

Hmm...

Identity : <servername>\EWS (Default Web Site)
InternalUrl : https://mail.domein.nl/ews/exchange.asmx
ExternalUrl : https://mail.domein.nl/ews/exchange.asmx

[Squ1zZy]

GAITii schreef op donderdag 02 juli 2015 @ 10:10:
Hmm...

Identity : <servername>\EWS (Default Web Site)
InternalUrl : https://mail.domein.nl/ews/exchange.asmx
ExternalUrl : https://mail.domein.nl/ews/exchange.asmx

Ok, lijkt dus toch goed te staan.

[GAITii]

Ja helaas wel, ik ben een beetje het spoor bijster zeg maar...

[Squ1zZy]

Hmm, dus op het cert staat "mail.domain.nl"? De cert is een wildcard voor "domain.nl"? En hij geeft aan dat de naam niet overeen komt?

Wat staat er in de SCP record? Even met ADSI edit bekijken.

[ Voor 3% gewijzigd door Squ1zZy op 02-07-2015 10:17 ]

[Squ1zZy]

Is er een company website met de naam "domain.nl"? Staat daar een cert op?

[GAITii]

Nee het cert is aangevraagd bij SSLCertificaten.nl met als hoofd domein mail.domein.nl.

Hierin heb ik 2 extra SAN domeinen gehangen:
- servernaam.domein.nl
- autodiscover.domein.nl

Server zelf heet servernaam en het interne domein is ook domein.nl

[Squ1zZy]

GAITii schreef op donderdag 02 juli 2015 @ 10:20:
Nee het cert is aangevraagd bij SSLCertificaten.nl met als hoofd domein mail.domein.nl.

Hierin heb ik 2 extra SAN domeinen gehangen:
- servernaam.domein.nl
- autodiscover.domein.nl

Server zelf heet servernaam en het interne domein is ook domein.nl

Ok, lijkt goed te zijn.

Waar komt https://domain.nl op uit?

[GAITii]

Die komt wonderbaarlijk weer op een totaal andere URL uit/ander cert (gesplitste omgeving / gedeelte beheer).

[ Voor 5% gewijzigd door GAITii op 02-07-2015 10:24 ]

[Squ1zZy]

Zou het kunnen zijn dat er een cname is voor *.domain.nl waarbij outlook autodiscover.domain.nl probeert te benaderen en ziet dat de naam niet overeen komt?

Wat als je https://autodiscover.domain.nl in een browser typt?

[GAITii]

Squ1zZy schreef op donderdag 02 juli 2015 @ 10:24:
Zou het kunnen zijn dat er een cname is voor *.domain.nl waarbij outlook autodiscover.domain.nl probeert te benaderen en ziet dat de naam niet overeen komt?

Wat als je https://autodiscover.domain.nl in een browser typt?

Dat eerste, in de lokale DNS niets van te vinden.

Bij het tweede kom ik uit op een 404 met als URL: https://autodiscover.domein.nl/www.domein.nl

[Squ1zZy]

Zou daar al een autodiscover.xml aanwezig kunnen zijn? Je geeft aan dat je ergens ander uitkomt.

https://domain.nl/autodiscover/autodiscover.xml

Werkt die?

[GAITii]

Ja die werkt maar dan krijg ik een login popup.

Iets anders tussendoor, is er geen mogelijkheid om autodiscover te 'disablen' en gewoon ouderwets te connecten intern op het interne URL d.m.v. serveradres in te voeren en extern d.m.v. Outlook Anywhere?

[ Voor 68% gewijzigd door GAITii op 02-07-2015 10:31 ]

[Squ1zZy]

Waar komt die uit dan? Dat is wel apart

Dat is niet de CAS server?

[ Voor 27% gewijzigd door Squ1zZy op 02-07-2015 10:31 ]

[GAITii]

Die komt gewoon uit op https://autodiscover.domein.nl/autodiscover/autodiscover.xml

[Squ1zZy]

Best lastig van afstand wanneer ik zelf geen omgeving heb en ook nog eens Exchange 2007

Ik moet nu even weg. Zal nog eens nadenken. Dit is wel een interessant issue.

[GAITii]

Dit is zeker een interessant issue, helaas ligt de oplossing dan weer wat gecompliceerder.

Alvast bedankt voor je hulp!

Edit: Probleem is opgelost

IIS -> Autodiscover -> Verificatie -> Windows-Verificatie rechtermuisknop -> Geavanceerde instellingen... -> Verificatie in kernelmodus inschakelen aanvinken.

[ Voor 44% gewijzigd door GAITii op 02-07-2015 13:09 ]

[Killah_Priest]

GAITii schreef op donderdag 02 juli 2015 @ 10:29:
Ja die werkt maar dan krijg ik een login popup.

Iets anders tussendoor, is er geen mogelijkheid om autodiscover te 'disablen' en gewoon ouderwets te connecten intern op het interne URL d.m.v. serveradres in te voeren en extern d.m.v. Outlook Anywhere?

Autodiscover disablen is echt het slechtste wat je kunt doen, dit levert echt ontzettend veel problemen op en op den duur wordt je het ook zat om alles met de hand te configureren.
Ik kan ook echt kwaad worden als collega's bij bv migraties autodiscover vergeten in te richten (geen publieke DNS entry of autodiscover vergeten in het cert - hoewel dit dmv een SRV record te omzeilen is), juist omdat het zo belangrijk is tegenwoordig, ook voor bv out of office, mailtips etc. Autodiscover is er juist om het leven van een Exchange admin makkelijker te maken.

Gelukkig is het probleem opgelost bij de TS.

[Jazzy]

Zei je tegenwoordig? Sinds 9 jaar! Vaak is het gewoon onbegrip van hoe Autodiscover werkt, maar wanneer je als klant iemand betaalt om Exchange in te richten is dat natuurlijk onvergeeflijk.

[Squ1zZy]

Vreemd... Altijd begrepen dat die disabled moet zijn icm kerberos:

[Killah_Priest]

Jazzy schreef op donderdag 02 juli 2015 @ 19:12:
Zei je tegenwoordig? Sinds 9 jaar! Vaak is het gewoon onbegrip van hoe Autodiscover werkt, maar wanneer je als klant iemand betaalt om Exchange in te richten is dat natuurlijk onvergeeflijk.

Sinds Exchange 2007 inderdaad. Ik doel voornamelijk op tegenwoordig omdat ik nog weleens een Exchange 2003 omgeving tegenkom bij klanten die wij overnemen van andere partijen (gelukkig is en migratie binnen dzelfde forest naar 2013 binnen een dagje voor te bereiden bij omgevingen tot 200 gebruikers)

[Jazzy]

Ben het natuurlijk helemaal met je eens!

[GAITii]

Dit is ook een overgenomen omgeving die schijnbaar maar weer eens voor de helft is ingericht, helaas merk ik dit ook zo vaak.

De moed zakt mij momenteel wel even in de schoenen, weer komt Outlook constant met login popups...

[GAITii]

Hmm, het hoofddomein van een andere mailbox op de Exchange server in dit geval even domein2.nl, zijn rootwebsite heeft een eigen certificaat.

Enkel en alleen valt Outlook nog over dit domein & certificaat omdat dit natuurlijk een geheel ander certificaat is, puur en alleen voor de website en niet de mailserver.

Wat kan ik hiermee het beste doen, zodat Outlook het certificaat pakt wat op de mailserver actief is?
Het vervelende probleem bij dit domein is ook dat ik het DNS niet in eigen beheer heb.

Het certificaat voor alle andere domeinen gaat nu goed .

---

Edit: zodra ik de services World Wide Web Publishing-service stop krijg ik geen login venster meer in Outlook, zodra hij aanstaat komt Outlook constant met een login prompt.

[ Voor 88% gewijzigd door GAITii op 06-07-2015 10:21 ]

[GAITii]

Bij deze de Automatische e-mailconfiguratie testen uit Outlook:



Tevens de uitkomst van Get-AutodiscoverVirtualDirectory:

code:

[PS] C:\Windows\system32>Get-AutodiscoverVirtualDirectory | fl


Name                          : Autodiscover (Default Web Site)
InternalAuthenticationMethods : {Basic, Ntlm, WindowsIntegrated}
ExternalAuthenticationMethods : {Basic, Ntlm, WindowsIntegrated}
BasicAuthentication           : True
DigestAuthentication          : False
WindowsAuthentication         : True
MetabasePath                  : IIS://<servername>.domein.nl/W3SVC/1/ROOT/Autodiscover
Path                          : C:\Program Files\Microsoft\Exchange Server\ClientAccess\Autodiscover
Server                        : <servername>
InternalUrl                   : https://mail.domein.nl/Autodiscover/Autodiscover.xml
ExternalUrl                   :
AdminDisplayName              :
ExchangeVersion               : 0.1 (8.0.535.0)
DistinguishedName             : CN=Autodiscover (Default Web Site),CN=HTTP,CN=Protocols,CN=<servername>,CN=Servers,CN=Exchange Administrative Group (FYDIBOHF23SPDLT),CN=Administrative Groups,CN=First Organization,CN=MicrosoftExchange,CN=Services,CN=Configuration,DC=domein,DC=nl
Identity                      : <servername>\Autodiscover (Default Web Site)
Guid                          : 60fc4186-ea07-4c35-b81c-37a64abd1822
ObjectCategory                : elburgbanden.nl/Configuration/Schema/ms-Exch-Auto-Discover-Virtual-Directory
ObjectClass                   : {top, msExchVirtualDirectory, msExchAutoDiscoverVirtualDirectory}
WhenChanged                   : 6-7-2015 14:01:28
WhenCreated                   : 6-7-2015 14:01:28
OriginatingServer             : <servername>.domein.nl
IsValid                       : True

Zelfs al de Autodiscover Virtual Directory verwijderd en opnieuw aangemaakt maar mocht niet baten.
Ligt wel echt aan die Virtual Directory want toen ik hem verwijderd had kreeg ik geen loginvenster...

[ Voor 97% gewijzigd door GAITii op 06-07-2015 17:03 ]

[GAITii]

Iemand?