[Exchange 2013] Migratie SBS met 2007 naar 2013

[YellowOnline]

Zoals een aantal mensen intussen weten spendeer ik het weekend aan een migratie van een Duits SBS 2008 naar een Engelstalige backend met verschillende volwaardige servers. Alle rollen zijn al al getransfereerd (behalve FSMO): DHCP, DNS, File Server, Print Server, MySQL,... behalve Exchange.

Ondanks dat ik dit noch nooit gedaan heb zijn de eerste indrukken wel OK met coexistence: via OWA lijkt alles intern en extern te werken. Alleen: ik krijg het niet voor mekaar Outlook werkend te krijgen. Een probleem dat ik overal op internet vind en de reden is altijd certificaten, certificaten, certificaten.

Helaas is dat niet mijn specialiteit. De firma die oorspronkelijk alles heeft ingericht heeft ook geen documentatie achtergelaten en sowieso veel geprutst (ter illustratie: de oorspronkelijke Exchange 2003 is lomp uit de omgeving gehaald waardoor ik gisteren nog met ADSIEdit mocht knoeien).

Het draait allemaal om autodiscover en certificaten.

Autodiscover ziet er zo uit:

code:

Name                                                        AutoDiscoverServiceInternalUri
----                                                        ------------------------------
LUNA                                                        https://remote.yellowonline.de/Autodiscover/Autodiscover.xml
Exc2013                                                    https://mail.yellowonline.de/Autodiscover/Autodiscover.xml

Voor de 2007 ("LUNA")werkt alles nog gelukkig, maar als ik een 2013 mailbox probeer krijg ik een waarschuwing dat het certificaat niet klopt en dan kan geen verbinding gemaakt worden.

Op de oude server vind ik dit (censuur = yellow.de) als huidige stand:


Ik dacht "aha, dat *.yellow.de-certificaat exporteer ik en importeer ik op de nieuwe server", maar dat kan men niet exporteren (of toch niet naar PFX - en dat is wat ik nodig heb volgens http://msexchangeguru.com/2013/06/29/import-cert-e2013/).

Dan maar door hun documenten zoeken. Ik vind een mail.yellowonline.de.cer zonder meer, evenals een Zertifizierungsstellen Stammzertifikat.cer en in een ander mpaje nog een mail.yellowonline.de.req.

Kent iemand zich goed genoeg uit om mij de weg te wijzen?

[Onbekend]

Je hebt een nieuwe server, dus heb je dus een nieuw certificaat nodig die o.b.v. de unieke gegevens van jouw server deze server kan vertrouwen.

Als je met de webbrowser naar remote.yellowonline.de gaat, dan wordt het gegeven certificaat als correct bestempeld?

[YellowOnline]

Onbekend schreef op zaterdag 15 oktober 2016 @ 12:46:
Je hebt een nieuwe server, dus heb je dus een nieuw certificaat nodig die o.b.v. de unieke gegevens van jouw server deze server kan vertrouwen.

Als je met de webbrowser naar remote.yellowonline.de gaat, dan wordt het gegeven certificaat als correct bestempeld?

Neen, aangezien dat een automatisch gegenereerd self-signed certificaat is voor "EXC2013", dwz. de hostname van de Exchange server (fictieve naam overigens).

[YellowOnline]

Tiens, ik heb dat wildcard-certifikaat toch als .cer kunnen importeren zonder foutmeldingen. Maar het is niet zichtbaar in de lijst dan, al staat het wel in de store. Waarschijnlijk omdat het geen private key bevat.

[ Voor 12% gewijzigd door YellowOnline op 15-10-2016 13:15 ]

[chaoscontrol]

YellowOnline schreef op zaterdag 15 oktober 2016 @ 13:13:
Tiens, ik heb dat wildcard-certifikaat toch als .cer kunnen importeren zonder foutmeldingen. Maar het is niet zichtbaar in de lijst dan, al staat het wel in de store. Waarschijnlijk omdat het geen private key bevat.

In welke store?

Je moet even de oude certs exporteren inderdaad en in Exchange inlezen met:

code:

Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path c:\padnaar\mailcert.pfx -Encoding byte -ReadCount 0))

Hierna kun je binnen exchange het certificaat toewijzen aan de verschillende services (ECP > Servers > Certificaten). Lukt dat?

[YellowOnline]

chaoscontrol schreef op zaterdag 15 oktober 2016 @ 13:16:
[...]

In welke store?

Je moet even de oude certs exporteren inderdaad en in Exchange inlezen met:

code:

Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path c:\padnaar\mailcert.pfx -Encoding byte -ReadCount 0))

Hierna kun je binnen exchange het certificaat toewijzen aan de verschillende services (ECP > Servers > Certificaten). Lukt dat?

De oude kan ik enkel exporteren zonder private key - en dan zijn ze niet te importeren.

[arjants]

Is het voor een snelle fix niet mogelijk om hiervoor een nieuw certificaat aan te vragen vanuit exchange?
Puur voor webmail.yellowonline.de bijvoorbeeld

[/sorry, kan niet want dan moeten de clients opnieuw verbinden...]

Word het certificaat ook op andere servers gebruikt?

[ Voor 54% gewijzigd door arjants op 15-10-2016 13:27 ]

[chaoscontrol]

Die RapidSSL zou je moeten kunnen exporteren (doe het anders via IIS, daar zou hij ook tussen moeten staan, dan kan het via de GUI). De rest zijn toch self signed van je oude omgeving (en dus niet te gebruiken).

[YellowOnline]

arjants schreef op zaterdag 15 oktober 2016 @ 13:24:
Is het voor een snelle fix niet mogelijk om hiervoor een nieuw certificaat aan te vragen vanuit exchange?
Puur voor webmail.yellowonline.de bijvoorbeeld

Met self-signed certificaten ga ik niet beginnen, dat creert een hoop andere problemen.

chaoscontrol schreef op zaterdag 15 oktober 2016 @ 13:25:
Die RapidSSL zou je moeten kunnen exporteren (doe het anders via IIS, daar zou hij ook tussen moeten staan, dan kan het via de GUI). De rest zijn toch self signed van je oude omgeving (en dus niet te gebruiken).

't Probleem blijft hetzelfde: het certificaat is gemarkeerd als niet te exporteren met private key. Zonder private key kan het niet geïmporteerd worden in Exchange.

Maar:

Net vond ik een zip met daarin rapidssl.intermediate.2015.pem, wildcard.yellow.2015.nopass.key en wildcard.yellow.2015.nopass.key . Dat lijkt mij het originele certificaat. Eens uitzoeken hoe dat werkt.

[chaoscontrol]

YellowOnline schreef op zaterdag 15 oktober 2016 @ 13:27:

[...]


't Probleem blijft hetzelfde: het certificaat is gemarkeerd als niet te exporteren met private key. Zonder private key kan het niet geïmporteerd worden in Exchange.

Maar:

Net vond ik een zip met daarin rapidssl.intermediate.2015.pem, wildcard.yellow.2015.nopass.key en wildcard.yellow.2015.nopass.key . Dat lijkt mij het originele certificaat. Eens uitzoeken hoe dat werkt.

Dat is vervelend inderdaad. Dan heeft iemand (je voorganger denk ik) gezegd dat het cert niet geëxporteerd mag worden. Dan moet je het origineel even hebben.

Of je vraagt er even snel wat aan bij Let's Encrypt. Dat kan geen wildcard zijn maar wel met zoveel altnames als je wilt (mail.bla.bla, autodiscover.bla.bla etc).

[arjants]

Kun je wel inloggen bij de RapidSSL ?
Dan zou je deze opnieuw aan kunnen vragen maar dan moet je wel weten waar deze overal in beruik is op dit moment en deze overal vernieuwen.

De orginele CSR staat ook niet meer op de SBS server?

[ Voor 14% gewijzigd door arjants op 15-10-2016 13:36 ]

[YellowOnline]

chaoscontrol schreef op zaterdag 15 oktober 2016 @ 13:34:
[...]

Dat is vervelend inderdaad. Dan heeft iemand (je voorganger denk ik) gezegd dat het cert niet geëxporteerd mag worden. Dan moet je het origineel even hebben.

Of je vraagt er even snel wat aan bij Let's Encrypt. Dat kan geen wildcard zijn maar wel met zoveel altnames als je wilt (mail.bla.bla, autodiscover.bla.bla etc).

Aangezien het certificaat maar 10 maand meer geldig is, is dat geen slecht idee eigenlijk. Is er iets dat ik weten moet over Let's Encrypt?

arjants schreef op zaterdag 15 oktober 2016 @ 13:35:
Kun je wel inloggen bij de RapidSSL ?
Dan zou je deze opnieuw aan kunnen vragen maar dan moet je wel weten waar deze overal in beruik is op dit moment en deze overal vernieuwen.

De orginele CSR staat ook niet meer op de SBS server?

Ik heb het al geprobeerd, maar ik weet niet met welk e-mail of wachtwoord die vorige firma dat deed

[arjants]

Dan zou ik een goedkope SSL leverancier zoeken en de rekening in de aankomende week declareren
Volgens mij moet let's encrypt elke 3 maand verlengd worden.

[chaoscontrol]

YellowOnline schreef op zaterdag 15 oktober 2016 @ 13:37:
[...]


Aangezien het certificaat maar 10 maand meer geldig is, is dat geen slecht idee eigenlijk. Is er iets dat ik weten moet over Let's Encrypt?

arjants schreef op zaterdag 15 oktober 2016 @ 13:39:
Dan zou ik een goedkope SSL leverancier zoeken en de rekening in de aankomende week declareren
Volgens mij moet let's encrypt elke 3 maand verlengd worden.

Nouja there's that. De renewals zijn wel te scripten maar automatisch in Exchange gooien doe ik nog elke 3 maanden zelf.

Wil je er 3 jaar niet meer naar omkijken zou ik een 'echte' kopen bij een SSL boer.

[arjants]

Voor een korte vergelijking: https://www.sslcertificaten.nl/SSLCertificaten#DV_Wildcard_3
Ongeveer 75,- per jaar voor een wildcard

[YellowOnline]

chaoscontrol schreef op zaterdag 15 oktober 2016 @ 13:43:
[...]


[...]

Nouja there's that. De renewals zijn wel te scripten maar automatisch in Exchange gooien doe ik nog elke 3 maanden zelf.

Wil je er 3 jaar niet meer naar omkijken zou ik een 'echte' kopen bij een SSL boer.

Hmz, 3 maanden is wel heel kort. Dan blijf ik toch liever bij het oude certificaat dat dan maar één keer voor vijf maand verlengd moet worden. Nu nog uitzoeken hoe zo'n PEM/KEY/PUB in het Microsoftplaatje past.

arjants schreef op zaterdag 15 oktober 2016 @ 13:45:
Voor een korte vergelijking: https://www.sslcertificaten.nl/SSLCertificaten#DV_Wildcard_3
Ongeveer 75,- per jaar voor een wildcard

Certificaten kopen voor een klant ligt nu niet echt in mijn bevoegdheid eerlijk gezegd.

[ Voor 6% gewijzigd door YellowOnline op 15-10-2016 13:46 ]

[arjants]

je zou op de SBS server nog een poging kunnen wagen via MMC -> add -> certificates
En dan in het computeraccount proberen om het wildcard certificaat te exporteren maar als deze echt is geïmporteerd zonder export mogelijkheid dan zit je best vast nu

De PEM etc zijn voor apache/openvpn servers geëxporteerd, misschien dat je die nog om kunt zetten naar PFX, nooit geprobeerd maar daar heb je volgens mij de CSR ook bij nodig

https://www.sslshopper.co...mon-openssl-commands.html

Je hebt alleen de onderstaande 3 bestanden tot je beschikking?

1. rapidssl.intermediate.2015.pem
2. wildcard.yellow.2015.nopass.key
3. wildcard.yellow.2015.nopass.key

[ Voor 30% gewijzigd door arjants op 15-10-2016 13:54 ]

[YellowOnline]

arjants schreef op zaterdag 15 oktober 2016 @ 13:49:
je zou op de SBS server nog een poging kunnen wagen via MMC -> add -> certificates
En dan in het computeraccount proberen om het wildcard certificaat te exporteren maar als deze echt is geïmporteerd zonder export mogelijkheid dan zit je best vast nu

Zoals eerder gezegd gaat dat helaas niet.

De PEM etc zijn voor apache/openvpn servers geëxporteerd, misschien dat je die nog om kunt zetten naar PFX, nooit geprobeerd maar daar heb je volgens mij de CSR ook bij nodig

https://www.sslshopper.co...mon-openssl-commands.html

Je hebt alleen de onderstaande 3 bestanden tot je beschikking?

1. rapidssl.intermediate.2015.pem
2. wildcard.yellow.2015.nopass.key
3. wildcard.yellow.2015.nopass.pub

Ja, en ik heb uitgevonden dat je daar ook met openssl niet mee kan converteren.

Ik begin langzaam te panikeren: ik zit al 6 uur vast op dit thema...

[chaoscontrol]

Ik typ wel even iets moment.

Zo heb je in ieder geval 3 maanden om de klant een nieuw cert te laten kopen.

Installeer even een webserver (IIS) en forward poort 80 naar die bak. Maak één site aan met alle bindings waar je een certificaat voor wilt hebben. (mail.yellow.de, autodiscover.yellow.de, webmail.yellow.de etc.) Dit mogen gewoon poort 80 bindings zijn.

Zorg dat de IIS extensie loze filetypes ondersteund (op hoofd niveau even extensie * toevoegen als "text/plain" bij MIME types). Maak even een text file aan met wat inhoud en haal de .txt extensie weg. Test of je nu via het web bij die file kan. (Zo niet, op IIS hoofdniveau, ga naar handler mappings, klik rechts op "View ordered list" en zet "StaticFile" boven de 3 ExtensionlessUrlHandler entries.)

Nu kun je acmesharp powershell plugin downloaden. https://github.com/ebekker/ACMESharp/wiki/Quick-Start

code:

Import-Module ACMESharp

code:

Initialize-ACMEVault

code:

New-ACMERegistration -Contacts mailto:[e-mail] -AcceptTos

Dit moet voor elk subdomain gebeuren.

code:

New-ACMEIdentifier -Dns myserver.example.com -Alias unieke_naam1

code:

Complete-ACMEChallenge unieke_naam1 -ChallengeType http-01 -Handler iis -HandlerParameters @{ WebSiteRef = 'NaamVanWebsite' }

Kijk of het is gelukt
Update-ACMEIdentifier unieke_naam1

...
Status : valid
...

Als je dat voor elk subdomain hebt gedaan vragen we het cert aan.

code:

New-ACMECertificate unieke_naam1 -Generate -AlternativeIdentifierRefs unieke_naam2,unieke_naam3,unieke_naam4 -Alias multiMailCert

Kijk of het is gelukt. serienummer moet gevuld zijn.

code:

Update-ACMECertificate multiMailCert

Als alles goed ging kun je hem nu exporteren.

code:

Get-ACMECertificate multiMailCert -ExportPkcs12 "C:\path\to\multiMailCert.pfx" -CertificatePassword 'wachtwoord'

Deze kun je dan importeren in exchange met:

code:

Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path C:\path\to\multiMailCert.pfx -Encoding byte -ReadCount 0)) -Password:(Get-Credential).password

[ Voor 97% gewijzigd door chaoscontrol op 15-10-2016 14:25 ]

[arjants]

My2cents:
Je mag zelf geen ander cert aanvragen en hebt niet de mogelijkheid om de huidige opnieuw aan te vragen.
Bel de verantwoordelijke persoon en leg je probleem uit: Bij installatie is een verkeerde keus gemaakt bij het importeren van het crrtificaat.
Krijg je niemand te pakken dan snapt iedereen dat je nu gezien de tijd/euro's een nieuw cert hebt geinstalleerd die terug te zetten is naar het orgineel.

Dit vanuit mijn ervaring bij klanten >300 man
Ik kan niet beoordelen hoe dit bij jullie klanten zit

[ Voor 11% gewijzigd door arjants op 15-10-2016 14:26 ]

[Paul]

YellowOnline schreef op zaterdag 15 oktober 2016 @ 13:46:
Certificaten kopen voor een klant ligt nu niet echt in mijn bevoegdheid eerlijk gezegd.

Dan is het simpel, dan liggen ze er uit Dan denk ik dat je dat certificaat heel snel mag kopen...

Simpelste oplossing die ik regelmatig heb gebruikt is split DNS, intern dezelfde naam als extern (bijvoorbeeld webmail.tailspintoys.com) en autodiscover via SRV-record. Meest simpele certificaat voldoet, je moet alleen bij je externe hoster ook SRV-records aan kunnen maken (autodiscover 433 0 0 webmail.tailspintoys.com uit mijn hoofd) en intern een zone aanmaken die webmail.tailspintoys.nl heet en die een A-record heeft (zonder naam) naar het IP-adres van je exchange-server (en natuurlijk een extern A-record voor webmail.tailspintoys.com).

[YellowOnline]

chaoscontrol schreef op zaterdag 15 oktober 2016 @ 14:13:
Ik typ wel even iets moment.

Zo heb je in ieder geval 3 maanden om de klant een nieuw cert te laten kopen.

Installeer even een webserver (IIS) en forward poort 80 naar die bak. Maak één site aan met alle bindings waar je een certificaat voor wilt hebben. (mail.yellow.de, autodiscover.yellow.de, webmail.yellow.de etc.) Dit mogen gewoon poort 80 bindings zijn.

Zorg dat de IIS extensie loze filetypes ondersteund (op hoofd niveau even extensie * toevoegen als "text/plain" bij MIME types). Maak even een text file aan met wat inhoud en haal de .txt extensie weg. Test of je nu via het web bij die file kan. (Zo niet, op IIS hoofdniveau, ga naar handler mappings, klik rechts op "View ordered list" en zet "StaticFile" boven de 3 ExtensionlessUrlHandler entries.)

Nu kun je acmesharp powershell plugin downloaden. https://github.com/ebekker/ACMESharp/wiki/Quick-Start

code:

Import-Module ACMESharp

code:

Initialize-ACMEVault

code:

New-ACMERegistration -Contacts mailto:[e-mail] -AcceptTos

Dit moet voor elk subdomain gebeuren.

code:

New-ACMEIdentifier -Dns myserver.example.com -Alias unieke_naam1

code:

Complete-ACMEChallenge unieke_naam1 -ChallengeType http-01 -Handler iis -HandlerParameters @{ WebSiteRef = 'NaamVanWebsite' }

Kijk of het is gelukt
Update-ACMEIdentifier unieke_naam1

[...]


Als je dat voor elk subdomain hebt gedaan vragen we het cert aan.

code:

New-ACMECertificate unieke_naam1 -Generate -AlternativeIdentifierRefs unieke_naam2,unieke_naam3,unieke_naam4 -Alias multiMailCert

Kijk of het is gelukt. serienummer moet gevuld zijn.

code:

Update-ACMECertificate multiMailCert

Als alles goed ging kun je hem nu exporteren.

code:

Get-ACMECertificate multiMailCert -ExportPkcs12 "C:\path\to\multiMailCert.pfx" -CertificatePassword 'wachtwoord'

Deze kun je dan importeren in exchange met:

code:

Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path C:\path\to\multiMailCert.pfx -Encoding byte -ReadCount 0)) -Password:(Get-Credential).password

Nu snap ik die "ik typ wel iets". 't Is dat ik toevallig refresh of ik had het nooit gezien Voel mij nu zelfs schuldig voor de moeite want... ik ben er in geslaagd het certificaat te importeren.

't Kan toch omgezet worden met OpenSSL. 't Is gewoon onduidelijk wat de files zijn. Na mij even in te lezen: .key is de private key, .pub is de public key, .pem is het certificaat zelf. Pfff.

code:

C:\Program Files (x86)\OpenSSL-Win32\bin>openssl pkcs12 -export -out C:\temp\certificate.pfx -inkey C:\Temp\wildcard.yellow.2015.nopass.key -in C:\temp\wildcard.yellow.2015.signed.pub -certfile c:\temp\rapidssl.intermediate.2015.pem

En hoera, autodiscover werkt!

[ Voor 4% gewijzigd door YellowOnline op 15-10-2016 15:13 ]

[asing]

Gefeliciteerd!

[wagenveld]

Wellicht ten overvloede, maar zorg wel dat de coexistence goed wordt geconfigureerd voor de redirection enz: http://www.msexchange.org...nge-2007-2013-part14.html

[YellowOnline]

wagenveld schreef op zaterdag 15 oktober 2016 @ 15:39:
Wellicht ten overvloede, maar zorg wel dat de coexistence goed wordt geconfigureerd voor de redirection enz: http://www.msexchange.org...nge-2007-2013-part14.html

Ik ben op part12 van die guide

[chaoscontrol]

YellowOnline schreef op zaterdag 15 oktober 2016 @ 15:01:
[...]


Nu snap ik die "ik typ wel iets". 't Is dat ik toevallig refresh of ik had het nooit gezien Voel mij nu zelfs schuldig voor de moeite want... ik ben er in geslaagd het certificaat te importeren.

't Kan toch omgezet worden met OpenSSL. 't Is gewoon onduidelijk wat de files zijn. Na mij even in te lezen: .key is de private key, .pub is de public key, .pem is het certificaat zelf. Pfff.

code:

C:\Program Files (x86)\OpenSSL-Win32\bin>openssl pkcs12 -export -out C:\temp\certificate.pfx -inkey C:\Temp\wildcard.yellow.2015.nopass.key -in C:\temp\wildcard.yellow.2015.signed.pub -certfile c:\temp\rapidssl.intermediate.2015.pem

En hoera, autodiscover werkt!

Voor het nageslacht. Goed dat het is gelukt! Rest is niet veel werk meer als het goed is.

[YellowOnline]

chaoscontrol schreef op zaterdag 15 oktober 2016 @ 16:10:
[...]

Voor het nageslacht. Goed dat het is gelukt! Rest is niet veel werk meer als het goed is.

Wel, de mail flow begrijpen. Vergeet niet dat dit nieuw is voor mij.

[asing]

YellowOnline schreef op zaterdag 15 oktober 2016 @ 16:19:
[...]


Wel, de mail flow begrijpen. Vergeet niet dat dit nieuw is voor mij.

Ik vind het knap en dapper van je . Serieus mijn respect. Zonder fatsoenlijke voorkennis toch maar van een SBS domein migreren naar een echt domein met een mail migratie erbij.

[YellowOnline]

asing schreef op zaterdag 15 oktober 2016 @ 16:28:
[...]


Ik vind het knap en dapper van je . Serieus mijn respect. Zonder fatsoenlijke voorkennis toch maar van een SBS domein migreren naar een echt domein met een mail migratie erbij.

Iedereen kan een Exchange-migratie aanvangen. Maar een eindresultaat hebben dat werkt, dat is de kunst. En daar ben ik nog niet

[arjants]

Congratz, de rest is nu goed te doen.
Gewoon netjes de stappen blijven volgen en daar kom je wel uit denk ik.

Huphup en naar huis straks

[YellowOnline]

arjants schreef op zaterdag 15 oktober 2016 @ 16:50:
Congratz, de rest is nu goed te doen.
Gewoon netjes de stappen blijven volgen en daar kom je wel uit denk ik.

Huphup en naar huis straks

Helaas, behalve Exchange heb ik nog wat hardware-dingen te doen (netwerk fail-over) en backup.

Maareuh, ik ben er nog niet hoor: mijn 2013 mailbox ontvang enkel interne mail (van 2007 en 2013), geen externe. De automatisch aangemaakte connectors maken het niet transparant:

code:

Client Frontend EXC2013
Client Proxy EXC2013
Default EXC2013
Default Frontend EXC2013
Outbound Proxy Frontend EXC2013

De details maken wel duidelijk dat het verschil 'm in de gebruikte port en authenticatie zit. Scope is overal hetzelfde (0.0.0.0/255.255.255.255). Vermoedelijk mag dat zo blijven en moet ik kijken op niveau van mijn smarthost (Sophos UTM) waarom het niet lukt. Nochtans staat de nieuwe server in de host list aldaar.

Edit: Hmz. Ik heb een connector gedelete die die guide wou aanmaken en nu gaat het wel

[ Voor 4% gewijzigd door YellowOnline op 15-10-2016 17:13 ]

[arjants]

Scant de sophos transparant de smtp?

[YellowOnline]

arjants schreef op zaterdag 15 oktober 2016 @ 18:22:
Scant de sophos transparant de smtp?

Ja - maar alles ziet er intussen goed uit hoor. Aan de binnenkant toch. Aan de buitenkant wordt https://mail.yellow.de/owa nog doorgestuurd naar de oude server ondanks dat ik de DNS gewijzigd heb. Of ik moet meer geduld hebben.

Was een NAT regel. Werkt nu ook. Aha.

Samengevat:
Mailen tussen 2007, 2013 en extern gaat.
Autodiscovery functioneert.
OWA werkt intern en extern.

Is er nog iets dat ik moet bekijken behalve public folders en Outlook Anywhere?

Met de authenticatie moet ook nog ergens iets gewijzigd worden, want Outlook vraagt authentificatie terwijl hij dat van het OS zou moeten overnemen (en 't is niet client-side expliciet geconfigureerd).

[ Voor 36% gewijzigd door YellowOnline op 15-10-2016 18:57 ]

[arjants]

komt me bekend voor
Zat bij mij uiteindelijk in de security van de AD user.
Makkelijk te testen dmv een nieuwe testuser, heeft deze geen problemen maar bestaande users wel?

[YellowOnline]

arjants schreef op zaterdag 15 oktober 2016 @ 18:57:
komt me bekend voor
Zat bij mij uiteindelijk in de security van de AD user.
Makkelijk te testen dmv een nieuwe testuser, heeft deze geen problemen maar bestaande users wel?

Heb ik geprobeerd en is hetzelfde.

Geheel terzijde wat er tegen mijn Berlijnse muur hangt:


(overigens heb ik wel degelijk zicht op de échte Berlijnse Muur vanop mijn stoel Helaas is er nu een of andere rave parade bezig met bassen die mijn bureau doen opwippen...)

[arjants]

Staan de public folders al op de nieuwe exchange? Is alles nu over?

[YellowOnline]

arjants schreef op zaterdag 15 oktober 2016 @ 19:18:
Staan de public folders al op de nieuwe exchange? Is alles nu over?

Ik was eten bestellen en tussendoor testen users. Ben eerst bezig met Outlook Anywhere, want public folders... ik heb er 3800 gevonden, WTF.

[spone]

Misschien beetje mosterd na de maaltijd, maar zelfs als een certificaat niet als exporteerbaar gemarkeerd is kan je het alsnog wel exporteren. Je hebt er alleen wat meer tools voor nodig. Tijdje terug ook moeten doen en er meteen maar een post over gemaakt: https://www.sysads.nl/201...n-exportable-certificate/

[arjants]

Zodra outlook deze wil openen op de oude server hou je de meldingen op de client.

[edit]
Overzetten van PF gaat niet zo hard

[ Voor 24% gewijzigd door arjants op 15-10-2016 19:28 ]

[YellowOnline]

spone schreef op zaterdag 15 oktober 2016 @ 19:25:
Misschien beetje mosterd na de maaltijd, maar zelfs als een certificaat niet als exporteerbaar gemarkeerd is kan je het alsnog wel exporteren. Je hebt er alleen wat meer tools voor nodig. Tijdje terug ook moeten doen en er meteen maar een post over gemaakt: https://www.sysads.nl/201...n-exportable-certificate/

Ik had mimikatz ook gevonden, maar dan blokkeerde Sophos het als exploit tool - tja, dat is het natuurlijk ook - en ik dacht het toch even anders te proberen alvorens te knoeien aan mijn AV

arjants schreef op zaterdag 15 oktober 2016 @ 19:26:
Zodra outlook deze wil openen op de oude server hou je de meldingen op de client.

[edit]
Overzetten van PF gaat niet zo hard

Ik moet eerst voor elkaar krijgen dat men met Outlook Anywhere van buiten uit een Outlookverbinding kan opzetten, aangezien dat een show-stopper is als dat niet lukt. Dat is d.m.v een http-proxy, maar mijn Outlook crasht als ik het probeer.

[ Voor 39% gewijzigd door YellowOnline op 15-10-2016 19:38 ]

[arjants]

Eerst ff kijken of alles goed staat, ook op je sophos: https://testconnectivity.microsoft.com

[YellowOnline]

arjants schreef op zaterdag 15 oktober 2016 @ 19:58:
Eerst ff kijken of alles goed staat, ook op je sophos: https://testconnectivity.microsoft.com

Fuck, eerst andere katten te geselen. Ik heb met authenticatie zitten prutsen van Outlook Anywhere en nu krijgen Outlook clients een password loop...

[arjants]

Je bedoeld de CAS settings?
http://exchange.sembee.in...eset-virtualdirectory.asp
Kun je wel proberen te resetten

[wagenveld]

Zorg in eerste plaats voor dat je SSL en auth settings in 2007 en 2013 exact gelijk zijn voor OA.

Get-OutlookAnywhere | fl *auth*

[YellowOnline]

wagenveld schreef op zaterdag 15 oktober 2016 @ 20:25:
Zorg in eerste plaats voor dat je SSL en auth settings in 2007 en 2013 exact gelijk zijn voor OA.

Get-OutlookAnywhere | fl *auth*

Die waren inderdaad niet gelijk meer. Op de oude was het basic en NTLM, op de nieuwe enkel NTLM. Ik heb die gelijkgesteld maar op 't eerste zicht geen verschil.

Ontdekt: als ik een profiel nieuw creëer, dan vraagt Outlook 1x credentials en dan werkt het. Als ik Outlook opnieuw opstart krijg ik de loop.

[ Voor 14% gewijzigd door YellowOnline op 15-10-2016 20:34 ]

[wagenveld]

Iisreset /noforce gedaan?

[YellowOnline]

wagenveld schreef op zaterdag 15 oktober 2016 @ 20:35:
Iisreset /noforce gedaan?

Ik heb de server eens opnieuw gestart omdat het al even geleden was. Dat zal wel hetzelfde doen als een iisreset, toch?

Edit: ik heb voorgaande bericht bewerkt, refresh eens.

Edit: Kan iis niet restarten... waarschijnlijk om veiligheidsredenen... pluis nu dit hier uit: https://forums.iis.net/t/1152597.aspx Geduld is een deugd.

[ Voor 28% gewijzigd door YellowOnline op 15-10-2016 20:45 ]

[wagenveld]

Je hoort geen prompt te krijgen, ook niet bij de eerste keer. Die iisreset is normaal, even wachten en opnieuw proberen. Maar een restart doet hetzelfde idd.
In IIS, controleer ook even de auth provider volgorde op de autodiscover en oa vdirs. NTLM moet daar bovenaan. Zie oa: http://blog.techtalklive....010-2013-Coexistence.aspx halverwege.

[YellowOnline]

wagenveld schreef op zaterdag 15 oktober 2016 @ 20:50:
Je hoort geen prompt te krijgen, ook niet bij de eerste keer. Die iisreset is normaal, even wachten en opnieuw proberen. Maar een restart doet hetzelfde idd.
In IIS, controleer ook even de auth provider volgorde op de autodiscover en oa vdirs. NTLM moet daar bovenaan. Zie oa: http://blog.techtalklive....010-2013-Coexistence.aspx halverwege.

Ik denk te weten wat het veroorzaakt en ook jouw link gaat er heen: dat is sinds ik dit deed

PowerShell:

Set-OutlookProvider EXPR -CertPrincipalName msstd:(your external host name)

Set-OutlookProvider EXCH -CertPrincipalName msstd:(your external host name)

... omdat dat nodig zou zijn voor wildcard certificaten. Ik check IIS even uit zoals je suggereert. Je artikel komt in ieder geval heel goed overeen met mijn situatie.

Negotiate stond inderdaad eerst ipv NTLM. Mijn Exchange herstart nu.

... en het probleem is er nog steeds, $@&% Maar ik ben nagenoeg zeker dat het met wildcardcertificaten en Outlook Anywhere te maken heeft. Als ik MSSTD uitschakel is het probleem namelijk weg.

Edit: 4 uur later nog geen stap verder... tijd om te slapen eerst.

Edit: Zo. We gaan weer verder

[ Voor 17% gewijzigd door YellowOnline op 16-10-2016 08:26 ]

[YellowOnline]

De reden voor de password prompt blijken de public folders. Zodra mijn users gemigreerd zijn migreer ik die ook. Dan zou dat probleem vanzelf moeten verdwijnen.

Dan moet ik enkel nog uitvinden waarom de verbinding van buiten de organisatie niet werkt. Ik krijg wel een prompt voor credentials, maar dan gebeurt niets meer.

[wagenveld]

Had je daar nou een reverse proxy tussen of niet? Wat is dat precies?
https://testconnectivity.microsoft.com/ even posten?

[YellowOnline]

wagenveld schreef op zondag 16 oktober 2016 @ 10:37:
Had je daar nou een reverse proxy tussen of niet? Wat is dat precies?
https://testconnectivity.microsoft.com/ even posten?

Er is een smarthost, de mailmodule van een Sophos UTM, tussen internet en Exchange. met de 2007 werkte het trouwens.

Spijtig genoeg ondersteunt GoT geen HTML dus de formatting is niet alles. Creatief met smileys:

Testing Outlook connectivity.
The Outlook connectivity test failed.

Additional Details

Elapsed Time: 2702 ms.

Test Steps

Testing RPC over HTTP connectivity to server mail.yellow.de
RPC over HTTP connectivity failed.

Additional Details

HTTP Response Headers:
request-id: ff220c0d-aa0d-4adf-b1ed-aa917aecffe2
Server: Microsoft-IIS/8.5
WWW-Authenticate: NTLM,Basic realm="mail.yellow.de"
X-Powered-By: ASP.NET
X-FEServer: DM00P04F
Date: Sun, 16 Oct 2016 08:41:17 GMT
Content-Length: 0
Elapsed Time: 2702 ms.

Test Steps

Attempting to resolve the host name mail.yellow.de in DNS.
The host name resolved successfully.

Additional Details

IP addresses returned: xxxxxxxx
Elapsed Time: 349 ms.
Testing TCP port 443 on host mail.yellow.de to ensure it's listening and open.
The port was opened successfully.

Additional Details

Elapsed Time: 312 ms.
Testing the SSL certificate to make sure it's valid.
The certificate passed all validation requirements.

Additional Details

Elapsed Time: 455 ms.

Test Steps

The Microsoft Connectivity Analyzer is attempting to obtain the SSL certificate from remote server mail.yellow.de on port 443.
The Microsoft Connectivity Analyzer successfully obtained the remote SSL certificate.

Additional Details

Remote Certificate Subject: CN=*.yellow.de, OU=Domain Control Validated - RapidSSL(R), OU=See www.rapidssl.com/resources/cps (c)15, OU=GT22774325, Issuer: CN=RapidSSL SHA256 CA - G3, O=GeoTrust Inc., C=US.
Elapsed Time: 414 ms.
Validating the certificate name.
The certificate name was validated successfully.

Additional Details

The host name that was found, mail.yellow.de, is a wildcard certificate match for common name *.yellow.de.
Elapsed Time: 0 ms.
Certificate trust is being validated.
The certificate is trusted and all certificates are present in the chain.

Test Steps

The Microsoft Connectivity Analyzer is attempting to build certificate chains for certificate CN=*.yellow.de, OU=Domain Control Validated - RapidSSL(R), OU=See www.rapidssl.com/resources/cps (c)15, OU=GT22774325.
One or more certificate chains were constructed successfully.

Additional Details

A total of 1 chains were built. The highest quality chain ends in root certificate CN=GeoTrust Global CA, O=GeoTrust Inc., C=US.
Elapsed Time: 12 ms.
Analyzing the certificate chains for compatibility problems with versions of Windows.
Potential compatibility problems were identified with some versions of Windows.

Additional Details

The Microsoft Connectivity Analyzer can only validate the certificate chain using the Root Certificate Update functionality from Windows Update. Your certificate may not be trusted on Windows if the "Update Root Certificates" feature isn't enabled.
Elapsed Time: 1 ms.
Testing the certificate date to confirm the certificate is valid.
Date validation passed. The certificate hasn't expired.

Additional Details

The certificate is valid. NotBefore = 8/16/2015 11:43:53 AM, NotAfter = 9/16/2017 12:11:15 PM
Elapsed Time: 0 ms.
Checking the IIS configuration for client certificate authentication.
Client certificate authentication wasn't detected.

Additional Details

Accept/Require Client Certificates isn't configured.
Elapsed Time: 543 ms.
Testing HTTP Authentication Methods for URL https://mail.yellow.de/rpc/rpcproxy.dll?mail.yellow.de:6002.
The HTTP authentication methods are correct.

Additional Details

The Microsoft Connectivity Analyzer found all expected authentication methods and no disallowed methods. Methods found: Basic, NTLM
HTTP Response Headers:
request-id: ff220c0d-aa0d-4adf-b1ed-aa917aecffe2
Server: Microsoft-IIS/8.5
WWW-Authenticate: NTLM,Basic realm="mail.yellow.de"
X-Powered-By: ASP.NET
X-FEServer: DM00P04F
Date: Sun, 16 Oct 2016 08:41:17 GMT
Content-Length: 0
Elapsed Time: 381 ms.
Attempting to ping RPC proxy mail.yellow.de.
RPC Proxy can't be pinged.

Additional Details

An unexpected network-level exception was encountered. Exception details:
Message: The remote server returned an error: (404) Not Found.
Type: Microsoft.Exchange.Tools.ExRca.Extensions.MapiTransportException
Stack trace:
at Microsoft.Exchange.Tools.ExRca.Extensions.MapiRpcTestClient.PingProtocolProxy(String endpointIdentifier)
at Microsoft.Exchange.Tools.ExRca.Tests.MapiPingProxyTest.PerformTestReally()
Exception details:
Message: The remote server returned an error: (404) Not Found.
Type: System.Net.WebException
Stack trace:
at System.Net.HttpWebRequest.GetResponse()
at RpcPingLib.RpcPing.PingProxy(String internalServerFqdn, String endpoint)
at Microsoft.Exchange.Tools.ExRca.Extensions.MapiRpcTestClient.PingProtocolProxy(String endpointIdentifier)
Elapsed Time: 659 ms.

%$&#$ Tijdens de migratie refresh ik en opeens werkt niets meer. Worst case scenario. outlook werkt niet meer en mijn migratie is niet meer zichtbaar. Event log vol met

[code]Failure Item (Namespace=ESE, Tag=Space, Database=CN=DMDB01,CN=Databases,CN=Exchange Administrative Group (FYDIBOHF23SPDLT),CN=Administrative Groups,CN=YELLOW,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=Yellow,DC=local, Instance=DMDB01)][/code]

Log partitie is vol... even resizen en bidden.

OK, alles weer OK daar. Mijn toekomst met wortels telen in een plantsoentje langs de Spree wordt uitgesteld

[ Voor 4% gewijzigd door YellowOnline op 16-10-2016 11:03 ]

[wagenveld]

En die UTM heb je nu geconfigureerd naar 2013? En is die appliance een beetje up to date?

[YellowOnline]

wagenveld schreef op zondag 16 oktober 2016 @ 11:04:
En die UTM heb je nu geconfigureerd naar 2013? En is die appliance een beetje up to date?

Zeker - en de UTM heb ik dit weekend nog geüpdatet naar de laatste versie. OWA extern werkt ook en gaat over dezelfde URL.

[arjants]

Staan er alleen NAT regels op de sophos of ook is er ook webserver protection geconfigureerd?
Dan kan het zijn dat je nog wat aan moet passen namelijk

[ Voor 57% gewijzigd door arjants op 16-10-2016 12:06 ]

[YellowOnline]

arjants schreef op zondag 16 oktober 2016 @ 11:33:
Staan er alleen NAT regels op de sophos of ook is er ook webserver protection geconfigureerd?
Dan kan het zijn dat je nog wat aan moet passen namelijk

[afbeelding]

Externe toegang is in orde intussentijd (en interne beter) dankzij een altruïstische Tweaker die mijn bijna eeuwige dankbaarheid heeft om 2 uur aan mijn probleem te besteden.

wagenveld

Fontsize 72, bold, italic, underline en geen Comic Sans volstaan niet om mijn dank uit te drukken.

[wagenveld]

[YellowOnline]

Public Folders migreren is inderdaad geen eitje.

code:

[16.10.2016 15:37:01] Reading public folder list...
[16.10.2016 15:37:01] Loading folder hierarchy...
[16.10.2016 15:37:01] The size of the folder @{FolderName=\IPM_SUBTREE\Bla\Blablabla; FolderSize=1193018574} (1193018574) is greater than the mailbox size 1073741824
[16.10.2016 15:37:01] Unable to load public folders...

*diepe zucht*

Ik verdeel die map over twee in de hoop dat dat lukt.

Edits:

1. Opgelost... andere waarde dan default meegegeven
2. Euh, het kan niet de bedoeling zijn dat de Exchange Web Management via internet bereikbaar is merk ik net. Veilig is dat niet. (Wel handig, aangezien ik intussen naar huis gegaan ben en daar doorwerk)
3. Voilà, CU 14 is geïnstalleerd

[ Voor 30% gewijzigd door YellowOnline op 16-10-2016 19:00 ]

[jvdb1975]

Dat is een lang weekend geweest voor je! Migratie inmiddels compleet?

[YellowOnline]

jvdb1975 schreef op zondag 16 oktober 2016 @ 19:54:
Dat is een lang weekend geweest voor je! Migratie inmiddels compleet?

Sinds vrijdagochtend heb ik 36 uur en 24 minuten op de teller Niet ideaal voor concentratie.

Maar neen, het is nog niet voorbij. De update is goed gegaan en CodeTwo Signatures zijn al geïnstalleerd (moduletje voor automatische handtekeningen) intussen. Alle users zijn ook al gemoved. Public folders zijn bezig en daarna moet ik nog wat speciale mailboxen moven (rooms & equipment) en natuurlijk de oude netjes uninstallen. Maar het grote werk lijkt gedaan. Hout vasthouden.

Ik dank alvast iedereen die hier en in Systeembeheerders en hun problemen - deel 35 mijn de facto live-blog gevolgd heeft en van goede raad voorzien heeft

Maar het vel van de beer nog niet verkopen alvorens hij geschoten is. Er zijn nog een aantal dingen te doen.

Terzijde, ik snak naar vers eten. Ik heb enkel fastfood gegeten sinds vrijdagavond. En ik wou 20 kg verliezen

[ Voor 24% gewijzigd door YellowOnline op 16-10-2016 20:34 ]

[asing]

YellowOnline schreef op zondag 16 oktober 2016 @ 15:45:

2. Euh, het kan niet de bedoeling zijn dat de Exchange Web Management via internet bereikbaar is merk ik net. Veilig is dat niet. (Wel handig, aangezien ik intussen naar huis gegaan ben en daar doorwerk)

Die staat inderdaad open.

https://theucguy.net/turn...ess-to-exchange-2013-eac/

Misschien helpt dat.

[arjants]

Of je sophos webserver protection eens goed bekijken
ftp://smart.rs/Sophos%20U...209.2%20-%20draft%202.pdf

[YellowOnline]

arjants schreef op zondag 16 oktober 2016 @ 21:38:
Of je sophos webserver protection eens goed bekijken
ftp://smart.rs/Sophos%20U...209.2%20-%20draft%202.pdf

Een interessant artikel voor Sophos en Exchange, maar ...

asing schreef op zondag 16 oktober 2016 @ 21:00:
[...]


Die staat inderdaad open.

https://theucguy.net/turn...ess-to-exchange-2013-eac/

Misschien helpt dat.

... dit is een oplossing in de stijl die ik ook verwacht had. Dankuwel.

Edit: Public Folders zijn successvol gemigreerd \o/ Naja, ik ben op 95% en zie het al. Op 100% nog twee command's en klaar is Kees.

PowerShell:

Get-Mailbox -PublicFolder | Set-Mailbox -PublicFolder -IsExcludedFromServingHierarchy $false
Set-OrganizationConfig -PublicFolderMigrationComplete:$true

De volgende stap is dan Exchange 2007 decommissionenen.

[ Voor 22% gewijzigd door YellowOnline op 17-10-2016 08:05 ]

[jvdb1975]

Is dan ook mssql etc klaar, of staat dat ook nog op je lijst?

[YellowOnline]

jvdb1975 schreef op zondag 16 oktober 2016 @ 23:33:
Is dan ook mssql etc klaar, of staat dat ook nog op je lijst?

De Windows MySQL naar linux verhuizen heb ik gedaan tijdens de Public Folder migratie. Samengevat is het gemakkelijk. Copy/paste met censuur (duh) uit mijn zelfgemaakte documentatie:

SQL:

[dump old DB in Windows]
mysqldump --databases DB1 DB2 DB3 > "D:\blabla\backup\blabla"%date:~0,2%".sql" -u root -pXXX
[restore DB in unix]
cat /tmp/blablaX.sql | sed 's/ROW_FORMAT=FIXED//g' | mysql -u root --password=XXX
[connect]
mysql -h localhost -u root -pXXX 
[Use the proper DB]
USE mysql
[update user table compability from 5.6 to 5.7]
UPDATE user SET plugin='mysql_native-password';
[lower password policy]
SET GLOBAL validate_password_policy=LOW;
[grant all to root]
GRANT ALL PRIVILEGES ON *.* TO 'root'@'%' IDENTIFIED BY 'XXX' with grant option;

Ja, die veiligheid naar beneden schroeven is niet van harte, maar die discussie met de klant aangaan - dit is hun in-house app - wou ik niet dit weekend op mijn boterham en hij moest remote toegang hebben als root met een eenvoudig wachtwoord van overal. Tja.

---

Overigens heb ik een licentie voor Exchange 2016 (Open Licence, dus gaat op 2013 ook). Ik sta niet te springen om verder te upgraden, tenzij dit eenvoudigweg in-place gaat.

---

Zo, alweer op post, en die Public Folder migratie hangt nog steeds op 95%
Aha, dat is normaal. na een paar commando's en een test ziet alles perfect uit!

Tot nu toe slechts één klacht. Ergens in de wereld is er een gebruiker bij wie mail niet meer functioneert. Misschien iemand met Apple of Android - dat heb ik niet getest. Ik wacht op zijn antwoord, want ik moet meer informatie hebben dan 'het werkt niet'.

[ Voor 32% gewijzigd door YellowOnline op 17-10-2016 08:54 ]

[asing]

YellowOnline schreef op zondag 16 oktober 2016 @ 23:39:
[...]

Overigens heb ik een licentie voor Exchange 2016 (Open Licence, dus gaat op 2013 ook). Ik sta niet te springen om verder te upgraden, tenzij dit eenvoudigweg in-place gaat.

Ondanks dat het een minor releasee lijkt, moet je voor 2016 toch weer nieuwe servers optuigen en migreren. De stap 2007-2016 is ook niet mogelijk.

[YellowOnline]

asing schreef op maandag 17 oktober 2016 @ 08:55:
[...]


Ondanks dat het een minor releasee lijkt, moet je voor 2016 toch weer nieuwe servers optuigen en migreren. De stap 2007-2016 is ook niet mogelijk.

Pfff. Ze kunnen dan wel een half jaar wachten voor ik weer zin heb in zo'n migratie.

asing schreef op zondag 16 oktober 2016 @ 21:00:
[...]


Die staat inderdaad open.

https://theucguy.net/turn...ess-to-exchange-2013-eac/

Misschien helpt dat.

Net ontdekt: dat artikel klopt niet. Ook intern werkt het dan niet meer

[ Voor 31% gewijzigd door YellowOnline op 17-10-2016 09:09 ]

[chaoscontrol]

Mooi dat het is gelukt! Wat een bevalling hè. Nu vrij?

[YellowOnline]

chaoscontrol schreef op maandag 17 oktober 2016 @ 09:50:
Mooi dat het is gelukt! Wat een bevalling hè. Nu vrij?

Net een halve hartstilstand. Ik verwijder de Public Folders DB op de oude server en op mijn testaccount verdwijnen ze ook. Na Outlook te herstarten zijn ze terug.

[Jazzy]

Jemig wat een verhaal zeg! Vraag me alleen af waarom dit allemaal in een weekend gepropt moest worden. Op één of twee korte momenten na had je de hele migratie gewoon op je eigen tempo kunnen uitvoeren tijdens kantooruren. Zaken als een niet-exporteerbaar certificaat had je dan rustig op kunnen lossen en client access pas over hoeven schakelen nadat de configuratie van de Exchange 2013 server klaar was.

Voor jou is dit nu mosterd na de maaltijd en ik wil geen zout in de wond strooien, maar hoop dat anderen hier nog wat uit kunnen leren. De momenten waarop je even alert moet zijn op impact zijn:

- Daadwerkelijke installatie van Exchange 2013. Als je geen deployment-site kunt creëren in AD (kost je een al dan niet tijdelijke domain controller) dan moet je dit buiten kantooruren doen en direct na de installatie het SCP (AutoDiscoverServiceInternalUri) aanpassen en de urls goed zetten. Anders kunnen de clients even een certificaatmelding krijgen.
- Aanpassen van het DNS record zodat nieuwe client access verbindingen naar Exchange 2013 gaan en geproxied worden naar Exchange 2007.
- Cut-over van de PF migratie

Maar goed, ben blij voor je dat het allemaal gelukt is uiteindelijk.

asing schreef op maandag 17 oktober 2016 @ 08:55:
[...]


Ondanks dat het een minor releasee lijkt, moet je voor 2016 toch weer nieuwe servers optuigen en migreren. De stap 2007-2016 is ook niet mogelijk.

Het proces is wel een heel stuk eenvoudiger gelukkig. Exchange 2016 en 2013 zijn qua architectuur bijna identiek, het is dus net alsof je de ene server door een andere vervangt. Exchange 2013 kan zelfs client connecties doorsturen naar Exchange 2016 dus je mag zelf weten wanneer je DNS overzet.

[ Voor 24% gewijzigd door Jazzy op 17-10-2016 10:34 ]

[YellowOnline]

Jazzy schreef op maandag 17 oktober 2016 @ 10:31:
Jemig wat een verhaal zeg! Vraag me alleen af waarom dit allemaal in een weekend gepropt moest worden. Op één of twee korte momenten na had je de hele migratie gewoon op je eigen tempo kunnen uitvoeren tijdens kantooruren. Zaken als een niet-exporteerbaar certificaat had je dan rustig op kunnen lossen en client access pas over hoeven schakelen nadat de configuratie van de Exchange 2013 server klaar was.

Voor jou is dit nu mosterd na de maaltijd en ik wil geen zout in de wond strooien, maar hoop dat anderen hier nog wat uit kunnen leren. De momenten waarop je even alert moet zijn op impact zijn:

- Daadwerkelijke installatie van Exchange 2013. Als je geen deployment-site kunt creëren in AD (kost je een al dan niet tijdelijke domain controller) dan moet je dit buiten kantooruren doen en direct na de installatie het SCP (AutoDiscoverServiceInternalUri) aanpassen en de urls goed zetten. Anders kunnen de clients even een certificaatmelding krijgen.
- Aanpassen van het DNS record zodat nieuwe client access verbindingen naar Exchange 2013 gaan en geproxied worden naar Exchange 2007.
- Cut-over van de PF migratie

Maar goed, ben blij voor je dat het allemaal gelukt is uiteindelijk.

[...]
Het proces is wel een heel stuk eenvoudiger gelukkig. Exchange 2016 en 2013 zijn qua architectuur bijna identiek, het is dus net alsof je de ene server door een andere vervangt. Exchange 2013 kan zelfs client connecties doorsturen naar Exchange 2016 dus je mag zelf weten wanneer je DNS overzet.

Ik heb véél geleerd over Exchange in ieder geval!

Maar er duikt toch een probleem op, al is het minder acuut voor mij dan de rest: mobieltjes geven een 'authentication failed'. Er klopt vast iets niet met Active Sync. Als ik als domein YELLOWONLINE zou ingeven en niet YELLOWOLNINE zou het meteen beter werken

[ Voor 6% gewijzigd door YellowOnline op 17-10-2016 11:26 ]

[asing]

Ga jij eens even heel vlot naar huis en weekend vieren !!!! Je bent al vee lte lang aan het werk.

Bedankt voor alle pagina's met informatie. Ik mag de komende maanden ook een 2007 omgeving naar 2013 trekken.

[asing]

Mocht je overigens een privacy gevoelig bedrijf hebben, dan kun je nu dit doen :

New-ActiveSyncDeviceAccessRule –QueryString 'Outlook for iOS and Android' –Characteristic DeviceModel –AccessLevel Block

Hiermee blokkeer je de Outlook app van iOS en Android, welke alle mail langs Amerikaanse mail servers haalt.

[Jazzy]

Dat is iets te kort door de bocht en bovendien een beetje achterhaald. Het probleem met de oude versies van die apps was met name dat de data verwerkt werd door servers die buiten de security policy van Microsoft vallen, concreet draaide de verwerking van de berichten op AWS. Inmiddels is die infrastructuur gemigreerd naar Azure waardoor de data de servers van Microsoft niet verlaat en de hele dienst nu valt onder de overeenkomsten die je met Microsoft hebt.

De dienst die het protocol verwerkt is weliswaar in de US, maar is een stateless translator die de data niet opslaat. Ik ben niet bekend met 'privacy gevoelige bedrijven' die een beleid hebben die dit niet toestaat.

[asing]

Jazzy schreef op maandag 17 oktober 2016 @ 11:55:
Dat is iets te kort door de bocht en bovendien een beetje achterhaald. Het probleem met de oude versies van die apps was met name dat de data verwerkt werd door servers die buiten de security policy van Microsoft vallen, concreet draaide de verwerking van de berichten op AWS. Inmiddels is die infrastructuur gemigreerd naar Azure waardoor de data de servers van Microsoft niet verlaat en de hele dienst nu valt onder de overeenkomsten die je met Microsoft hebt.

De dienst die het protocol verwerkt is weliswaar in de US, maar is een stateless translator die de data niet opslaat. Ik ben niet bekend met 'privacy gevoelige bedrijven' die een beleid hebben die dit niet toestaat.

Wat dacht je van een ziekenhuis? Wil je dan data door een extern bedrijf laten verwerken, dan moet je een zogenaamde bewerkersovereenkomst met het externe bedrijf sluiten. En dat wordt wat lastig met een partner als Microsoft.

Wil je dus het gebruik van de Outlook app tegengaan, en daarmee verwerking van de data door Microsoft/Azure, dan kan je die regel gebruiken. Ik zal je zeggen dat die mail al 2-3 jaar in mijn mailbox hangt om verwerkt te worden zodra Exchange 2013 staat. Er ligt hier een ban op het gebruik van dat ding maar met Exchange 2007 kan ik hem niet afdwingen.

[Jazzy]

asing schreef op maandag 17 oktober 2016 @ 13:14:
[...]


Wat dacht je van een ziekenhuis? Wil je dan data door een extern bedrijf laten verwerken, dan moet je een zogenaamde bewerkersovereenkomst met het externe bedrijf sluiten.

Alleen als het gaat om zogenaamde bijzondere persoonsgegevens. Als jullie instelling die per mail transporteert dan heb je daar inderdaad mee te maken, maar dat is wel heel uitzonderlijk. Als dat het geval is dan heb je nog veel meer uitdagingen, IPsec encryptie van DAG replicatieverkeer om maar eens wat te noemen. Denk dat je hier nog eens naar moet kijken want in de meeste zorginstellingen worden dat soort gegevens niet per email verstuurd.

Waar je ook eens over moet nadenken is hoe je als zorginstelling kunt voldoen aan alle verplichtingen met een applicatie die korter dan een half jaar verwijderd is van de definitieve EOL. Om over de huidige status van Extended Support nog maar te zwijgen. En dan een upgrade plannen naar Exchange 2013 in plaats van de meest recente versie die alweer meer dan een jaar uit is.

En dat wordt wat lastig met een partner als Microsoft.

Waarom? Tientallen zorginstellingen in Nederland hebben een overeenkomst met Microsoft gesloten en maken gebruik van Office 365 en Azure.

Al met al zeg ik niet dat je fout zit, vind alleen dat beheerders goed moeten begrijpen welke maatregel ze treffen om aan welk beleid te voldoen. Zo maar een client blocken zonder te begrijpen waarom slaat nergens op.

[ Voor 23% gewijzigd door Jazzy op 17-10-2016 13:49 ]

[asing]

Ik zei al, de vraag is jaren oud. Toen er nog externe servers gebruikt werden. Destijds was de vraag legitiem, nu iets minder. Maar je moet alsnog de vraag stellen of je dit wel wilt. Het doel is dat men de mail op de telefoon kan inzien, en iedere telefoon voorziet daarin zonder dat het Outlook programma gebruikt hoeft te worden.

Waar je mee moet werken wordt grotendeels bepaald door het beschikbare budget, de resources en de noodzaak. Als je dat niet hebt stopt het ergens. We doen wat we kunnen met wat we krijgen en als het niet kan, dan kan het niet. Ik had het soms ook graag anders gezien maar ja.

Zou ik die regel nog steeds instellen? Ja ik denk het wel.

[YellowOnline]

Zo, na een hele dag zonder noemenswaardige problemen hoewel de oude server plat lag (Exchange dan toch, de server zelf is nog file server voorlopig) dacht ik te beginnen aan de decommissioning.



Blijkbaar moet ik nog een en ander uitzoeken. Dat laatste is geen probleem - de oude server is gewoon nog aanwezig in de Send Connector. Dat adresboek weet ik niet meteen, maar dat vind ik morgen wel.

Maar ik ben heel erg tevreden hoor

En bijna van die niet-Engelstalige backend vanaf

[ Voor 28% gewijzigd door YellowOnline op 17-10-2016 20:56 ]

[YellowOnline]

Zoals wagenveld voorspeld had komt er bij de uninstall toch heel wat te zien. Zo kwam ik nog bridgehead connectors tegen van een oude Exchange 2003-migratie die de uninstall saboteerden.

Ik ben er bijna, maar nu loop ik tegen een wel heel vervelend iets: de uninstall, zowel GUI als command line, crash tijdens uninstall. Ik probeerde de rollen apart te verwijderen (ipv. allemaal tegelijk) en 't ziet er naar uit dat het enkel crasht op de hub role tot dusver.

Dan maar de hub role, het allerlaatste, per command line geprobeerd. Die hangt al half uurtje vast op 99%.



Vraag me af of ik nu vooral geduld moet hebben. In Add/Remove Programs is alles weg, maar de directory en binaries zijn er nog. In mijn web interface is niets meer te bekennen van Exchange 2007 in ieder geval.

Update: geduld is een schone deugd. Zo-even is de installer succesvol afgesloten

[ Voor 33% gewijzigd door YellowOnline op 18-10-2016 15:18 ]

[wagenveld]

Het is maar heel zelden dat een uninstall van Exchange in 1x goed gaat idd
Mooi werk zo!

[Jazzy]

YellowOnline schreef op dinsdag 18 oktober 2016 @ 12:55:
Dan maar de hub role, het allerlaatste, per command line geprobeerd. Die hangt al half uurtje vast op 99%.

Voor de volgende keer: http://jetzemellema.blogs...rience-even-more-fun.html (laatste regel)

[YellowOnline]

Jazzy schreef op dinsdag 18 oktober 2016 @ 16:14:
[...]
Voor de volgende keer: http://jetzemellema.blogs...rience-even-more-fun.html (laatste regel)

offtopic:
"Subscribe to: Post Comments (Atom)"?

[ Voor 4% gewijzigd door YellowOnline op 18-10-2016 16:25 ]

[_Arthur]

wagenveld schreef op dinsdag 18 oktober 2016 @ 16:10:
Het is maar heel zelden dat een uninstall van Exchange in 1x goed gaat idd

Eensch. Recent nog een Exchange 2007 server er uit 'ge-adsiedit'. Gewoon omdat ik er mee klaar was dat het kreng geen zin had om te uninstallen.

[YellowOnline]

And then it all goes wrong: na de SBS demoted en uit het domein genomen te hebben werkt Exchange niet meer

* YellowOnline zoekt onder stress naar een oplossing

Alle Exchange services staan uit na restart

Edit: 't Was iets onschuldigs... nou ja... Exchange had de oude SBS als DNS

De SBS krijg ik helaas niet in het domein gejoined als gewone server.

[ Voor 36% gewijzigd door YellowOnline op 18-10-2016 20:40 ]

[_Arthur]

YellowOnline schreef op dinsdag 18 oktober 2016 @ 20:31:
De SBS krijg ik helaas niet in het domein gejoined als gewone server.

Gaat je ook niet lukken: de SBS server wil de baas spelen.

http://serverfault.com/qu...008-to-be-a-member-server

[YellowOnline]

_Arthur schreef op dinsdag 18 oktober 2016 @ 21:23:
[...]

Gaat je ook niet lukken: de SBS server wil de baas spelen.

http://serverfault.com/qu...008-to-be-a-member-server

Ja, dat had ik gevreesd. Het is geen drama: in drie weken, als niemand piept, gaat de file server definitief uit. Er staat zoveel rotzooi op dat ik niet meteen wil garanderen dat alles op de nieuwe file server staat.