[Exchange/Zorgmail] Set-SendConnector :administrative limit

[Peter F]

Sinds kort zijn wij met 2 verschillende omgevingen (en domeinen) overgestapt naar Zorgmail

Zorgmail is gemaakt om veilige mails aan aangesloten organisaties te versturen.

Nu wordt de send connector gevuld met een script waar al deze domeinen in staan en wordt dan dagelijks met een script aangeroepen.

in de eerste organisatie gaat het prima. het geimporteerde bestand is ongeveer 16 K
in de tweede organisatie krijg ik een limit error.

Set-SendConnector : The administrative limit for this request was exceeded.

Ik kan wel wat vinden over AD limits , maar over de send connector kan ik niets vinden.

iemand die mij de juiste weg kan wijzen ?

[Squ1zZy]

Beetje weinig context, maar Set-SendConnector lijkt een PowerShell cmdlet te zijn. De admin limit melding ken ik wanneer het aantal characters op een property binnen ad wordt overschreden.

Ik heb het wel eens gezien bij nested-groups en SID history na een domain trust.

Edit: Het posten van het PowerShell script zou wel helpen natuurlijk.

[ Voor 11% gewijzigd door Squ1zZy op 28-01-2017 22:54 ]

[Peter F]

sorry vergeten bij te vermelden

het is inderdaad een powershell script
deze haalt eerst een lijst domeinen op en importeert deze dan via een script in de send connector
als ik de opgehaalde domein lijst kleiner maak ipv 16 naar 14 K doet hij het wel, maar dan mis ik natuurlijk domeinen

het script

#Load Exchange Server 2010 PowerShell Snap-in
if ( (Get-PSSnapin -Name Microsoft.Exchange.Management.PowerShell.E2010 -ErrorAction SilentlyContinue) -eq $null )
{
Add-PsSnapin Microsoft.Exchange.Management.PowerShell.E2010
}

#Download Zorgmail Addressbook
[System.Net.ServicePointManager]::ServerCertificateValidationCallback = {$true}
$webclient = new-object system.Net.Webclient
$url = "https://relay.zorgmail.nl/domainbook.txt"
$destination = "d:\domainbook.txt"
$webclient.DownloadFile($url,$destination)
$zorgmail = Get-Content $destination
$zorgmail = $zorgmail[1..($zorgmail.count-1)]

#Update Zorgmail SendConnector with addressbook
Set-SendConnector -Identity "ZorgMailen" -AddressSpaces $zorgmail

#Send e-mail when ready
#Send-MailMessage -SmtpServer cas.klantdomein.local -From "[e-mail]" -To "[e-mail]" -Subject "SafeRelay Addressbook Update" -Body "Saferelay Addressbook Update is uitgevoerd"

[ Voor 62% gewijzigd door Peter F op 28-01-2017 23:13 ]

[Squ1zZy]

Edit: 963 entries blijkbaar.

Ik zou het zelf via een CSV doen denk ik:

code:

$al = (Get-SendConnector -Identity TestSend).AddressSpaces
$al += (Import-CSV D:\Test.csv) | ForEach {$_.Name}
Set-SendConnector TestSend -AddressSpace $al3

Waarom dit?

code:

$zorgmail = $zorgmail[1..($zorgmail.count-1)]

De melding is simpelweg omdat het "limiet" hebt overschreden. Check eens hoeveel entries erin staat:

code:

(Get-SendConnector -Identity TestSend.AddressSpaces).Count

[ Voor 245% gewijzigd door Squ1zZy op 28-01-2017 23:31 ]

[Peter F]

Het blijft een limiet

ik ben aan het snijden gweest in het geïmporteerde bestand en heb hem laten importeren totdat hij de fout aangaf.

daarna heb ik met de hand geprobeerd een adress space toe te voegen maar ook dan loop ik tegen de limiet aan.
Ik heb er geen problemen mee om een tweede lijst aan te maken, maar omdat het een dynamische lijst is wordt dit wel lastig.

[Oogje]

Je loopt tegen een limiet aan in de AD zoals Squ1zZy al zegt.
Wat is je functional lvl van je domein?

Enige wat je kan doen is een 2e send-connector aanmaken denk ik.

[Paul]

1 issue waar wij tegenaan liepen: Je eigen domeinnamen staan ook in die lijst! Je moet dus je eigen domeinnamen uit die lijst filteren of spelen met priorities.

Als je maar één omgeving hebt loop je daar niet zo tegenaan, maar met 2 (of meer, bij ons waren het er 3: 2 oude en één gefuseerde nieuwe) wel.

[Jazzy]

Peter F schreef op zaterdag 28 januari 2017 @ 23:11:
Add-PsSnapin Microsoft.Exchange.Management.PowerShell.E2010

Dit wordt niet ondersteund, ik heb dat eerder al eens aan Enovation gemeld en vind het schandalig dat ze dit toch door hun klanten laten uitvoeren. De enige ondersteunde manier om verbinding te maken met de Exchange server is het opzetten van een Remote PowerShell connectie.

Ik ben er even ingedoken, de Address Space waarde wordt opgeslagen in het ms-Exch-Routing-List attribuut van het SendConnector object. Als je met ADSIEdit in de Configuration Container kijkt dan heet dit attribuut RoutingList. De limieten zijn opgeslagen in het AD schema, die kun je opzoeken door met ADSIEdit in de schema partition te kijken, zoek daar naar de rangeUpper waarde.



Die waarde geeft aan hoeveel entries je er maximaal in kunt zetten. In mijn Exchange 2016 CU4 versie van het schema is dat een waarde van 2243, met de huidige lijst van een dikke 900 domeinen zou je daar nog niet tegenaan moeten lopen. Kun je die anders eens vergelijken tussen de twee omgevingen?

Verder kun je ook nog overwegen het issue eens terug te leggen bij Enovation, zij zijn uiteindelijk de leverancier en bedenker van deze constructie.

[F_J_K]

"Exchange/Zorgmail" toegevoegd aan topictitel. En je zou idd verwachten dat de leverancier nette uitgeteste installatiescripts en -documentatie heeft. Juist gegeven het doel van Zorgmail.

[winux]

Wat gebeurd er als je domainbook.txt weggooi en opnieuw ĺaat vullen?

Wij gebruiken zorgmail al vanaf exchange 2007. Maar nooit laat gehad van limieten in de send-connector.

[Peter F]

Paul schreef op zondag 29 januari 2017 @ 12:23:
1 issue waar wij tegenaan liepen: Je eigen domeinnamen staan ook in die lijst! Je moet dus je eigen domeinnamen uit die lijst filteren of spelen met priorities.

Als je maar één omgeving hebt loop je daar niet zo tegenaan, maar met 2 (of meer, bij ons waren het er 3: 2 oude en één gefuseerde nieuwe) wel.

Dat wordt idd het volgende issue we hebben nog en domain (andere zorg instantie) die het (nog ) niet heeft aangevraagd, en die kan nu ook niet zenden naar deze domeinen, en idd prioriteiten issue's

Jazzy schreef op zondag 29 januari 2017 @ 12:42:
[...]

Ik ben er even ingedoken, de Address Space waarde wordt opgeslagen in het ms-Exch-Routing-List attribuut van het SendConnector object. Als je met ADSIEdit in de Configuration Container kijkt dan heet dit attribuut RoutingList. De limieten zijn opgeslagen in het AD schema, die kun je opzoeken door met ADSIEdit in de schema partition te kijken, zoek daar naar de rangeUpper waarde.

[afbeelding]

Die waarde geeft aan hoeveel entries je er maximaal in kunt zetten. In mijn Exchange 2016 CU4 versie van het schema is dat een waarde van 2243, met de huidige lijst van een dikke 900 domeinen zou je daar nog niet tegenaan moeten lopen. Kun je die anders eens vergelijken tussen de twee omgevingen?

Verder kun je ook nog overwegen het issue eens terug te leggen bij Enovation, zij zijn uiteindelijk de leverancier en bedenker van deze constructie.

ZOwel bij onze organisatie waar het niet werkt, as bij de organisatie waar het wel werkt staan dezelfde waardes.

het enige verschil tussen de 2 is dat onze organsisatie voorvloeit uit een domein van 2000 naar 2003 naar 2008 , en een exchange van 2003 naar 2007 naar 2010, waar de andere organisatie is begonnen met ad 2008 en exchange 2010.

winux schreef op zondag 29 januari 2017 @ 23:00:
Wat gebeurd er als je domainbook.txt weggooi en opnieuw ĺaat vullen?

Wij gebruiken zorgmail al vanaf exchange 2007. Maar nooit laat gehad van limieten in de send-connector.

Dit heb ik ook al geprobeerd zonder succes.

[ Voor 60% gewijzigd door Peter F op 30-01-2017 22:10 ]

[Peter F]

Ik heb het nog even geprobeerd om direct in adsi in te voeren.

dan krijg ik de volgende foutmelding.

[ Voor 21% gewijzigd door Peter F op 30-01-2017 22:36 ]

[winux]

Peter F schreef op maandag 30 januari 2017 @ 22:05:
[...]


bij onze organisatie waar het niet werkt, as bij de organisatie waar het wel werkt staan dezelfde waardes.

het enige verschil tussen de 2 is dat onze organsisatie voorvloeit uit een domein van 2000 naar 2003 naar 2008 , en een exchange van 2003 naar 2007 naar 2010, waar de andere organisatie is begonnen met ad 2008 en exchange 2010.

Staat de functionaliteit van domein op Windows Server 2008 R2 of lager?

[Squ1zZy]

Meer info:

https://blogs.technet.mic...or-from-active-directory/

[Peter F]

Squ1zZy schreef op dinsdag 31 januari 2017 @ 22:13:
Meer info:

https://blogs.technet.mic...or-from-active-directory/

Dit moet het zijn.


maar deze week of de week erop het domein naar 2008r2 brengen.

bedankt voor iedereen zijn bijdrage.

[Paul]

Heb je uitgezocht of dat kan of ga je het gewoon doen? Er is een reden dat functional levels niet automatisch hoger worden gezet bij migraties; er komt niet alleen functionaliteit bij maar er gaan ook dingen vanaf.

Tegenwoordig kun je ook wel weer stapjes omlaag, maar niet lager dan 2008...

[Peter F]

Paul schreef op woensdag 1 februari 2017 @ 10:46:
Heb je uitgezocht of dat kan of ga je het gewoon doen? Er is een reden dat functional levels niet automatisch hoger worden gezet bij migraties; er komt niet alleen functionaliteit bij maar er gaan ook dingen vanaf.

Tegenwoordig kun je ook wel weer stapjes omlaag, maar niet lager dan 2008...

research is altijd even verstandig, heb nog 1 w2k3 server, en weet niet of dit problemen gaat geven maar die gaat eind van de maand definitief uit. mijn DC's zijn 2008R2. Voor de rest zie ik even geen bezwaren waaom wij niet hoger kunnen. Geen speciale software of andere servers.

Net even gekeken :

Mijn domain function level = 2003

mijn forest functional level = 2000

dus er is nog wat werk aan de winkel

[ Voor 9% gewijzigd door Peter F op 02-02-2017 19:30 ]

[Anoniem: 899807]

Hoi Peter,

Ik heb het hele topic niet helemaal doorgelezen maar ben jij er al uit? Ik heb namelijk een werkende versie van het script die het domeinboek in tweeën splits i.v.m. het grote aantal domeinnamen waardoor "the administrative limit" verschijnt. Tevens haalt deze ook de eigen domeinnamen uit de lijst.

Ik hoor het wel of het gewenst is.

Gr. Tinus

[Anoniem: 208823]

Wellicht niet helemaal on-topic.
Maar mijn gevoel zegt dat zorgmail je een poot uitdraait, voor iets waar vast ook een alternatief voor is.
Kan het ook zo dat iedereen een mailadres aanmaakt bij bijv. protonmail en dan wordt het toch ook versleuteld naar iedereen verzonden, of ben ik nu gek?

Bij voorbaat dank.

[Question Mark]

Anoniem: 208823 schreef op zondag 25 juni 2017 @ 09:45:
Maar mijn gevoel zegt dat zorgmail je een poot uitdraait, voor iets waar vast ook een alternatief voor is.
Kan het ook zo dat iedereen een mailadres aanmaakt bij bijv. protonmail en dan wordt het toch ook versleuteld naar iedereen verzonden, of ben ik nu gek?

Ik vermoed dat zorgmail wel iets meer doet dan alleen versleuteling. Versleutelde communicatie en zaken als message signing zijn nl. al standaard features van Exchange.

[Jazzy]

Anoniem: 208823 schreef op zondag 25 juni 2017 @ 09:45:
Wellicht niet helemaal on-topic.
Maar mijn gevoel zegt dat zorgmail je een poot uitdraait, voor iets waar vast ook een alternatief voor is.
Kan het ook zo dat iedereen een mailadres aanmaakt bij bijv. protonmail en dan wordt het toch ook versleuteld naar iedereen verzonden, of ben ik nu gek?

Bij voorbaat dank.

Ik ben het hier helemaal mee eens. Ze hebben gewoon een gat in de markt ontdekt door dit als dienst aan te bieden.

[Paul]

Bij veel diensten kun je aangeven dat het versleuteld verzonden zou moeten worden (starttls), maar Zorgmail dwingt het af richting de aangesloten zorginstellingen. Niet alleen dat, ze regelen ook dat ik mail voor die 13.000 instellingen naar de juiste SMTP-server stuur (die van hun) en zorgen ervoor dat die SMTP-server het weer naar de juiste SMTP-server verder stuurt (die van de ontvanger).

Naar een beperkte set ontvangers kun je dat zelf ook, als jij in je mailserver instelt dat je met organisatie X alleen versleuteld kunt mailen, en wat de ontvangende server is, dan doe je een deel van wat Zorgmail doet zelf ook. Zorgmail doet echter meer; ze nemen je heel veel administratie en communicatie uit handen (als je van certificaat of IP adres wisselt hoef je geen 13.000 organisaties te vertellen dat je dat doet maar slechts één, als je er een domein bij krijgt hoef je dat geen 13.000 organisaties te vertellen maar slechts één, en als die 13.000 organisaties een ander IP of certificaat instellen, of een extra maildomein, dan hoef jij zelf helemaal niets te doen.

Kun je je indenken hoeveel tijd je kwijt zou zijn als je van 13.000 organisaties die updates bij zou moeten houden? Daar heb je een dagtaak aan. Als je het zo bekijkt is het ineens erg goedkoop...

[Peter F]

Paul

klopt wat je schrijft.

het is alleen jammer dat ze niet echt nog grip hebben op de situatie ( te snel gegroeid)

toch wel wekelijks storing aan hun mail server. en hebben een nieuw powershell script uitgebracht wat schade heeft berokkend bij diverse exchange servers. (ik wacht nog even met het nieuwe script)

[Anoniem: 208823]

Wat Paul schrijft, snap ik natuurlijk geen hout van, ik denk dat je bedoelt dat wanneer je je mail verandert je dat dan niet aan iedereen hoeft door te geven.
Trouwens in de praktijk mail je niet naar zo veel andere zorginstellingen, dat zijn namelijk over het algemeen dezelfden.
Ik sta nog steeds open voor een werkbaar alternatief.

[Question Mark]

Anoniem: 208823 schreef op zondag 2 juli 2017 @ 08:34:
Ik sta nog steeds open voor een werkbaar alternatief.

Het altternatief is simpel... Alles zelf gaan verzorgen en bijhouden. Dat betekent dat je dus elke keer als je communiceerd met een nieuwe partij, er instellingen aangepast moeten gaan worden.

Afhankelijk van de kosten die zorgmail rekent, kan het al dan niet voordelig zijn om dit zelf te gaan utivoeren. D'r is niemand die je verplicht om met zorgmail in zee te gaan.

[Anoniem: 208823]

En zoals ik opperde iedereen een account bij bijvoorbeeld protonmail oid?