Exchange migratie 2007 2013 coexistence geen mail flow

[Creep]

Ik zit helaas met een probleem waar ik door de bomen het bos niet meer zie.

Ik heb een exchange 2007 en exchange 2013 server. Afgelopen maandag had ik mail verkeer uitgaand en binnenkomend op de exchange 2007 mailboxen. Ook kon ik van bij de mailservers de mailboxen in Outlook zien.

Wat werkt er wel:

• Uitgaande mail van Exchange 2007 mailbox via Outlook
• Openen mailbox in Outlook 2010 van beide exchange servers

Wat werkt er niet:

• Mail transport naar Exchange 2013 mailbox, queue loopt vol.
• Binnenkomende mail op beide mailboxen 2007 en 2013

Ik heb het vermoeden dat het in de send en recieve connectoren zit, maar overzie het niet helemaal meer.

Gegevens:
Mailserver3: 10.10.1.11
Mailserver4: 10.10.1.9

[Jazzy]

Wat is de foutmelding op de berichten in de queue?

Heb je de receive connectors op de Exchange 2013 servers aangepast of er een extra connector voor relay aan toegevoegd? En in geval van dat laatste, staat het IP-adres van de Exchange 2007 server dan toevallig in de reeks voor die connector waardoor hij effectief tegen de verkeerde connector praat en niet op de verwachtte manier kan authenticeren?

[Creep]

Ik heb voor de interne mailflow deze error melding op de exchange 2007 server:
Exchange 2013 Email Flow Failed- 451 5.7.3 Cannot achieve Exchange Server authentication

En:
421 4.2.1 unable to connect

En:
451 4.4.0 dns query failed

[Vorkie]

En wat heb je onderwijl al geprobeerd met oplossingen die je vindt met deze foutcodes? Te beginnen met 451 4.4.0 uit te zoeken, daarna 5.7.3.

[Creep]

In de queue viewer op de exchange 2007 server zie ik dus: 451 4.4.0 dns query failed

Ik kan vanaf deze server op interne hostnaam en mail.domein.nl pingen en ook legacy.domein.nl(localhost)
Ook kan ik met nslookup interne hostname en externe hostnamen van deze 2007 resolven.

In mijn default recieve connector staan de interne dns servers om te resolven.

[Jazzy]

Je hoeft in een receive connector geen DNS-servers op te geven. En wat dat betreft, ik schreef nog een heel verhaal in mijn bericht hierboven. De melding "451 5.7.3 Cannot achieve Exchange Server authentication" is precies wat ik bedoelde.

Verder, SMTP-communicatie gaat gewoon over de FQDN. Legacy.domein.nl wordt alleen gebruikt voor OWA-verkeer van mailboxen die nog op Exchange 2007 staan.

[Creep]

Ik heb op de Exchange 2013 servers de default hub en frontend transport aangepast aangepast.

Default front-end transport:




Default frontend hubtransport





Had ik de default connectors moeten laten staan?

[ Voor 3% gewijzigd door Creep op 10-03-2018 11:58 ]

[Jazzy]

Ja.

[Creep]

Zo, default connectors terug gezet en er komt weer mail binnen. Top.
Nu mijn eerst uitdaging: waarom kan ik wel naar mailboxen op beide servers mailen, maar niet onderling?

Moet daar een eigen connector voor zijn?

[Jazzy]

Probeer even zo concreet mogelijk te zijn. Als je zegt 'naar mailboxen op beide servers mailen', bedoel je dan mail vanaf internet? Op welke server komt dat nu uit?

En verder: stuur een mail en gebruik message tracing en de informatie van je queues om uit te vinden waar het mis gaat, en met welke foutmelding.

[asing]

Heb je wel een nieuw certificaat gegenereerd en legacy.domein.nl toegevoegd als domeinnaam en die aan je oude exchange doos gekoppeld?

[Creep]

asing schreef op zaterdag 10 maart 2018 @ 18:28:
Heb je wel een nieuw certificaat gegenereerd en legacy.domein.nl toegevoegd als domeinnaam en die aan je oude exchange doos gekoppeld?

Zeker. Het enige wat niet werkt is mail van Exchange2007 mailbox naar exchange2013 mailbox versturen. Mail van en naar extern mail adres werkt op beide mailboxen.

[Jazzy]

Ik denk dat ik er verstand van heb en wil je graag helpen, maar dan moet je wel proberen om de vragen te beantwoorden mijn troubleshooting advies te volgen.

[asing]

Creep schreef op zaterdag 10 maart 2018 @ 20:55:
[...]


Zeker. Het enige wat niet werkt is mail van Exchange2007 mailbox naar exchange2013 mailbox versturen. Mail van en naar extern mail adres werkt op beide mailboxen.

Het punt is, als je netjes punt voor punt de handelingen had gedaan om een co-exist situatie te creëren je dit probleem niet had moeten hebben. Routeren van mail gaat over de hub transport servers en die zien elkaar wel. Ergens heb je iets gemist of iets extra gedaan waardoor het nu niet werkt.

Begin eens met welke stappen je hebt doorlopen en waar je je info vandaan hebt. Ik heb zo'n migratie gedaan en dit was niet één van mijn problemen. Wil je goed advies dan zal je ons zo goed als dat gaaf van info moeten voorzien

[Creep]

Ik heb de Exchange server deployment assistant tot de letter gevolgd, maar helaas nog niet tot een volledige coexistence gekomen.

DNS fouten kwamen door oude verborgen fysieke netwerkkaarten op een virtuele machine. Deze zijn vanzelfsprekend verwijderd.

Alle mailstromen werken op 1 na, namelijk van 2007 naar 2013. Afwijkende connector poorten zijn aangepast omdat er ook een anti-spam oplossing op de nieuwe server draait, te weten Hexamail.

[Jazzy]

Creep schreef op donderdag 22 maart 2018 @ 12:38:
Alle mailstromen werken op 1 na, namelijk van 2007 naar 2013.

Wat gebeurt er als je een testmail stuurt? Krijg je een NDR, zo ja wat is de inhoud? Blijft de mail in de queue staan, wat is de foutmelding?

[Creep]

Ik ontvang een error in de queue: "451 5.7.3 Cannot achieve Exchange Server authentication". Delivery type is dan"SMTP relay in Active Directory Site"

Ook ontvang ik in de 2007 mailbox waaruit ik verstuur een delayed delivery bericht terug na enkele uren.

[ Voor 12% gewijzigd door Creep op 22-03-2018 12:56 ]

[wagenveld]

Waarom heb je op MS04 de coexistence connector met remoteIP 10.10.1.11 en op MS03 ook?

[Jazzy]

Dat betekent dat de mail op Exchange 2013 wordt aangenomen door een connector waarop geen Exchange Server authentication aan staat. Je hebt er echt een potje van gemaakt.

Ik kijk er misschien overheen, maar in je screenshot zie ik helemaal geen connector meer op Exchange 2013 die op poort 25 luistert. De Default Frontend connector hoort op poort 25 te luisteren, die staat bij jou op 2500.

Edit: Ah, ik begin het te snappen. Jouw spamdienst laat je luisteren op poort 25 en je hebt de standaard poort van Exchange 2013 naar 2500 aangepast. Exchange 2007 probeert vervolgens te authenticeren maar in plaats van dat hij tegen Exchange praat laat je hem verbinden met het spamproduct, die snapt geen Exchange Sever auhtenticatie en daarmee hebben we de verklaring gevonden voor de foutmelding op de queue in Exchange 2007.

Op dit punt zou ik je adviseren om:

• Het anti-spam product van de server te verwijderen
• Aanpassingen op de connectors ongedaan maken (Default Frontend terug naar poort 25)
• Zelf aangemaakte connectors verwijderen ('2007-2010' connector

[ Voor 59% gewijzigd door Jazzy op 22-03-2018 13:19 ]

[Creep]

@jazzy, het lijkt inderdaad een zooitje. Ik heb nog een mailserver 2013 waar het anti-spam product op dezelfde server staat als Exchange 2013. Liever installeer ik dan ook geen extra server voor anti-spam. Je zou toch zeggen dat ik Exchange 2007 op een andere poort moet kunnen laten praten dan poort 25.

Ik snap dat de aangegeven oplossing wenselijk is, maar dat zou een laatste redmiddel zijn. Ik begrijp liever waarom het eventueel niet kan en het dan gaan scheiden.

[Jazzy]

Creep schreef op donderdag 22 maart 2018 @ 14:09:
Ik snap dat de aangegeven oplossing wenselijk is, maar dat zou een laatste redmiddel zijn. Ik begrijp liever waarom het eventueel niet kan en het dan gaan scheiden.

Omdat je eerst een werkende omgeving wilt. Ik neem aan dat het anti-spam product alleen voor inbound mail hoeft te werken. Dan laat je die beter op een non-standard poort luisteren en pas je je 'port forwarding' in de firewall aan om het op de nieuwe poort af te leveren. Of als het per sé op poort 25 moet, bind dan een tweede IP-adres aan je NIC en laat het product daar op luisteren. Enige wat je dan hoeft aan te passen aan Exchange is het vervangen van de 0.0.0.0-255.255.255.255 ranges door het IP-adres wat je voor Exchange blijft gebruiken.

[Creep]

Externe poort aanpassen in een goeie, dat ga ik snel proberen. Lijkt me de meeste voor de hand liggende oplossing. Niet aan gedacht.