Exchange 2013 - tweede domein ontvangt geen mail

[Anoniem: 153641]

Sinds een paar dagen wordt er op een Exchange 2013 omgeving waarop twee domeinen staan ingesteld geen email meer ontvangen op het tweede domein.

ISP is KPN, maar zij moeten nog reageren...
Poort 25 staat open daar komt de mail van het eerste domein ook gewoon op binnen.
Het tweede domein wordt op een of andere manier met een telnet-sessie niet gezien op poort 25, wel op bijv. 587.

Tweede domein is geaccepteerd met een toegepaste beleidsregel.

Alle instellingen DNS/MX/sfp records etc ben ik al langsgelopen en heb ik voor de zekerheid opnieuw ingesteld.

Kortom: ik ben de draad een beetje kwijt. Wellicht is het een simpele instelling in Exchange wat ik over het hoofd zie?

FQDN is wel van het eerste domein, kan het daar aan liggen? (al kan ik het me niet voorstellen want tot een paar dagen geleden werkte het wel). By the way: er is niets aangepast hier of een update moet roet in het eten gegooid hebben?

Voor alle duidelijkheid: er komt geen externe email binnen.
De foutmelding die ik dan krijg is: retry time not reached for any host after a long failure period
en: retry timeout exceeded

[ Voor 23% gewijzigd door Anoniem: 153641 op 18-07-2018 09:07 ]

[DJMaze]

Dus:
1. MX staat op 12.34.56.78
2. Jij telnet vanaf extern IP naar 12.34.56.78 poort 25
3. je krijgt geen response?

[Anoniem: 153641]

1 OK
2 OK >> niet ip, maar mail.domein2.nl (telnet ziet em wel geeft ook ip nr weer van de verwijzing (MX))
3 FAIL

[ Voor 85% gewijzigd door Anoniem: 153641 op 18-07-2018 10:39 ]

[Caeruleus]

Geen idee waarom je telnet niet zou werken terwijl je wel mail ontvangt op het eerste domein. Aangezien je om simpele Exchange instellingen vraagt, is het domein toegevoegt als accepted domain?
https://technet.microsoft...a996314(v=exchg.150).aspx

Edit: Ik zie dat je schrijf er wordt "geen mail meer ontvangen" wat zou betekenen dat het voorheen wel heeft gewerkt. In dat geval heb ik geen idee

Edit edit: Deze maand Windows security updates geinstalleerd? https://blogs.technet.mic...ws-on-an-exchange-server/

[ Voor 39% gewijzigd door Caeruleus op 18-07-2018 10:52 ]

[Anoniem: 153641]

Caeruleus schreef op woensdag 18 juli 2018 @ 10:40:
Geen idee waarom je telnet niet zou werken terwijl je wel mail ontvangt op het eerste domein. Aangezien je om simpele Exchange instellingen vraagt, is het domein toegevoegt als accepted domain?
https://technet.microsoft...a996314(v=exchg.150).aspx

Edit: Ik zie dat je schrijf er wordt "geen mail meer ontvangen" wat zou betekenen dat het voorheen wel heeft gewerkt. In dat geval heb ik geen idee

Edit edit: Deze maand Windows security updates geinstalleerd? https://blogs.technet.mic...ws-on-an-exchange-server/

Zoals aangegeven: domein2 is een accepted domain.
Omdat het eerste domein wel mail ontvangt vind ik het juist ook zo vreemd; vandaar ook deze vraag.

er zijn diverse updates geïnstalleerd ik zal je link eens nalezen/zoeken. Bedankt daarvoor!
Edit: dit kan ik uitsluiten.

[Jazzy]

Wat is de exacte fout als je met telnet een mailtje probeert af te leveren aan het MX-record/IP-adres?

En even voor de duidelijkheid, zit er nog een host voor je mailserver?

[ Voor 26% gewijzigd door Jazzy op 18-07-2018 11:11 ]

[Anoniem: 153641]

Jazzy schreef op woensdag 18 juli 2018 @ 11:08:
Wat is de exacte fout als je met telnet een mailtje probeert af te leveren aan het MX-record/IP-adres?

telnet mail.domein2.nl 25
trying ipnr...
telnet: connect tot address IPnr: Connection refused
telnet: Unable to connect tot remote host

Als ik met poort 587 doe verbind ie wel en geeft exchange.domein1.local weer.
helo OK
mail from geeft ie fout 530 5.7.1 Cliënt was not authenticated
daarna wordt de verbinding verbroken

[Anoniem: 153641]

Jazzy schreef op woensdag 18 juli 2018 @ 11:08:
En even voor de duidelijkheid, zit er nog een host voor je mailserver?

Ik begrijp de vraag misschien niet helemaal. Wellicht dat dit een en ander verduidelijkt:
De mailserver draait op een Hyper-V omgeving. Bedoel je daarmee dat er nog een host voor zit?
En er draait reeds een domein(naam) op en die gaat goed.

[Jazzy]

Even terug naar de basics. Normaal gesproken zou je zoiets hebben:

- Eén mailserver met 2 accepted domains
- Eén publiek IP-adres waarop poort 25 wordt doorgestuurd naar je mailserver
- Voor elk domein hetzelfde MX-record, dat resolved naar het publieke IP-adres dat aan je firewall hangt

In jouw geval gebruik je blijkbaar voor elk domein een andere MX-record, waarom is dat? Verwijzen beide records wel naar hetzelfde IP-adres?

Zo niet, kun je dan uitleggen wat exact de verschillen zijn tussen de configuraties voor beide SMTP-domeinen?

Verder, waarom test je op poort 587? Het gaat hier toch gewoon over SMTP-verkeer tussen mailservers?

[Anoniem: 153641]

mail.Domein2.nl wordt inderdaad doorverwezen naar het ip-adres dat aan de firewall hangt.
mail.Domein1.nl wordt ook daarnaar doorverwezen.

Lees ik nu goed dat je zegt dat de MX van domein2 doorverwezen moet worden naar mail.domein1.nl ?
Dat zou toch eigenlijk niks uit moeten maken?

[wagenveld]

Als beide naar hetzelfde IP wijzen, dan kun je toch ook niet telnetten naar mail.domein1.nl?
Of doet je firewall misschien iets op host filtering/SMTP analyse?

[Caeruleus]

Je MX record verwijst naar een A record. Je A record heeft vervolgens een ip adres.
mail.domein1.nl en mail.domein2.nl kan prima maar de vraag is dus, wijzen ze beide naar hetzelfde ip adres?

En als je een telnet doet naar mail.domein1.nl 25 kun je dan wel via telnet een email naar domein 2 sturen?

[chup5528]

Klopt, maakt ook niets uit. CNAMES zijn alleen wat makkelijker te beheren, als je een ander IP adres krijgt dan moet je minder A records aanpassen .

Maar wil je nou zeggen dat op telnet mail.domain1.nl 25 je wel respons krijgt, maar niet op telnet mail.domein2.nl 25? Dat zou niet mogelijk moeten zijn.. Al telnet je rechtstreeks naar het IP adres, daar wordt niet gefilterd op domeinnaam.

Typo in het IP adres van domein 2?

[Jazzy]

Anoniem: 153641 schreef op woensdag 18 juli 2018 @ 11:45:
mail.Domein2.nl wordt inderdaad doorverwezen naar het ip-adres dat aan de firewall hangt.
mail.Domein1.nl wordt ook daarnaar doorverwezen.

Lees ik nu goed dat je zegt dat de MX van domein2 doorverwezen moet worden naar mail.domein1.nl ?
Dat zou toch eigenlijk niks uit moeten maken?

Ik zeg niet dat je dat moet doen, ik vraag me af waarom je gekozen hebt voor een aparte FQDN voor het tweede domein en wat er dan allemaal nog meer afwijkt. Omdat er in dit geval duidelijk iets mis gaat wanneer je die tweede FQDN gebruikt om te verbinden naar hetzelfde IP-adres.

[Anoniem: 153641]

Ik heb de MX nu doorverwezen naar mail.domein1.nl
Dat lijkt goed te gaan (er komt geen mailer daemon meer).
Maar komt nog niet binnen.

[Jazzy]

Anoniem: 153641 schreef op woensdag 18 juli 2018 @ 12:07:
Ik heb de MX nu doorverwezen naar mail.domein1.nl

Probeer zo duidelijk mogelijk op te schrijven wat je gedaan hebt. Een term als 'doorverwezen' is onduidelijk en zou in de context van DNS kunnen duiden op een CNAME record. Ik neem voor het gemak even aan dat je het bestaande MX-record voor domein 2 hebt vervangen door het zelfde A-record als je gebruikt voor domein 1.

Dat lijkt goed te gaan (er komt geen mailer daemon meer).

Wat bedoel je met 'mailer daemon'? Dit is de eerste keer dat je die term gebruikt. Als je voorheen iets van mailer daemon zag dan duidt dat op een 3rd party mailhost die in de keten zit, dat is namelijk geen term van Exchange.

En wat bedoel je met 'lijkt goed te gaan'? Heb je met telnet een mailtje afgeleverd voor een mailadres in domein 2? Is je iets opgevallen aan de telnet sessie, zag je bijvoorbeeld de ehlo banner met daarin de interne FQDN van je mailserver?

Maar komt nog niet binnen.

Wat bedoel je hiermee? Als je met telnet een mailtje afgeleverd hebt, gebruik dan Message Tracking op de Exchange-server om het mailtje te traceren.

Wees niet bang om teveel informatie te delen, we zijn allemaal technische mensen hier en raken niet snel in de war.

[Anoniem: 153641]

@Jazzy Er is inderdaad sprake van 3rd party mailhost (ivm webhosting) daar is de MX record aangepast naar mail.domein1.nl (niet mail.domein2.nl die vervolgens met een A-record verwijst naar hetzelfde IPnr als dat mail.domein1.nl had)

Bij de telnet sessie zag ik inderdaad de interne FQDN van de mailserver.

Ik had eerder vandaag een paar testmailtjes gedaan en daar kreeg ik eerst een foutmelding (die ik eerder ook genoemd heb) Bijvoorbeeld: retry timeout exceeded
Nu krijg ik niets terug, maar de mail komt ook (nog) niet aan.

Dus nog even proberen d.m.v. een telnet sessie...

[DJMaze]

Doe eens:

ping mail.domein1.nl
ping mail.domein2.nl

resultaat zou in beide gevallen zelfde IP adres moeten zijn.

Maar om eerlijk te zijn. Ik denk dat dit hele topic direct in de prullenbak kan en iedereen zijn tijd heeft vergooit.
Want als jij de werkelijke domeinnamen direct had gegeven kwam er vast een rits reacties dat je DNS niet goed staat.

[Anoniem: 153641]

pingen beide hetzelfde ip-adres
ik had inderdaad wel even moeten melden dat ik die actie al geprobeerd had.

[DJMaze]

Anoniem: 153641 schreef op woensdag 18 juli 2018 @ 15:18:
pingen beide hetzelfde ip-adres

Mooi, en wat zeggen dan:

ping -6 mail.domein1.nl
ping -6 mail.domein2.nl

nslookup
set q=mx
domein1.nl.

nslookup
set q=mx
domein2.nl.

En je hebt de domeinnamen nog niet verteld.

[ Voor 16% gewijzigd door DJMaze op 18-07-2018 15:27 ]

[Jazzy]

Dus je MX-record verwijst NIET naar het publieke IP-adres van je firewall maar naar een 3rd party dienst. Het wordt er niet makkelijker op als je dat soort informatie niet deelt.

[Anoniem: 153641]

De MX-records

2e domein:
domein2.nl 10 mail.domein1.nl

1e domein:
domein1.nl 5 smtp.routit.net
domein1.nl 10 smtp1.routit.net
domein1.nl 20 mail.domein1.nl

[DJMaze]

@Anoniem: 153641 voila! je hebt je probleem gevonden.

[Caeruleus]

DJMaze schreef op woensdag 18 juli 2018 @ 15:39:
@Anoniem: 153641 voila! je hebt je probleem gevonden.

Inderdaad
@Anoniem: 153641 de server met de laagste waarde wordt als eerste geprobeerd. In geval van domein1 is dit smtp.routit.net bij domein2 verwijs je niet naar deze server.
Wat er dan vervolgens voor instellingen moeten worden aangepast op die smtp.routeit.net server is dan weer een volgende vraag

[ Voor 16% gewijzigd door Caeruleus op 18-07-2018 15:43 ]

[DJMaze]

@Caeruleus ik denk dat als ie de routit records er uit sloopt, domein1 ook geen mail krijgt
Tijd voor een Exchange Server professional

[ Voor 19% gewijzigd door DJMaze op 18-07-2018 15:46 ]

[Anoniem: 153641]

ik had em zo staan:
domein2.nl 10 IPNR >>even tussenuit gehaald
domein2.nl 20 smtp.routit.net >> staat nu alleen ingesteld

Resultaat:
SMTP error from remote mail server after RCPT TO:<[e-mail]>:
host smtp.routit.net [89.146.30.10]: 550 #5.1.0 Address rejected.

[Caeruleus]

Kijk, het is niet zo dat we je niet willen helpen maar dit wordt bijna voorkauwen. Jouw eigen Exchange server is blijkbaar/hopelijk goed ingesteld maar jouw firewall accepteert geen direct verkeer van buitenaf op poort 25. smtp.routeit.net doet dit wel en zal vast een of andere externe partij zijn (heb de website niet bezocht). Deze smtp server is niet jouw eigen exchange server (toch?) maar deze smtp server zal ook moeten worden verteld dat ie email moet accepteren voor domein2 want anders krijg je inderdaad van dit soort Address rejected meldingen.

[Jazzy]

Anoniem: 153641 schreef op woensdag 18 juli 2018 @ 15:54:
Resultaat:
SMTP error from remote mail server after RCPT TO:<[e-mail]>:
host smtp.routit.net [89.146.30.10]: 550 #5.1.0 Address rejected.

Hoppa, ga daarmee naar Routit en zoek uit wat nodig is om ze ook weer mail te laten accepteren voor jullie tweede domein.

[Anoniem: 153641]

allemaal goed, ik moest even iets rondvragen omdat KPN (danwel RoutIT) niet reageerde. En ik moest toch een en ander zien uit te sluiten. Het lijkt me gewoon iets menselijks dat wanneer je al langer dan normaal met iets bezig bent om op te lossen je wel eens zo'n momentje van 'twijfel' kan hebben. Gelukkig hebben we daar tools voor zoals dit forum. Tot zover bedankt ook voor jullie input!

KPN moet het tweede domein mijns inziens inderdaad toevoegen. Dit heb ik in 't begin van dit draadje ook aangegeven.

[Anoniem: 153641]

DJMaze schreef op woensdag 18 juli 2018 @ 15:45:
@Caeruleus ik denk dat als ie de routit records er uit sloopt, domein1 ook geen mail krijgt
Tijd voor een Exchange Server professional

grapjas

[Jazzy]

Anoniem: 153641 schreef op woensdag 18 juli 2018 @ 16:36:
allemaal goed, ik moest even iets rondvragen omdat KPN (danwel RoutIT) niet reageerde. En ik moest toch een en ander zien uit te sluiten. Het lijkt me gewoon iets menselijks dat wanneer je al langer dan normaal met iets bezig bent om op te lossen je wel eens zo'n momentje van 'twijfel' kan hebben. Gelukkig hebben we daar tools voor zoals dit forum. Tot zover bedankt ook voor jullie input!

KPN moet het tweede domein mijns inziens inderdaad toevoegen. Dit heb ik in 't begin van dit draadje ook aangegeven.

Er is niets mee om hulp te vragen. Mijn probleem met dit topic is dat je niet duidelijk en niet volledig bent. Zonder je architectuur te kennen (bijvoorbeeld dat er een 3rd party mailfiltering dienst voor zit!) weten wij niet tegen welke host je nu eigenlijk praat als je een test met telnet doet. Laat staan dat we inhoudelijk advies kunnen geven waar jij verder mee kunt.

Ik denk dat dit deels komt door je eigen gebrek aan kennis waardoor je niet goed kunt inschatten wat relevant is, en deels doordat je voor jezelf wilt houden wat de domeinnamen zijn.

Mocht je weer een keer hulp nodig hebben, begin dan met duidelijk en volledig uit te leggen wat je omgeving is. Als je denkt dat het helpt, maak dan een snel tekeningetje met Paint of Visio. Nogmaals, wees niet bang om teveel informatie te geven. In dit topic heb je gezien wat gebeurt als je te vaag bent.

[Anoniem: 153641]

@Jazzy thanx voor de opbouwende kritiek. Ik zal er op letten.
ik heb de architectuur in m'n hoofd zitten, maar inderdaad is relevantie (wat wel/niet) ook een afweging

[DJMaze]

Ik denk dat iemand poort 25 in een firewall dicht heeft gezet.
Heel normaal want meestal heb je geen software die daar op luistert.
De Exchange server haalt de mail op bij routit OF heeft een firewall rule dat alleen routit met zijn ip's poort 25 mag gebruiken.

[Anoniem: 153641]

De fout zat inderdaad bij RoutIT.
New policys...

Probleem opgelost

[Jazzy]

Hoe kan de fout bij RoutIt hebben gezeten, je MX-record voor dit domein verwees niet eens naar RoutIt?

[DJMaze]

@Anoniem: 153641 ik weet dat RoutIT wel eens een foutje maakt, maar die hele domein2 setup was niet hun fout.
Daarnaast werkt je mail.domein2.nl MX record vast ook nog niet.

[ Voor 27% gewijzigd door DJMaze op 20-07-2018 12:55 ]