Scan to Email printers m.b.v. M365 account werkt niet

[Operations]

Ik heb hier een HP 8720 staan (heb ook een HP 477 geprobeerd) waarop ik scan to email graag via mijn Microsoft 365 (nog steeds wennen die naam ) mailbox wil laten lopen. Helaas lukt dit niet. Ik heb uiteraard hier naar gekeken:

https://learn.microsoft.c...crosoft-365-or-office-365

Ik heb twee eigen domeinen die beide Microsoft office 365 mailboxen hebben. Ze werken allebei niet.

Option 2 (direct send): werkt niet, geeft een error(zonder verdere info). Ondanks de SPF aanpassing.

Deze optie heeft de voorkeur:
Option 1 (Met username en pw): geeft username/password error. Met diezelfde credentials kom ik online wel gewoon in de M365 omgeving.

Via admin center staat "Geverifieerde SMTP" (AUTH SMTP) aan op de twee mailboxen die ik heb geprobeerd.

SMTP server: smtp.office365.com
Port: 25/587
Always use secure connection AAN/UIT

Beide mailboxen hangen in mijn outlook zonder problemen.

printer ondersteunt TLS1.2.
MFA staat ook aan op beide mailboxen, dat kan volgens mij ook niet anders. Moest dat binnen ik dacht 14 dagen activeren. Mailboxen draaien nu al weer een jaar of twee, dus weet dit niet precies meer.


Wanneer ik op de printer mijn KPN SMTP credentials gebruikt dan werkt het wel. Dus ben vrij zeker dat het in het M365 account zit en of de combi met de printer.

Iemand een idee waarom dit niet werkt?

[Kraz]

HIER geven ze aan om %TENANT%.mail.protection.outlook.com te gebruiken als SMTP server?

[mvz]

Je kan t best een sendconnector aanmaken inderdaad, en je mx als smtp gebruiken.

[ Voor 34% gewijzigd door mvz op 20-07-2023 20:23 ]

[Operations]

Kraz schreef op donderdag 20 juli 2023 @ 20:11:
HIER geven ze aan om %TENANT%.mail.protection.outlook.com te gebruiken als SMTP server?

Excuus vergeten te melden, ook dat heb ik geprobeerd.
Dat ziet er dan toch zo uit?

Mijndomein-nl.mail.protection.outlook.com ?

[Operations]

mvz schreef op donderdag 20 juli 2023 @ 20:21:
Je kan t best een sendconnector aanmaken inderdaad, en je mx als smtp gebruiken.

Dat is wel meteen de meest ingewikkelde optie
Ga kijken of ik dat voor elkaar krijg.

Snap niet zo goed waarom een simpele username/password optie niet werkt. Maar goed als dat zo is dan is dat zo. Enig idee waarom dat niet werkt?

[ Voor 20% gewijzigd door Operations op 20-07-2023 21:03 ]

[Hero of Time]

Als je dat gebruikt, heb je 2 opties daarmee: je gebruikt een certificaat met je domeinnaam erin of je geeft bij de connector het externe IP adres waar vanaf je komt met de MFP.

Ik heb op m'n werk nog niets in MS365 draaien qua mailboxen, maar m'n monitoring systeem kan al wel mailen via de MS365 relay omdat ik een sendconnector heb aangemaakt en het IP adres van ons kantoor heb opgegeven als afzender. Bij het maken van de connector moet je aangeven dat het van een mailserver van je on-prem omgeving komt. Het klinkt wat verwarrend en je denkt wellicht aan een Exchange server, maar het kan dus ook een random apparaat zijn.

[Operations]

Hero of Time schreef op donderdag 20 juli 2023 @ 21:02:
Als je dat gebruikt, heb je 2 opties daarmee: je gebruikt een certificaat met je domeinnaam erin of je geeft bij de connector het externe IP adres waar vanaf je komt met de MFP.

Ik heb op m'n werk nog niets in MS365 draaien qua mailboxen, maar m'n monitoring systeem kan al wel mailen via de MS365 relay omdat ik een sendconnector heb aangemaakt en het IP adres van ons kantoor heb opgegeven als afzender. Bij het maken van de connector moet je aangeven dat het van een mailserver van je on-prem omgeving komt. Het klinkt wat verwarrend en je denkt wellicht aan een Exchange server, maar het kan dus ook een random apparaat zijn.

Was het niet zo dat je bij een connector alleen binnen je eigen domein de mail kon versturen?

Enig idee waarom de optie username/password niet gewoon werkt? Ik heb dat toch echt aantal maanden probleem gebruikt.

[Operations]

Hero of Time schreef op donderdag 20 juli 2023 @ 21:02:
Als je dat gebruikt, heb je 2 opties daarmee: je gebruikt een certificaat met je domeinnaam erin of je geeft bij de connector het externe IP adres waar vanaf je komt met de MFP.

Ik heb op m'n werk nog niets in MS365 draaien qua mailboxen, maar m'n monitoring systeem kan al wel mailen via de MS365 relay omdat ik een sendconnector heb aangemaakt en het IP adres van ons kantoor heb opgegeven als afzender. Bij het maken van de connector moet je aangeven dat het van een mailserver van je on-prem omgeving komt. Het klinkt wat verwarrend en je denkt wellicht aan een Exchange server, maar het kan dus ook een random apparaat zijn.

Nu heb ik een connector aangemaakt, maar krijg ik de error dat een of meerdere adressen niet bestaat. Maar zoveel valt er niet verkeerd te doen aan die connector aanmaken... enig idee?

[akimosan]

Die oude HP printers ondersteunen in ieder geval geen oAUTH

DirectSend (option1) kan nog werken maar volgens mij moet je een app password gebruiken als je MFA hebt ingeschakeld op de afzender mailbox.

https://h30434.www3.hp.co...orted-models/td-p/8017617
https://evermap.com/Tutorial_AMM_AppPasswordOffice365.asp

Manage app passwords for two-step verification - Microsoft Support

In plaats van testen met je printers ingebouwde SMTP client die weinig info over de SMTP communicatie geeft kun je beter kijken of je een SMTP client kunt gebruiken die meer info geeft, zoals Thunderbird of een online SMTP test tool als:
https://www.gmass.co/smtp-test
https://dnschecker.org/smtp-test-tool.php

[Operations]

akimosan schreef op donderdag 20 juli 2023 @ 22:01:
Die oude HP printers ondersteunen in ieder geval geen oAUTH

DirectSend (option1) kan nog werken maar volgens mij moet je een app password gebruiken als je MFA hebt ingeschakeld op de afzender mailbox.

https://h30434.www3.hp.co...orted-models/td-p/8017617
https://evermap.com/Tutorial_AMM_AppPasswordOffice365.asp

Manage app passwords for two-step verification - Microsoft Support

In plaats van testen met je printers ingebouwde SMTP client die weinig info over de SMTP communicatie geeft kun je beter kijken of je een SMTP client kunt gebruiken die meer info geeft, zoals Thunderbird of een online SMTP test tool als:
https://www.gmass.co/smtp-test
https://dnschecker.org/smtp-test-tool.php

Ik ga die test tools even proberen. Maar ik heb een nieuwe mailbox zonder MFA nog aangemaakt en die werkt helaas ook niet.

[Hero of Time]

Operations schreef op donderdag 20 juli 2023 @ 21:25:
[...]

Was het niet zo dat je bij een connector alleen binnen je eigen domein de mail kon versturen?

Enig idee waarom de optie username/password niet gewoon werkt? Ik heb dat toch echt aantal maanden probleem gebruikt.

Oh, het zal vast werken, maar deze optie vereist geen licentie, want de afzender hoeft geen mailbox of bestaande gebruiker te zijn.

Als je toch een geldige, gelicenseerde gebruiker met authenticatie wilt gebruiken om te mailen, hoef je alleen maar de instructies in de link die je al had gevonden te volgen. Heb je de paarse note gelezen en gevolgd die bij optie 1 staat? Er staat duidelijk dat het niet compatible is met security defaults, dus MFA wordt niet ondersteund daarmee. Application password is denk onderdeel van MFA, maar dat moet je dan testen.

Optie 2, direct send, gaat 'm sowieso niet worden.

Optie 3 is wat ik heb gedaan. Werkt prima.

Operations schreef op donderdag 20 juli 2023 @ 22:00:
[...]

Nu heb ik een connector aangemaakt, maar krijg ik de error dat een of meerdere adressen niet bestaat. Maar zoveel valt er niet verkeerd te doen aan die connector aanmaken... enig idee?

Er is idd maar weinig te configureren aan de connector. De connector settings in het document is wat je opgeeft, waarbij het IP adres van je kantoor internetverbinding het belangrijkste is. Als je die niet direct weet, kijk dan even via ifconfig.io wat je externe adres is en vul die in. Je kan twee van dit soort connector hebben, eentje ingesteld om met certificaat te werken, die wordt standaard gemaakt als je een Exchange Hybrid omgeving hebt met een on-prem Exchange, en eentje waarbij je je kantoor IP opgeeft als afzender.

Wanneer je meldingen krijgt dat een adres niet bestaat, dan mail je naar een adres dat ook echt niet bestaat. Je moet natuurlijk wel naar een geldig mailadres sturen. En als afzender kan je zo'n beetje alles gebruiken wat binnen je mail domein valt.

[Operations]

Hero of Time schreef op donderdag 20 juli 2023 @ 22:08:
[...]

Oh, het zal vast werken, maar deze optie vereist geen licentie, want de afzender hoeft geen mailbox of bestaande gebruiker te zijn.

Als je toch een geldige, gelicenseerde gebruiker met authenticatie wilt gebruiken om te mailen, hoef je alleen maar de instructies in de link die je al had gevonden te volgen. Heb je de paarse note gelezen en gevolgd die bij optie 1 staat? Er staat duidelijk dat het niet compatible is met security defaults, dus MFA wordt niet ondersteund daarmee. Application password is denk onderdeel van MFA, maar dat moet je dan testen.

Optie 2, direct send, gaat 'm sowieso niet worden.

Optie 3 is wat ik heb gedaan. Werkt prima.


[...]

Er is idd maar weinig te configureren aan de connector. De connector settings in het document is wat je opgeeft, waarbij het IP adres van je kantoor internetverbinding het belangrijkste is. Als je die niet direct weet, kijk dan even via ifconfig.io wat je externe adres is en vul die in. Je kan twee van dit soort connector hebben, eentje ingesteld om met certificaat te werken, die wordt standaard gemaakt als je een Exchange Hybrid omgeving hebt met een on-prem Exchange, en eentje waarbij je je kantoor IP opgeeft als afzender.

Wanneer je meldingen krijgt dat een adres niet bestaat, dan mail je naar een adres dat ook echt niet bestaat. Je moet natuurlijk wel naar een geldig mailadres sturen. En als afzender kan je zo'n beetje alles gebruiken wat binnen je mail domein valt.

Ja heb alles gelezen. Heb een nieuwe mailbox aangemaakt nog zonder MFA, helaas werkt die ook niet. De instructies heb ik uitgevoerd, de reden dat ik dit topic aanmaak is omdat het dus juist niet werkt.

Ik mail uiteraard niet naar een adres wat niet bestaat.

[Hero of Time]

Blijft bijzonder. Er staat doodleuk dat optie 3 het moeilijkste is om te configureren, maar daar ben ik het niet mee eens. Wellicht vanwege het SPF record maken, maar dat heb ik niet hoeven doen. Het IP adres waar vandaan ik mail met m'n monitoring server is niet het adres waar onze on-prem exchange server vanaf mailt. De test mail die ik stuurde kwam gewoon aan in mijn inbox.

Zorg je wel dat je poort 25 gebruikt en niet 587? Het aanzetten van TLS/StartTLS past dat wellicht aan.

[Operations]

akimosan schreef op donderdag 20 juli 2023 @ 22:01:
Die oude HP printers ondersteunen in ieder geval geen oAUTH

DirectSend (option1) kan nog werken maar volgens mij moet je een app password gebruiken als je MFA hebt ingeschakeld op de afzender mailbox.

https://h30434.www3.hp.co...orted-models/td-p/8017617
https://evermap.com/Tutorial_AMM_AppPasswordOffice365.asp

Manage app passwords for two-step verification - Microsoft Support

In plaats van testen met je printers ingebouwde SMTP client die weinig info over de SMTP communicatie geeft kun je beter kijken of je een SMTP client kunt gebruiken die meer info geeft, zoals Thunderbird of een online SMTP test tool als:
https://www.gmass.co/smtp-test
https://dnschecker.org/smtp-test-tool.php

ERROR: 535: 5.7.139 Authentication unsuccessful, the request did not meet the criteria to be authenticated successfully. Contact your administrator. [MW4PR04CA0384.namprd04.prod.outlook.com 2023-07-20T20:08:23.283Z 08DB88F189AFA981]

Geeft de gmass test aan. Dus het is in ieder logisch dat de printer ook niet wil

[Operations]

Hero of Time schreef op donderdag 20 juli 2023 @ 22:14:
Blijft bijzonder. Er staat doodleuk dat optie 3 het moeilijkste is om te configureren, maar daar ben ik het niet mee eens. Wellicht vanwege het SPF record maken, maar dat heb ik niet hoeven doen. Het IP adres waar vandaan ik mail met m'n monitoring server is niet het adres waar onze on-prem exchange server vanaf mailt. De test mail die ik stuurde kwam gewoon aan in mijn inbox.

Zorg je wel dat je poort 25 gebruikt en niet 587? Het aanzetten van TLS/StartTLS past dat wellicht aan.

25 en 587 allebei geprobeerd. TLS/StartTLS kan ik helaas binnen de printer(s) niet aan of uitzetten. Morgen maar even verder kijken. Zal vast een lullig vinkje zijn.

Optie 3 is inderdaad niet veel moeilijker of makkelijker dan de andere 2 opties. SPF record heb ik ook IP + tekst regel aan toegevoegd.

[mvz]

In sommige gevallen ook je IP nog ff delisten bij spamhaus, kwam ik ook achter.

[Operations]

mvz schreef op vrijdag 21 juli 2023 @ 13:07:
In sommige gevallen ook je IP nog ff delisten bij spamhaus, kwam ik ook achter.

Ja dat klopt, maar IP staat niet als zijnde SPAM genoemd.

[Operations]

Even een update. Uiteindelijk dit wel voor elkaar gekregen door de gehele beveiligingsniveau van M365 te verlagen.

Aangezien dat niet wenselijk is, gekozen voor een gratis Smtp2Go account. Max 200 per dag en 1000 per maand. Postmark had ook gekund maar die hebben een lager gratis maximum.

[_--[]--__]

Operations schreef op maandag 7 augustus 2023 @ 10:57:
Even een update. Uiteindelijk dit wel voor elkaar gekregen door de gehele beveiligingsniveau van M365 te verlagen.

Aangezien dat niet wenselijk is, gekozen voor een gratis Smtp2Go account. Max 200 per dag en 1000 per maand. Postmark had ook gekund maar die hebben een lager gratis maximum.

Had je al geprobeerd een "app password" te gebruiken?

[Operations]

_--[]--__ schreef op maandag 7 augustus 2023 @ 11:06:
[...]

Had je al geprobeerd een "app password" te gebruiken?

Dat ging dus niet. Die mogelijkheid was er niet, ook niet als ik MFA uit deed ondanks dat de optie "laat genruikers app wachtwoord aanmaken wel aan stond.

Ook niet met Conditional access policy. En dat schijnt normaal te zijn dat het soms gewoon niet wil. MS schijnt er vanaf te willen. Die willen dat je het device echt in Azure hangt ipv basic SMTP AUTH.

[garriej]

Ik ben hier ook wel is tegenaan gelopen, er is nog iets dat niet op veel plekken genoemd wordt dat voor mij werkte. Het adres waarmee je verzend moet hetzelfde zijn als het adres waar je mee authenticeert.

[Operations]

garriej schreef op maandag 7 augustus 2023 @ 14:25:
Ik ben hier ook wel is tegenaan gelopen, er is nog iets dat niet op veel plekken genoemd wordt dat voor mij werkte. Het adres waarmee je verzend moet hetzelfde zijn als het adres waar je mee authenticeert.

Helaas ook tegen gekomen en dat werkte ook niet.

Maar wat ik zei anders pgelost en uiteindelijk zal deze manier van werken toch verdwijnen (denk ik).

[ Voor 12% gewijzigd door Operations op 07-08-2023 14:32 ]

[Hero of Time]

Waarom heb je niet een Windows bakkie gemaakt met IIS Mail Relay of een Linux machine met een MTA om tussen die antieke, onveilige MFA's te zetten? Want het werkte blijkbaar niet vanwege het gebrek van veiligere opties. Pak dan iets wat dat wel kan. Net zoals reverse proxies gebruikt worden voor SSL terminatie wanneer de webapp het zelf niet kan, of geen moderne ciphers.

[Operations]

Hero of Time schreef op maandag 7 augustus 2023 @ 19:16:
Waarom heb je niet een Windows bakkie gemaakt met IIS Mail Relay of een Linux machine met een MTA om tussen die antieke, onveilige MFA's te zetten? Want het werkte blijkbaar niet vanwege het gebrek van veiligere opties. Pak dan iets wat dat wel kan. Net zoals reverse proxies gebruikt worden voor SSL terminatie wanneer de webapp het zelf niet kan, of geen moderne ciphers.

Behalve dat ik niet 100% bekend was/ben met hoe dat precies geconfigureerd moet worden is het op een locatie zonder servers en/of vaste machines niet echt een optie toch dan? Is gewoon ruimte met printer en aantal mensen met laptops. Verder alles in cloud.

SMTP2GO of postmark werkt prima. Behoeft ook geen beheer verder, ik zal is kijken naar je genoemde opties.

Edit: IIS Mail Relay niet zo spannend verder. Zal de optie onthouden.

[ Voor 4% gewijzigd door Operations op 07-08-2023 21:31 ]

[akimosan]

Eens met de gekozen optie van SMTP2Go. Een cloud based relay zonder de rompslomp van een zelf te beheren en beveiligen SMTP relay/MTA.
Soms wil je gewoon dat het werkt en ben je de zoektocht beu.
Uiteindelijk hebben we bij ons op der zaak ook nog 2 accounts zonder MFA die we toe moeten staan om vanaf een externe applicatie via authenticated SMTP te kunnen versturen.
En één keer in de zoveel tijd hebben we daar gezeur mee omdat het wachtwoord van het account gereset moet worden per company policy of omdat de externe app time-outs krijgt met het verbinden met de SMTP services van MS of andere nonsens.
Dus ik ben zo langzamerhand ook aan het nadenken over een externe SMTP relay ertussen. Maar twijfel nog omdat het uiteindelijk weer een hop en een point of failure betekent.
De maker van de externe apps heeft aangegeven dat ze Graph API wel willen gaan ondersteunen maar prio geven ze er nog niet aan.