Autodiscover langsam?

Wir haben bei unseren Kunden oft das Problem, dass das Outlook sehr lange braucht, um seine Konfiguration über Autodiscover zu erhalten. Oft liegt es daran, wie der Autodiscover Prozess in Outlook abläuft.

Grob gesagt, nimmt Outlook zuerst was hinter dem @ der Mailadresse steht und versucht darüber den Autodiscover Service zu erreichen.

hans.muster@itrain.ch = https://itrain.ch/autodiscover/autodiscover.xml

Genau dies schlägt meist fehl, denn entweder zeigt diese URL auf den Webserver. Noch schlimmer wird es, wenn die URL dem Domänen Namen entspricht, dann zeigt "itrain.ch" auf alle Domänen Kontroller in der Domäne. Dies hat dann zur Folge, dass jeder Domänen Kontroller kontaktiert wird und keiner dieser DCs kann Autodiscover Informationen liefern. Dies kann sehr lange dauern, denn standardmässig ist ein Timeout von 25 Sekunden hinterlegt.

Der nächste Schritt im Autodiscover Prozess ist, dass Outlook nimmt was hinter dem @ steht und autodiscover. davor setzt.

hans.muster@itrain.ch = https://autodiscover.itrain.ch/autodiscover/autodiscover.xml

Dies ist dann meist erfolgreich.

Um nun die Wartezeit für https://itrain.ch/autodiscover/autodiscover.xml zu umgehen, kann ein Registry Eintrag erstellt werden, welcher das Outlook anweisst, diese Schritt zu überspringen.

Dazu wird unter

"HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\AutoDiscover"

ein DWORD Eintrag mit Namen "ExcludeHttpsRootDomain" und dem Wert 1  erstellt.

Weitere Informationen: https://support.microsoft.com/en-us/help/3211279/outlook-2016-implementation-of-autodiscover 

ActiveSync bleibt verbunden trotz...

Kunden haben mir gemeldete, dass ActiveSync Verbindungen trotz geändertem Passwort oder sogar deaktiviertem AD User Objekt weiterhin verbunden bleibt, und dies zum Teil für Tage.

Aufgefallen ist dies, weil ja die meisten Firmen einen sporadischen Passwortwechsel verlangen. Dabei hat sich gezeigt, dass Mobile Geräte zum Teil erst nach Tagen das neue Passwort verlangen und in der Zwischenzeit munter Mails empfangen und versendet werden konnten, alles unter einem Passwort, welches eigentlich nicht mehr gültig ist.

Für Benutzer, welche einfach so oder weil dies sporadisch verlangt wird, ihr Passwort ändern, die Firma aber nicht verlassen, stellt dieses Verhalten kein allzu grosses Problem dar. Der Benutzer hat ja sein Passwort selbst gewechselt und wüsste das neue Passwort.

Problematisch wird es, wenn das Passwort vom Administrator gewechselt oder der Account deaktiviert wurde, weil der Benutzer das Unternehmen verlassen hat. In diesem Fall würde man ja annehmen, dass der Benutzer durch diese Aktion keinerlei Zugriffe auf die Firmeninfrastruktur mehr hat.

Durch die Beschriebene Problematik ist der Benutzer also, unter Umständen, noch tagelang in der Lage Mails zu empfangen und auch zu versenden. Dies kann grossen Schaden verursachen, je nach dem wie einvernehmlich die Trennung von der Firma abgelaufen ist.

Meine Suche nach einer Lösung hat hervorgebracht, dass dieses Problem schon diversen Personen aufgefallen ist, es aber keine Lösung dafür gibt. Es scheint, dass hier Sicherheit durch Benutzerfreundlichkeit ausgehebelt wurde.

Wichtig ist, diesen Umstand zu kennen, denn ein User lässt schon gänzlich von seinem Postfach trennen, nur reicht es nicht, "nur" den AD Account zu deaktivieren oder das Passwort zu ändern. Mindestens einer der folgenden Schritte muss zusätzlich ausgeführt werden:

• Neustart der Webservices (IIS)
• Recyceln der Application Pools "MSExchangeSyncAppPool"

Diese beiden Optionen sind nicht die optimalsten, denn diese Aktionen betreffen auch andere Benutzer. Ohne andere Benutzer zu stören nützen auch folgende Aktionen:

• In den Einstellungen des Postfaches ActiveSync deaktivieren
• Das betroffene Postfach in eine andere Datenbank verschieben
• Das Telefon aus der Exchange Verwaltungsseite heraus wipen
• Die Verbindung des Telefons aus dem Postfach löschen

OWA und EAS Log Analyse

OWA Log Analyse

Die Zugriffe auf OWA lassen sich mittels der IIS Logs analysieren. Dazu kann man das MS Tool «LogParser 2.2» verwenden. Das Tool lässt sich hier herunter laden:

https://www.microsoft.com/en-us/download/details.aspx?id=24659

Arbeitsordner erstellen

Für die Analyse der IIS Logs ist es am einfachsten, zuerst mal einen Arbeitsordner zu erstellen. Danach werden dort die Logs abgelegt, welche analysiert werden sollen.

Hierarchisches Adressbuch

In grossen Organisationen stellt sich immer wieder die Frage, wie Adressbücher übersichtlich gestaltet werden sollen. Seit Exchange 2010 SP1 haben wir eine neue Funktion bekommen, welche sich «Hierarchisches Adressbuch» nennt. Das Ganze sieht wie folgt aus:

Der Aufbau eines hierarchischen Adressbuches wird über Verteilerlisten gesteuert. Diese werden ineinander verschachtelt und so gekennzeichnet, dass sie im hierarchischen Adressbuch berücksichtigt werden. Wie das geht, zeige ich anhand einer Step by Step Anleitung am Beispiel der Firma, in welcher ich arbeite. Das Ziel ist, ein hierarchisches Adressbuch aufzubauen, wie ihr es oben in der Ausbildung sehen könnt.

Exchange 2016 - Deaktiviertes Postfach mit Archiv wieder verbinden

Wenn man unter Exchange 2016 ein Postfach mit Archiv deaktiviert, wird sowohl das Postfach wie auch das Archiv vom Userobjekt in der AD abgekoppelt. Exchange löscht nun das Postfach wie auch das Archiv in der Datenbank gemäss den Einstellungen auf der Datenbank (Gelöschte Postfächer aufbewahren für (Tage)). Der Standardwert für die Vorhaltezeit gelöschter Postfächer sind 30 Tage.

Wenn man nun ein deaktiviertes Postfach wieder mit einem Userobjekt in der AD verbinden will (muss nicht das ursprüngliche Userobjekt sein), muss man zuerst die «MailboxGuid» des Postfaches herausfinden. Dies kann mit folgendem Befehl gefunden werden:

Get-MailboxStatistics -Database MDB02 | fl DisplayName,MailboxGuid

Dieser Befehl gibt aber alle vorhandenen Postfächer in einer Datenbank aus. Natürlich ist das nicht sehr praktisch in einer Umgebung mit vielen Postfächern. Also kann es erforderlich sein, etwas mehr zu filtern.

Get-MailboxStatistics -Database MDB02 | ? {$_.DisplayName -like "*Brunner*"} | FL DisplayName,MailboxGuid

Hier werden alle Postfächer gefunden, welche im Namen «Brunner» beinhalten und sich in der Datenbank «MDB02» befinden.

Wenn ich aber nun nicht weiss, in welcher Datenbank sich das Postfach (oder das Archiv) befunden hat, kann ich über folgenden Befehl herausfinden, welche Postfächer (oder Archive) es in allen Datenbanken gibt, welche im Namen «Brunner» beinhalten. Im Resultat wird auch gleich die MailboxGuid der Postfächer ausgegeben:

Get-MailboxDatabase | Get-MailboxStatistics | ? {$_.DisplayName -like "*Brunner*"} | FL DisplayName,MailboxGuid,Database

Um einfach alle getrennten Postfächer in allen Datenbanken anzuzeigen kann folgender Befehl verwendet werden:

Get-MailboxDatabase | Get-MailboxStatistics | ? {$_.DisconnectDate -ne $NULL} | FL DisplayName,MailboxGuid,Database,DisconnectDate

Wenn wir nun mal die MailboxGuid haben, können wir das Postfach wieder mit einem Userobjekt verbinden. Ich verwende jeweils den UPN des Userobjektes, an welches ich das Postfach hängen will:

Connect-Mailbox –Identity 4cd7b972-cb64-43bc-b6fc-5dc4446ed971 –Database MDB02 –user b.brunner@itrain.ch

Leider ist nun aber lediglich das primäre Postfach verbunden. Wenn das Postfach vorher ein Archiv hatte, muss ich das auch noch mit dem Userobjekt verbinden. Dies geht mit folgenden Befehl:

Enable-Mailbox -ArchiveGuid 8d6fbef2-5f73-4e00-b06e-5e91c9e9ad30 -ArchiveDatabase MDB02 -Identity b.brunner@itrain.ch

Nun sind Postfach und Archiv wieder gemeinsam mit dem gewünschten Userobjekt verbunden.

Mail versenden mit Alias

Hatte gerade eine Anforderung eines Kunden. Dort sollen Leute Mails wahlweise unter einem Alias versenden können anstelle unter der Standard Antwort Adresse die im Postfach konfiguriert ist. Grundsätzlich ist dies nicht möglich. Es musste also ein Workaround gefunden werden.

Als erstes habe ich natürlich daran gedacht, einfach den Alias vom Postfach zu entfernen und ein separates Postfach mit der Adresse zu erstellen. Dann gibt man noch «Vollzugriff» und «Senden als» Berechtigungen für die Person, welche die Adresse verwenden will.
Nachteil dieser Lösung ist, dass der User am Ende eine weiteres Postfach im Outlook hat und auch die gesendeten Mails werden natürlich in diesem zusätzlichen Postfach abgelegt. Diese Lösung gefiel dem Kunden nicht. Die User sollen weiterhin nur ein Postfach im Outlook haben und über die Auswahl im «Von Feld» die zweite Adresse auswählen können. Auch sollen die gesendet Mails in diesem einen Postfach abgelegt werden.

Im Internet findet man auch Lösungsansätze, die sich mit einem POP3 «dummy» Postfach behelfen. Ich wollte keine POP3 auf dem Exchange aktivieren und habe weiter nach einer bessern Lösung gesucht.

Exchange 2016 - Erste News von der Ignite 2015

Die ersten Infos über Exchange vNext sind nun draussen. die ersten Sessions zum Thema an der Ignite 2015 sind gelaufen. Hier ein paar Facts:

Release Date

• Exchange 2016 Public beta ist auf Sommer 2015 angesagt. RTM soll im Herbst / Winter 2015 verfügbar sein.

Architektur

• Keine Trennung der Rollen bei der Installation. Also keine reinen CAS oder MBX Server mehr
• CAS Proxing zwischen Exchange 2016 und 2013 möglich, und dies in beide Richtungen
• Gemischte Umgebungen mit Exchange 2010 SP3 RU11 (oder höher) oder Exchange 2013 CU10 (oder höher)
• Wie zu erwarten war, keine Koexistenz mit Exchange 2007
• Als OS wird 2012 R2 und Server 10 unterstützt
• Forest und Domain Level müssen 2008 R2 oder höher sein
• Es werden Outlook 2010 SP2 (mit KB2956191 und KB2965295 oder höher), Outlook 2013 SP1 (mit KB3020812 oder höher) und Outlook 2016 unterstützt
• Als Standard-Clientprotokoll wird MAPI/HTTP verwendet
• Witness Share (Zeugenserver) in Azure möglich

Speicherung der Daten

• 22% weniger IOPS im Vergleich zu Exchange 2013 RTM (und täglich grüsst das Murmeltier)
• Der Suchindex wird auf der passiven Kopie einer Datenbank erstellt

Hochverfügbarkeit

• DAG hat kein Clusterobjekt (CNO) mehr
• Schnellere Datenbank-Umschaltung
• Weitgehend die gleichen Anforderungen an Load Balancer wie bei Exchange 2013

Weitere News werde ich wieder Posten.

ADFS 3.0 non SNI Client Support konfiguration

Seit Windows Server 2012 R2 ist ADFS in der Version 3.0 verfügbar. Eine der grossen Änderungen ist, dass das es ADFS Proxy nicht mehr gibt. Es wird auch keine IIS mehr benötigt. Dafür ist aber der Support von SNI dazu gekommen. Aber was ist denn SNI überhaupt? SNI heisst «Server Name Indication». Infos über SNI gibt es hier und hier.

Wie ihr also in den Links oben lesen könnt, sind «nur» neuere Clients in der Lage SNI-Informationen im TLS Handshake mitzusenden. Die Clients machen mir aber in der Praxis nur selten Sorgen. Es ist eher so, dass ADFS Umgebungen meist redundant aufgebaut werden und daher auch ein Load Balancing benötigen. Nun ist es eben so, dass die meisten Load Balancer nicht mit SNI umgehen können oder diese Informationen auf dem Backend einfach nicht weiter geben.

Ein ADFS 3.0 Server möchte aber in der Default-Konfiguration diese Information haben. Anfragen ohne SNI Informationen werden nicht verarbeitet. Also müssen wir den ADFS 3.0 Server dazu bringen, diese Anfragen trotzdem zu verarbeitet. Bewerkstelligt wird dies, indem man ein Standard Zertifikat definiert. Und gemacht wird dies so:

iOS 8.3 bringt Exchange relevante Fixes

Das neueste Update für iPhones bringt auch Fehlerkorrekturen in Bezug auf Exchange:

• Exchange-Abwesenheitsbenachrichtigungen können jetzt separat für externe Antworten bearbeitet werden
• Optimiert die Wiederherstellung von Exchange-Accounts bei temporären Verbindungsproblemen
• Korrigiert ein Problem, durch das Exchange-Termine mit langen Notizen abgeschnitten wurden

Falls ihr in letzter Zeit mit solchen Problemen gekämpft habt, ist dies sicher eine gute Nachricht.

Die ganze Liste der Leistungsverbesserungen und Fehlerkorrekturen findet ihr hier.

Exchange 2013 - Maintenance Mode

In einer hoch verfügbaren Exchange Organisation lassen sich einzelne Exchange Server der Organisation warten, ohne dass die User bei ihrer Arbeit gestört werden. Der Prozess, einen der Exchange Server in den Maintenance Mode zu versetzen, ist aber etwas mühsam, sprich, es sind diverse Schritte nötig. Daher liegt es auch nahe, dies mit Hilfe eines Scripts zu erledigen. Ich bin nicht wirklich der Scripter, doch es gibt ja zum Glück begnadete Scripter, welche ihre Scripts auch immer wieder mit der Welt teilen. In diesem Post will ich zeigen, wie der Prozess, einen Exchange Server in den Maintenance Mode zu versetzen, mit Hilfe der Scripts von Michael Van Horenbeeck vereinfacht werden kann.

Exchange 2010 - RU9 für SP3 verfügbar

Auch am 17.03.2015 wurde das RU 9 für SP3 zum download bereit gestellt. Informationen dazu findet ihr auf dem Exchange Team Blog.

Download: http://www.microsoft.com/en-us/download/details.aspx?id=46372

Knowledge Base Article: https://support.microsoft.com/en-us/kb/3030085

Exchange 2013 - CU8 verfügbar

Seit dem 17.03.2015 ist das CU8 für Exchange 2013 verfügbar. Informationen dazu gibt es auf dem Exchange Team Blog.

Download: http://www.microsoft.com/en-us/download/details.aspx?id=46373

Knowledge Base Article: https://support.microsoft.com/en-us/kb/3030080

Veeam und Hyper-V - Microsoft Hyper-V VSS Writer' is failed at 'VSS_WS_FAILED_AT_PREPARE_SNAPSHOT

Veeam sit eine Backupsoftware, die sich rasch verbreitet hat. Der Grund liegt auf der Hand, Veeam ist optimal auf heutige virtualisierte Umgebungen angepasst und beherscht auch Application Backups für Exchange oder SQL.

Wir haben Veeam bei uns und auch bei diversen Kunden im Einsatz. Nun hatten wir des öfteren das Problem, dass einzelne virtuelle Maschinen sich nicht sicher liessen. Im Staus Mail welches über Erfolg oder Misserfolg des Backups informiert, findet sich folgende Meldung:

Outlook App for iOS & Android

Microsoft hat vor kurzem die App Outlook App for iOS & Android veröffentlicht. Spezialisten haben sich die App angesehen und mussten feststellen, dass die App für den Zugriff auf die Mails einen "kleinen" Umweg über diverse Server, welche meist in den USA stehen, macht.

Dies kann man hier nachlesen:

Hände weg von der neuen Outlook-App für iPhone und Android – warnt die ETH Zürich

Wie man die App auf dem Exchange blocken kann, könnt ihr hier nachlesen:

Blocking Outlook App for iOS & Android

Exchange 2013 / 2010 - Verteilen der Datenbanken anhand der Präferenz

DAG ist eine feine Sache. Nie war es einfacher seine Exchange Daten ausfallsicher zur Verfügung zu stellen. Doch nach einem Failover gibt es keinen automatischen Failback der Datenbanken, obwohl den Datenbanken Präferenzen vergeben werden können oder besser müssen.

Bei mangelndem Monitoring der Exchange Server kommt es sogar vor, dass ein geschehener Failover nicht einmal auffällt. Um dies zu überwachen nehme ich meist ein Script von Paul Cunningham welches mir immer dann ein Mail schreibt, wenn auf dem Exchange etwas nicht so ist wie ich mir das wünsche: Test-ExchangeServerHealth

Wenn ich nun also feststelle, dass meine Datenbanken nicht auf den dafür vorgesehenen Servern aktiv sind, bediene ich mich eines Scripts welches wir von Microsoft bei der Installation von Exchange 2013 oder 2010 erhalten haben: RedistributeActiveDatabases.ps1

Um die mitinstallierten Scripts verwenden zu können müssen wir in der Exchange Shell zuerst in das entsprechende Verzeichnis wechseln. Die geht am einfachsten mittels folgenden Cmdlet:

cd $exscripts

Folgendes Cmdlet platziert die Datenbanken gemäss den konfigurierten Präferenzen:

.\RedistributeActiveDatabases.ps1 -DagName DAG01 -BalanceDbsByActivationPreference -Confirm:$false

Weitere Infos zum Script findet ihr hier: Managing mailbox database copies (im unteren Bereich)