Einleitung
Dieses Dokument beschreibt die Schritte zur Behebung von Exchange 2013 (oder älteren) Verbindungsproblemen mit Secure Email Gateway (SEG) nach dem Upgrade auf Version 15.0.
Verwendete Komponenten
Exchange 2013 oder älter
SEG Version 15.0.
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.
Problem
Nach dem Upgrade der SEG auf Version 15.0 wird die Verbindung zwischen Exchange-Servern, die älter als 2013 sind, nicht hergestellt. Wenn Sie Tophosts über die CLI überprüfen, können Sie sehen, dass die Domäne als down (*) markiert ist.
mx1.cisco.com > tophosts
Sort results by:
1. Active Recipients
2. Connections Out
3. Delivered Recipients
4. Hard Bounced Recipients
5. Soft Bounced Events
[1]> 1
Status as of: Sun Sep 03 11:44:11 2023 -03
Hosts marked with '*' were down as of the last delivery attempt.
Active Conn. Deliv. Soft Hard
# Recipient Host Recip. Out Recip. Bounced Bounced
1* cisco.com 118 0 0 0 507
2* alt.cisco.com 94 0 226 0 64
3* prod.cisco.com 89 0 0 0 546
In Mail_logs können Sie Verbindungsfehler in der Domäne aufgrund eines Netzwerkfehlers sehen.
Thu Aug 29 08:16:21 2023 Info: Connection Error: DCID 4664840 domain: cisco.com IP: 10.0.0.1 port: 25 details: [Errno 0] Error interface: 10.0.0.2 reason: network error
Bei der Paketerfassung können Sie sehen, dass der Exchange-Server die Verbindung mit dem FIN-Paket unmittelbar nach der TLS-Aushandlung schließt.
Lösung
Vergewissern Sie sich, dass der Exchange-Server Version 2013 oder älter ist, und verwenden Sie diese Zeichenfolge als Problemumgehung, damit die SEG eine Verbindung zu diesen älteren Servern herstellen kann. Dies ermöglicht die Zustellung von E-Mails, bis Exchange auf eine aktuell unterstützte Version aktualisiert werden kann.
ECDH+aRSA:ECDH+ECDSA:DHE+DSS+AES:AES128:AES256:!SRP:!AESGCM+DH+aRSA:!AESGCM+RSA:!aNULL:!eNULL:!DES:!3DES:!IDEA:!RC2:-IDEA:-aNULL:-EXPORT:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-CCM:!DHE-RSA-AES256-CCM:!ECDHE-ECDSA-CAMELLIA128-SHA256:!ECDHE-RSA-CAMELLIA128-SHA256:!ECDHE-ECDSA-CAMELLIA256-SHA384:!ECDHE-RSA-CAMELLIA256-SHA384:!ECDHE-ECDSA-AES128-CCM:!ECDHE-ECDSA-AES256-CCM
Sie können dies entweder über die Befehlszeilenschnittstelle (Command Line Interface, CLI) oder die grafische Web-Benutzeroberfläche (Web Graphical User Interface, GUI) eingeben.
In der CLI:
mx1.cisco.com> sslconfig
Choose the operation you want to perform:
- GUI - Edit GUI HTTPS ssl settings.
- INBOUND - Edit Inbound SMTP ssl settings.
- OUTBOUND - Edit Outbound SMTP ssl settings.
- VERIFY - Verify and show ssl cipher list.
- OTHER_CLIENT_TLSV10 - Edit TLS v1.0 for other client services.
- PEER_CERT_FQDN - Validate peer certificate FQDN compliance for Alert Over TLS, Outbound SMTP, updater and LDAP.
- PEER_CERT_X509 - Validate peer certificate X509 compliance for Alert Over TLS, Outbound SMTP, updater and LDAP.
[]> outbound
Enter the outbound SMTP ssl method you want to use.
1. TLS v1.1
2. TLS v1.2
3. TLS v1.0
[2]>
Enter the outbound SMTP ssl cipher you want to use.
[!aNULL:!eNULL]> ECDH+aRSA:ECDH+ECDSA:DHE+DSS+AES:AES128:AES256:!SRP:!AESGCM+DH+aRSA:!AESGCM+RSA:!aNULL:!eNULL:!DES:!3DES:!IDEA:!RC2:-IDEA:-aNULL:-EXPORT:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-CCM:!DHE-RSA-AES256-CCM:!ECDHE-ECDSA-CAMELLIA128-SHA256:!ECDHE-RSA-CAMELLIA128-SHA256:!ECDHE-ECDSA-CAMELLIA256-SHA384:!ECDHE-RSA-CAMELLIA256-SHA384:!ECDHE-ECDSA-AES128-CCM:!ECDHE-ECDSA-AES256-CCM
.....
Hit enter until you are back to the default command line.
mx1.cisco.com> commit
In der GUI:
Schritt 1: Wählen Sie auf der Registerkarte Systemverwaltung die Option aus.
Schritt 2: Wählen Sie SSL Configuration aus.
Schritt 3: Wählen Sie die Schaltfläche Einstellungen bearbeiten.
Schritt 4: Ändern Sie die ausgehenden SMTP-SSL-Chiffren, um die in diesem Artikel angegebene Zeichenfolge zu verwenden.
Schritt 5: Senden und bestätigen Sie die Änderungen.
Zugehörige Informationen
Benutzerhandbuch für AsyncOS 15.0: Systemverwaltung
Änderung der Methoden und Chiffren für SSL/TLS auf der ESA
Cisco Bug-ID CSCwh48138 - ESA 15.0 E-Mail-Zustellungsfehler über TLS mit Exchange 2013
Feedback