Exchange 2010 Hibrit Karşılıklı TLS kuramıyor yanlış sertifika kullanılıyor
Exchange 2010 hibrit ortamını yapılandırırken, Exchange 2010 sunucusunda bir Alma Bağlayıcısı oluşturulur. Bu Alma Bağlayıcısı, Karma Yapılandırma Sihirbazı'nda girilen FQDN (Exchange 2010 Karma ile ilgili önceki blog gönderisine bakın) ve Microsoft Exchange Online sunucularının kaynak IP adresleriyle yapılandırılır. Bu sunuculardan biri Exchange 2010 ortamına erişirse, Office 365 Alma Bağlayıcısı'na (IP adresine bağlı olarak) ulaşır ve doğru SSL sertifikası döndürülür. Bu şekilde şirket içi Exchange 2010 ile Exchange Online arasında karşılıklı TLS kurulur.
Bazen şirket içi Exchange ile Exchange Online arasındaki SMTP iletişimi için yanlış sertifikanın kullanılması ve dolayısıyla ikisi arasında SMTP posta akışı hatasının ortaya çıkması mümkündür.
Bunu Exchange Online'daki Exchange Yönetim Merkezi'nden (EAC) kontrol edebilirsiniz. Exchange Online'da EAC'de oturum açın, Posta Akışı'nı seçin ve Bağlayıcılar sekmesini tıklayın. İki bağlayıcı göreceksiniz. Exchange 2010'dan Exchange Online'a posta için bir bağlayıcı ve Exchange Online'dan Exchange 2010'a posta için bir bağlayıcı.
Gönderme Bağlayıcısını doğrulayabilirsiniz (veya doğrulamanız gerekir). EAC'de doğrula'yı tıkladığınızda, Exchange 2010'da Doğrula'yı tıklayabilecek bir kullanıcının e-posta adresini girmeniz gerekir. Bir süre sonra EAC bulgularını geri gönderir ve bu durumda durum başarısız olur:
Ayrıntılara tıkladığınızda (kalem simgesi) neyin yanlış gittiğini görebilirsiniz. TLS kimlik doğrulamasının başarısızlığı açıkça görülüyor:
Exchange 2010 sunucusunda (çoklu rol) üç sertifika vardır. Sertifikalardan biri kendinden imzalı sertifikadır (CN=SRV01), diğeri ise Digicert sertifikasıdır (CN=Webmail.inframan.nl). Kendinden imzalı sertifika, Exchange 2010 Edge Transport sunucusuyla kimlik doğrulama için kullanılır; Digicert sertifikası ise IIS ve SMTP için kullanılır.
FQDN'ye ve kaynak IP adresine (Exchange Online'ın) bağlı olarak bu sertifikanın döndürülmesi gerekir, ancak açıkça Digicert sertifikası yerine kendinden imzalı sertifikayı döndürmektedir.
Alma Bağlayıcısının SMTP protokolü günlük dosyasını kontrol ederken (ayrıntılı günlük kaydını etkinleştirin), kaynak IP adresinin Exchange Online sunucusunun IP adresi olmadığını ancak bu durumda F5 yük dengeleyicinin IP adresi olduğunu görebilirsiniz:
Bunun nedeni F5 yük dengeleyicideki SNAT'tır (Kaynak Ağ Adresi Çevirisi). Normal SMTP posta akışı F5 üzerinden çalıştığından ve OWA da F5 üzerinden sorunsuz çalıştığından bu adımı kolayca unutabilirsiniz. Ancak orijinal kaynak IP adresinin kullanıldığı Office 365 için bu bir sorun haline gelir.
F5'i SNAT'ın artık kullanılmayacak şekilde (gelen trafikte) yeniden yapılandırdıktan sonra tekrar deneyebiliriz. EAC'de Gönderme Bağlayıcısının doğrulanması artık başarılı:
Ayrıca SMTP protokolü günlük dosyası, F5'in IP adresi yerine Exchange Online sunucusunun kaynak IP adresini gösterir:
Exchange 2010 hibriti artık beklendiği gibi çalışıyor ve Exchange Online ile Exchange 2010 arasındaki aktarımın güvenliğini sağlamak için karşılıklı TLS kullanılıyor.