Outlook не удается подключиться к кластеру Exchange 2013 с балансировкой нагрузки через Direct Access 2012 R2

У нас есть кластер Exchange 2013 с пакетом обновления 1 (SP1), работающий по протоколу MAPI через HTTP.

Связь с клиентами внутри нашей собственной сети работает просто отлично, а клиенты, подключенные через Direct Access, не подключаются. Журналы Outlook на клиенте не показывают абсолютно никакой ошибки вообще.

Сервер прямого доступа работает под управлением 2012 R2, все клиенты - Windows 8.1. Все исправлено.

Последние пару недель я искал как сумасшедший, и единственные интересные хиты, которые я получаю, - это TMG 2010 (UAG), отфильтровывающий запросы из-за смены исходного IP-адреса (балансировщик нагрузки обмена). Существует статья базы знаний (982604), которая описывает это, и довольно здоровенное сообщение в блоге о проблеме от первичной поддержки, но, к сожалению, скрипт не работает на нашем сервере, так как это не TMG и это Windows Server 2012 R2 ..

Я в недоумении здесь. Я задам этот вопрос неделю, а затем я расскажу о первом случае поддержки с Microsoft.

— pauska
источник

Вы имеете в виду MAPI по HTTP? Какая версия Outlook? Можете ли вы публиковать подробности или снимки экрана из клиентов DA в Outlook, показывая состояние подключения и автоматическую настройку тестовой электронной почты? Что вы используете для балансировки нагрузки?

— mfinni

@mfinni Извините, конечно, MAPI :-) Outlook 2013 SP1 с последними исправлениями. Наш балансировщик нагрузки - KEMP VLM-1000. Я постараюсь опубликовать скриншот, но офисная установка - норвежская. Возможно, для вас это не имеет большого смысла?

— Пауска

Что ж, мы ищем, если клиент пытается подключиться к внутреннему URL-адресу автообнаружения (как это должно быть при использовании DA) или к внешнему, который может дать сбой и может вызвать ваши проблемы. Многое из этого может сводиться к вашей конфигурации DNS. Если автообнаружение работает правильно, но какая-то часть соединения не работает.

— mfinni

@mrfinni Я проверил это, поскольку мы не используем принудительное туннелирование. У нас есть разделенный мозг DNS с одним пространством имен, поэтому все внутренние и внешние домены явно туннелируются. В действительности это означает, что клиент не может разрешить ни одну из наших внешних записей DNS. Я установлю английскую версию Outlook, когда у меня будет время ..

— pauska

Эван Андерсон: Я предоставлю скриншоты и логи позже в этот день. Aceth: Извините, это SP1 (уточнено в Q). longneck: это не имеет значения. Я знаю, что LB перезаписывает исходный IP (nat), и я думаю, что это то место, где он ломается ..

— pauska

Ответы:

Ранее я сталкивался с подобной проблемой (в решении на основе HAproxy), в моем случае это были Exchange 2010 и ISA 2006 Server с включенным фильтром RPC. Мы отключили фильтр RPC и снова счастливых дней ...

Я немного искал вокруг себя и нашел это:

http://geek.martinwahlberg.com/problem-using-forced-tunneling-mode-in-directaccess

Которые предполагают проблемы с Outlook, DirectAccess и туннельным режимом, которые так и не были решены (кроме возможного взлома клиента ...), поэтому я действительно задавался вопросом, было ли это то же самое. в комментариях у него есть идентификатор дела, поэтому, если вы зайдете в MS, вы сможете добавить вес к вашему делу.

— Аарон Вест
источник

Я также нашел много сообщений о фильтре RPC и ISA, но, к сожалению, мы не используем ни того, ни другого. Наша среда теперь использует чистый HTTP MAPI, поэтому не должно быть никаких RPC. Пока я отказался от всей проблемы, за исключением трафика Outlook из туннеля DA.

— Пауска

В какой сборке Exchange 2013 работают серверы CAS? Я не знаком с «KEMP VLM-1000», но у меня был Exchange 2013 с балансировкой нагрузки, использующий NGINX, и я столкнулся с аналогичной проблемой до Exchange 2013 SP1, где RPC не работает с балансировкой нагрузки по HTTPS.

В недавнем выпуске Exchange 2013 с пакетом обновления 1 (SP1) они реализовали MAPI поверх HTTPS, который предназначен для решения этой проблемы - я еще не тестировал его, пока ссылка на technet приведена ниже.

Exchange 2013 SP1 - MAPI через HTTPS

Дайте мне знать, как вы продвигаетесь, поскольку я еще не успел реализовать это, поскольку я только использовал балансировку нагрузки haproxy to TCP между серверами CAS.

— Рис Эванс
источник

Здравствуй. Мы используем MAPI через HTTPS на SP1 (и RPC через HTTPS для клиентов до 2013 года). Это все было рассмотрено в вопросе.

— Пауска

Только потому, что вы только что отредактировали его! лол. Вы сделали шаги, описанные в ссылке? Вы пробовали тестировать и искать в файлах журналов exchange mapi ..% ExchangeInstallPath% Logging \ MAPI Client Access \% ExchangeInstallPath% Logging \ HttpProxy \ Mapi \

— Рис Эванс

Если это возможно, попробуйте поменять балансировщик нагрузки для NGINX ( turnkeylinux.org/nginx-php-fastcgi - уже установлен и хорошо настроен), добавьте новую конфигурацию для обмена. Тот, который я намереваюсь реализовать для MAPI по HTTP, основан на .. gist.github.com/taddev/7275873

— Рис Эванс,

или если вам не нужен HTTP-балансировщик нагрузки, пытающийся использовать HAProxy, это то, что я сделал и работает хорошо.

— Рис Эванс

Заменить наш балансировщик нагрузки только потому, что соединение Outlook выходит из строя через DirectAccess, не вариант. Мы заплатили за это немалые деньги, и он отлично балансирует все остальное, что мы запускаем (фермы RDS, серверы шлюзов, прокси и т. Д.). Это просто под DA, что Outlook ломается. Я не проверял эти журналы, нет, поэтому я сделаю это позже сегодня, когда я запущу новый тест из дома.

— Пауска