Introduzione
In questo documento viene descritto come risolvere i problemi di connettività di Exchange 2013 (o versioni precedenti) con Secure Email Gateway (SEG) dopo l'aggiornamento alla versione 15.0.
Componenti usati
Exchange 2013 o versione precedente.
SEG versione 15.0
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Problema
Dopo l'aggiornamento di SEG alla versione 15.0, la connettività tra i server Exchange precedenti al 2013 non viene stabilita. Se si controlla tophosts dalla CLI, si osserverà che il dominio è contrassegnato come inattivo (*)
mx1.cisco.com > tophosts
Sort results by:
1. Active Recipients
2. Connections Out
3. Delivered Recipients
4. Hard Bounced Recipients
5. Soft Bounced Events
[1]> 1
Status as of: Sun Sep 03 11:44:11 2023 -03
Hosts marked with '*' were down as of the last delivery attempt.
Active Conn. Deliv. Soft Hard
# Recipient Host Recip. Out Recip. Bounced Bounced
1* cisco.com 118 0 0 0 507
2* alt.cisco.com 94 0 226 0 64
3* prod.cisco.com 89 0 0 0 546
Da Mail_logs, è possibile visualizzare gli errori di connessione al dominio con il motivo dell'errore di rete.
Thu Aug 29 08:16:21 2023 Info: Connection Error: DCID 4664840 domain: cisco.com IP: 10.0.0.1 port: 25 details: [Errno 0] Error interface: 10.0.0.2 reason: network error
Nell'acquisizione pacchetti è possibile vedere che il server Exchange chiude la connessione con il pacchetto FIN, subito dopo la negoziazione TLS.
Soluzione
Verificare che il server Exchange sia nella versione 2013 o precedente, quindi è possibile utilizzare questa stringa di crittografia come soluzione alternativa per consentire al SEG di connettersi ai server precedenti. In questo modo la posta viene recapitata fino a quando non è possibile aggiornare Exchange a una versione attualmente supportata.
ECDH+aRSA:ECDH+ECDSA:DHE+DSS+AES:AES128:AES256:!SRP:!AESGCM+DH+aRSA:!AESGCM+RSA:!aNULL:!eNULL:!DES:!3DES:!IDEA:!RC2:-IDEA:-aNULL:-EXPORT:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-CCM:!DHE-RSA-AES256-CCM:!ECDHE-ECDSA-CAMELLIA128-SHA256:!ECDHE-RSA-CAMELLIA128-SHA256:!ECDHE-ECDSA-CAMELLIA256-SHA384:!ECDHE-RSA-CAMELLIA256-SHA384:!ECDHE-ECDSA-AES128-CCM:!ECDHE-ECDSA-AES256-CCM
È possibile immettere queste informazioni tramite l'interfaccia della riga di comando (CLI) o l'interfaccia utente grafica (GUI) Web.
Nella CLI:
mx1.cisco.com> sslconfig
Choose the operation you want to perform:
- GUI - Edit GUI HTTPS ssl settings.
- INBOUND - Edit Inbound SMTP ssl settings.
- OUTBOUND - Edit Outbound SMTP ssl settings.
- VERIFY - Verify and show ssl cipher list.
- OTHER_CLIENT_TLSV10 - Edit TLS v1.0 for other client services.
- PEER_CERT_FQDN - Validate peer certificate FQDN compliance for Alert Over TLS, Outbound SMTP, updater and LDAP.
- PEER_CERT_X509 - Validate peer certificate X509 compliance for Alert Over TLS, Outbound SMTP, updater and LDAP.
[]> outbound
Enter the outbound SMTP ssl method you want to use.
1. TLS v1.1
2. TLS v1.2
3. TLS v1.0
[2]>
Enter the outbound SMTP ssl cipher you want to use.
[!aNULL:!eNULL]> ECDH+aRSA:ECDH+ECDSA:DHE+DSS+AES:AES128:AES256:!SRP:!AESGCM+DH+aRSA:!AESGCM+RSA:!aNULL:!eNULL:!DES:!3DES:!IDEA:!RC2:-IDEA:-aNULL:-EXPORT:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-CCM:!DHE-RSA-AES256-CCM:!ECDHE-ECDSA-CAMELLIA128-SHA256:!ECDHE-RSA-CAMELLIA128-SHA256:!ECDHE-ECDSA-CAMELLIA256-SHA384:!ECDHE-RSA-CAMELLIA256-SHA384:!ECDHE-ECDSA-AES128-CCM:!ECDHE-ECDSA-AES256-CCM
.....
Hit enter until you are back to the default command line.
mx1.cisco.com> commit
Nell'interfaccia utente:
Passaggio 1. Scegliere la scheda Amministrazione sistema.
Passaggio 2. Scegliere la configurazione SSL.
Passaggio 3. Selezionare il pulsante Modifica impostazioni.
Passaggio 4. Modificare le cifrature SMTP SSL in uscita in modo che utilizzino la stringa fornita in questo articolo.
Passaggio 5. Inviare e confermare le modifiche.
Informazioni correlate
Guida per l'utente di AsyncOS 15.0: Amministrazione del sistema
Modifica dei metodi e dei cifrari utilizzati con SSL/TLS sull'ESA
ID bug Cisco CSCwh48138 - Errore di recapito posta ESA 15.0 su TLS con Exchange 2013
Feedback