Fehlerbehebung bei älteren Exchange Server-Verbindungen zu SEG AsyncOS 15.0 nach dem Upgrade

Einleitung

In diesem Dokument werden die Schritte zur Behebung des Verbindungsproblems bei Exchange 2013 (oder älteren Versionen) mit SEG nach dem Upgrade auf Version 15.0 beschrieben.

Verwendete Komponenten

• Exchange 2013 oder spätere Version
• Cisco Secure Email Gateway (SEG) Version 15.0

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Problem

Nach dem Upgrade der SEG auf Version 15.0 wird die Verbindung zwischen Exchange-Servern, die älter als 2013 sind, nicht hergestellt. Wenn Sie Tophosts über die CLI überprüfen, sehen Sie, dass die Domäne als down (*) gekennzeichnet ist:

mail.example.com > tophosts

Sort results by:

1. Active Recipients
2. Connections Out
3. Delivered Recipients
4. Hard Bounced Recipients
5. Soft Bounced Events
[1]> 1

Status as of:                   Sun Sep 03 11:44:11 2023 -03
Hosts marked with '*' were down as of the last delivery attempt.

                         Active  Conn.     Deliv.       Soft       Hard
#   Recipient Host       Recip.    Out     Recip.    Bounced    Bounced
1*  example.com        118      0          0          0    507
2*  alt.example.com    94      0        226          0     64
3*  prod.example.com   89      0          0          0     546

In den E-Mail-Protokollen werden Verbindungsfehler zur Domäne mit dem Grund "Netzwerkfehler" angezeigt.  

Thu Aug 29 08:16:21 2023 Info: Connection Error: DCID 4664840 domain: example.com IP: 192.0.2.10 port: 25 details: [Errno 0] Error interface: 192.0.2.20 reason: network error

Bei der Paketerfassung können Sie sehen, dass der Exchange-Server die Verbindung mit dem FIN-Paket unmittelbar nach der TLS-Aushandlung schließt.

Lösung

Vergewissern Sie sich, dass der Exchange-Server Version 2013 oder älter ist, und verwenden Sie diese Zeichenfolge als Problemumgehung, damit die SEG eine Verbindung zu diesen älteren Servern herstellen kann. Dies ermöglicht die Zustellung von E-Mails, bis Exchange auf eine aktuell unterstützte Version aktualisiert werden kann.

ECDH+aRSA:ECDH+ECDSA:DHE+DSS+AES:AES128:AES256:!SRP:!AESGCM+DH+aRSA:!AESGCM+RSA:!aNULL:!eNULL:!DES:!3DES:!IDEA:!RC2:-IDEA:-aNULL:-EXPORT:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-CCM:!DHE-RSA-AES256-CCM:!ECDHE-ECDSA-CAMELLIA128-SHA256:!ECDHE-RSA-CAMELLIA128-SHA256:!ECDHE-ECDSA-CAMELLIA256-SHA384:!ECDHE-RSA-CAMELLIA256-SHA384:!ECDHE-ECDSA-AES128-CCM:!ECDHE-ECDSA-AES256-CCM

Sie können dies entweder über die Befehlszeilenschnittstelle (Command Line Interface, CLI) oder die grafische Web-Benutzeroberfläche (Web Graphical User Interface, GUI) eingeben.

In der CLI:

mail.example.com> sslconfig

Choose the operation you want to perform:
- GUI - Edit GUI HTTPS ssl settings.
- INBOUND - Edit Inbound SMTP ssl settings.
- OUTBOUND - Edit Outbound SMTP ssl settings.
- VERIFY - Verify and show ssl cipher list.
- OTHER_CLIENT_TLSV10 - Edit TLS v1.0 for other client services.
- PEER_CERT_FQDN - Validate peer certificate FQDN compliance for Alert Over TLS, Outbound SMTP, updater and LDAP.
- PEER_CERT_X509 - Validate peer certificate X509 compliance for Alert Over TLS, Outbound SMTP, updater and LDAP.
[]> outbound

Enter the outbound SMTP ssl method you want to use.
1. TLS v1.1
2. TLS v1.2
3. TLS v1.0
[2]>

Enter the outbound SMTP ssl cipher you want to use.
[!aNULL:!eNULL]> ECDH+aRSA:ECDH+ECDSA:DHE+DSS+AES:AES128:AES256:!SRP:!AESGCM+DH+aRSA:!AESGCM+RSA:!aNULL:!eNULL:!DES:!3DES:!IDEA:!RC2:-IDEA:-aNULL:-EXPORT:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-CCM:!DHE-RSA-AES256-CCM:!ECDHE-ECDSA-CAMELLIA128-SHA256:!ECDHE-RSA-CAMELLIA128-SHA256:!ECDHE-ECDSA-CAMELLIA256-SHA384:!ECDHE-RSA-CAMELLIA256-SHA384:!ECDHE-ECDSA-AES128-CCM:!ECDHE-ECDSA-AES256-CCM

.....
Hit enter until you are back to the default command line.


mail.example.com> commit

In der GUI:

Schritt 1. Wählen Sie auf der Registerkarte Systemverwaltung die Option.
Schritt 2. Wählen Sie auf SSL Configuration.
Schritt 3: Wählen Sie die Schaltfläche Einstellungen bearbeiten.
Schritt 4: Ändern Sie die ausgehenden SMTP-SSL-Chiffren, um die in diesem Artikel angegebene Zeichenfolge zu verwenden.
Schritt 5: Senden und bestätigen Sie die Änderungen.

Zugehörige Informationen

• Benutzerhandbuch für AsyncOS 15.0: Systemverwaltung
• Änderung der Methoden und Chiffren für SSL/TLS auf der ESA
• Cisco Bug-ID CSCwh48138 - ESA 15.0 E-Mail-Zustellungsfehler über TLS mit Exchange 2013

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	01-Jul-2026	Rezertifizierung
1.0	08-Sep-2023	Erstveröffentlichung