Inhalt

Einleitung

Verwendete Komponenten

Problem

Lösung

In der CLI:

In der GUI:

Zugehörige Informationen

Einleitung

Dieses Dokument beschreibt die Schritte zur Behebung von Exchange 2013 (oder älteren) Verbindungsproblemen mit Secure Email Gateway (SEG) nach dem Upgrade auf Version 15.0.

Verwendete Komponenten

Exchange 2013 oder älter

SEG Version 15.0.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Problem

Nach dem Upgrade der SEG auf Version 15.0 wird die Verbindung zwischen Exchange-Servern, die älter als 2013 sind, nicht hergestellt. Wenn Sie Tophosts über die CLI überprüfen, können Sie sehen, dass die Domäne als down (*) markiert ist.

mx1.cisco.com > tophosts

Sort results by:

1. Active Recipients

2. Connections Out

3. Delivered Recipients

4. Hard Bounced Recipients

5. Soft Bounced Events

[1]> 1

Status as of:                   Sun Sep 03 11:44:11 2023 -03

Hosts marked with '*' were down as of the last delivery attempt.

Active  Conn.     Deliv.       Soft       Hard

#   Recipient Host       Recip.    Out     Recip.    Bounced    Bounced

1*  cisco.com        118      0          0          0    507

2*  alt.cisco.com    94      0        226          0     64

3*  prod.cisco.com   89      0          0          0     546

In Mail_logs können Sie Verbindungsfehler in der Domäne aufgrund eines Netzwerkfehlers sehen.

Thu Aug 29 08:16:21 2023 Info: Connection Error: DCID 4664840 domain: cisco.com IP: 10.0.0.1 port: 25 details: [Errno 0] Error interface: 10.0.0.2 reason: network error

Bei der Paketerfassung können Sie sehen, dass der Exchange-Server die Verbindung mit dem FIN-Paket unmittelbar nach der TLS-Aushandlung schließt.

Lösung

Vergewissern Sie sich, dass der Exchange-Server Version 2013 oder älter ist, und verwenden Sie diese Zeichenfolge als Problemumgehung, damit die SEG eine Verbindung zu diesen älteren Servern herstellen kann. Dies ermöglicht die Zustellung von E-Mails, bis Exchange auf eine aktuell unterstützte Version aktualisiert werden kann.

ECDH+aRSA:ECDH+ECDSA:DHE+DSS+AES:AES128:AES256:!SRP:!AESGCM+DH+aRSA:!AESGCM+RSA:!aNULL:!eNULL:!DES:!3DES:!IDEA:!RC2:-IDEA:-aNULL:-EXPORT:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-CCM:!DHE-RSA-AES256-CCM:!ECDHE-ECDSA-CAMELLIA128-SHA256:!ECDHE-RSA-CAMELLIA128-SHA256:!ECDHE-ECDSA-CAMELLIA256-SHA384:!ECDHE-RSA-CAMELLIA256-SHA384:!ECDHE-ECDSA-AES128-CCM:!ECDHE-ECDSA-AES256-CCM

Sie können dies entweder über die Befehlszeilenschnittstelle (Command Line Interface, CLI) oder die grafische Web-Benutzeroberfläche (Web Graphical User Interface, GUI) eingeben.

In der CLI:

mx1.cisco.com> sslconfig

Choose the operation you want to perform:

- GUI - Edit GUI HTTPS ssl settings.

- INBOUND - Edit Inbound SMTP ssl settings.

- OUTBOUND - Edit Outbound SMTP ssl settings.

- VERIFY - Verify and show ssl cipher list.

- OTHER_CLIENT_TLSV10 - Edit TLS v1.0 for other client services.

- PEER_CERT_FQDN - Validate peer certificate FQDN compliance for Alert Over TLS, Outbound SMTP, updater and LDAP.

- PEER_CERT_X509 - Validate peer certificate X509 compliance for Alert Over TLS, Outbound SMTP, updater and LDAP.

[]> outbound

Enter the outbound SMTP ssl method you want to use.

1. TLS v1.1

2. TLS v1.2

3. TLS v1.0

[2]>

Enter the outbound SMTP ssl cipher you want to use.

[!aNULL:!eNULL]> ECDH+aRSA:ECDH+ECDSA:DHE+DSS+AES:AES128:AES256:!SRP:!AESGCM+DH+aRSA:!AESGCM+RSA:!aNULL:!eNULL:!DES:!3DES:!IDEA:!RC2:-IDEA:-aNULL:-EXPORT:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-CCM:!DHE-RSA-AES256-CCM:!ECDHE-ECDSA-CAMELLIA128-SHA256:!ECDHE-RSA-CAMELLIA128-SHA256:!ECDHE-ECDSA-CAMELLIA256-SHA384:!ECDHE-RSA-CAMELLIA256-SHA384:!ECDHE-ECDSA-AES128-CCM:!ECDHE-ECDSA-AES256-CCM

.....

Hit enter until you are back to the default command line.

mx1.cisco.com> commit

In der GUI:

Schritt 1: Wählen Sie auf der Registerkarte Systemverwaltung die Option aus.

Schritt 2: Wählen Sie SSL Configuration aus.

Schritt 3: Wählen Sie die Schaltfläche Einstellungen bearbeiten.

Schritt 4: Ändern Sie die ausgehenden SMTP-SSL-Chiffren, um die in diesem Artikel angegebene Zeichenfolge zu verwenden.

Schritt 5: Senden und bestätigen Sie die Änderungen.

Zugehörige Informationen

Benutzerhandbuch für AsyncOS 15.0: Systemverwaltung

Änderung der Methoden und Chiffren für SSL/TLS auf der ESA

Cisco Bug-ID CSCwh48138 - ESA 15.0 E-Mail-Zustellungsfehler über TLS mit Exchange 2013