Sommario

Introduzione

Componenti usati

Problema

Soluzione

Nella CLI:

Nell'interfaccia utente:

Informazioni correlate

Introduzione

In questo documento viene descritto come risolvere i problemi di connettività di Exchange 2013 (o versioni precedenti) con Secure Email Gateway (SEG) dopo l'aggiornamento alla versione 15.0.

Componenti usati

Exchange 2013 o versione precedente.

SEG versione 15.0

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Problema

Dopo l'aggiornamento di SEG alla versione 15.0, la connettività tra i server Exchange precedenti al 2013 non viene stabilita. Se si controlla tophosts dalla CLI, si osserverà che il dominio è contrassegnato come inattivo (*)

mx1.cisco.com > tophosts

Sort results by:

1. Active Recipients

2. Connections Out

3. Delivered Recipients

4. Hard Bounced Recipients

5. Soft Bounced Events

[1]> 1

Status as of:                   Sun Sep 03 11:44:11 2023 -03

Hosts marked with '*' were down as of the last delivery attempt.

Active  Conn.     Deliv.       Soft       Hard

#   Recipient Host       Recip.    Out     Recip.    Bounced    Bounced

1*  cisco.com        118      0          0          0    507

2*  alt.cisco.com    94      0        226          0     64

3*  prod.cisco.com   89      0          0          0     546

Da Mail_logs, è possibile visualizzare gli errori di connessione al dominio con il motivo dell'errore di rete.

Thu Aug 29 08:16:21 2023 Info: Connection Error: DCID 4664840 domain: cisco.com IP: 10.0.0.1 port: 25 details: [Errno 0] Error interface: 10.0.0.2 reason: network error

Nell'acquisizione pacchetti è possibile vedere che il server Exchange chiude la connessione con il pacchetto FIN, subito dopo la negoziazione TLS.

Soluzione

Verificare che il server Exchange sia nella versione 2013 o precedente, quindi è possibile utilizzare questa stringa di crittografia come soluzione alternativa per consentire al SEG di connettersi ai server precedenti. In questo modo la posta viene recapitata fino a quando non è possibile aggiornare Exchange a una versione attualmente supportata.

ECDH+aRSA:ECDH+ECDSA:DHE+DSS+AES:AES128:AES256:!SRP:!AESGCM+DH+aRSA:!AESGCM+RSA:!aNULL:!eNULL:!DES:!3DES:!IDEA:!RC2:-IDEA:-aNULL:-EXPORT:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-CCM:!DHE-RSA-AES256-CCM:!ECDHE-ECDSA-CAMELLIA128-SHA256:!ECDHE-RSA-CAMELLIA128-SHA256:!ECDHE-ECDSA-CAMELLIA256-SHA384:!ECDHE-RSA-CAMELLIA256-SHA384:!ECDHE-ECDSA-AES128-CCM:!ECDHE-ECDSA-AES256-CCM

È possibile immettere queste informazioni tramite l'interfaccia della riga di comando (CLI) o l'interfaccia utente grafica (GUI) Web.

Nella CLI:

mx1.cisco.com> sslconfig

Choose the operation you want to perform:

- GUI - Edit GUI HTTPS ssl settings.

- INBOUND - Edit Inbound SMTP ssl settings.

- OUTBOUND - Edit Outbound SMTP ssl settings.

- VERIFY - Verify and show ssl cipher list.

- OTHER_CLIENT_TLSV10 - Edit TLS v1.0 for other client services.

- PEER_CERT_FQDN - Validate peer certificate FQDN compliance for Alert Over TLS, Outbound SMTP, updater and LDAP.

- PEER_CERT_X509 - Validate peer certificate X509 compliance for Alert Over TLS, Outbound SMTP, updater and LDAP.

[]> outbound

Enter the outbound SMTP ssl method you want to use.

1. TLS v1.1

2. TLS v1.2

3. TLS v1.0

[2]>

Enter the outbound SMTP ssl cipher you want to use.

[!aNULL:!eNULL]> ECDH+aRSA:ECDH+ECDSA:DHE+DSS+AES:AES128:AES256:!SRP:!AESGCM+DH+aRSA:!AESGCM+RSA:!aNULL:!eNULL:!DES:!3DES:!IDEA:!RC2:-IDEA:-aNULL:-EXPORT:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-CCM:!DHE-RSA-AES256-CCM:!ECDHE-ECDSA-CAMELLIA128-SHA256:!ECDHE-RSA-CAMELLIA128-SHA256:!ECDHE-ECDSA-CAMELLIA256-SHA384:!ECDHE-RSA-CAMELLIA256-SHA384:!ECDHE-ECDSA-AES128-CCM:!ECDHE-ECDSA-AES256-CCM

.....

Hit enter until you are back to the default command line.

mx1.cisco.com> commit

Nell'interfaccia utente:

Passaggio 1. Scegliere la scheda Amministrazione sistema.

Passaggio 2. Scegliere la configurazione SSL.

Passaggio 3. Selezionare il pulsante Modifica impostazioni.

Passaggio 4. Modificare le cifrature SMTP SSL in uscita in modo che utilizzino la stringa fornita in questo articolo.

Passaggio 5. Inviare e confermare le modifiche.

Informazioni correlate

Guida per l'utente di AsyncOS 15.0: Amministrazione del sistema

Modifica dei metodi e dei cifrari utilizzati con SSL/TLS sull'ESA

ID bug Cisco CSCwh48138 - Errore di recapito posta ESA 15.0 su TLS con Exchange 2013