Contents

Introdução

Componentes Utilizados

Problema

Solução

Na CLI:

Na GUI:

Informações Relacionadas

Introdução

Este documento descreve as etapas para corrigir o problema de conectividade do Exchange 2013 (ou mais antigo) com o Secure Email Gateway (SEG) após a atualização para a versão 15.0.

Componentes Utilizados

Exchange 2013 ou anterior.

SEG versão 15.0.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Problema

Após a atualização do SEG para a versão 15.0, a conectividade entre os servidores Exchange anteriores a 2013 não é estabelecida. Se você verificar tophosts na CLI, poderá ver que o domínio está marcado como inativo (*)

mx1.cisco.com > tophosts

Sort results by:

1. Active Recipients

2. Connections Out

3. Delivered Recipients

4. Hard Bounced Recipients

5. Soft Bounced Events

[1]> 1

Status as of:                   Sun Sep 03 11:44:11 2023 -03

Hosts marked with '*' were down as of the last delivery attempt.

Active  Conn.     Deliv.       Soft       Hard

#   Recipient Host       Recip.    Out     Recip.    Bounced    Bounced

1*  cisco.com        118      0          0          0    507

2*  alt.cisco.com    94      0        226          0     64

3*  prod.cisco.com   89      0          0          0     546

Nos Mail_logs, você pode ver falhas de conexão com o domínio com o motivo do erro de rede.

Thu Aug 29 08:16:21 2023 Info: Connection Error: DCID 4664840 domain: cisco.com IP: 10.0.0.1 port: 25 details: [Errno 0] Error interface: 10.0.0.2 reason: network error

Na captura de pacotes, você pode ver que o servidor Exchange fecha a conexão com o pacote FIN, imediatamente após a negociação TLS.

Solução

Confirme se o servidor Exchange está na versão 2013 ou anterior e, em seguida, você pode usar essa cadeia de caracteres de codificação como uma solução alternativa para permitir que o SEG se conecte a esses servidores mais antigos. Isso permite que o correio seja entregue até que o Exchange possa ser atualizado para uma versão atualmente suportada.

ECDH+aRSA:ECDH+ECDSA:DHE+DSS+AES:AES128:AES256:!SRP:!AESGCM+DH+aRSA:!AESGCM+RSA:!aNULL:!eNULL:!DES:!3DES:!IDEA:!RC2:-IDEA:-aNULL:-EXPORT:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-CCM:!DHE-RSA-AES256-CCM:!ECDHE-ECDSA-CAMELLIA128-SHA256:!ECDHE-RSA-CAMELLIA128-SHA256:!ECDHE-ECDSA-CAMELLIA256-SHA384:!ECDHE-RSA-CAMELLIA256-SHA384:!ECDHE-ECDSA-AES128-CCM:!ECDHE-ECDSA-AES256-CCM

Você pode inseri-lo por meio da CLI (Command Line Interface, interface de linha de comando) ou da GUI (Graphical User Interface, interface gráfica do usuário) da Web.

Na CLI:

mx1.cisco.com> sslconfig

Choose the operation you want to perform:

- GUI - Edit GUI HTTPS ssl settings.

- INBOUND - Edit Inbound SMTP ssl settings.

- OUTBOUND - Edit Outbound SMTP ssl settings.

- VERIFY - Verify and show ssl cipher list.

- OTHER_CLIENT_TLSV10 - Edit TLS v1.0 for other client services.

- PEER_CERT_FQDN - Validate peer certificate FQDN compliance for Alert Over TLS, Outbound SMTP, updater and LDAP.

- PEER_CERT_X509 - Validate peer certificate X509 compliance for Alert Over TLS, Outbound SMTP, updater and LDAP.

[]> outbound

Enter the outbound SMTP ssl method you want to use.

1. TLS v1.1

2. TLS v1.2

3. TLS v1.0

[2]>

Enter the outbound SMTP ssl cipher you want to use.

[!aNULL:!eNULL]> ECDH+aRSA:ECDH+ECDSA:DHE+DSS+AES:AES128:AES256:!SRP:!AESGCM+DH+aRSA:!AESGCM+RSA:!aNULL:!eNULL:!DES:!3DES:!IDEA:!RC2:-IDEA:-aNULL:-EXPORT:!DHE-RSA-AES256-SHA:!DHE-RSA-AES128-CCM:!DHE-RSA-AES256-CCM:!ECDHE-ECDSA-CAMELLIA128-SHA256:!ECDHE-RSA-CAMELLIA128-SHA256:!ECDHE-ECDSA-CAMELLIA256-SHA384:!ECDHE-RSA-CAMELLIA256-SHA384:!ECDHE-ECDSA-AES128-CCM:!ECDHE-ECDSA-AES256-CCM

.....

Hit enter until you are back to the default command line.

mx1.cisco.com> commit

Na GUI:

Etapa 1. Escolha na guia System Administration.

Etapa 2. Escolha em Configuração SSL.

Etapa 3. Selecione o botão Edit Settings.

Etapa 4. Altere a(s) Criptografia(s) SSL SMTP de Saída para usar a cadeia de caracteres fornecida neste artigo.

Etapa 5. Envie e confirme as alterações.

Informações Relacionadas

Manual do usuário do AsyncOS 15.0: administração do sistema

Alterar os métodos e as cifras usados com SSL/TLS no ESA

ID de bug da Cisco CSCwh48138 - Falha na entrega de e-mail ESA 15.0 sobre TLS com Exchange 2013