Форум системных администраторов

IT => Windows => MS Exchange => Тема начата: Serjik от 22 февраля 2019, 15:34:39

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 22 февраля 2019, 15:34:39

Захожу по стандартной ссылке. Ввожу логин-пароль , страничка обновляется и опять запрос логин-пароля.

Перед этим были перезагружены оба CAS сервера.

В логах Application часто повторяется Warning , MsExchange Oauth , event ID 2004.
Unable to find the certificate with thumbprint 5C3B98B7A3151A28396F20263C63E013937A92BA in the current computer or the certificate is missing private key. The certificate is needed to sign the outgoing token.

Гипотеза.
В декабре протух сертификат Microsoft Exchange, был сделан новый, на серверах Mailbox, в IIS, на Default Web Site и Exchange Back End  в Bindings , на серверах Mailbox были заменены сертификаты . На 443 , 444 портах стоят сертификаты Microsoft Exchange .
Сейчас посмотрел на серверах CAS (которые не перезагружались несколько месяцев и сегодня перезагрузил) , на Default Web Site и Exchange Back End  в Bindings ,на 443 , 444 портах сертификатов нет вообще. Посмотрите у себя плиз , стоят такие сертификаты или нет ?

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 22 февраля 2019, 22:47:06

Цитата: Serjik от 22 февраля 2019, 15:34:39

or the certificate is missing private key.

Код: [Выделить]

Get-ExchangeCertificate -Server имя вашего сервера (ов) 

- что выдает?

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 25 февраля 2019, 10:22:21

Небольшое уточнение . Схема Exchange 2013 такова.
Балансировщик нагрузки - за ним два CAS сервера (CAS1 и CAS2) , за ними 3 Mailbox сервера (MBX1-3) в DAG.

Во время диагностики было обнаружено, что если перезагрузить сервер CAS1 , то OWA работает. Было установлено , что CAS2 работает нормально .
таким образом , если балансировщик кидает на CAS1 , то OWA не открывается , если на CAS2 , то OWA открывается. Сервера были полностью идентичные .
По ссылке https://cas1/owa в ящик провалится не удается, по ссылке https://cas2/owa без проблем попадаешь.
Службы , сервисы запущены ,

Куда смотреть , куда копать ?  Меня тут рвут на части  >:D

---

Updated: 25 February 2019, 11:22:36

---

Цитата: sirarthur от 22 февраля 2019, 22:47:06

- что выдает?

С "проблемного " CAS-01

Subject    : CAS-01
Services   : IIS, SMTP
Issuer     : CN=CAS-01
Status     : Valid
PrivateKey : System.Security.Cryptography.RSACryptoServiceProvider

Subject    : CN=Microsoft Exchange Server Auth Certificate
Services   : SMTP
Issuer     : CN=Microsoft Exchange Server Auth Certificate
Status     : Valid
PrivateKey : System.Security.Cryptography.RSACryptoServiceProvider

Subject    : CN=Microsoft Exchange Server Auth Certificate
Services   : SMTP
Issuer     : CN=Microsoft Exchange Server Auth Certificate
Status     : Valid
PrivateKey : System.Security.Cryptography.RSACryptoServiceProvider

Subject    : CN=owa.mycompany.ru, OU=mycompany, O= LLC, L=Moscow, C=RU
Services   : SMTP
Issuer     : CN=GeoTrust RSA CA 2018, OU=www.digicert.com, O=DigiCert Inc, C=US
Status     : Valid
PrivateKey : System.Security.Cryptography.RSACryptoServiceProvider

Subject    : CN=CAS-02, CN=CAS-01
Services   : IMAP, POP, SMTP
Issuer     : CN=S-UCA-01, DC=mydomain, DC=local
Status     : RevocationCheckFailure
PrivateKey : System.Security.Cryptography.RSACryptoServiceProvider

Subject    : CN=Federation
Services   : SMTP
Issuer     : CN=Federation
Status     : Valid
PrivateKey : System.Security.Cryptography.RSACryptoServiceProvider

Subject    : CN=Federation
Services   : SMTP
Issuer     : CN=Federation
Status     : Valid
PrivateKey : System.Security.Cryptography.RSACryptoServiceProvider

Subject    : CN=Federation
Services   : SMTP
Issuer     : CN=Federation
Status     : Valid
PrivateKey : System.Security.Cryptography.RSACryptoServiceProvider

Subject    : CN=WMSvc-CAS-01
Services   : None
Issuer     : CN=WMSvc-CAS-01
Status     : Valid
PrivateKey : System.Security.Cryptography.RSACryptoServiceProvider

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 26 февраля 2019, 17:20:30

Цитата: Serjik от 25 февраля 2019, 10:22:21

Subject    : CN=CAS-02, CN=CAS-01

так можно да?

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 27 февраля 2019, 10:56:15

Продолжаю решать проблему.

Обнаружил ошибку в логах Event ID 2004. Коллега обновил  Microsoft Exchange Server Auth Certificate в прошлом году , но не прописал их на серверах.

Сделал по вот этой инструкции http://365ology.com/unable-to-login-to-owa-encryption-certificate/ , из плюсов : пропала ошибка 2004 и я стал проваливаться без проблем в OWA через CAS1  по адресу https://cas-1/owa (раньше не мог , выпадала ошибка) .

Но снаружи OWA по-прежнему не работает , пока не погасишь CAS-1 !!!   :negodue:

---

Updated: 27 February 2019, 10:58:28

---

Цитата: sirarthur от 26 февраля 2019, 17:20:30

так можно да?

Извиняюсь , пропустил ваш вопрос.  ::) Что не так в этой записи?

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 27 февраля 2019, 14:30:41

ну так правильно в сертификате что указано?

Цитировать

CN=CAS-02, CN=CAS-01

сделайте для CAS-01 сертификат с cn=CAS-01 - остальные имена впишите как SAN имена

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 07 марта 2019, 13:38:04

Продолжаю искать проблему.
1. Проверил DNS настройки , на обоих серверах идентичны.
2. Проверил не вылетел ли комп из домена. все ок, в домене. Test-ComputerSecureChannel. true
3. Проверил состояние ролей. test-ServiceHealth . Все ок , все роли true.
4. Проверил через какой сервер и в какую базу логинюсь , все точно. https://owa.mycompany.ru/mapi/emsmdb? Showdebug=yes
5. проверил запуск всех пулов в IIS . Все запущены на обоих серверах.
6. проверил настройки каталога OWA , все идентично на обоих серверах. Get-OwaVirtualDirectory -server имясервера | fl
7...
Что еще проверить ?

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 07 марта 2019, 14:53:52

Цитата: Serjik от 07 марта 2019, 13:38:04

Что еще проверить ?

вы сертификат сделали?

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 07 марта 2019, 15:55:34

Цитата: sirarthur от 07 марта 2019, 14:53:52

вы сертификат сделали?

Нет , на втором сервере такой же сертификат и сервер работает.

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 07 марта 2019, 16:14:05

Блин.
У вас 2  сервера Exch (CAS-01 & CAS-02)
Смотрим в сертификаты серверов:
CAS-01
CN=CAS-02, CN=CAS-01

CAS-02
CN=CAS-02, CN=CAS-01

так?

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Retif от 07 марта 2019, 16:23:16

Цитата: Serjik от 25 февраля 2019, 10:22:21

если балансировщик кидает на CAS1 , то OWA не открывается , если на CAS2 , то OWA открывается.

Цитата: sirarthur от 07 марта 2019, 16:14:05

Смотрим в сертификаты серверов:
CAS-01
CN=CAS-02, CN=CAS-01

CAS-02
CN=CAS-02, CN=CAS-01

Ну логично, в принципе-то, первый берет небось, а там CAS-02 первым указан.
Надо перевыписать кривизну эту.

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 07 марта 2019, 16:56:04

Цитата: Retif от 07 марта 2019, 16:23:16

в принципе-то, первый берет небось

я не знаю как будет работать в случае наличия такого CN  :pardon:
Возможно проблема только в этом, поэтому прошу сделать нормальный сертификат

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 07 марта 2019, 17:00:40

Цитата: Retif от 07 марта 2019, 16:23:16

Ну логично, в принципе-то, первый берет небось, а там CAS-02 первым указан.

Хммм , а как тогда это работало раньше 3 года без сбоев при неправильном сертификате ?  ???


И этот сертификат назначен службам IMAP, POP и SMTP . Про IIS ни слова .  ???

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 07 марта 2019, 17:30:26

хм... ксати - а что привязано в IIS  - какой сертификат сервера?

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 11 марта 2019, 11:14:29

Цитата: sirarthur от 07 марта 2019, 17:30:26

хм... ксати - а что привязано в IIS  - какой сертификат сервера?

Microsoft Exchange сертификат

AccessRules        : {System.Security.AccessControl.CryptoKeyAccessRule, System.Security.AccessControl.CryptoKeyAccessRule, System.Security.AccessControl.CryptoKeyAccessRule}
CertificateDomains : {CAS-02, CAS-02.mycompany.local}
HasPrivateKey      : True
IsSelfSigned       : True
Issuer             : CN=CAS-02
NotAfter           : 24.12.2023 11:56:48
NotBefore          : 24.12.2018 11:56:48
PublicKeySize      : 2048
RootCAType         : Registry
SerialNumber       : XXXXX399D3F959A46915C4567787XXX
Services           : IIS, SMTP
Status             : Valid
Subject            : CN=CAS-02
Thumbprint         : XXXX81A3057676C876E95C7DDE37AC7C86642XXX

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 11 марта 2019, 20:53:29

Serjik,  это висит в биндинге на cas-01 ?

---

Updated: 11 March 2019, 22:06:12

---

в биндинге iis на cas-01 какие настройки? можете показать?

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 12 марта 2019, 14:25:51

Цитата: sirarthur от 11 марта 2019, 20:53:29

это висит в биндинге на cas-01 ?

Нет , это на CAS-02 .

---

Updated: 12 March 2019, 14:37:02

---

Цитата: sirarthur от 11 марта 2019, 20:53:29

в биндинге iis на cas-01 какие настройки? можете показать?

Все стандартно.


(http://www.picshare.ru/uploads/190312/wEmH6P8E78.jpg)

(http://www.picshare.ru/uploads/190312/Pg3I9z3y7P.jpg)

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Retif от 12 марта 2019, 14:46:57

Балансировщик посмотреть еще надо, имхо.

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 12 марта 2019, 15:14:01

Цитата: Retif от 12 марта 2019, 14:46:57

Балансировщик посмотреть еще надо, имхо.

А вот это сложнее , люди кто им занимались уволились. Это навороченный F5 , опыта и знаний по нему у меня нет .  ::)

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Retif от 12 марта 2019, 15:15:42

Ну кагбе зайти и посмотреть хотя бы, что там и как, может очевидно всё.

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 12 марта 2019, 15:59:42

На нем изменения не вносились уже пару лет , судя по логам, я посмотрел , вроде все правильно.

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Retif от 12 марта 2019, 17:45:42

Цитата: Serjik от 12 марта 2019, 15:59:42

На нем изменения не вносились уже пару лет , судя по логам, я посмотрел , вроде все правильно.

Может сертификат протух.

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 12 марта 2019, 17:58:19

Цитата: Retif от 12 марта 2019, 17:45:42

Может сертификат протух.

Вроде все ок, не просроченные. Если бы был просроченный , то не работали бы оба сервака.

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 13 марта 2019, 12:16:30

эмм...

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 13 марта 2019, 14:11:59

Цитата: sirarthur от 13 марта 2019, 12:16:30

эмм...

Моя ошибка , вторая картинка относится к 443 порту, который выше и который не 127.0.0.1 .

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 13 марта 2019, 16:10:03

а кнопка view ? покажите?

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 13 марта 2019, 16:15:16

Цитата: sirarthur от 13 марта 2019, 16:10:03

а кнопка view ? покажите?

Там сертификат , выданный CAS-01 со сроком действия 24.12.2018 по 24.12.2023 .

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 13 марта 2019, 16:56:18

тогда давайте логи балансера

---

Updated: 13 March 2019, 16:56:49

---

и логи iis с cas-01 - когда балансер к нему обращается

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 15 марта 2019, 14:49:37

Цитата: sirarthur от 13 марта 2019, 16:56:18

тогда давайте логи балансера

На следующей неделе, нет человека у которого есть доступ .  ::)

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 01 апреля 2019, 14:27:44

заработало?

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: Serjik от 02 апреля 2019, 18:12:48

Цитата: sirarthur от 01 апреля 2019, 14:27:44

заработало?

Неа, мне внезапно предложили уволиться по собственному.  :trollface: Поэтому ищу работу, Эксчендж по мере возможности смотрю.

Название: Через OWA не удается залогиниться. Exchange 2013
Отправлено: sirarthur от 02 апреля 2019, 18:53:13

Вот это поворот...