blog.icewolf.ch

Exchange Active Sync Problems with Android 4.0.x

Andres Bohren — Sun, 20 May 2012 11:33:54 GMT

Hallo zusammen,

Anscheinend gibt es verschiedene Exchange Active Sync Probleme mit Android 4.0.x

http://code.google.com/p/android/issues/detail?id=23534 Can't send email using Exchange account
http://code.google.com/p/android/issues/detail?id=25527 Exchange Activesync (EAS) and HTTP 451 Redirect
http://code.google.com/p/android/issues/detail?id=23082 can't send email from google nexus 4.01
http://code.google.com/p/android/issues/detail?id=22975 Ice Cream Sandwich (Galaxy Nexus) - Native exchange problems
http://code.google.com/p/android/issues/detail?id=11669 Issue 4951 is NOT fixed for all users...when using Exchange mail you cannot reply or forward email gets stuck in outbox
http://community.office365.com/de-de/f/119/p/23440/141252.aspx Galaxy Nexus, Android 4, ActiveSync nicht möglich?

http://support.microsoft.com/kb/2563324/en-us Current issues with Microsoft Exchange ActiveSync and third-party devices

Die meisten Probleme dürften mit Android 4.0.3 oder 4.0.4 behoben behoben sein. Also unbedingt das Smartphone aktualisieren!!!

Grüsse

Andres Bohren

Excel Import Tables from Website

Andres Bohren — Sun, 20 May 2012 10:49:13 GMT

Hallo zusammen,

Schon mal eine coole Tabelle im Internet gefunden welche man in Excel weiterverarbeiten möchte. Copy & Paste funktioniert aber nicht wie gewünscht. Dann versucht es doch mal mit dem Webimport...

In den Ribbons auf "Daten" wechseln und "Aus dem Web" auswählen

Dann die URL der Website mit der Tabelle eingeben. Zu Importierende Tabelle mit dem gelben Pfeil markieren (evtl. noch Optionen einstellen) und auf Importieren klicken.

Hier können noch Optionen zum Import gemacht werden - ich habe beispielsweise die "Datumserkennung" deaktiviert

Dann wird man gefragt wo man in Excel die Tabelle einfügen will

Je nach Quelle ist das Ergebnis besser oder schlechter - Besser als die mühsame Tipparbeit ist es auf alle Fälle!

Grüsse

Andres Bohren

Sender Policy Framework (SPF)

Andres Bohren — Sun, 20 May 2012 10:21:18 GMT

Hallo zusammen,

Ich schreibe ja sehr viele Artikel zum Thema Email und Exchange. Unglaublich aber wahr - ich habe noch keinen Artikel zu Sender Policy Framework erfasst. Obwohl ich mich mit dem Thema schon seit über fünf Jahren auskenne und bei meinem Mailserver auch so einen Eintrag habe.

Wie funktioniert SPF?

Ich habe mal versucht das ganze in einem Flussdiagramm darzustellen.

Wie sieht so ein SPF Record aus?

Der SPF Eintrag ist ein DNS Eintrag vom Typ TXT und kann ganz einfach mit folgendem Befehl abgefragt werden

nslookup -type=txt domain.tld

SPF Record Syntax

Die Syntax von SPF ist unter folgender URL erklärt http://www.openspf.org/SPF_Record_Syntax

Es gibt die folgenden Attribute welche gesetzt werden können.
ip4
ip6
a
mx
ptr
exists
include

Mit dem (+/-/~/?)all Parameter kann definiert werden, wie der SPF angewendet werden soll.

+all (pass)
-all (fail)
~all (softfail)
?all (neutral)

Mein SPF Record sieht so aus

v=spf1 ip4:80.238.215.80/29 -all

Dies bedeutet dass mails von der Domain icewolf.ch nur von IP's aus dem Bereich 80.238.215.80/29 versendet werden dürfen - Mail von anderen IP's sollen verworfen werden.

Validationstools

Ich habe auch ein online Validationstool gefunden http://www.kitterman.com/spf/validate.html

Weitere Informationen:

Grüsse

Andres Bohren

Exchange NDR Code List

Andres Bohren — Sun, 20 May 2012 09:24:22 GMT

Hallo zusammen,

Für den vorangegangenen Artikel "Copy NDR to Postmaster Mailbox" habe ich mir mal eine Liste der NDR Codes aus den folgenden Artikeln zusammengestellt:

Status code	Description
4.2.2	The recipient has exceeded their mailbox limit
4.3.1	Insufficient system resources
4.3.2	System not accepting network messages
4.4.1	Connection timed out
4.4.2	Connection dropped
4.4.6	Too many hops
4.4.7	Message expired
4.4.9	DNS Problem - check your connector
4.6.5	Multi-language situation
5.0.0	HELO / EHLO requires domain address
5.1.x	Exchange NDR problems with email address
5.1.0	Sender denied / Message categorizer failures
5.1.1	Bad destination mailbox address
5.1.2	Invalid X.400 address
5.1.3	Invalid recipient address
5.1.4	Destination mailbox address ambiguous
5.1.7	Invalid address
5.1.8	Something the matter with sender's address
5.2.x	NDR caused by the size of the email
5.2.1	Mailbox cannot be accessed
5.2.2	Mailbox full
5.2.3	Message too large
5.2.4	Mailing list expansion problem
5.3.0	Problem with MTA / Store driver
5.3.1	Mail system full
5.3.2	System not accepting network messages
5.3.3	Unrecognized command
5.3.4	Message too big for system
5.3.5	System incorrectly configured
5.4.0	DNS Problem. Check the Smart host and DNS
5.4.1	No answer from host
5.4.2	Bad connection
5.4.3	Routing server failure. No available route
5.4.4	Invalid arguments
5.4.6	Routing loop detected
5.4.7	Delivery time-out. Message is taking too long to be delivered
5.4.8	Microsoft advise, check your recipient policy
5.5.0	Underlying SMTP 500 error
5.5.1	Invalid command
5.5.2	Send hello first
5.5.3	Too many recipients
5.5.4	Invalid domain name
5.5.5	Wrong protocol version
5.5.6	Invalid message content
5.6.0	Corrupt message content. Try sending without attachment
5.6.1	Media not supported
5.6.3	More than 250 attachments
5.7.1	Delivery not authorized
5.7.1	Unable to relay
5.7.1	Client was not authenticated
5.7.2	Distribution list cannot expand and so is unable to deliver its messages
5.7.3	Not Authorized
5.7.4	Extra security features not supported. Check delivery server settings
5.7.5	Cryptographic failure
5.7.6	Certificate problem, encryption level may be to high
5.7.7	Message integrity problem

Grüsse

Andres Bohren

Copy NDR to Postmaster Mailbox

Andres Bohren — Sun, 20 May 2012 08:44:51 GMT

Hallo zusammen,

Ich habe kürzlich einen Artikel gelesen, wie man NDR (Non Delivery Reports) von Exchange auch dem Postmaster Postfach zukommen lassen kann. So ist man als Postmaster schon mal ein bisschen vorinformiert und kann abschätzen, ob sich ein Benutzer nur vertippt hat, oder ob man ein ernsthaftes Problem hat.

Gemäss RFC5321 sollte jeder Mailserver eine Postmaster Adressse haben. Also legen wir ma so ein Postfach an.

In der "Organisation Configuration" auf der "Hub Transport" Rolle kann man unter "Global Settings" in den "Transport Settings" sie externe Postmaster Adresse definieren.

Das geht natürlich auch mit der EMS (Exchange Management Shell)

Set-TransportConfig –ExternalPostmasterAddress postmaster@destination.com

In der Registerkarte "Message Delivery" kann man definieren, für welche NDR's denn man eine Benachrichtigung an den Postmaster erhalten möchte.

Ich habe mal "5.1.1 Recipient could not be resolved" testeshalber eingefügt.

Sende der Benutzer nun eine Mail an eine interne Adresse welche nicht existiert...

...so erhält der Benutzer einen NDR zurück.

Der Postmaster erhält noch nichts. Hierzu muss zuerst noch folgendes Kommando abgesetzt werden.

Set-OrganizationConfig –MicrosoftExchangeRecipientReplyRecipient postmaster@destination.com

Nun versuchen wir das mit dem Testmail nochmals

Voila, nun erhält der Postmaster eine Kopie des NDR's.

Grüsse

Andres Bohren

Clear Cache on TMG 2010

Andres Bohren — Thu, 17 May 2012 21:15:31 GMT

Hallo zusammen,

Wie löscht man eigentlich den Cache auf dem TMG 2010? Da gibt es zwei Möglichkeiten....

Löschen des Cache Files

Wie das geht - ist unter folgender URL erklärt: http://technet.microsoft.com/en-us/library/cc984478.aspx

net stop fwsrv to stop the Microsoft Firewall service
Navigate to the Urlcache folder, and locate the file with the .cdat extension
Delete the .cdat file
net start fwsrv to restart the Microsoft Firewall service

Benutzung von CacheDir

Mit dem CacheDir.exe kann man einzelne Einträge aus dem Cache entfernen. Das Tool kann unter folgender URL heruntergeladen werden: http://www.microsoft.com/en-us/download/details.aspx?id=11183

Man muss hier einfach das CacheDir.exe in den TMG Ordner kopieren C:\Program Files\Microsoft Forefront Threat Management Gateway - schade dass nicht beim Setup bereits das korrekte Verzeichnis ausgewählt wird.

Grüsse

Andres Bohren

Active Directory Schema and Indexing explained

Andres Bohren — Thu, 17 May 2012 06:14:58 GMT

Hallo zusammen,

Aufgrund der Recherche zu effizienteren AD Abfragen hat sich dann die Frage gestellt, welche Attribute denn im Index sind und über den Global Catalog abgefragt werden können.

Und so bin ich vorgegangen:

Ich habe mir das gewünschte Attribut aus dem Attribut Editor herausgesucht - in diesem Fall das Attribut "mail"

Nun suchen wir das Attribut mit LDP im Schema. Wie das LDP Tool verwendet wird, habe ich bereits in einemfrüheren Blog Artikel erklärt.

In der Base DN wird das Schema ausgewählt und folgendes Filter gesetzt:

Filter: lDAPDisplayName=mail
Attributes: ObjectClass

Im Suchresultat sieht man, dass die definition vom mail Attribut im Schema unter E-mail-Addresses definiert ist.

Nun schauen wir uns E-mail-Addresses mal mit ADSI Edit an.

Man sieht, dass es ein "singleValue" Feld ist und dass Attribut searchFlags steht auf 5

searchFlags
1 = Index over attribute only
2 = Index over container and attribute
4 = Add this attribute to the ambiguous name resolution (ANR) set (should be used in conjunction with 1)
8 = Preserve this attribute on logical deletion (that is, make this attribute available on tombstones)
16 = Include this attribute when copying a user object
32 = Create a Tuple index for the attribute to improve medial searches
64 = Reserved for future use; value should be 0.
128 = Available in Windows Server 2003 Service Pack 1 (SP1) only. Mark the attribute confidential (CONTROL_ACCESS is required to read it).

Nun kann man sich fragen, welche Attribute sind denn eigentlich in einem Index? Tja, fragen wir doch einfach mal das Schema

Filter: searchFlags=1
Attributes: dn;lDAPDisplayName;searchFlags

Im Suchresultat, werden nun alle Attribute aufgelistet, welche im searchFlags den Value 1 haben.

Weitere Informationen:

Grüsse

Andres Bohren

NSPI connections are limited on Windows 2008 Domain Controller

Andres Bohren — Wed, 16 May 2012 23:06:00 GMT

Hallo zusammen,

Outlook macht Anfragen ans Directory über NSPI (Named Service Provider Interface)

How MAPI Clients Access Active Directory: http://support.microsoft.com/kb/256976/en-us

Bei Windows 2008 Domain Controllern wurde nun die Anzahl der NSPI Verbindungen von unlimitiert (Windows 2003 Domain Controller) auf 50 gleichzeitige NSPI pro user begrenzt.

Dies kann zu Problemen bei Programmen kommen, welche die NSPI Verbindungen nicht korrekt schliessen und so die 50 Verbindungen überschreiten. Programme erhalten dann den MAPI Error Code 80040111 "MAPI_E_LOGON_FAILED"

Genauer wird das im folgenden Knowledge Base Artikel erklärt: http://support.microsoft.com/kb/949469/en-us

Mit folgendem Registry Key auf dem Domain Controller kann man loggen, welche Benutzer die max. Verbindungen überschreiten

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Diagnostics\
"4 MAPI Interface Events"=dword:00000005

Dies erzeugt dann entsprechende Eventlog Einträge im Crimson Channel Event Log.

Mit dem folgenden Registry Key kann man die maximale Anzahl der gleichzeitigen Verbindungen erhöhen

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters\
"NSPI max sessions per user"=dword:000000FA

Mit dem Network Monitor habe ich auch mal versucht die NSPI Connections "einzufangen"

Grüsse

Andres Bohren

Active Directory Diagnostic Event Logging

Andres Bohren — Wed, 16 May 2012 20:56:16 GMT

Hallo zusammen,

Von einem Active Directory Kollegen (danke Michael) bin ich auf den folgenden Artikel aufmerksam gemacht worden: http://support.microsoft.com/kb/314980/en-us

Darin wird beschrieben, wie man zwecks Diagnose das Logging für Active Directory erhöhen kann.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics\
"15 Field Engineering"=dword:00000005

Ich habe dann auch noch den "Inefficient Search Results Threshold", weil mein Active Directory doch nicht so gross ist,

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
"Expensive Search Results Threshold"=dword:00002710 (default 10000)
"Inefficient Search Results Threshold"=dword:000003E8 (default 1000)

Und so sieht dann so ein Eintrag im Evenlog aus.

Einen interessanten Artikel wie man denn effizientere Querys machen kann, habe ich bei MSDN gefunden:

Creating More Efficient Microsoft Active Directory-Enabled Applications

Grüsse

Andres Bohren

Send mail with Telnet

Andres Bohren — Tue, 15 May 2012 21:22:51 GMT

Hallo zusammen,

So banal, dass ich noch nie darüber gebloggt habe. Ein Mail per Telnet zu versenden - der einfachste und aufschlussreichste Weg um den Mailverkehr zu testen. Jeder gescheite Email Administrator sollte diese Befehle auswendig können!

telnet mail.target.com 25
helo host.source.com
mail from: foo@source.com
rcpt to: recipient@target.com
data
From: Meine Person <foo@bar.com>
To: Virusalert User <virusalert@nerd2nerd.org>
Subject: Testmail

Just a little test
.
Quit

Interessant hierzu ist vielleicht, dass Email wie ein Brief aufgebaut ist. Es hat einen Umschlag (envelope = rot) mit der Empfängeradresse und eine Kopfzeile (header = grün) mit der Anschrift.

Das Envelope wird zur übermittlung der Nachrichten der Mailserver (MTA=Mail Transfer Agent) verwendet und die Kopfzeile wird vom Mailclient (MUA=Mail User Agent) angezeigt.

Das obenstehende Mail sieht dann im Outlook so aus. Man sieht hier dass die Angaben vom Header angezeigt werden. Nun ist ja wohl klar, wieso Mail recht einfach gefälscht werden können und dass dies eigentlich ein recht unsicheres Nachrichtensystem ist.

Grüsse

Andres Bohren