Per diverso tempo ho avuto un'installazione ibrida funzionante (Exchange 2010 Microsoft 365). Tuttora sembra funzionare tutto correttamente tranne il remote move.
Ammetto che non dovrebbe esserci un Exchange 2010 ancora tra i piedi, ma al momento non era pensabile portare tutto a 2019.
Il problema consiste nel fatto che da un certo momento in poi ha spesso di funzionare il remote move delle caselle di posta elettronica da on prem a cloud. Tutto nasce dal fatto che Microsoft, in ambiente 365, ha dismesso il supporto TLS delle versioni precedenti alla 1.2.
Tutto il resto sembrava essere funzionante, ma il migration endpoint non voleva più saperne di connettersi al mio Exchange 2010!!!
Questo perché il mio Exchange rispondeva parlando TLS 1.0.
L'errore, quando provavo ad aggiornare il migration endpoint era il seguente:
"error the connection to the server could not be completed"
Mi sono reso conto del problema, in modo esplicito, quando sono andato sul seguente link:
https://fqdn_migration_endpoint/EWS/mrsproxy.svc
Dove ricevevo il seguente errore:
NET::ERR_SSL_OBSOLETE_VERSION
Quando vado sul link:
https://fqdn_migration_endpoint/EWS/mrsproxy.svc
mi deve apparire una finestra che mi chiede l'autenticazione. NON DEVO ricevere avvisi sul certificato.
Già in passato mi sono reso conto che Microsoft 365 e' molto sensibile sui certificati.
E' praticamente impossibile creare un migration endpoint se usate un certificato self-signed (lo trovo giusto)
Inoltre e' possibile usare i seguenti comandi per verificare il funzionamento del/dei migration endpoint
$MRSEndpoints = (Get-MigrationEndpoint).Identity
Foreach ($MEP in $MRSEndpoints) {Test-MigrationServerAvailability -Endpoint $MEP}
Bene! A questo punto occorre impostare l'Exchange 2010 per utilizzare TLS 1.2. In realtà questa è un'impostazione fatta livello di sistema operativo.
Occorre verificare che le seguenti fix siano presenti ed installate:
KB3161949
KB3080079
KB3154518 (for .NET Framework 3.5.1).
Quindi aggiungere queste chiavi di registro:
TLS 1.2 for SChannel
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
.NET 3.5
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
ed infine riavviare.
Per fare delle verifiche sui protocolli di sicurezza attivi, prima e dopo il riavvio, ho utilizzato questo sito:
Verifica certificato
https://www.ssllabs.com/ssltest/analyze.html
ATTENZIONE
Fate attenzione se decidete di disattivare anche il TLS10 e TLS11 perché Exchange 2010 è impostato per scalare sul meno sicuro SSL 3.0.
Difficilmente Microsoft rilascerà una patch per modificare questo comportamento.
La disattivazione dei protocolli TLS10/11 può essere invece fatta su combinazioni di Exchange/sistema operativo piu recenti.
REFERENCE
https://x500.co.uk/2018/10/12/exchange-2010-enable-verify-tls-1-2/
https://jaapwesselius.com/2018/10/05/exchange-2010-and-tls-1-2/
https://www.petenetlive.com/KB/Article/0001358#o365 - credenziali errate
https://www.ssllabs.com/ssltest/analyze.html
https://techcommunity.microsoft.com/t5/exchange-team-blog/exchange-server-tls-guidance-part-1-getting-ready-for-tls-1-2/ba-p/607649
https://docs.microsoft.com/en-us/archive/blogs/exovoice/troubleshooting-issues-where-the-migration-endpoint-cannot-be-created-in-hybrid-scenarios
https://docs.microsoft.com/it-it/exchange/architecture/mailbox-servers/mrs-proxy-endpoint?view=exchserver-2019
https://docs.microsoft.com/en-us/Exchange/new-features/build-numbers-and-release-dates?redirectedfrom=MSDN&view=exchserver-2019
https://techcommunity.microsoft.com/t5/exchange-team-blog/troubleshooting-hybrid-migration-endpoints-in-classic-and-modern/ba-p/953006
Hybrid migration
https://docs.microsoft.com/en-us/exchange/troubleshoot/move-or-migrate-mailboxes/troubleshoot-migration-issues-in-exchange-hybrid
https://docs.microsoft.com/en-us/microsoft-365/enterprise/urls-and-ip-address-ranges?view=o365-worldwide#exchange-online
