Почему письма не уходят на внешние адреса через Outlook?

Question

[a_alisher]

Имеется Exchange 2010 серевер с 2 DAG и 1 CAS, около 10 000 пользователей домена.
На клиентской части используется Outlook 2007/2010.

Столкнулся с назойливой проблемой которая проявляется по странному. Началось все с невозможности отправки сообщений на внешние адреса (mail.ru, gmail.com и.т.д.) у **некоторых** пользователей, при этом внутри домена сообщения отправлялись без проблем.

Ошибки были следующие:

1. При авторизации после вылета - ошибка отправки тестового сообщения: client does not have permission to send as this sender.
2. После авторизации с помощью входа в систему перед отправкой, при попытке отправить письмо на внешний адресс - Unable to relay.

Начал с проверки 25 порта - все ок, иначе бы у всех не отправлялось на внешку. Пока "хромающих" почтарей было 10% от всех пользователей, временно переключил пользователей на OWA, у тех же пользователей через web интерфейс письма уходили на внешку без проблем. Долго раскапывая форумы начал грешить на Active Directory.

Нашел следующее решение:

> Open AD Users and Computers ->
Press View and select Advanced Features ->
Do a find for the user in question ->
Go to Properties -> Security Tab ->
Select Advanced ->
Press add and type “Exchange Servers” ->
Under Apply to, change to Descendant "msExchActiveSyncDevices" objects ->
Select the Modify permissions checkbox ->
Press Ok

После чего в Exchange Power Shell перепресвоил ящику параметр NT AUTHORITY\SELF и вроде как все заработало, но к этому моменту почти на 70% пользователях распространилась эта проблема и каждому проводить такие манипуляции это не вариант.

Возможно проблема заключается в правах или сертификации Exchange, прошу поделиться опытом, кто сталкивался с подобной проблемой?

Answer 1

[Юрий Самойлов]

У ящиков пользователей по умолчанию должен быть NT AUTHORITY\SELF, поэтому вернуть его всем обратно, это хорошая идея.

Answer 2

[Дмитрий Шицков]

Т.к. не работал с Exchange, не могу помочь с первопричиной. Могу посоветовать на случай если решение найдено не будет - все указанные вами действия возможно выполнить в powershell. Придется потратить некоторое время чтобы написать маленький скрипт, который пройдется по всем пользователям и изменит эти параметры в учетках.

Comments

[a_alisher]

Таким образом накладывается изменение всей схемы путем делегирования. Как временный костыль годится, но за решение принять нельзя.