Почему не принимает пароль от домена в Exchange вне сети?

Question

[Denis Melnikov]

Всем привет.
Решил тут разобраться с Exchange ( вот вообще не надо мне было ... ) и встрял с одной не понятной ерундной.
Вроде все развернул, прописал все DNS записи как внутри сети, так и снаружи, могу зайти на owa и ecp вне сети по логину домена.
Но весь кайф заканчивается когда пытаюсь подключить Outlook на хосте ( мобиле ) , который не в домене. ( когда в домене аутлук прям оч быстро подхватывает почту и начинает работать )
Начинаем спрашивать логин пароль и все... беда
Ввожу по разному
login@domain
domain\login
login
[e-mail]

Хоть бы что ...

При проверке через MS сервис, везде такая ошибка по итогу


ПАМАГИТЕ =)

Какой он пароль просит...

Answer 1

[akelsey]

Проблема не в Exchange а в связке Exchange + Nginx + Basic Authentication. Не уверен что nginx бесплатный можно настроить для публикации Autodiscover, давно сам хотел попробовать - всё пока нет времени, откройте 443 порт временно для Exchange в интернет в обход nginx - у вас всё заработает.
Либо используйте сертифицированный Microsoft балансер/reverse proxy ;-)

Comments

[Denis Melnikov]

443 Открыт. Точнее он идет через реверс прокси другого сервера. Там же лежит сертификат.
Если бы не был открыт, то я бы в OWA не попал ...

[akelsey]

Denis Melnikov, в ошибке видно nginx как реверс прокси, т.е. он стоит в разрыв между клиентом и Exchange Server, я и говорю в обход пусти Эксчендж временно (глотнёшь воздух свободы - всё заработает) -) без nginx проблема в нём, точнее как я уже написал в связке Nginx + Exchange - не работает эта связка так просто...

[Denis Melnikov]

akelsey, вот же...

[Denis Melnikov]

Понял, попробуем... хз как, но попробуем.

[Denis Melnikov]

akelsey, Ради теста отправил 443 на exchange ... заработало ...вот де бл***дина =)

[Denis Melnikov]

akelsey, а не подскажите, такая схема сработает.
Если проксирующим будет IIS ? с ним ex заведется ? ( правда остальные запросы IIS должен дальше передалть Nginx , Который дальше... )

[akelsey]

Denis Melnikov, должно, можно либо arr, либо развернуть wap

Но если нджинкс в цепочке будет то опять не будет работать.

[Denis Melnikov]

akelsey, тут на статью нарвался. Вроде даже работает =)
Кроме аутлука на компе =) С мобилы зашел, а вот комп...уперто не хочет

[akelsey]

Denis Melnikov, потому что мобила работает через https (activesync протокол), а exchange (не понятно правда какой у тебя версии - предположу что 2013 или даже 2010) - через rpc-over-http или outlook anywhere по маркетинговому, и вот когда у тебя http пакет раздупляется и отправляет rpc запросы там какая то магия происходит с аутентификацией. В крупных компаниях там сертифицированные балансеры типа F5/Netscaler и там всё с этим ок, а вот так для себя - ну просто времени нет разворачивать и тыкаться с nginx. А сейчас когда онпрем отмирает, то и в целом нафиг не нужно уже становится.

[Denis Melnikov]

akelsey, ex 2019, с ним балуюсь. Понятно. Просто до этого даже мобила не работа, тут хотя бы уже что то.
В целом можно и так жить, если снаружи, то и OWA Хватит.

[akelsey]

Denis Melnikov, в 2019 там ходовой протокол Mapi over HTTP для клиентских подключений.
Вот тут для коммерческой версии NGINX в топике Configuring Granular URL Location Control описана конфигурация для NGINX Plus, там везде используется модуль NTLM который:

This directive is available as part of our commercial subscription.

Так что даже опенсорсеры хотят урвать немного энтерпрайза.