Mnemonic0

Сама постановка вопроса не предполагает ответа на него.
Нет схемы подключения (судя по описанию нет общей внутренней сети и как следствие это просто отдельные компании с отдельной своей инфраструктурой).
Общая внутрення сеть для такого случая не нужна, достаточно настройки федерации на эдже. Exchange здесь ни при чём и создаётся впечатление, что либы вы не понимаете о чём задаёте вопрос, либо админы в обоих филиалах не понимают, как оно настроено.

Это не баг а фича.
Гуглим в сторону SMTP Relay. Настраиваем под эти цели коннектор.

Не вспомню сходу - какая-то промежутучная кумулятивина - около 10й была обязательна к установке, а потом можно было сразу 23ю ставить.

И в июльском апдейте (если больше 1го сервера) не забываем про новый WMSVC серт, который деплоится около 4х часов после запуска комманд. Всё это время у вас будет стоять ecp и owa - в остальном всё ок.

Нигде и везде.

Резюме:
- нужна бесплатная почта на протоколе Microsoft Exchange (или другом, при сохранении функционала и возможности переноса старых писем и контактов)
- свой домен
- прозрачная синхронизация с телефоном и десктопным Outlook в обоих направлениях почты, контактов, календаря
- в идеале — возможность создания дополнительных псевдонимов для почтового ящика (сейчас использую "м@мояфамилия.ру" вместо основного "максимилиан@мояфамилия.ру").

Exchange проприетарный платный продукт. Бесплатно его никто не даёт.
Бесплатные альтернативы - переезд домена на yandex.ru/mail.ru - там остались ТП для бизнеса с бесплатными но лимитированными тарифами.
Как вариант - возможно подойдёт - Axigen (до 5 пользователей бесплатно), Iredmail, или ручками Postfix с нужным счастьем настраивать. Естественно для этих целей понадобится своя виртуалочка - как добудете и где расположите - зависит от вас.

1. UpdateCas.ps1 запускали? - но врядли он.
2. Виртуальные директории - работают, их не трогаете.
3. Скорее всего проблема на стороне .Net По-моему 4.7.2 (или 4.7.1) должен быть установлен - не свежее, после чего UpdateConfigFiles.ps1

Поскольку слово не открывается - по разному можно интерпретировать:

• Запрашивает логин/пароль и после ввода висит?
  
• Не отображает окно ввода логина/пароля?
  
• 404/503 ошибки?
  

Smoke User Скорее всего - UpdateCas.ps1 UpdateConfigFiles.ps1 - вот ваше решение

Не поможет - пересоздайте виртуальные директории для OWA и ECP (кстати, только OWA не работает или и ECP тоже?)

Get-OwaVirtualDirectory
Remove-OwaVirtualDirectory
New-OwaVirtualDirectory
С параметрами - индивидуально, как есть сейчас.

Для вебсайта проверьте биндинги - сертификат для 444 порта - установлен? валидный?

Более подробно о схеме сервера - один, DAG, вынесены ли роли CAS на отдельный сервер - этого тоже нет.
Но если на кофейной гуще гадать - то выше написал.

Задача: дать дать доступ к Exchange снаружи без VPN c IOS без проброса портов.
Ответ: никак

Захотите предоставить доступ. Вариантов несколько:
Доступ в браузере через OWA - DNS,NAT
Доступ через IMAP - NAT
Полноценное конфигурирование с autodiscover,без всякого старья аля IMAP/POP3 - DNS, NAT, серты

Предоставить доступ только с определённого устройства:
Разрешаем использовать только определённую версию IOS
Запрещаем использовать ActiveSync для всех, кроме данного пользователя
Запрещаем использовать OWA для всех, кроме данного пользователя

Vadim Всё верно
aphazel А ещё возможен вариант с архивными почтовыми ящиками. Можно определить политику архивирования и всю почту старше определённого периода складывать в отдельную БД, которая будет храниться на более дешёвом хранилище.
Просто сама концепция хранения pst отдельно от основной почты немного ущербна, потому как возникают вопросы с обеспечением их сохранности и доступности.

PS Перечитал задачу.
New-MailboxExportRequest -Mailbox username -ContentFilter {(Received -lt "04/06/2016")} -FilePath "\\server\share\file.pst" -IsArchive
Вот так для архивного мэйлбокса вытащит PST

Есть мнение, что нужно вашему почтовому серверу разрешить принимать почту от релей сервера (банально его ип на CAS добавить)
Никакая авторизация для релея вам не нужна.
Работает по принципу - принял почту, проверил, определил кому (домен), послал на ип почтового сервера за которым закреплён данный домен.