Пять уровней гибридного Exchange: всё, что выходит за рамки мастера

By Mirko Peters · 2026-08-11

Пять уровней гибридного Exchange: всё, что выходит за рамки мастера. Снова приветствуем вас, подкастеры и ИT-специалисты! Когда вы настраиваете или управляете гибридной средой Exchange, легко положиться полностью на мастер настройки гибридной среды (HCW). Вы запускаете его, видите, как статус становится зелёным, и считаете, что путь в облако завершён. Но, как скажет любой опытный администратор, зе

Automatically translated with AI from the original post. Read the English original

Снова приветствуем вас, подкастеры и ИТ-специалисты! Когда вы настраиваете или управляете гибридной средой Exchange, легко полностью положиться на мастер настройки гибридной среды (Hybrid Configuration Wizard, HCW). Вы запускаете его, видите, как статус становится зелёным, и считаете, что путь в облако завершён. Но, как скажет любой опытный администратор, зелёный мастер сообщает лишь о том, что начальный скрипт успешно завершился. Он не проверяет вашу повседневную реальность.

В нашем последнем выпуске подкаста Maintain Hybrid Exchange Beyond the Configuration Wizard мы подробно разбираем, почему опора только на мастер ведёт к незаметным сбоям потока почты, нарушенной доступности календарей free/busy и неудобству для пользователей. Чтобы по-настоящему освоить гибридную среду, нужно понимать и контролировать пять критически важных уровней, которые поддерживают её работоспособность.

Главное

Гибридная среда работает только тогда, когда пять уровней согласованы: синхронизация каталога, доверие OAuth/федерации, DNS, межсетевые экраны и EOP/коннекторы. Зелёный мастер не проверяет реальное состояние, а это делают предварительные и непрерывные проверки.

Скрытые взаимозависимости (кратко)

• Каталог → облако: Azure AD Connect должен синхронизировать mail, proxyAddresses, legacyExchangeDN, msExchMailboxGuid вовремя и каждый раз.
• Доверие: федерация и сертификаты OAuth и регистрации приложений лежат в основе информации о занятости (free/busy), EWS и переносов почтовых ящиков.
• DNS: Autodiscover, MX, SPF, DKIM и (если используются) SRV/CNAME должны быть корректны внутри и снаружи.
• Межсетевой экран/NAT/SSL: конечные точки MRSProxy, EWS, OAB, Autodiscover и федерации требуют согласованной публикации и исключений для инспекции трафика.
• EOP/коннекторы: входящие и исходящие коннекторы, TLS и согласование SPF/DKIM/DMARC определяют доставку и репутацию.

1) Предварительная проверка (перед запуском HCW или любым крупным переключением)

Каталог и атрибуты

Выборочно проверьте критичные атрибуты целевого пользователя с помощью PowerShell:

Get-ADUser upn@contoso.com -Properties mail,proxyAddresses,legacyExchangeDN,msExchMailboxGuid | Select-Object SamAccountName,mail,legacyExchangeDN, @{n='Proxy';e={$_.proxyAddresses -join ';'}}, @{n='GUIDPresent';e={([string]::IsNullOrEmpty($_.msExchMailboxGuid) -eq $false)}}
Get-ADSyncScheduler
Start-ADSyncSyncCycle -PolicyType Delta

Обязательно должно быть выполнено:

• msExchMailboxGuid заполнен (для перенесённых пользователей)
• proxyAddresses содержит корректный основной адрес SMTP: и псевдонимы
• legacyExchangeDN сохранён для адресов ответа X.500

OAuth и федерация

Выполните следующие команды локально в Exchange Management Shell:

Test-OAuthConnectivity -Service EWS -TargetUri https://outlook.office365.com/ews/exchange.asmx -Mailbox user@contoso.com -Verbose
Get-FederationTrust | fl *Domain*,TokenIssuerUri,OrgCertificate
Test-FederationTrust -Verbose
Get-AuthConfig | fl CurrentCertificateThumbprint,ServiceName,IssuerIdentifier,Realm
Get-ExchangeCertificate | ? {$_.Services -match 'SMTP|IIS'} | fl Thumbprint,NotAfter,Services,Subject

Обязательно должно быть выполнено:

• Действительные, не истёкшие сертификаты привязаны к IIS/SMTP и используются в AuthConfig/федерации
• Test-OAuthConnectivity завершается успешно

Autodiscover и DNS (внутренний и внешний)

Resolve-DnsName autodiscover.contoso.com -Type CNAME,A
Resolve-DnsName contoso.com -Type MX
Resolve-DnsName contoso.com -Type TXT # check SPF/DMARC/DKIM selectors

Обязательно должно быть выполнено:

• Autodiscover указывает туда, куда вы планируете (обычно EXO после начала пилота)
• MX указывает на EOP (или ваш смарт-хост) последовательно
• SPF должен включать всех отправителей (EOP и любые шлюзы), например: v=spf1 include:spf.protection.outlook.com include:yourgateway ~all
• Опубликованы селекторы DKIM (если включено); политика DMARC соответствует действительности

Брандмауэр / публикация

Публикуйте (HTTPS/443) с действительными сертификатами для:

• https://mail.contoso.com/ews/* (EWS)
• https://mail.contoso.com/mrsproxy.svc (MRSProxy)
• https://autodiscover.contoso.com/autodiscover/* (Autodiscover)
• https://mail.contoso.com/oab/* (OAB, если нужно)
• Метаданные федерации, если размещаются локально

Подсказки:

• Отключите SSL-офлоад, если он ломает цепочки клиентских сертификатов.
• По возможности исключите трафик EXO из инспекции TLS.
• Убедитесь, что обратный прокси сохраняет заголовки и поддерживает большие POST-запросы (MRS).

EOP / коннекторы

• Входящий коннектор: с ваших локальных публичных IP-адресов; TLS обязателен.
• Исходящий: в интернет или на смарт-хост; политики TLS должны совпадать.
• Принимаемые домены: авторитетный или внутренний ретранслятор, в соответствии с замыслом.

2) Проверочные тесты (после HCW, до переключения пользователей)

Перемещение почтовых ящиков и EWS

Test-MigrationServerAvailability -ExchangeRemoteMove -RemoteServer mail.contoso.com -Credentials (Get-Credential) -Authentication Basic -Autodiscover
Test-WebServicesConnectivity -ClientAccessServer mail.contoso.com -TrustAnySSLCertificate:$false -MailboxCredential (Get-Credential)

Занятость/свободное время (в обоих направлениях)

• Из облака в локальную среду: создайте собрание из почтового ящика EXO и проверьте доступность пользователя локальной среды.
• Из локальной среды в облако: обратная проверка. Если работает только в одну сторону, перепроверьте доверие федерации и OAuth.

Autodiscover и Outlook

• Создание нового профиля (внутренняя и внешняя сеть)
• Запросы Outlook /SPA и Modern Auth не должны появляться повторно (без циклов)

Гигиена сообщений

• Отправьте внешнее письмо; проверьте SPF=pass, DKIM=pass и соответствие политики DMARC
• Проследите через Трассировку сообщений в EXO и на любых локальных шлюзах

3) Шпаргалка по DNS и брандмауэру

Брандмауэр (из интернета → локальные CAS/MBX)

• TCP 443 к /autodiscover/*, /ews/*, /mrsproxy.svc, /oab/*
• Источник: конечные точки Microsoft 365 (или любой, если вы не можете поддерживать списки)
• Без перехвата TLS на этих путях; передавайте SNI и полные цепочки

4) Мониторинг состояния (сделайте его скучным)

Ежедневно/ежечасно

• Azure AD Connect: Get-ADSyncScheduler показывает корректное время следующего запуска; состояние в портале зелёное
• Истечение сроков сертификатов: оповещения за 30/15/7 дней для сертификатов IIS/SMTP/Auth/Federation
• Аномалии в трассировке сообщений: всплески отложенных доставок и отказов
• Синтетические тесты EWS/OAuth через запланированные задачи

$u = "probe@contoso.com"
$result = Test-OAuthConnectivity -Service EWS -TargetUri https://outlook.office365.com/ews/exchange.asmx -Mailbox $u -ErrorAction SilentlyContinue
if(-not $result -or $result.Result -ne "Success"){ Write-EventLog -LogName Application -Source "HybridProbe" -EntryType Error -EventId 8001 -Message "OAuth/EWS probe failed for $u" }

5) Типичные сбои и исправления (симптомы → самые быстрые проверки)

Занятость/свободное время работает только в одну сторону

1. Test-FederationTrust и проверьте NotAfter сертификата федерации
2. Отпечаток из Get-AuthConfig должен совпадать с действующим сертификатом; если сертификат был перевыпущен, повторно выполните Set-AuthConfig -PublishCertificate
3. Брандмауэр пропускает /ews/* в обоих направлениях; без перехвата TLS

Перемещение почтовых ящиков зависает (10–20%)

1. Test-MigrationServerAvailability к локальному URL
2. MRSProxy включён (Get-WebServicesVirtualDirectory | fl MRSProxyEnabled,ExternalUrl)
3. Заголовки и тайм-ауты обратного прокси; проверьте глубокую инспекцию на 443
4. AAD Connect синхронизирован; атрибуты на месте

Цикличные запросы или повторные окна входа в профиле Outlook

1. Resolve-DnsName autodiscover.contoso.com (внутренний и внешний) возвращает ожидаемые адреса
2. Современная аутентификация (Modern Auth) принудительно включена? Проверьте версию клиента, реестр и политики условного доступа
3. Цели Autodiscover различаются для внутреннего и внешнего доступа? Устраните ситуацию «разделённого мозга» (split-brain)

Случайные NDR и попадание писем в спам

1. SPF охватывает всех отправителей; nslookup -type=txt contoso.com
2. DKIM включён, селекторы корректны; DMARC согласован с доменом в заголовке From:
3. Согласованность TLS в коннекторах EOP; проверьте результат доставки в трассировке сообщений

6) Ограничения для изменений и жизненного цикла

• Календарь сертификатов: сертификаты для аутентификации, федерации, IIS и SMTP с указанием владельцев и runbook по продлению
• Проверки дрейфа конфигурации: ежеквартальный экспорт и сравнение коннекторов EXO, принятых доменов и правил транспорта
• Аудит DNS: внутренние и внешние зоны после любого изменения маршрутизации почты или проекта
• AAD Connect: сервисная учётная запись, планировщик и периодичность обновлений задокументированы; тестовый сервер протестирован
• Заметки по откату: как временно вернуть Autodiscover/MX к прежним значениям; как безопасно приостановить пакеты миграции

Одностраничный контрольный список перед запуском

• mail, proxyAddresses, legacyExchangeDN, msExchMailboxGuid синхронизированы и проверены для пилотных пользователей
• Test-OAuthConnectivity и Test-FederationTrust завершились с результатом Success
• Autodiscover/MX/SPF/DKIM/DMARC настроены корректно (внутр./внешн.)
• MRSProxy и EWS опубликованы; проверка TLS на межсетевом экране обойдена
• Коннекторы EOP протестированы; TLS применяется в соответствии с замыслом
• AAD Connect работает исправно; дельта-синхронизация завершается в пределах ожидаемого SLA
• Срок действия сертификатов превышает 60 дней; мониторинг настроен
• Синтетические тесты запланированы; runbook для службы поддержки готов

Заключительная мысль

HCW настраивает конечные точки, но не проверяет ваши данные, доверие или путь. Относитесь к гибридной среде как к живой системе: проверяйте атрибуты, продлевайте доверие, следите за DNS и поддерживайте чистоту маршрутов, чтобы ваша «невидимая паутина» оставалась невидимой для пользователей.

Хотите больше подобных практических руководств?
Получите полный доступ к M365 Show – Microsoft 365 Digital Workplace Daily → m365.show/subscribe