Опанування п'яти рівнів гібридного Exchange поза майстром налаштування

By Mirko Peters · 2026-08-11

Опанування п'яти рівнів гібридного Exchange поза майстром налаштування Раді вітати вас знову, подкастери та ІТ-фахівці! Коли ви налаштовуєте або адмініструєте гібридне середовище Exchange, легко повністю покластися на майстер налаштування гібридного середовища (Hybrid Configuration Wizard, HCW). Ви запускаєте його, бачите, як статус стає зеленим, і вважаєте, що перехід до хмари завершено. Але, як

Automatically translated with AI from the original post. Read the English original

Раді вітати вас знову, подкастери та ІТ-фахівці! Коли ви налаштовуєте або адмініструєте гібридне середовище Exchange, легко повністю покластися на майстер налаштування гібридного середовища (Hybrid Configuration Wizard, HCW). Ви запускаєте його, бачите, як статус стає зеленим, і вважаєте, що перехід до хмари завершено. Але, як скаже будь-який досвідчений адміністратор, зелений майстер лише повідомляє, що початковий скрипт успішно завершився. Він не перевіряє вашу повсякденну реальність.

У нашому останньому епізоді подкасту Maintain Hybrid Exchange Beyond the Configuration Wizard ми детально розбираємо, чому покладатися лише на майстер означає ризикувати тихими збоями в поштовому потоці, зламаними календарями вільного/зайнятого часу та незручним досвідом користувачів. Щоб справді опанувати гібридне середовище, потрібно розуміти й керувати п'ятьма критичними рівнями, які підтримують вашу інфраструктуру в робочому стані.

Коротко (TL;DR)

Гібридне середовище працює лише тоді, коли п'ять рівнів залишаються узгодженими: синхронізація каталогу, довіра OAuth/federation, DNS, брандмауери та EOP/конектори. Зелений майстер не перевіряє вашу реальність, це роблять попередні перевірки та безперервний моніторинг.

Приховані взаємозалежності (огляд)

• Каталог → хмара: Azure AD Connect має синхронізувати mail, proxyAddresses, legacyExchangeDN, msExchMailboxGuid вчасно й щоразу.
• Довіра: Federation і сертифікати та реєстрації застосунків OAuth лежать в основі вільного/зайнятого часу, EWS і переміщення поштових скриньок.
• DNS: Autodiscover, MX, SPF, DKIM і (якщо використовуються) SRV/CNAME мають бути правильними всередині та зовні.
• Брандмауер/NAT/SSL: Кінцеві точки MRSProxy, EWS, OAB, Autodiscover і Federation потребують послідовної публікації та винятків для інспекції трафіку.
• EOP/конектори: Вхідні та вихідні конектори, TLS і узгодженість SPF/DKIM/DMARC визначають доставку та репутацію.

1) Попередня перевірка (перед запуском HCW або будь-яким великим перемиканням)

Каталог і атрибути

Перевірте критичні атрибути для цільового користувача за допомогою PowerShell:

Get-ADUser upn@contoso.com -Properties mail,proxyAddresses,legacyExchangeDN,msExchMailboxGuid | Select-Object SamAccountName,mail,legacyExchangeDN, @{n='Proxy';e={$_.proxyAddresses -join ';'}}, @{n='GUIDPresent';e={([string]::IsNullOrEmpty($_.msExchMailboxGuid) -eq $false)}}
Get-ADSyncScheduler
Start-ADSyncSyncCycle -PolicyType Delta

Має бути виконано:

• msExchMailboxGuid присутній (для перенесених користувачів)
• proxyAddresses містить правильну основну адресу SMTP: та псевдоніми
• legacyExchangeDN збережено для адрес відповіді X.500

OAuth і Federation

Виконайте ці команди локально в Exchange Management Shell:

Test-OAuthConnectivity -Service EWS -TargetUri https://outlook.office365.com/ews/exchange.asmx -Mailbox user@contoso.com -Verbose
Get-FederationTrust | fl *Domain*,TokenIssuerUri,OrgCertificate
Test-FederationTrust -Verbose
Get-AuthConfig | fl CurrentCertificateThumbprint,ServiceName,IssuerIdentifier,Realm
Get-ExchangeCertificate | ? {$_.Services -match 'SMTP|IIS'} | fl Thumbprint,NotAfter,Services,Subject

Має бути виконано:

• Чинні сертифікати, що не прострочені, прив'язані до IIS/SMTP і використовуються в AuthConfig/Federation
• Test-OAuthConnectivity завершується успішно

Autodiscover і DNS (внутрішній та зовнішній)

Resolve-DnsName autodiscover.contoso.com -Type CNAME,A
Resolve-DnsName contoso.com -Type MX
Resolve-DnsName contoso.com -Type TXT # check SPF/DMARC/DKIM selectors

Має бути виконано:

• Autodiscover вказує туди, куди ви плануєте (зазвичай EXO після початку пілотного етапу)
• MX → EOP (або ваш smart host) узгоджено
• SPF охоплює всіх відправників (EOP і будь-які шлюзи): наприклад, v=spf1 include:spf.protection.outlook.com include:yourgateway ~all
• Опубліковано селектори DKIM (якщо увімкнено); політика DMARC відповідає реальній конфігурації

Брандмауер / публікація

Публікуйте (HTTPS/443) з чинними сертифікатами для:

• https://mail.contoso.com/ews/* (EWS)
• https://mail.contoso.com/mrsproxy.svc (MRSProxy)
• https://autodiscover.contoso.com/autodiscover/* (Autodiscover)
• https://mail.contoso.com/oab/* (OAB, за потреби)
• Метадані федерації, якщо її розгорнуто локально

Підказки:

• Вимкніть SSL offload, який порушує ланцюжки клієнтських сертифікатів.
• Де можливо, виключіть трафік EXO з перевірки TLS.
• Переконайтеся, що зворотний проксі зберігає заголовки і підтримує великі POST-запити (MRS).

EOP / конектори

• Вхідний конектор: з ваших локальних публічних IP-адрес; потрібен TLS.
• Вихідний: до інтернету або smart host; політики TLS мають збігатися.
• Прийняті домени: Authoritative або Internal Relay, залежно від проєкту.

2) Перевірочні тести (після HCW, але before users)

Переміщення поштових скриньок і EWS

Test-MigrationServerAvailability -ExchangeRemoteMove -RemoteServer mail.contoso.com -Credentials (Get-Credential) -Authentication Basic -Autodiscover
Test-WebServicesConnectivity -ClientAccessServer mail.contoso.com -TrustAnySSLCertificate:$false -MailboxCredential (Get-Credential)

Free/Busy (в обох напрямках)

• Хмара → локальне середовище: створіть нараду з поштової скриньки EXO і перевірте доступність користувача в локальному середовищі.
• Локальне середовище → хмара: зворотний тест. Якщо працює лише в один бік, перевірте довіру федерації та OAuth.

Autodiscover і Outlook

• Створення нового профілю (внутрішня і зовнішня мережа)
• Запити /SPA і Modern Auth у Outlook не з'являються повторно (без циклів)

Гігієна повідомлень

• Надішліть зовнішній лист; перевірте SPF=pass, DKIM=pass, відповідність політики DMARC
• Простежте через Message Trace в EXO і на будь-яких локальних шлюзах

3) Шпаргалка з DNS і брандмауера

Брандмауер (публічний → локальні CAS/MBX)

• TCP 443 до /autodiscover/*, /ews/*, /mrsproxy.svc, /oab/*
• Джерело: кінцеві точки Microsoft 365 (або будь-яке, якщо ви не можете підтримувати списки)
• Без перехоплення TLS на цих шляхах; передавайте SNI і повні ланцюжки

4) Моніторинг стану (зробіть його рутинним)

Щодня / щогодини

• Azure AD Connect: Get-ADSyncScheduler, наступний запуск OK; стан на порталі зелений
• Терміни дії сертифікатів: сповіщення за 30/15/7 днів для сертифікатів IIS/SMTP/Auth/Federation
• Аномалії в Message Trace: сплески відкладених доставок і відхилень
• Синтетичні тести EWS/OAuth через заплановані завдання

$u = "probe@contoso.com"
$result = Test-OAuthConnectivity -Service EWS -TargetUri https://outlook.office365.com/ews/exchange.asmx -Mailbox $u -ErrorAction SilentlyContinue
if(-not $result -or $result.Result -ne "Success"){ Write-EventLog -LogName Application -Source "HybridProbe" -EntryType Error -EventId 8001 -Message "OAuth/EWS probe failed for $u" }

5) Типові поломки та виправлення (симптоми → найшвидші перевірки)

Free/Busy не працює в один бік

1. Test-FederationTrust і перевірте NotAfter сертифіката федерації
2. Get-AuthConfig: відбиток має відповідати чинному сертифікату; якщо його замінили, повторно виконайте Set-AuthConfig -PublishCertificate
3. Брандмауер має дозволяти /ews/* в обидва боки; без перевірки TLS

Переміщення поштових скриньок зависає (10–20%)

1. Test-MigrationServerAvailability до локальної URL-адреси
2. MRSProxy увімкнено (Get-WebServicesVirtualDirectory | fl MRSProxyEnabled,ExternalUrl)
3. Заголовки і тайм-аути зворотного проксі; перевірте глибоку інспекцію на 443
4. AAD Connect синхронізовано; атрибути на місці

Цикли та запити в профілі Outlook

1. Resolve-DnsName autodiscover.contoso.com (внутрішній і зовнішній) резолвиться так, як задумано
2. Modern Auth примусово увімкнено? Перевірте версію клієнта, реєстр і політики CA
3. Різні цілі Autodiscover для внутрішнього і зовнішнього доступу? Усуньте розщеплення (split-brain)

Випадкові NDR і потрапляння в спам

1. SPF охоплює всіх відправників; nslookup -type=txt contoso.com
2. DKIM увімкнено і селектори дійсні; DMARC узгоджено з доменом From:
3. Узгодженість TLS у з'єднувачах EOP; перевірте результат у трасуванні повідомлень (message trace)

6) Обмеження для змін і життєвого циклу

• Календар сертифікатів: сертифікати Auth/Federation/IIS/SMTP із власниками та runbook для поновлення
• Перевірки дрейфу конфігурації: щоквартальний експорт і порівняння з'єднувачів EXO, прийнятих доменів і транспортних правил
• Аудит DNS: внутрішні та зовнішні зони після будь-якої зміни маршрутизації пошти або проєкту
• AAD Connect: обліковий запис служби, планувальник і періодичність оновлень задокументовано; тестовий сервер перевірено
• Нотатки щодо відкату: як тимчасово повернути Autodiscover/MX назад; як безпечно призупинити пакети міграції

Односторінковий контрольний список перед запуском

• mail, proxyAddresses, legacyExchangeDN, msExchMailboxGuid синхронізовано та перевірено для пілотних користувачів
• Test-OAuthConnectivity і Test-FederationTrust з результатом Success
• Autodiscover/MX/SPF/DKIM/DMARC коректні (внутрішні/зовнішні)
• MRSProxy і EWS опубліковано; інспекцію TLS на брандмауері вимкнено для них
• З'єднувачі EOP протестовано; TLS примусово застосовано, як задумано
• AAD Connect працює справно; дельта-синхронізація завершується в межах очікуваного SLA
• Сертифікати з більш ніж 60 днями до завершення дії; моніторинг налаштовано
• Синтетичні тести заплановано; runbook для служби підтримки готовий

Завершальна думка

HCW налаштовує кінцеві точки, але не перевіряє ваші дані, довіру чи маршрути. Ставтеся до гібридної інфраструктури як до живої системи: перевіряйте атрибути, поновлюйте довіру, стежте за DNS і тримайте маршрути чистими, щоб ваша «невидима мережа» залишалася невидимою для користувачів.

Хочете більше таких посібників?
Отримайте повний доступ до M365 Show – Microsoft 365 Digital Workplace Daily → m365.show/subscribe