Authentifizierung Outlook 2013 an Exchange 2013 schlägt fehl

So wenn auch verspätet hier ein Fazit von mir. Das Problem ist behoben, zur Zeit arbeitetet Outlook wieder (fast) so wie vorher.

Microsoft
Gelöst hat es letzendlich der offizielle Microsoft Support, auch wenn nicht alles optimal lief. Hier die wichtigesten Punkte zum Support:

- Das Ticket hat unser Systemhaus über einen Partnervertrag bei MS erstellt. Diese Partnerverträge decken (vermutlich üblicherweise) nur die jeweils aktuelle Exchange Version + Vorgänger-Version ab, also eigentlich nicht mehr Exchange 2013 CU23. Der Fall wurde aber dennoch freundlicherweise von MS angenommen.

- Die Priorisierung bei MS ist - interessant. Das geht los mit einer angegebenen Reaktionszeit, zu der aber keine Zeiteinheit zu gehören scheint. Also 2 Stunden oder 2 Tage, ein bischen Glücksrad. Auch weiß man ja nicht ob schon die Annahme des Falls durch den Support die Reaktion darstellt... Jedenfalls hat es dann noch etwas gedauert bis wir einen Telefontermin hatten. Dann wurde auch direkt los gelegt aber irgendwie kam man zu keinem Ergebnis und am Montag darauf verstrich der Termin und erst am Dienstag, ein weiteres Ticket später, gab es überhaupt eine Reaktion. Der Fall wurde dann einen weiteren Tag später von einem Vorgesetzten übernommen, ich weiß nicht aus welchen Gründen. Alles in allem war die Kommunikation echt mager und das in einer Stress-Situation, das geht sicher besser.

- Fachlich hatte ich vor allem drei Erkentnisse:
a) Ich war sehr fasziniert wie man direkt auf den Exchange los gegangen ist, die AD Patches spielten irgendwie keine Rolle, es wurde gleich ziemlich viel rum gefummelt, Zertifikate getauscht, getan gemacht. Für mich als Beobachter schlecht nachvollziehbar, das ist natülrich für den Admin nicht so toll. Bemerkungen meiner Seits wurden zur Kentnis genommen aber es entstand das Gefühl: Ich kann Exchange also suche ich das Problem halt dort, AD wäre ein anderer Fachberreich gewesen.
b) Technisch haben die es schon drauf (intern greifen die auch parallel auf Dokumentation zu) aber am Ende schien es auch ein bischen wie Stochern im Nebel mit bekannten Problemlösungen einfach mal ein Feuerwerk abfahren.
c) DNS ist zwar immer irgendwie mit Schuld an allem und eigentlich sollte jeder IT'ler wissen was er hier tut aber auch der MS Support ist vor Fehlannahmen nicht gefeilt. Ich habe aufgrund der Aussage DNS sei "falsch" konfiguriert sehr viel geändert, bin aber am Ende fast in der selben Konfiguration angekommen wie auch vorher (lief ja auch vorher schon). Ausschlaggebend war hier nslookup, das ohne Punkt hinter dem DNS-Namen sein Domänenpräfix nochmal anhängt. Das liefert dann natürlich andere Ergebnisse als mit einem abschließenden Punkt. Durch das ganze rumgefummel im DNS gab es dann auch eine lange Phase in der wir immer wieder mit unserem Outlook versuchten uns am Webserver unseres Homepage-Hosters zu authentifizieren. Ich kann immer noch nicht wirklich sagen warum das passiert ist, sehr verwirrend.

Ablauf
Ein bischen schlauer bin ich dann doch geworden. Über das Problem habe ich selbst mehrere Überlegungen, hier erstmal die meiner Meinung nach relevanten Ereignisse:

15.03.2021 - Nach HAFNIUM befasse ich mich tiefgreifender mit dem Thema Exchange, AD-Integration und vor allem AD-Kompromitierung durch die erhöhten Rechte des Exchange Trusted Subsystems. Ich beschließe mich auf eine Acitve Directory-Split Permissions Konfiguration einzulassen. Das läuft auch, bis auf Kleinigkeiten, zunächst erstaunlich gut.
11.08.2021 - letzter Neustart des alleinigen DC, ohne Probleme
10.11.2021 - Die Datensicherung (Veeam B&R) hat aus heiterem Himmel ein Authentifizierungsproblem an der AD, nicht Exchange related sondern einfach so.
17.11.2021 - Wie ich so alles mögliche i.S. Veeam teste beschließe ich den DC zu patchen und in der Frühstückspause neu zu starten. Unmittelbar im Anschluss an den Neustart tritt das Problem auf, unmittelbar davor nicht.

Theorie
Meine Annahme beruht darauf das AD-Split Permissions dafür verantwortlich ist das die Authentifizierung von Outlook fehl geschlagen ist. Ich kann mir vorstellen das es irgend ein Kerberos-Ticket gibt das vermutlich so 6 Monate gültig ist. Das ist dann abgelaufen und das wurde beim Neustart (über 6 Monate später) dann plötzlich relevant. Das würde auch erklären warum eine völlig ungepatchte Umgebnung aus der Datensicherung exakt das selbe Fehlerbild hatte. Natürlich gibt es auch Gegenargumente: Die Authentifizierung von AD-Benutzern über OWA z.B. lief durchgehend. Die Authentifizierung völlig neuer Benutzer in Outlook lief bis zum besagten Neustart problemlos.

Lösung
Am Ende einer langen Kette von wenig gezielten Maßnahmen (Zertifikate ausgetauscht, DNS umgestellt, Autodiscover-/IIS-Pfade angepasst, etc. etc.) hat dann ein Befehl zur Erweiterung der Rechte des Exchange in der AD plötzlich klick gemacht und es lief wieder. Der Supportler war selbst irritiert weil er genau diesen Lösungsweg schon erfolglos probiert hatte. Ich habe versucht die Lösung auf meiner wiederhergestellten Test-Umgebnung nach zu stellen, ohne Erfolg.

Hier noch die letzten Aktionen bevor es wieder lief:

Aftermath
AD-Split Permissions halte ich immer noch für einen interessanten Ansatz aber es ist offensichtlich eine wenig praktizierte Methode. Da mein Exchange nicht mehr von Extern erreichbar sein wird (VPN für Active Sync hat sich nach HAFNIUM sehr bewährt) werde ich darauf verzichten.

Server OS und Exchange Version sollen sowieso angehoben werden, das wird aber ein längerer Übergang bis alles migriert ist. Der Exchange sollte danach hoffentlich wieder im Zustand einer "handelsüblichen" Installation sein. Danke auch an Frank der mir zwischendurch telefonisch noch zur Seite stand und seine Erfahrungen geteilt hat.