Capítulo: Troubleshooting de MAPI AO

Este artigo descreve como solucionar problemas do MAPI AO.

Conteúdo do guia

Artigo principal

Entendendo a arquitetura WAAS e o fluxo de tráfego

Solução de problemas de WAAS preliminar

Otimização da solução de problemas

Troubleshooting de Aceleração de Aplicativos

Troubleshooting do CIFS AO

Troubleshooting do HTTP AO

Troubleshooting do EPM AO

Troubleshooting de MAPI AO

Troubleshooting de NFS AO

Troubleshooting de SSL AO

Solução de problemas do AO do vídeo

Troubleshooting de AO Genérico

Troubleshooting de Condições de Sobrecarga

Troubleshooting de WCCP

Solução de problemas do AppNav

Solução de problemas de disco e hardware

Solução de problemas de clusters seriais em linha

Solução de problemas do vWAAS

Solução de problemas do WAAS Express

Troubleshooting de Integração de NAM

Contents

- 1 Acelerador de MAPI

- 2 Aceleração de MAPI criptografada

- 2.1 Summary

- 2,2 Informações do recurso

- 2.3 Metodologia de solução de problemas

- 2.3.1 Etapa 1 - Verificar a configuração da Identidade do serviço de criptografia e o sucesso da recuperação da chave

- 2.3.2 Etapa 2 - No 5.0.3, um novo comando de diagnóstico foi introduzido para verificar algumas das configurações necessárias.

- 2.3.3 Etapa 3 - Verificar manualmente as configurações do WAE que não foram verificadas pelo comando de diagnóstico acima.

- 2.4 Análise de dados

- 2.5 Problemas comuns

- 2.5.1 Problema 1: A identidade do serviço de criptografia configurada no Core WAE não tem as permissões corretas no AD.

- 2.5.2 Resolução 1: Consulte o guia de configuração e verifique se o objeto no AD tem as permissões corretas. "Replicando alterações de diretório" e "Replicando alterações de diretório tudo" devem ser definidos para permitir.

- 2.5.3 Problema 2: Há um desvio de tempo entre o Core WAE e o KDC a partir do qual ele tenta obter a chave

- 2.5.4 Resolução 2: Use a atualização em todos os WAEs (especialmente o Núcleo) para sincronizar o relógio com o KDC. Em seguida, aponte para o servidor NTP empresarial (preferencialmente o mesmo que o KDC).

- 2.5.5 Problema 3: O domínio definido para o serviço de Criptografia não corresponde ao domínio em que o servidor Exchange está.

- 2.5.6 Resolução 3: Se o seu Core WAE atender a vários servidores Exchange em domínios diferentes, você deverá configurar uma Identidade de serviço de criptografia para cada domínio em que os servidores Exchange residem.

- 2.5.7 Problema 4: Se a WANSecure falhar, suas conexões podem cair para TG

- 2.5.8 Resolução 4: Remova a configuração do peer cert de ambos os WAEs e reinicie o serviço de criptografia no(s) Core WAE(s).

- 2.5.9 Problema 5: Se o NTLM for usado pelo cliente do Outlook, a conexão será enviada para o AO genérico.

- 2.5.10 Resolução 5: O cliente deve habilitar/exigir a autenticação Kerberos em seu ambiente Exchange. NTLM NÃO é suportado (a partir de 5.1)

- 3 Registro MAPI AO

Acelerador de MAPI

O acelerador MAPI otimiza o tráfego de e-mail do Microsoft Outlook Exchange. O Exchange usa o protocolo EMSMDB, que está em camadas no MS-RPC, que por sua vez usa TCP ou HTTP (não suportado) como transporte de baixo nível.

O MAPI AO oferece suporte a clientes do Microsoft Outlook 2000 a 2007 para o tráfego em cache e no modo não em cache. As conexões seguras que usam autenticação de mensagens (assinatura) ou criptografia não são aceleradas pelo MAPI AO. Essas conexões e conexões de clientes mais antigos são transferidas ao AO genérico para otimização de TFO. Além disso, as conexões OWA (Outlook Web Access) e Exchange-Exchange não são suportadas.

Note: O Microsoft Outlook 2007 tem a criptografia habilitada por padrão. Você deve desativar a criptografia para se beneficiar do MAPI application accelerator. No Outlook, escolha Ferramentas > Contas de E-mail, escolha Exibir ou Alterar Contas de E-mail Existentes e clique em Avançar. Escolha a conta do Exchange e clique em Alterar. Clique em Mais configurações e, em seguida, clique na guia Segurança. Desmarque a caixa de seleção Criptografar dados entre o Microsoft Office Outlook e o Microsoft Exchange Server, como mostrado na Figura 1.

Como alternativa, você pode desativar a criptografia para todos os usuários de um Exchange Server usando uma Política de Grupo.

Figura 1. Desativando a criptografia no Outlook 2007

Nos seguintes casos, o MAPI AO não lida com uma conexão:

- Conexão criptografada (entregue ao AO genérico)

- Cliente não suportado (entregue ao AO genérico)

- Erro de análise irrecuperável. Todas as conexões TCP entre o cliente e o serviço do servidor são desconectadas. Quando o cliente se reconecta, todas as conexões são transferidas para o AO genérico.

- O cliente tenta estabelecer um novo grupo de associação na conexão quando o WAE está sobrecarregado.

- O cliente estabelece uma conexão quando o WAE está sobrecarregado e os recursos de conexão reservados para MAPI não estão disponíveis.

O cliente e o servidor do Outlook interagem em uma sessão através de um grupo de conexões TCP chamado de grupo de associação. Em um grupo de associação, os acessos a objetos podem abranger qualquer conexão e as conexões são criadas e liberadas dinamicamente conforme necessário. Um cliente pode ter mais de um grupo de associação aberto ao mesmo tempo para servidores diferentes ou para o mesmo servidor. (As pastas públicas são implantadas em servidores diferentes do armazenamento de mensagens.)

É essencial que todas as conexões MAPI dentro de um grupo de associação passem pelo mesmo par de WAEs na filial e no data center. Se algumas conexões dentro de um grupo de associação não passarem pelo MAPI AO nesses WAEs, o MAPI AO não verá as transações executadas nessas conexões e as conexões serão consideradas para "escapar" do grupo de associação. Por esse motivo, o MAPI AO não deve ser implantado em WAEs em linha agrupadas em série que formam um grupo de alta disponibilidade.

Os sintomas das conexões MAPI que escapam de seu grupo de associação WAE são sintomas de erro do Outlook, como mensagens duplicadas ou o Outlook para de responder.

Durante uma condição de sobrecarga de TFO, novas conexões para um grupo de associação existente seriam passadas e escapariam do MAPI AO, de modo que o MAPI AO reserva uma série de recursos de conexão com antecedência para minimizar o impacto de uma condição de sobrecarga. Para obter mais detalhes sobre as conexões MAPI reservadas e seu impacto na sobrecarga do dispositivo, consulte a seção "MAPI Application Accelerator Reserved Connections Impact on Overload" no artigo Troubleshooting de Condições de Sobrecarga.

Verifique a configuração e o status gerais do AO com os comandos show accelerator e show license, conforme descrito no artigo Troubleshooting Application Acceleration. A licença Enterprise é necessária para a operação do MAPI accelerator e o EPM application accelerator deve ser ativado.

Em seguida, verifique o status específico do MAPI AO usando o comando show accelerator mapi, como mostrado na Figura 2. Você deseja ver que o MAPI AO está Habilitado, em Execução e Registrado e que o limite de conexão é exibido. Se o estado de configuração estiver ativado, mas o estado operacional estiver desativado, isso indica um problema de licenciamento.

Figura 2. Verificando o status do acelerador MAPI

Use o comando show statistics accelerator epm para verificar se o EPM AO está funcional. Verifique se o Total de conexões tratadas, Total de solicitações analisadas com êxito e Total de respostas analisadas com êxito aumentam quando um cliente é iniciado.

Use o comando show running-config para verificar se as políticas de tráfego MAPI e EPM estão configuradas corretamente. Você deseja ver o mapa acelerado para a ação do aplicativo Email e Mensagens e deseja ver o classificador MS-EndPortMapper e a política de tráfego definidos da seguinte forma:

WAE674# sh run | include mapi

map adaptor EPM mapi

name Email-and-Messaging All action optimize full accelerate mapi

WAE674# sh run | begin MS-EndPointMapper

...skipping

classifier MS-EndPointMapper

match dst port eq 135

exit

WAE674# sh run | include MS-EndPointMapper

classifier MS-EndPortMapper

name Other classifier MS-EndPortMapper action optimize DRE no compression none accelerate MS-port-mapper

Use o comando show policy-engine application dynamic para verificar se as regras de correspondência dinâmica existem, como a seguir:

- Procure uma regra com ID de usuário: EPM e Nome do Mapa: uuida4f1db00-ca47-1067-b31f-00dd010662da.

- O campo Fluxos indica o número total de conexões ativas com o serviço do Exchange.

- Para cada cliente MAPI, você deve ver uma entrada separada com a ID de usuário: MAPI.

Use o comando show statistics connection otimized mapi para verificar se o dispositivo WAAS está estabelecendo conexões MAPI otimizadas. Verifique se "M" aparece na coluna Accel para conexões MAPI, o que indica que o MAPI AO foi usado, da seguinte forma:

WAE674# show stat conn opt mapi

Current Active Optimized Flows:                      2

Current Active Optimized TCP Plus Flows:          1

Current Active Optimized TCP Only Flows:          1

Current Active Optimized TCP Preposition Flows:   0

Current Active Auto-Discovery Flows:                 0

Current Reserved Flows:                              12               <---------- Added in 4.1.5

Current Active Pass-Through Flows:                   0

Historical Flows:                                    161

D:DRE,L:LZ,T:TCP Optimization RR:Total Reduction Ratio

A:AOIM,C:CIFS,E:EPM,G:GENERIC,H:HTTP,M:MAPI,N:NFS,S:SSL,V:VIDEO

ConnID  Source IP:Port         Dest IP:Port        PeerID           Accel RR

342     10.56.94.101:4506    10.10.100.100:1456  0:1a:64:d3:2f:b8   TMDL  61.0%   <-----Look for "M"

Note: Na versão 4.1.5, o contador Fluxos Reservados Atuais foi adicionado na saída. Este contador refere-se ao número de recursos de conexão MAPI reservados no WAE que estão atualmente não utilizados, mas reservados para futuras conexões MAPI. Para obter mais detalhes sobre as conexões MAPI reservadas e seu impacto na sobrecarga do dispositivo, consulte a seção "MAPI Application Accelerator Reserved Connections Impact on Overload" no artigo Troubleshooting de Condições de Sobrecarga.

Se você observar conexões com "TGDL" na coluna Accel, essas conexões foram enviadas ao AO genérico e otimizadas somente com otimizações de transporte. Se essas são conexões que você esperava que fossem tratadas pelo MAPI AO, pode ser porque são conexões MAPI criptografadas. Para verificar o número de conexões MAPI criptografadas que foram solicitadas, use o comando show statistics accelerator mapi da seguinte maneira:

wae# sh stat accel mapi

MAPI:

Global Statistics

-----------------

Time Accelerator was started:                                      Thu Nov  5 19:45:19 2009

Time Statistics were Last Reset/Cleared:                           Thu Nov  5 19:45:19 2009

Total Handled Connections:                                         8615

Total Optimized Connections:                                       8614

Total Connections Handed-off with Compression Policies Unchanged:  0

Total Dropped Connections:                                         1

Current Active Connections:                                        20

Current Pending Connections:                                       0

Maximum Active Connections:                                        512

Number of Synch Get Buffer Requests:                               1052

Minimum Synch Get Buffer Size (bytes):                             31680

Maximum Synch Get Buffer Size (bytes):                             31680

Average Synch Get Buffer Size (bytes):                             31680

Number of Read Stream Requests:                                    3844

Minimum Read Stream Buffer Size (bytes):                           19

Maximum Read Stream Buffer Size (bytes):                           31744

Average Read Stream Buffer Size (bytes):                           14556

Minimum Accumulated Read Ahead Data Size (bytes):                  0

Maximum Accumulated Read Ahead Data Size (bytes):                  1172480

Average Accumulated Read Ahead Data Size (bytes):                  594385

Local Response Count:                                              20827

Average Local Response Time (usec):                                250895

Remote Response Count:                                             70486

Average Remote Response Time (usec):                               277036

Current 2000 Accelerated Sessions:                                 0

Current 2003 Accelerated Sessions:                                 1

Current 2007 Accelerated Sessions:                                 0

Secured Connections:                                               1               <-----Encrypted connections

Lower than 2000 Sessions:                                          0

Higher than 2007 Sessions:                                         0

Você pode encontrar os endereços IP dos clientes que solicitam conexões MAPI criptografadas no syslog, procurando mensagens como:

2009 Jan 5 13:11:54 WAE512 mapi_ao: %WAAS-MAPIAO-3-132104: (929480) Encrypted connection. Client ip: 10.36.14.82

Você pode exibir as estatísticas da conexão MAPI usando o comando show statistics connection otimized mapi detail da seguinte forma:

WAE674# show stat conn opt mapi detail

Connection Id:            1830

Peer Id:                  00:14:5e:84:24:5f

Connection Type:          EXTERNAL CLIENT

Start Time:               Thu Jun 25 06:32:27 2009

Source IP Address:        10.10.10.10

Source Port Number:       3774

Destination IP Address:   10.10.100.101

Destination Port Number:  1146

Application Name:         Email-and-Messaging                            <-----Should see Email-and-Messaging

Classifier Name:          **Map Default**

Map Name:                 uuida4f1db00-ca47-1067-b31f-00dd010662da       <-----Should see this UUID

Directed Mode:            FALSE

Preposition Flow:         FALSE

Policy Details:

Configured:        TCP_OPTIMIZE + DRE + LZ

Derived:        TCP_OPTIMIZE + DRE + LZ

Peer:        TCP_OPTIMIZE + DRE + LZ

Negotiated:        TCP_OPTIMIZE + DRE + LZ

Applied:        TCP_OPTIMIZE + DRE + LZ

Accelerator Details:

Configured:   MAPI                                           <-----Should see MAPI configured

Derived:   MAPI

Applied:   MAPI                                           <-----Should see MAPI applied

Hist:   None

Original            Optimized

-------------------- --------------------

Bytes Read:                                     4612                 1973

Bytes Written:                                  4086                 2096

. . .

As contagens de resposta local e remota e os tempos de resposta médios são mostrados nesta saída:

. . .

MAPI : 1830

Time Statistics were Last Reset/Cleared:                           Thu Jun 25

06:32:27 2009

Total Bytes Read:                                                46123985

Total Bytes Written:                                             40864046

Number of Synch Get Buffer Requests:                               0

Minimum Synch Get Buffer Size (bytes):                             0

Maximum Synch Get Buffer Size (bytes):                             0

Average Synch Get Buffer Size (bytes):                             0

Number of Read Stream Requests:                                    0

Minimum Read Stream Buffer Size (bytes):                           0

Maximum Read Stream Buffer Size (bytes):                           0

Average Read Stream Buffer Size (bytes):                           0

Minimum Accumulated Read Ahead Data Size (bytes):                  0

Maximum Accumulated Read Ahead Data Size (bytes):                  0

Average Accumulated Read Ahead Data Size (bytes):                  0

Local Response Count:                                              0                  <----------

Average Local Response Time (usec):                                0                  <----------

Remote Response Count:                                             19                 <----------

Average Remote Response Time (usec):                               89005              <----------

. . .

Aceleração de MAPI criptografada

Summary

A partir do WAAS 5.0.1, o acelerador MAPI pode acelerar o tráfego MAPI criptografado. Esse recurso será ativado por padrão na versão 5.0.3. No entanto, para acelerar com êxito o tráfego MAPI criptografado, há vários requisitos no ambiente WAAS e Microsoft AD. Este guia o ajudará a verificar e solucionar problemas da funcionalidade eMAPI.

Informações do recurso

O eMAPI será ativado por padrão no 5.0.3 e exigirá que os itens a seguir acelerem com êxito o tráfego criptografado.

1) O armazenamento seguro do CMS deve ser inicializado e aberto em todos os Núcleos WAEs

2) Os WAEs devem ser capazes de resolver o FQDN do(s) servidor(es) Exchange e o Kerberos KDC (Ative Diretory Controller)

3) Os relógios do WAE devem estar em sincronia com o KDC

4) O acelerador SSL, a WAN segura e o eMAPI devem ser ativados em todos os WAEs no caminho do Outlook para o Exchange

5) Os WAEs no caminho devem ter a configuração correta do mapa de políticas

6) O(s) WAE(s) principal(is) deve(m) ter(m) uma ou mais identidades de domínio de serviços criptografados configuradas (conta do usuário ou da máquina)

7) Se uma conta de máquina for usada, esse WAE deverá ser associado ao domínio do AD.

8) Em seguida, com o caso de uso da conta da máquina ou do usuário, esses objetos no Ative Diretory precisam receber permissões específicas. "Replicando alterações de diretório" e "Replicando alterações de diretório tudo" devem ser definidos para permitir.

A maneira recomendada de fazer isso é por meio de um grupo de Segurança Universal (por exemplo, atribuir as permissões ao grupo e, em seguida, adicionar os dispositivos WAAS e/ou nomes de usuário especificados no serviço de Criptografia a esse grupo). Consulte o guia anexado para obter capturas de tela da configuração do AD e da GUI do WAAS CM.

Metodologia de solução de problemas

Etapa 1 - Verificar a configuração da Identidade do serviço de criptografia e o sucesso da recuperação da chave

Embora o comando de diagnóstico (etapa 2 abaixo) verifique a existência de um serviço de criptografia, ele não verifica se a recuperação da chave será bem-sucedida. Portanto, não sabemos apenas executando esse comando de diagnóstico se as permissões apropriadas foram dadas ao objeto no Ative Diretory (conta de máquina ou usuário).

Resumo do que precisa ser feito para configurar e verificar se o serviço de criptografia obterá êxito na recuperação de chave

Conta de usuário:

1. criar usuário do AD

2. criar grupo AD e definir "Replicando alterações de diretório" e "Replicando alterações de diretório tudo" como PERMITIR

3. adicionar o usuário ao grupo criado

4. definir identidade de domínio de conta de usuário em serviços de criptografia

5. run get key diagnostic cli

windows-domain diagnostics encryption-service get-key <exchange server FQDN> <domain name>

Observe que você deve usar o nome do servidor real/real do exchange configurado no servidor e não um FQDN do tipo NLB/VIP que possa ser resolvido para vários servidores Exchange.

6. se a recuperação da chave funcionou - concluído

Exemplo de sucesso:

pdi-7541-dc#windows-domain diagnostics encryption-service get-key pdidc-exchange1.pdidc.cisco.com pdidc.cisco.com

SPN pdidc-exchange1.pdidc.cisco.com, Nome do domínio: pdidc.cisco.com

A recuperação da chave está em curso.

pdi-7541-dc#windows-domain diagnostics encryption-service get-key pdidc-exchange1.pdidc.cisco.com pdidc.cisco.com

SPN pdidc-exchange1.pdidc.cisco.com, Nome do domínio: pdidc.cisco.com

A chave para pdidc-exchange1.pdidc.cisco.com reside no cache de chave de memória

conta da máquina

1. juntar dispositivos WAE principais ao domínio do AD

2.criar grupo do AD e definir "Replicando alterações de diretório" e "Replicando alterações de diretório tudo" como PERMITIR

3. adicionar conta(s) de máquina ao grupo criado

4. configurar serviços de criptografia para usar a conta da máquina

5. Dê algum tempo para que a Política de Grupo seja aplicada à máquina associada ou force a aplicação da política de grupo do AD. gpupdate /force.

6. run get key diagnostic cli

windows-domain diagnostics encryption-service get-key <exchange server FQDN> <domain name>

Observe que você deve usar o nome do servidor real/real do exchange configurado no servidor e não um FQDN do tipo NLB/VIP que possa ser resolvido para vários servidores Exchange.

7. se a recuperação da chave funcionou - concluído

Para obter mais detalhes e capturas de tela no serviço de criptografia e na configuração do AD, consulte o guia anexado.

Etapa 2 - No 5.0.3, um novo comando de diagnóstico foi introduzido para verificar algumas das configurações necessárias.

̶ accelerator mapi verificar configurações de criptografia

1. A CLI faz várias verificações de validade. A saída é um resumo da capacidade de acelerar o tráfego MAPI criptografado como borda ou núcleo.

2.Verifica os atributos de status/configuração dos vários componentes para que o serviço de criptografia funcione corretamente.

3. Quando um problema de configuração é encontrado, ele mostra o que está faltando e a CLI ou ações para corrigi-lo.

4.Ele apresenta o resumo como dispositivo Edge e dispositivo Core. O dispositivo que pode ser tanto borda quanto núcleo deve ter a EMAPI operacional para borda e núcleo.

Abaixo está um exemplo de saída de um WAE configurado incorretamente:

Core#accelerator mapi verify encryption-settings

[EDGE:]

Verifying Mapi Accelerator State

--------------------------------

Status: FAILED

Accelerator     Config State    Operational State

-----------     ------------    -----------------

mapi            Disabled        Shutdown

>>Mapi Accelerator should be Enabled

>>Mapi Accelerator should be in Running state

Verifying SSL Accelerator State

-------------------------------

Status: FAILED

>>Accelerator   Config State    Operational State

-----------     ------------    -----------------

ssl             Disabled        Shutdown

>>SSL Accelerator should be Enabled

>>SSL Accelerator should be in Running state

Verifying Wan-secure State

--------------------------

Status: FAILED

>>Accelerator   Config State    Operational State

-----------     ------------    -----------------

wan-secure      Disabled        Shutdown

>>Wan-secure should be Enabled

>>Wan-secure should be in Running state

Verifying Mapi Wan-secure mode Setting

---------------------------------

Status: FAILED

Accelerator Config Item                 Mode            Value

-----------------------                 ----            ------

WanSecure Mode                          User            Not Applicable

>>Mapi wan-secure setting should be auto/always

Verifying NTP State

--------------------

Status: FAILED

>>NTP status should be enabled and configured

Summary [EDGE]:

===============

Device has to be properly configured for one or more components

[CORE:]

Verifying encryption-service State

----------------------------------

Status: FAILED

Service                 Config State    Operational State

-----------             ------------    -----------------

Encryption-service      Disabled        Shutdown

>>Encryption Service should be Enabled

>>Encryption Service status should be in 'Running' state

Verifying Encryption-service Identity Settings

----------------------------------------------

Status: FAILED

>>No active Encryption-service Identity is configured.

>>Please configure an active Windows Domain Encryption Service Identity.

Summary [CORE]: Applicable only on CORE WAEs

============================================

Device has to be properly configured for one or more components

Abaixo está a saída de um Core WAE configurado corretamente:

Core#acc mapi verify encryption-settings [EDGE:]

Verifying Mapi Accelerator State

--------------------------------

Status: OK

Verifying SSL Accelerator State

-------------------------------

Status: OK

Verifying Wan-secure State

--------------------------

Status: OK

Verifying Mapi encryption Settings

----------------------------------

Status: OK

Verifying Mapi Wan-secure mode Setting

---------------------------------

Status: OK

Verifying NTP State

--------------------

Status: OK

Summary [EDGE]:

===============

Device has proper configuration to accelerate encrypted traffic

[CORE:]

Verifying encryption-service State

----------------------------------

Status: OK

Verifying Encryption-service Identity Settings

----------------------------------------------

Status: OK

Summary [CORE]: Applicable only on CORE WAEs

============================================

Device has proper configuration to accelerate encrypted traffic

Etapa 3 - Verificar manualmente as configurações do WAE que não foram verificadas pelo comando de diagnóstico acima.

1) O comando acima, enquanto verifica a existência do NTP configurado, não verifica realmente se os horários estão em sincronia entre o WAE e o KDC. É muito importante que os tempos estejam em sincronia entre o Core e o KDC para que a recuperação de chaves seja bem-sucedida.

Se a verificação manual revelar que eles estão fora de sincronia, uma maneira simples de forçar o relógio do WAE a estar em sincronia seria o comando ntpdate (ntpdate <KDC ip>). Em seguida, aponte os WAEs para o servidor NTP da empresa.

2) Verifique se dnslookup foi bem-sucedido em todos os WAEs para o FQDN dos servidores Exchange e o FQDN dos KDCs

3) Verifique se o mapa de classe e o mapa de política estão configurados corretamente em todos os WAEs no caminho.

pdi-7541-dc#sh class-map type waas MAPI

Class-map type waas match-any MAPI

Corresponder mapi de epm de destino tcp (0 correspondências de fluxo)

pdi-7541-dc#show policy-map type waas Policy-map type waas

WAAS-GLOBAL (total de 6084690)

Classe MAPI (0 flow-match)

otimizar o aplicativo mapi completo de aceleração de e-mail e mensagens

4) Verifique se o armazenamento seguro do CMS está aberto e inicializado em todos os WAEs "show cms secure store"

Análise de dados

Além de analisar a saída do comando de diagnóstico e dos comandos show manuais, talvez você precise revisar o sysreport.

Especificamente, você vai querer rever os arquivos mapiao-errorlog, sr-errorlog (somente WAE central) e wsao-errorlog.

Haverá dicas em cada log, dependendo do cenário que o levará ao motivo das conexões caírem para o AO genérico.

Como referência, aqui está um exemplo de saída mostrando vários componentes em funcionamento

Esta saída é do sr-errorlog e mostra a validação da identidade do serviço de criptografia de conta da máquina

Note: Isso só confirma que o Core WAE ingressou no domínio e que a conta da máquina existe.

07/03/2012 19:12:07.278(Local)(6249 1.5) NTCE (278902) Adding Identity MacchineAcctWAAS to map active list in SRMain [SRMain.cpp:215]

07/03/2012 19:12:07.279(Local)(6249 1.5) NTCE (279018) Adding identity(MacchineAcctWAAS) to Map [SRDiIdMgr.cpp:562]

07/03/2012 19:12:07.279(Local)(6249 1.5) NTCE (279282) Activate Id: MacchineAcctWAAS [SRMain.cpp:260]

07/03/2012 19:12:07.279(Local)(6249 1.5) NTCE (279306) Identity MacchineAcctWAAS found in the Map [SRDiIdMgr.cpp:702]

07/03/2012 19:12:07.279(Local)(6249 1.5) NTCE (279321) Authentication for ID: MacchineAcctWAAS [SRDiIdMgr.cpp:398]

07/03/2012 19:12:07.330(Local)(6249 1.5) NTCE (330581) Authentication success, tkt validity starttime 1341342727 endtime 1341378727 [SRDiIdMgr.cpp:456]

07/03/2012 19:12:07.330(Local)(6249 1.5) NTCE (330599)

ID_TAG :MacchineAcctWAAS

Name : pdi-7541-dc

Domain : PDIDC.CISCO.COM

Realm : PDIDC.CISCO.COM

CLI_GUID :

SITE_GUID :

CONF_GUID :

Status:ENABLED

Black_Listed:NO

AUTH_STATUS: SUCCESS

ACCT_TYPE:Machine [SRIdentityObject.cpp:85]

07/03/2012 19:12:07.331(Local)(6249 1.5) NTCE (331685) DN Info found for domain PDIDC.CISCO.COM [SRIdentityObject.cpp:168]

07/03/2012 19:12:07.347(Local)(6249 1.5) NTCE (347680) Import cred successfull for pn: pdi-7541-dc@PDIDC.CISCO.COM [AdsGssCli.cpp:111]

Esta saída é do Core sr-errorlog novamente e mostra a recuperação de chave bem-sucedida do KDC.

10/23/2012 15:46:55.673(Local)(3780 1.2) NTCE (673766) Key Not Found in cache, initiating retrieval for spn:exchangeMDB/pdidc-exchange1.pdidc.cisco.com [SRServer.cpp:297]

10/23/2012 15:46:55.673(Local)(3780 1.2) NTCE (673811) Queued InitiateKeyRetrieval task [SRServer.cpp:264]10/23/2012 15:46:55.673(Local)(3780 1.2) NTCE (673819)

Key retrieval is in Progress [SRServer.cpp:322]

10/23/2012 15:46:55.673(Local)(3780 0.0) NTCE (673818) Initiating key retrieval [SRServer.cpp:271]

10/23/2012 15:46:55.673(Local)(3780 1.2) NTCE (673827) initiating key retrieval in progress [SRDataServer.cpp:441]

10/23/2012 15:46:55.673(Local)(3780 1.2) NTCE (673834) Sending ack for result 2, item name /cfg/gl/sr/sr_get_key/pdidc-exchange1.pdidc.cisco.com@pdidc.cisco.com

[SRDataServer.cpp:444]

10/23/2012 15:46:55.673(Local)(3780 0.0) NTCE (673922) Match found for DN: pdidc.cisco.com is ID:MacchineAcctWAAS [SRDiIdMgr.cpp:163]

10/23/2012 15:46:55.673(Local)(3780 0.0) NTCE (673937) Identity MacchineAcctWAAS found in the Map [SRDiIdMgr.cpp:702]

10/23/2012 15:46:55.673(Local)(3780 0.0) NTCE (673950) DN Info found for domain pdidc.cisco.com [SRIdentityObject.cpp:168]

10/23/2012 15:46:55.674(Local)(3780 0.0) NTCE (674011) DRS_SPN: E3514235-4B06-11D1-AB04-00C04FC2DCD2/e4c83c51-0b59-4647-b45d-780dd2dc3344/PDIDC.CISCO.COM for

PDI-7541-DC@PDIDC.CISCO.COM [GssCli.cpp:51]

10/23/2012 15:46:55.674(Local)(3780 0.0) NTCE (674020) CREATED srkr obj(0x50aa00) for spn (exchangeMDB/pdidc-exchange1.pdidc.cisco.com) [SRKeyMgr.cpp:134]

10/23/2012 15:46:55.674(Local)(3780 1.3) NTCE (674421) Import cred successfull for pn: PDI-7541-DC@PDIDC.CISCO.COM [GssCli.cpp:135]

10/23/2012 15:46:55.676(Local)(3780 1.3) NTCE (676280) session(0x50aa00) Complete TGT stage of GSS Successful, Initiating AppApi [SRKeyRetriever.cpp:408]

10/23/2012 15:46:55.676(Local)(3780 0.1) NTCE (676415) SRKR: Success in posting connect to service <ip:0e:6e:03:a3><port:135> [IoOperation.cpp:222]

10/23/2012 15:46:55.676(Local)(3780 0.0) NTCE (676607) Connected to server. [IoOperation.cpp:389]

10/23/2012 15:46:55.677(Local)(3780 0.0) NTCE (677736) SRKR: Success in posting connect to service <ip:0e:6e:03:a3><port:1025> [IoOperation.cpp:222]

10/23/2012 15:46:55.678(Local)(3780 0.1) NTCE (678001) Connected to server. [IoOperation.cpp:389]

10/23/2012 15:46:55.679(Local)(3780 0.1) NTCE (679500) Cleaning up credential cache for PDI-7541-DC@PDIDC.CISCO.COM [GssCli.cpp:212]

10/23/2012 15:46:55.680(Local)(3780 0.1) NTCE (680011) Parsing DRSBIND Response [AppApiDrsBind.cpp:222]

10/23/2012 15:46:55.680(Local)(3780 0.1) NTCE (680030) DRSBind Success, Status:00000000 [AppApiDrsBind.cpp:359]

10/23/2012 15:46:55.685(Local)(3780 0.1) NTCE (685502) session(0x50aa00) Successful in Key Retrieval from AD for SPN:exchangeMDB/pdidc-exchange1.pdidc.cisco.com

[SRKeyRetriever.cpp:269]

10/23/2012 15:46:55.685(Local)(3780 0.1) NTCE (685583) Send Key response to the Client for spn: exchangeMDB/pdidc-exchange1.pdidc.cisco.com, # of req's : 1

[SRKeyMgr.cpp:296]

10/23/2012 15:46:55.685(Local)(3780 0.1) NTCE (685594) Deleting spn: exchangeMDB/pdidc-exchange1.pdidc.cisco.com entry from Pending key request map [SRKeyMgr.cpp:303]

Esta saída é do arquivo mapiao-errorlog no Edge WAE para uma conexão eMAPI bem-sucedida

'''10/23/2012 17:56:23.080(Local)(8311 0.1) NTCE (80175) (fl=2433) Edge TCP connection initiated (-1409268656), Conn: [14.110.3.117:58352 <=> 14.110.3.99:27744],

Flavor: 0 [EdgeTcpConnectionDceRpcLayer.cpp:43]

10/23/2012 17:56:23.080(Local)(8311 0.1) NTCE (80199) Edge TCP connection initiated (-1409268656), Conn: [14.110.3.117:58352 <=> 14.110.3.99:27744], Flavor: 0

[EdgeTcpConnectionDceRpcLayer.cpp:48]

10/23/2012 17:56:23.108(Local)(8311 0.0) NTCE (108825) (fl=2433) Bind Request from client with AGID 0x0, callId 2, to dest-ip 14.110.3.99, AuthLevel: PRIVACY

AuthType: SPNEGO AuthCtxId: 0 WsPlumb:1

[EdgeTcpConnectionDceRpcLayer.cpp:1277]'''

10/23/2012 17:56:23.109(Local)(8311 0.0) NTCE (109935) CheckAndDoAoshReplumbing perform replumbing wsPlumbState 1 [Session.cpp:315]

10/23/2012 17:56:23.109(Local)(8311 0.0) NTCE (109949) (fl=2433) AOSH Replumbing was performed returned Status 0 [Session.cpp:337]

10/23/2012 17:56:23.109(Local)(8311 0.0) NTCE (109956) CheckAndPlumb WanSecure(14) ret:= [1,0] WsPlumb:4 fd[client,server]:=[25,26] [AsyncOperationsQueue.cpp:180]

10/23/2012 17:56:23.312(Local)(8311 0.1) NTCE (312687) (fl=2433) Connection multiplexing enabled by server on the connection. [EdgeTcpConnectionDceRpcLayer.cpp:499]

10/23/2012 17:56:23.312(Local)(8311 0.1) NTCE (312700) (fl=2433) Header signing enabled by server on the connection. [EdgeTcpConnectionDceRpcLayer.cpp:510]

10/23/2012 17:56:23.312(Local)(8311 0.1) NTCE (312719) (fl=2433) OnNewConnection - Client IP 14.110.3.117 (0xe6e0375), Serv IP 14.110.3.99 (0xe6e0363), nDstPort=27744,

nAssociationGroup=0x11de4,conn_fd=26,

bWasConnectionFromReservedPool=0, bIsNewMapiSession=1 [ConnectionReservationManager.cpp:255]

'''10/23/2012 17:56:23.366(Local)(8311 0.1) NTCE (366789) (fl=2433) Received security context from core with auth context id: 0 [EdgeTcpConnectionDceRpcLayer.cpp:2912]

10/23/2012 17:56:23.367(Local)(8311 0.1) NTCE (367157) (fl=2433) Security Layer moved to ESTB state [FlowSecurityLayer.cpp:311]'''

10/23/2012 17:56:23.368(Local)(8311 0.1) NTCE (368029) (fl=2433) Informational:: Send APC set to WS: asking for Cipher 2 [EdgeTcpConnectionDceRpcLayer.cpp:809]

10/23/2012 17:56:23.368(Local)(8311 0.1) NTCE (368041) (fl=2433) Sec-Params [CtxId, AL, AT, ACT, DCT, [Hs, ConnMplx, SecMplx]]:=[0, 6, 9, 18, 18 [1,1,0]]

[FlowIOBuffers.cpp:477]

10/23/2012 17:56:23.369(Local)(8311 0.0) NTCE (369128) (fl=2433) CEdgeTcpConnectionEmsMdbLayer::ConnectRequestCommon (CallId 2): client version is ProductMajor:14,

Product Minor:0, Build Major:6117,

Build Minor:5001 Client ip 14.110.3.117 Client port 58352 Dest ip 14.110.3.99 Dest port 27744 [EdgeTcpConnectionEmsMdbLayer.cpp:1522]

10/23/2012 17:56:23.868(Local)(8311 0.1) ERRO (868390) (fl=2433) ContextHandle.IsNull() [EdgeTcpConnectionEmsMdbLayer.cpp:1612]

10/23/2012 17:56:23.890(Local)(8311 0.0) NTCE (890891) (fl=2433) CEdgeTcpConnectionEmsMdbLayer::ConnectRequestCommon (CallId 3): client version is ProductMajor:14,

Product Minor:0, Build Major:6117,

Build Minor:5001 Client ip 14.110.3.117 Client port 58352 Dest ip 14.110.3.99 Dest port 27744 [EdgeTcpConnectionEmsMdbLayer.cpp:1522]

Aqui está a saída correspondente do Core WAE de mapiao-errorlog para a mesma conexão TCP

'''10/23/2012 17:56:54.092(Local)(6408 0.0) NTCE (92814) (fl=21) Core TCP connection initiated (11892640), Conn: [14.110.3.117:58352 <=> 14.110.3.99:27744], F

lavor: 0 [CoreTcpConnectionDceRpcLayer.cpp:99]

10/23/2012 17:56:54.092(Local)(6408 0.0) NTCE (92832) Core TCP connection initiated (11892640), Conn: [14.110.3.117:58352 <=> 14.110.3.99:27744], Flavor: 0

[CoreTcpConnectionDceRpcLayer.cpp:104]'''

10/23/2012 17:56:54.175(Local)(6408 0.0) NTCE (175035) SrlibCache Cache eviction starting: static void srlib::CSrlibCache:: OnAoShellDispatchCacheCleanup(vo

id*, aosh_work*) [SrlibCache.cpp:453]

10/23/2012 17:56:54.175(Local)(6408 0.0) NTCE (175068) last_cleanup_time (1344411860), evict_in_progress(1) handled_req_cnt (1) cache_size (0) [SrlibCache.

cpp:464]

10/23/2012 17:56:54.175(Local)(6408 0.0) NTCE (175121) SendNextCmd isDuringSend 0, WriteQueue sz 1, isDuringclose 0 [SrlibClientTransport.cpp:163]

10/23/2012 17:56:54.175(Local)(6408 0.0) NTCE (175132) SendNextCmd: Sending request: exchangeMDB/PDIDC-EXCHANGE1.pdidc.cisco.com:23[v:=11], WriteQueue sz 0

[bClose 0] [SrlibClientTransport.cpp:168]

10/23/2012 17:56:54.185(Local)(6408 0.1) NTCE (185576) OnReadComplete len 4 status 0 isDuringRead 1, isDuringHeaderRead 1, isDuringclose 0 [SrlibTransport.

cpp:127]

10/23/2012 17:56:54.185(Local)(6408 0.1) NTCE (185587) Parse header, msg body len 152 [SrlibTransport.cpp:111]

10/23/2012 17:56:54.185(Local)(6408 0.1) NTCE (185592) ReadNextMsg isDuringRead 0, isDuringHeaderRead 1, isDuringclose 0 [SrlibTransport.cpp:88]

10/23/2012 17:56:54.185(Local)(6408 0.1) NTCE (185623) OnReadComplete len 148 status 0 isDuringRead 1, isDuringHeaderRead 0, isDuringclose 0 [SrlibTranspor

t.cpp:127]

'''10/23/2012 17:56:54.185(Local)(6408 0.1) NTCE (185688) Insert new KrbKey: exchangeMDB/PDIDC-EXCHANGE1.pdidc.cisco.com::23[v:=11]:[{e,f,l}:={0, 0x1, 16} [S

rlibCache.cpp:735]

'''10/23/2012 17:56:54.185(Local)(6408 0.1) NTCE (185747) ReadNextMsg isDuringRead 0, isDuringHeaderRead 0, isDuringclose 0 [SrlibTransport.cpp:88]

'''10/23/2012 17:56:54.261(Local)(6408 0.1) NTCE (261575) (fl=21) Successfully created memory keytab with name: MEMORY:exchangeMDB@PDIDC-EXCHANGE1.pdidc.cisco

.com0nxrPblND [GssServer.cpp:468]

10/23/2012 17:56:54.261(Local)(6408 0.1) NTCE (261613) (fl=21) Successfully added entry in memory keytab. [GssServer.cpp:92]

10/23/2012 17:56:54.261(Local)(6408 0.1) NTCE (261858) (fl=21) Successfully acquired credentials. [GssServer.cpp:135]'''

Problemas comuns

Abaixo estão alguns motivos comuns que resultam em transferência da conexão eMAPI para o AO genérico (TG).

Problema 1: A identidade do serviço de criptografia configurada no Core WAE não tem as permissões corretas no AD.

Saída do sr-errolog no Core WAE

09/25/2012 18:47:54.147(Local)(9063 0.1) ERRO (147570) session(0x517fa0) Failed to Retrieve Key from AD for SPN:exchangeMDB/outlook.sicredi.net.br error:16 [SRKeyRetriever.cpp:267]

'''09/25/2012 18:47:54.147(Local)(9063 0.1) ERRO (147592) Key retrieval failed with Status 16 [SRKeyMgr.cpp:157]

''''''09/25/2012 18:47:54.147(Local)(9063 0.1) ERRO (147623) Identity "WAASMacAct" has been blacklisted [SRDiIdMgr.cpp:258]

''''''09/25/2012 18:47:54.147(Local)(9063 0.1) ERRO (147631) Key retrieval failed due to permission issue [SRKeyMgr.cpp:167]

'''09/25/2012 18:47:54.147(Local)(9063 0.1) ERRO (147636) Identity: WAASMacAct will be black listed. [SRKeyMgr.cpp:168]

09/25/2012 18:47:54.147(Local)(9063 0.1) NTCE (147657) Calling KrbKeyResponse  key handler in srlib [SRServer.cpp:189]

09/25/2012 18:47:54.147(Local)(9063 0.1) NTCE (147722) Queued send reponse buffer to client task [SrlibServerTransport.cpp:136]

09/25/2012 18:47:54.147(Local)(9063 0.1) NTCE (147730) KrbKeyResponse, sent to client session object [SrlibServer.cpp:203]

09/25/2012 18:47:54.147(Local)(9063 0.0) NTCE (147733) SendNextCmd isDuringSend 0, WriteQueue size 1 isDuringClose 0 [SrlibServerTransport.cpp:308]

09/25/2012 18:47:54.147(Local)(9063 0.1) NTCE (147740) Send Key response to the Client

Resolução 1: Consulte o guia de configuração e verifique se o objeto no AD tem as permissões corretas. "Replicando alterações de diretório" e "Replicando alterações de diretório tudo" devem ser definidos para permitir.

http://www.cisco.com/en/US/docs/app_ntwk_services/waas/waas/v511/configuration/guide/policy.html#wp1256547

Problema 2: Há um desvio de tempo entre o Core WAE e o KDC a partir do qual ele tenta obter a chave

Saída do sr-errolog no Core WAE

10/23/2012 01:31:33.507(Local)(1832 0.1) NTCE (507836) Initiating key retrieval [SRServer.cpp:271]

10/23/2012 01:31:33.507(Local)(1832 0.1) NTCE (507878) Match found for DN: pdidc.cisco.com is ID:MacchineAcctWAAS [SRDiIdMgr.cpp:163]

10/23/2012 01:31:33.507(Local)(1832 0.1) NTCE (507888) Identity MacchineAcctWAAS found in the Map [SRDiIdMgr.cpp:702]

10/23/2012 01:31:33.507(Local)(1832 0.1) NTCE (507901) DN Info found for domain pdidc.cisco.com [SRIdentityObject.cpp:168]

10/23/2012 01:31:33.507(Local)(1832 0.1) NTCE (507923) DRS_SPN: E3514235-4B06-11D1-AB04-00C04FC2DCD2/e4c83c51-0b59-4647-b45d-780dd2dc3344/PDIDC.CISCO.COM for

PDI-7541-DC@PDIDC.CISCO.COM [GssCli.cpp:51]

10/23/2012 01:31:33.507(Local)(1832 0.1) NTCE (507933) CREATED srkr obj(0x2aaaac0008c0) for spn (exchangeMDB/pdidc-exchange1.pdidc.cisco.com) [SRKeyMgr.cpp:134]

10/23/2012 01:31:33.508(Local)(1832 1.6) NTCE (508252) Import cred successfull for pn: PDI-7541-DC@PDIDC.CISCO.COM [GssCli.cpp:135]

10/23/2012 01:31:33.511(Local)(1832 1.6) ERRO (511151) CreateSecurityContext: gss_init_sec_context failed [majorStatus = 851968 (0xd0000)] [GssCli.cpp:176]

'''10/23/2012 01:31:33.511(Local)(1832 1.6) ERRO (511170) GSS_MAJOR ERROR:851968 msg_cnt:0, Miscellaneous failure (see text)CD2 [GssCli.cpp:25]

10/23/2012 01:31:33.511(Local)(1832 1.6) ERRO (511177) GSS_MINOR ERROR:2529624064 msg_cnt:0, Clock skew too great [GssCli.cpp:29]

10/23/2012 01:31:33.511(Local)(1832 1.6) ERRO (511182) gsskrb5_get_subkey failed: 851968,22, [GssCli.cpp:198]

10/23/2012 01:31:33.511(Local)(1832 1.6) ERRO (511188) session(0x2aaaac0008c0) Error: Invalid security ctx state, IsContinue is false with out token exchange

[SRKeyRetriever.cpp:386]

10/23/2012 01:31:33.511(Local)(1832 1.6) ERRO (511193) session(0x2aaaac0008c0) Failed to Retrieve Key from AD for SPN:exchangeMDB/pdidc-exchange1.pdidc.cisco.com error:1

[SRKeyRetriever.cpp:267]'''

10/23/2012 01:31:33.511(Local)(1832 0.0) ERRO (511213) Key retrieval failed with Status 1 [SRKeyMgr.cpp:157]

Resolução 2: Use a atualização em todos os WAEs (especialmente o Núcleo) para sincronizar o relógio com o KDC. Em seguida, aponte para o servidor NTP empresarial (preferencialmente o mesmo que o KDC).

Problema 3: O domínio definido para o serviço de Criptografia não corresponde ao domínio em que o servidor Exchange está.

Saída do sr-errolog no Core WAE

10/23/2012 18:41:21.918(Local)(3780 1.5) NTCE (918788) Key retrieval is in Progress [SRServer.cpp:322]

10/23/2012 18:41:21.918(Local)(3780 1.5) NTCE (918793) initiating key retrieval in progress [SRDataServer.cpp:441]

10/23/2012 18:41:21.918(Local)(3780 0.0) NTCE (918790) Initiating key retrieval [SRServer.cpp:271]

10/23/2012 18:41:21.918(Local)(3780 1.5) NTCE (918798) Sending ack for result 2, item name /cfg/gl/sr/sr_get_key/pdidc-exchange.cisco.com@cisco.com [SRDataServer.cpp:444]

10/23/2012 18:41:21.918(Local)(3780 0.0) ERRO (918813) Failed to find Identity match for domain cisco.com [SRDiIdMgr.cpp:157]

10/23/2012 18:41:21.918(Local)(3780 0.0) NTCE (918821) Failed to find identity match for domain [SRKeyMgr.cpp:120]

10/23/2012 18:41:21.918(Local)(3780 0.0) NTCE (918832) Send Key response to the Client for spn: exchangeMDB/pdidc-exchange.cisco.com, # of req's: 1 [SRKeyMgr.cpp:296]

Resolução 3: Se o seu Core WAE atender a vários servidores Exchange em domínios diferentes, você deverá configurar uma Identidade de serviço de criptografia para cada domínio em que os servidores Exchange residem.

Observação: NÃO há suporte para o subdomínio incluir no momento. Se você tiver myexchange.subdomain.domain.com , a Identidade do serviço de criptografia deve estar em subdomain.domain.com; ELE NÃO PODE estar no domínio pai.

Problema 4: Se a WANSecure falhar, suas conexões podem cair para TG

As conexões eMAPI podem ser transferidas para o AO genérico porque o plumb seguro da WAN falhou. Falha no plumb seguro da WAN porque a verificação do certificado falhou. A verificação de certificado de peer falhará porque o certificado de peer autoassinado padrão está sendo usado ou o certificado falhou legitimamente na verificação de OCSP.

Configurações principais do WAE

crypto pki global-settings

ocsp url http://pdidc.cisco.com/ocsp

revocation-check ocsp-cert-url

exit

!

crypto ssl services host-service peering

peer-cert-verify

exit

!

WAN Secure:

Accelerator Config Item              Mode           Value

-----------------------              ----           ------

SSL AO                               User           enabled

Secure store                         User           enabled

Peer SSL version                     User           default

Peer cipher list                     User           default

Peer cert                            User           default

Peer cert verify                     User           enabled

Isso resultará nas seguintes entradas mapiao-errorlog e wsao-errorlog:

A dica aqui é a primeira linha realçada "desconectado mais de quatro vezes consecutivas"

Mapiao-errorlog no WAE do lado do cliente:

'''10/08/2012 20:02:15.025(Local)(24333 0.0) NTCE (25621) (fl=267542) Client 10.16.1.201 disconnected more than four consecutive times - push down to generic ao.

[EdgeTcpConnectionDceRpcLayer.cpp:1443]

'''10/08/2012 20:02:15.025(Local)(24333 0.0) NTCE (25634) (fl=267542) CEdgeIOBuffers:: StartHandOverProcessSingleConnection: SECURED_STATE_NOT_ESTABLISHED

[EdgeIOBuffers.cpp:826]

10/08/2012 20:02:15.025(Local)(24333 0.0) NTCE (25644) (fl=267542) CEdgeIOBuffers::CheckSendHandOverRequestToCoreAndBlockLan - Blocking LAN for read operations after last

fragment of call id 0, current call id is 2 [EdgeIOBuffers.cpp:324]

10/08/2012 20:02:15.048(Local)(24333 0.1) NTCE (48753) (fl=267542) Connection multiplexing enabled by server on the connection. [EdgeTcpConnectionDceRpcLayer.cpp:499]

10/08/2012 20:02:15.048(Local)(24333 0.1) NTCE (48771) (fl=267542) Header signing enabled by server on the connection. [EdgeTcpConnectionDceRpcLayer.cpp:510]

10/08/2012 20:02:15.048(Local)(24333 0.1) NTCE (48779) (fl=267542) CEdgeIOBuffers:: StartHandOverProcessSingleConnection: GENERAL_UNCLASSIFIED [EdgeIOBuffers.cpp:826]

Wsao-errorlog no WAE do lado do cliente:

'''10/08/2012 20:04:34.430(Local)(5939 4.0) ERRO (430001) certificate verification failed 'self signed certificate' [open_ssl.cpp:1213]

'''10/08/2012 20:04:34.430(Local)(5939 4.0) ERRO (430047) ssl_read failed: 'SSL_ERROR_SSL' [open_ssl.cpp:1217]

10/08/2012 20:04:34.430(Local)(5939 4.0) ERRO (430055) openssl errors: error:14090086: SSL routines: SSL3_GET_SERVER_CERTIFICATE:certificate verify failed:s3_clnt.c:1244:

[open_ssl.cpp:1220]

Resolução 4: Remova a configuração do peer cert de ambos os WAEs e reinicie o serviço de criptografia no(s) Core WAE(s).

pdi-7541-dc(config)#crypto ssl services host-service peering

pdi-7541-dc(config-ssl-peering)#no peer-cert-verify

pdi-7541-dc(config)#no windows-domain encryption-service enable

pdi-7541-dc(config)#windows-domain encryption-service enable

Problema 5: Se o NTLM for usado pelo cliente do Outlook, a conexão será enviada para o AO genérico.

Você verá o seguinte no mapiao-errorlog no WAE do lado do cliente:

'''waas-edge#find-patter match ntlm mapiao-errorlog.current

'''

09/21/2012 20:30:32.154(Local)(8930 0.1) NTCE (154827) (fl=83271) Bind Request from client with AGID 0x0, callId 1, to dest-ip 172.21. 12.96, AuthLevel:

PRIVACY '''AuthType:NTLM '''AuthCtxId: 153817840 WsPlumb: 2 [EdgeTcpConnectionDceRpcLayer.cpp:1277]

09/21/2012 20:30:32.154(Local)(8930 0.1) NTCE (154861) (fl=83271) '''Unsupported''' '''Auth Type :NTLM''' [EdgeTcpConnectionDceRpcLayer.cpp:1401] 09/21/2012 20:30:40.157(Local)

(8930 0.0) NTCE (157628) (fl=83283) Bind Request from client with AGID 0x0, callId 2, to dest-ip 172.21. 12.96, AuthLevel: PRIVACY AuthType:NTLM AuthCtxId: 153817840

WsPlumb: 2 [EdgeTcpConnectionDceRpcLayer.cpp:1277]

Resolução 5: O cliente deve habilitar/exigir a autenticação Kerberos em seu ambiente Exchange. NTLM NÃO é suportado (a partir de 5.1)

Esteja ciente de que há um resumo técnico da Microsoft que chama a atenção para uma queda de NTLM quando um CAS é usado.

O cenário em que Kerberos não funciona é específico para o Exchange 2010 e está no seguinte cenário:

Vários Servidores de Acesso de Cliente Exchange (CAS) em uma organização/domínio.

Esses servidores CAS são agrupados usando qualquer método - usando a função de matriz de cliente incorporada da Microsoft ou um balanceador de carga de terceiros.

No cenário acima, o Kerberos não funciona - e os clientes voltarão ao NTLM por padrão. Acredito que isso se deve ao fato de que os clientes devem AUTH para o servidor CAS versus o servidor Mailbox, como fizeram em versões anteriores do Exchange.

No Exchange 2010 RTM, não há solução para isso! O Kerberos no cenário acima nunca funcionará antes do Exchange 2010-SP1.

No SP1, o Kerberos pode ser ativado nesses ambientes, mas é um processo manual. Veja o artigo aqui: http://technet.microsoft.com/en-us/library/ff808313.aspx

Registro MAPI AO

- Os seguintes arquivos de log estão disponíveis para solução de problemas de MAPI AO:

- Arquivos de log de transação: /local1/logs/tfo/working.log (e /local1/logs/tfo/tfo_log_*.txt)

Depurar arquivos de log: /local1/errorlog/mapiao-errorlog.current (e mapiao-errorlog.*)

Para facilitar a depuração, você deve primeiro configurar uma ACL para restringir pacotes a um host.

WAE674(config)# ip access-list extended 150 permit tcp host 10.10.10.10 any

WAE674(config)# ip access-list extended 150 permit tcp any host 10.10.10.10

Para ativar o registro de transações, use o comando de configuração transaction-logs da seguinte maneira:

wae(config)# transaction-logs flow enable

wae(config)# transaction-logs flow access-list 150

Você pode exibir o final de um arquivo de log de transações usando o comando type-tail da seguinte maneira:

wae# type-tail tfo_log_10.10.11.230_20090715_130000.txt

Wed Jul 15 19:12:35 2009 :2289 :10.10.10.10 :3740 :10.10.100.101 :1146 :OT :END :EXTERNAL CLIENT :(MAPI) :822 :634 :556 :706

Wed Jul 15 19:12:35 2009 :2289 :10.10.10.10 :3740 :10.10.100.101 :1146 :SODRE :END :730 :605 :556 :706 :0

Wed Jul 15 19:12:35 2009 :2290 :10.10.10.10 :3738 :10.10.100.101 :1146 :OT :END :EXTERNAL CLIENT :(MAPI) :4758 :15914 :6436 :2006

Wed Jul 15 19:12:35 2009 :2290 :10.10.10.10 :3738 :10.10.100.101 :1146 :SODRE :END :4550 :15854 :6436 :2006 :0

Wed Jul 15 19:12:35 2009 :2284 :10.10.10.10 :3739 :10.10.100.101 :1146 :OT :END :EXTERNAL CLIENT :(MAPI) :1334 :12826 :8981 :1031

Para configurar e ativar o registro de depuração do MAPI AO, use os seguintes comandos.

NOTE: O registro de depuração exige muito da CPU e pode gerar uma grande quantidade de saída. Use-o de forma inteligente e moderna em um ambiente de produção.

Você pode ativar o registro detalhado no disco da seguinte maneira:

WAE674(config)# logging disk enable

WAE674(config)# logging disk priority detail

Você pode ativar o registro de depuração para conexões na ACL da seguinte maneira:

WAE674# debug connection access-list 150

As opções para depuração MAPI AO são as seguintes:

WAE674# debug accelerator mapi ?

all enable all MAPI accelerator debugs

Common-flow enable MAPI Common flow debugs

DCERPC-layer enable MAPI DCERPC-layer flow debugs

EMSMDB-layer enable MAPI EMSMDB-layer flow debugs

IO enable MAPI IO debugs

ROP-layer enable MAPI ROP-layer debugs

ROP-parser enable MAPI ROP-parser debugs

RPC-parser enable MAPI RPC-parser debugs

shell enable MAPI shell debugs

Transport enable MAPI transport debugs

Utilities enable MAPI utilities debugs

Você pode ativar o registro de depuração para conexões MAPI e, em seguida, exibir o final do registro de erros de depuração da seguinte maneira:

WAE674# debug accelerator mapi Common-flow

WAE674# type-tail errorlog/mapiao-errorlog.current follow