Как решить проблемы с автообнаружением Exchange (xml) и любыми необычными клиентами, такими как Windows Communication Apps [HxTsr.exe] со сложной конфигурацией DNS?

Для поисковой системы элементы контекста:

• Обмен онлайн
• Office 365/Microsoft 365 --> Отдельный Outlook --> outlook.office.com
• Приложение «Почта и календарь» для Windows [HxTsr.exe, «microsoft.windowscommunicationapps»]
• Перенаправление домена Apex на www.~
• Облачный DNS
• Использование воркеров Cloudflare
• HSTS, также для субдоменов
• Условный доступ [Azure] блокирует устаревшие методы аутентификации. («базовая аутентификация».)
• cname autodiscover.domain.tld было настроено на autodiscover.outlook.com. как и ожидалось, трюки Cloudflare для этой записи отключены.
• Cloudflare предоставляет SSL для большинства доменов, кроме autodiscover.domain.tld.

Теперь нежелательное поведение:

В этом случае автообнаружение не работало для «windowsкоммуникационных приложений», отныне называемых «проблемным клиентом» или «клиентом». Он работал с последней версией Outlook для Windows, скорее всего, из-за более современных встроенных методов автообнаружения, которые пропускают устаревшие методы автообнаружения.

Проблемный клиент будет загружаться и загружать и запрашивать пароль для базовой аутентификации, а затем запрашивать имя пользователя и домен, а после этого отображать ошибку с возможностью перейти в расширенный режим и снова ввести все, включая сервер. После этого, после того как я вспомнил ввести Outlook.office365.com как сервер, он предложил пользователю современное окно аутентификации Microsoft.

Что пошло не так:

Клиент пытался получить https://rootdomain.tld/autodiscover/autodiscover.xml. (Замечено в журнале брандмауэра cloudflare.)

Он был перенаправлен на https://www.rootdomain.tld/autodiscover/autodiscover.xml. (Видел в инструмент MS.)

Из-за сложной конфигурации воркеров Cloudflare клиент не получил 404 обратно в первый раз. Он просто продолжал загружаться и загружаться. В конфигурации варианта выделенный работник Cloudflare вернул страницу 404; это не решило проблему.

Проблема была в том, что было слишком много всего.

• http был перенаправлен на https.
• Корень (апекс) был перенаправлен на www.домен.tld/$1 и
• autodiscover.~ должен был разрешить autodiscover.outlook.com, но по какой-то причине не доставил xml. (С помощью инструмента Microsoft я показал:

Тестирование TCP-порта 443 на узле autodiscover.juramento.nl, чтобы убедиться, что он прослушивается и открыт.

Указанный порт либо заблокирован, либо не прослушивается, либо не выдает ожидаемого ответа.

• Одним из следующих шагов в квесте Autodiscovery является поиск перенаправлений на autodiscover.domain.tld, что позволило найти https://autodiscover-s.outlook.com/Autodiscover/Autodiscover.xml

Предполагалось, что проблемный клиент не зашел так далеко и слишком рано отказался от своего квеста автообнаружения. Я не уверен, должен ли запрос GET по адресу autodiscover.domiain.tld:443 доставлять ошибку для Exchange Online, но перенаправление сработало, как хотелось, и как только инструмент Microsoft обнаружил https://autodiscover-s.outlook.com/Autodiscover/Autodiscover.xml все стало зеленым, пока не возникла ожидаемая ошибка базовой аутентификации из-за блокировки устаревших методов аутентификации в условном доступе.

Вопросы:

1. Почему этот клиент не может быстро подключиться к Exchange/Office 365?
2. Почему этот клиент запрашивает базовую аутентификацию?
3. Почему автообнаружение не работает для этого домена?
4. Что на самом деле делает автообнаружение шаг за шагом?
5. Что мы можем сделать, чтобы сократить этапы автообнаружения и помочь исходному проблемному клиенту?
6. Что я могу сделать, чтобы быстро исправить автообнаружение для Exchange Online?

Советы

• Создайте дополнительный тестовый аккаунт.
• Использовать https://testconnectivity.microsoft.com/tests/Eas/input как проверка на вменяемость.
• Этот тест https://testconnectivity.microsoft.com/tests/O365Eas/input умнее, но не имитирует поведение проблемного клиента.

Решение

Я использовал Cloudflare DNS, добавил правило переадресации для пересылки этого конкретного несуществующего ресурса:

https://apexdomain.tld/autodiscover/autodiscover.xml

к

https://autodiscover-s.outlook.com/Autodiscover/Autodiscover.xml

Это значительно сокращает цепочку автообнаружения. (Подтверждено инструментом Microsoft.) Следовательно, это также ограничивает количество вещей, которые могут пойти не так.

Проблемный клиент теперь показывает окно современной аутентификации очень быстро, как хотелось бы.

Примечания

• Я отключил облачного работника, доставляющего 404 для https://apexdomain.tld/autodiscover/autodiscover.xml, хотя я оставил его работать для https://www.domain.tld/autodiscover/autodiscover.xml хотя я больше не вижу, чтобы цепь туда попала. Единственная причина, по которой этот URI был посещен, — это вершина www. правило переадресации. Так что я только что понял, что он может удалить и этот маршрут;), но для записи тестового примера, он был активен во время теста.
• Я не знаю, имеют ли правила Cloudflare приоритет над маршрутами Cloudflare Worker. Вы должны настроить их xOR в любом случае.

Я нахожу сложность автообнаружения проблематичной. Многое может пойти не так. По иронии судьбы, механизм автообнаружения настолько сложен, что можно было бы создать конфигурацию автообнаружения автообнаружения, чтобы автоматически загружать куда Начало автообнаружение для определенного домена. :/

• Непосредственно перед публикацией я нашел ссылку в окне автопоиска на следующий пост. Креативный постер столкнулся с похожими проблемами, включая ошибку порта 443 и аналогичное решение, только в другом месте (обратный прокси).

Меня озадачивает тот факт, что сообщение не появилось в моих результатах Google, но я рад видеть, что некоторые из наших наблюдений и решений совпадают. ^^

Источники

https://practical365.com/fixing-autodiscover-root-domain-lookup-issues-mobile-devices/

https://www.datarepairtools.com/blog/autodiscover-not-working-while-connecting-to-office-365-account/

Связанное чтение:

https://docs.microsoft.com/en-us/exchange/architecture/client-access/autodiscover?view=exchserver-2019#autodiscover-services-in-outlook