2012 R2 WSUS Email Benachrichtigung "Connection not Secure"

[Scrush]

Abend

ich versuche gerade mir selbst einen WSUS aufzusetzen, jedoch scheitere ich am Einstellen der Email Benachrichtigung

Der server läuft in einer VM (VM workstation player12)

beim testen krieg ich folgenden error:

System.Net.Mail.SmtpException: Für den SMTP-Server ist eine sichere Verbindung erforderlich, oder der Client wurde nicht authentifiziert. Die Serverantwort war: 5.7.0 Must issue a STARTTLS command first
bei Microsoft.UpdateServices.Internal.BaseApi.SoapExceptionProcessor.DeserializeAndThrow(SoapException soapException)
bei Microsoft.UpdateServices.Internal.DatabaseAccess.AdminDataAccessProxy.SendTestEmail(String emailLanguage, String smtpUserName, String senderEmailAddress, String smtpHostName, Int32 smtpPort, String recipients)
bei Microsoft.UpdateServices.Internal.BaseApi.EmailNotificationConfiguration.SendTestEmail()
bei Microsoft.UpdateServices.UI.SnapIn.Dialogs.EmailNotificationSettingsDialog.backgroundWorker_DoWork(Object sender, DoWorkEventArgs e)

als Mail wollte ich mein MS konto nutzen.

Wer kann mir hier mal kurz weiterhelfen?

 

[Scrush]

also ich hab mitlerweile einigermaßen verstanden dass es was mit dem maileinstellungen zu tun hat und ich evtl TLS brauch. jedoch finde ich eine einstellung dazu nicht.

ich hab auch mal mit meinem google konto ausprobiert und verschiedne SMTP server von google geommen :

https://support.google.com/a/answer/176600?hl=de

dadurch bekam ich auch immer mal andere fehlermeldungen aber die haben mich dann auch noch nicht weiter gebracht ^^

 

[fdsonne]

Die Meldung lässt darauf schließen, dass dein Port 25 (Standard SMTP) nicht vom Mailrelay bei Microsoft in der Cloud angenommen wird und wie ebenfalls in der Meldung steht, dass du nur verschlüsselt senden kannst (STARTTLS command) wie auch dass der Nutzer bzw. das PW möglicherweise nicht stimmt.

Die Frage ist nun A) lässt sich über die Microsoft Server überhaupt relayen? -> ist Quell- und Zieldomain der beiden von dir im Bild ausgegrauten Mailadressen identisch? Schickst du an den gleichen MS Account, mit dem du dich auch authentifizierst?
Oder B) welchen Port nutzt der MS Mailserver?

PS: probiert mal Port 587...
Bin mir gerade nicht ganz sicher, ob der WSUS überhaupt TLS versteht beim Mailing. Ggf. kann man das nur via Powershell oder CMD einhämmern... Denn du brauchst noch ein Zertifikat, damit da verschlüsselt werden kann das geht imho nicht über die GUI einzudrehen...

EDIT: geht wohl recht sicher nicht mit TLS beim WSUS. Ein dirty Workaround wäre, installiert dir nein local SMTP Server, das geht via Drittanbietersoftware nach Wahl, oder auch mit dem so oder so schon laufenden IIS. Wenn ich das richtig gelesen habe, wird bei SMTP Server zu SMTP Server kein TLS benötigt. Der WSUS schickt dann an localhost und der SMTP Dienst vom IIS schickt zum MS Server. Technisch geht damit sogar TLS, musst nur ein Zertifikat in den local Computer store Hochlagen... darf theoretisch auch selfsigned sein.
Was zum lesen:
http://www.msxfaq.de/howto/winsmtp.htm
Configmenus beim 2012 R2 ggf. aber leicht anders...

 

[Scrush]

oje aber danke schonmal

also ja ich hab versuchst über die gleiche adresse abzusenden und zu empfangen.

also über mein ms account : xxx@outlook.com

wenn ich folgendes mache dann bekomm ich ne neue meldung die erstmal nichts mit verschklüsslung bzw. TLS zu tun hat.

System.Net.Mail.SmtpException: Postfach nicht verfügbar. Die Serverantwort war: 5.7.0 Mail relay denied [93.204.106.165]. Invalid credentials for relay for
bei Microsoft.UpdateServices.Internal.BaseApi.SoapExceptionProcessor.DeserializeAndThrow(SoapException soapException)
bei Microsoft.UpdateServices.Internal.DatabaseAccess.AdminDataAccessProxy.SendTestEmail(String emailLanguage, String smtpUserName, String senderEmailAddress, String smtpHostName, Int32 smtpPort, String recipients)
bei Microsoft.UpdateServices.Internal.BaseApi.EmailNotificationConfiguration.SendTestEmail()
bei Microsoft.UpdateServices.UI.SnapIn.Dialogs.EmailNotificationSettingsDialog.backgroundWorker_DoWork(Object sender, DoWorkEventArgs e)

also von google nach google

EDIT : mit port 465 sucht er und schmeißt mir das :

Spoiler

System.Net.Mail.SmtpException: Fehler beim Senden von Mail. ---> System.IO.IOException: Von der Übertragungsverbindung können keine Daten gelesen werden: net_io_connectionclosed.
--- Ende der internen Ausnahmestapelüberwachung ---
bei Microsoft.UpdateServices.Internal.BaseApi.SoapExceptionProcessor.DeserializeAndThrow(SoapException soapException)
bei Microsoft.UpdateServices.Internal.DatabaseAccess.AdminDataAccessProxy.SendTestEmail(String emailLanguage, String smtpUserName, String senderEmailAddress, String smtpHostName, Int32 smtpPort, String recipients)
bei Microsoft.UpdateServices.Internal.BaseApi.EmailNotificationConfiguration.SendTestEmail()
bei Microsoft.UpdateServices.UI.SnapIn.Dialogs.EmailNotificationSettingsDialog.backgroundWorker_DoWork(Object sender, DoWorkEventArgs e)

EDIT : mit port 587 sucht er und schmeißt mir das :

Spoiler

System.Net.Mail.SmtpException: Fehler beim Senden von Mail. ---> System.IO.IOException: Von der Übertragungsverbindung können keine Daten gelesen werden: net_io_connectionclosed.
--- Ende der internen Ausnahmestapelüberwachung ---
bei Microsoft.UpdateServices.Internal.BaseApi.SoapExceptionProcessor.DeserializeAndThrow(SoapException soapException)
bei Microsoft.UpdateServices.Internal.DatabaseAccess.AdminDataAccessProxy.SendTestEmail(String emailLanguage, String smtpUserName, String senderEmailAddress, String smtpHostName, Int32 smtpPort, String recipients)
bei Microsoft.UpdateServices.Internal.BaseApi.EmailNotificationConfiguration.SendTestEmail()
bei Microsoft.UpdateServices.UI.SnapIn.Dialogs.EmailNotificationSettingsDialog.backgroundWorker_DoWork(Object sender, DoWorkEventArgs e)

 

[fdsonne]

Mail relay denied -> du darfst nicht relayen.
Relay meint eigentlich den Umstand, dass ein Client (in dem Fall dein WSUS) über einen Server (in dem Fall der SMTP Server bei Microsoft) an Dritte Mails senden darf. Da der WSUS kein Mailserver ist geht das so über public scheinbar nicht.

Normal wird, sofern das überhaupt erlaubt ist, ein Nutzer benötigt, der eben das Relayrecht hat. Hintergrund ist der, es könnte potenziell sonst Jeder kommen und über den Server wild Mails versenden. Deswegen verhindert man das in der Regel.

Mit deinem googlemail ist es dort analog. Es wird auch TLS benötigt und eine Authentifizierung.

Ich hab aber auch noch nie versucht, derartige Mails über einen public Mailserver zu versenden. Recht sicher sollte das aber mit dem SMTP Dienst vom IIS und aktivem TLS klappen.

 

[Scrush]

ok verständlich jo.

ich denke das wird mir zu krass ab hier.^^

was gäbs denn als alternative?

 

[fdsonne]

Auf die fast unsinnigen Reportmails verzichten
Patchday ist bei MS idR. der zweite Dienstag im Monat. Sprich schaust du ab Mittwoch da in die Konsole, siehst du auch, welche Updates neu sind und auf deine Genehmigung warten.
Den Status der hinterlegten Clients siehst du ebenso in der Konsole... viel mehr Infos spuckt der Report auch nicht aus. Da kann man durchaus drauf verzichten.

Wichtiger ist eher, die Kiste richtig zu konfigurieren. Willst du Treiber, ja oder nein? Willst du gewisse oder gar alle Updates automatisch genehmigen? Willst du Updates lokal im WSUS vorhalten oder dass der Client bei MS direkt runter lädt, willst du potenziell alle Kategorien von Updates abdecken usw.
Sind paar Settings einmalig sauber zu hinterlegen und dann geht's los...

 

[Scrush]

das mit dem dienstag wusst ich, jedoch hab ich das gefühl dass sich das bei win10 geändert hatte. als das rauskam gabs fast jeden 2 tag updates^^

hab deinen edit oben gerade gesehen

in der vm macht sich die mail einstellung eh nicht nutzbar. denn damit ich ne mail kriege muss die vm laufen und das macht auf meinem client ja absolut keinen sinn ^^

edit :

jetzt steh ich vorm nächsten problem. meine vm findet meinen rechner nicht und umgedreht. ich glaube das war heute mittag noch nicht so. ^^

vm ist auf bridged. also beide im gleichen netz

Edit :

Make network setting as Bridged.
Enable VMCI (this enables hosts , guests to communicate with each other)

 

[fdsonne]

Dann lass weg, das was da täglich kommt ist wie gesagt nur der Report der neu dazu gekommenen Updates. Ohne Treiber und mit allen aktiven Kategorien/Softwaretypen sind das im Schnitt um die 30-50 am Tag. So gut wie nix wirst du davon aber benötigen. bestenfalls ein paar Definition Updates für den Defender, wenn du den aktiv hast.

- - - Updated - - -

Was heist finden?
Pauschal ins Blaue geraten -> Windows Firewall ist aktiv und blockt...

Deaktivier die mal temporär auf beiden Seiten um zu prüfen ob es dann geht...

 

[Scrush]

leider find ich die option VMCI nicht im workstation player. brauch ich die überhaupt?

 

[fdsonne]

Eigentlich brauchst du das nicht... es scheint aber hin und wieder Probleme zu geben bei Verbindungen von Host zu VM und umgekehrt. Als ich dass das letzte mal bei mir hatte, war ich noch mit dem VMware Server 1.irgendwas unterwegs.

Mhh wie lösen, gute Frage... wenn du auf configure Adapter klickt, was steht dort hinterlegt? Steht der physische Adapter da drin, also der richtige?
Die Autobridge funktioniert offenbar teils nicht richtig...
Und kannst du von der VM ein Drittes Gerät im LAN erreichen? Bspw. deinen Router?

 

[Scrush]

den router/gw erreicht die vm ohne probleme. das heißt ja dass das gerät im netz eindeutig vorhanden ist und auch gesehen werden müsste. evtl wird das ding von anderen clients gesehen aber nur nicht vom host/mir selber und umgekehrt. hab aber gerade kein anderen rechner da außer den firmen lappy. müsste ich mal probieren

ich probier mal etwas rum.

 

[fdsonne]

Wenn es nicht zwingend der VMware Player sein muss, könntest du alternativ mal VirtualBox testen, die 2012er VM sollte sich da importieren lassen. Zur Not nur die VMDK übernehmen. Nicht dass es nur ne unglückliche Kombination aus Hardware, Treiber und Software ist... An der VM sollte es zumindest nicht liegen. Wahrscheinlich hätte jede VM im Player das gleiche Problem...

 

[Scrush]

ist der schon draußen ?^^

 

[fdsonne]

ist der schon draußen ?^^

Nein... Du kannst bestenfalls ne Preview oder wie das da auch immer heist, nutzen...
Da die WSUS Rolle im Endeffekt, soweit ich das mitbekommen habe, nicht anders ist, hat es keinen Sinn, da auf ne teils noch instabile Vorabversion zu gehen... Dein Problem mit der Host zu Client Kommunikation löst du damit im Endeffekt auch nicht, da es, wie schon erwähnt, eher eine komische Eigenart bei VMware ist und dort recht häufig in gewissen Konstellationen auftreten kann.