Exchange 2010 混合无法建立相互 TLS 使用了错误的证书

配置 Exchange 2010 混合环境时，将在 Exchange 2010 服务器上创建接收连接器。此接收连接器使用在混合配置向导中输入的 FQDN（请参阅上一篇有关 Exchange 2010 混合的博客文章）和 Microsoft Exchange Online 服务器的源 IP 地址进行配置。如果这些服务器之一访问 Exchange 2010 环境，它们最终会位于 Office 365 接收连接器（基于 IP 地址）上，并返回正确的 SSL 证书。这样，就可以在本地 Exchange 2010 和 Exchange Online 之间建立相互 TLS。

有时，本地 Exchange 与 Exchange Online 之间的 SMTP 通信使用了错误的证书，从而导致两者之间的 SMTP 邮件流失败。

您可以在 Exchange Online 的 Exchange 管理中心 (EAC) 中检查这一点。登录到 Exchange Online 中的 EAC，选择邮件流，然后单击连接器选项卡。您会看到两个连接器。 1 个连接器用于将邮件从 Exchange 2010 发送到 Exchange Online，1 个连接器用于将邮件从 Exchange Online 发送到 Exchange 2010。

您可以（或必须）验证发送连接器。当您在 EAC 中单击验证时，您必须输入 Exchange 2010 中用户的电子邮件地址才能单击“验证”。一段时间后，EAC 将返回其调查结果，在这种情况下，状态为失败：

当您单击详细信息（铅笔图标）时，您可以看到出了什么问题。清晰可见的是 TLS 身份验证失败：

在 Exchange 2010 服务器（多角色）上有三个证书。一个证书是自签名证书 (CN=SRV01)，另一个证书是 Digicert 证书 (CN=Webmail.inframan.nl)。自签名证书用于与 Exchange 2010 边缘传输服务器进行身份验证，Digicert 证书用于 IIS 和 SMTP。

根据 FQDN 和源 IP 地址（Exchange Online），应该返回此证书，但显然它返回的是自签名证书而不是 Digicert 证书。

检查接收连接器的 SMTP 协议日志文件（启用详细日志记录）时，您可以看到源 IP 地址不是 Exchange Online 服务器的 IP 地址，但在本例中是 F5 负载平衡器的 IP 地址：

这是由F5负载均衡器中的SNAT（源网络地址转换）引起的。您很容易忘记此步骤，因为正常的 SMTP 邮件流通过 F5 工作，并且通过 F5 的 OWA 工作正常。但对于使用原始源 IP 地址的 Office 365，这成为一个问题。

重新配置 F5 以便不再使用 SNAT（在入站流量上）后，我们可以再试一次。 EAC 中的发送连接器验证现已成功：

而且 SMTP 协议日志文件显示 Exchange Online 服务器的源 IP 地址，而不是 F5 的 IP 地址：

Exchange 2010 混合现在按预期工作，并且相互 TLS 用于保护 Exchange Online 和 Exchange 2010 之间的传输。