MSExchangeTransport 11024

Letztes Änderungsdatum des Themas: 2011-11-30

Dieser Artikel bietet eine Erläuterung und mögliche Lösungen für ein bestimmtes Exchange-Ereignis. Wenn Sie hier das Gesuchte nicht finden können, durchsuchen Sie die Exchange 2010-Hilfe.

Details

Explanation

This event indicates that the Microsoft Exchange Transport service is unable to use all of the names specified on a Subject Alternative Name (SAN) certificate. Because of this, remote clients or servers may be unable to establish a TLS connection to the Hub Transport server or to the Edge Transport server over a Receive or Send connector.

Microsoft Exchange Server 2010 includes improvements to the management of TLS. TLS lets an administrator configure an encrypted channel over which to communicate with other messaging servers. Additionally, this protocol lets a server authenticate connections before messages can be sent.

For more information, see the following topics:

• Grundlegendes zur Transportpipeline
• TLS-Funktionen und die zugehörige Terminologie in Exchange 2010
• Grundlegendes zu TLS-Zertifikaten
• Grundlegendes zu Empfangsconnectors

To support SMTP over TLS with remote servers, a Hub Transport server or Edge Transport server requires a Windows PKI certificate or a third-party certificate. When the Transport server has multiple service connection points (SCPs), the server must use one of the following configurations:

• A separate TLS certificate for each SCP
• A certificate that supports SAN

For more information about SAN certificates, see the following Microsoft Exchange Team blog articles:

• More on Exchange 2007 and certificates - with real world scenario
• Exchange 2007 lessons learned - generating a certificate with a 3rd party CA

Der Inhalt jedes Blogs und die dazugehörige URL kann ohne vorherige Ankündigung geändert werden. Der Inhalt jedes Blogs wird "WIE BESEHEN" ohne Gewährleistungen bereitgestellt und überträgt keine Rechte. Die Verwendung der enthaltenen Skriptbeispiele unterliegt den in den Nutzungsbestimmungen angegebenen Bedingungen.

The Microsoft Exchange Transport service can be configured to limit the number of Subject Alternative Names that it will accept on a TLS certificate. This limit is specified in the following key in the EdgeTransport.exe.config file:

<add key="SubjectAlternativeNameLimit" value="<value>" />

This logged event indicates that the EdgeTransport.exe.config file is configured to limit the Microsoft Exchange Transport service to use fewer SANs than are specified on the particular SAN certificate.

For more information, see How to Request a Certificate With a Custom Subject Alternative Name.

User Action

To troubleshoot this issue, do one or more of the following:

• Überprüfen Sie das Anwendungsprotokoll und das Systemprotokoll auf den Exchange 2010-Servern auf verwandte Ereignisse. Ereignisse, die unmittelbar vor oder nach diesem Ereignis auftreten, können z. B. weitere Informationen zur eigentlichen Ursache dieses Fehlers zur Verfügung stellen.
• Examine the installed certificates to verify that it is the appropriate certificate for use together with the Transport server. To view the certificates, follow these steps:
  1. Click Start, click Run, type mmc, and then click OK.
• On the File menu, click Add/Remove Snap-in.
  1. Click Certificates, click Add, click Computer account, click Next, and then click Finish.
  2. Click OK.
  3. Expand Certificates (Local Computer), expand Personal, and then click Certificates.
  4. In the details pane, view the certificate details to verify that the certificate reflects the publicly-accessible FQDN that is used to access the server.
     For more information, see Grundlegendes zu TLS-Zertifikaten.
• Edit the EdgeTransportConfig.exe.config file to modify the SAN limit. To do this, follow these steps:
  1. Start Windows Explorer, and then browse to the following folder:
     %ProgramFiles%\Microsoft\Exchange Server\V14\Bin
  2. Open the EdgeTransport.exe.config file by using any text editor, such as Notepad.
  3. Search for SubjectAlternativeNameLimit. If this key does not exist, add the following entry in the <appSettings> tag after the other entries:
     <add key="SubjectAlternativeNameLimit" value="<limit>" />
     For example, add the following entry:
     <add key="QueueDatabaseRecoveryAction" value="10" />
  4. Save the changes to the file, and then restart the Microsoft Exchange Transport service.
• Verify that the send connector that is used to send mail to the particular domain has TLS enabled. To do this, follow these steps:
  1. Start the Exchange Management Console, and then locate the Transport server that hosts the affected connector.
  2. On the Send Connectors tab, right-click the specified connector, and then click Properties.
  3. Click the Network tab, and then verify that the Enable Domain Security (Mutual Auth TLS) check box is selected.
  4. Restart the Microsoft Exchange Transport service.
• Verify that the Receive connector that receives mail from the particular domain has partner authentication enabled. To do this, follow these steps:
  1. Start the Exchange Management Console, and then locate the Transport server that hosts the affected connector.
  2. On the Receive Connectors tab, right-click the specified connector, and then click Properties.
  3. Click the Authentication tab, and then verify that the Transport Layer Security (TLS) and Enable Domain Security (Mutual Auth TLS) check boxes are selected.
  4. Restart the Microsoft Exchange Transport service.
• Lösen Sie Ihr Problem über die Optionen zur Selbsthilfe, die Optionen für technischen Support und andere Ressourcen. Sie können auf diese Ressourcen über das Exchange Server Solutions Center (möglicherweise in englischer Sprache) zugreifen. Klicken Sie auf dieser Seite im Navigationsbereich auf Optionen zur Selbsthilfe, um die Optionen zur Selbsthilfe zu verwenden. Zu den Optionen zur Selbsthilfe gehört das Durchsuchen der Microsoft Knowledge Base, das Stellen einer Frage in den Exchange Server-Foren und andere Methoden. Alternativ können Sie im Navigationsbereich auf Optionen für technischen Support klicken, um Kontakt mit einem Microsoft-Supportspezialisten aufzunehmen. Da es in Ihrer Organisation ein bestimmtes Verfahren für den direkten Kontakt mit dem Microsoft-Produktsupport geben kann, sollten Sie zuerst die Richtlinien Ihrer Organisation prüfen.

For more information about how to configure TLS, see the following topics.

• Verwenden der Domänensicherheit: Konfigurieren von MTLS
• Konfigurieren von TLS und SSL für POP3- und IMAP4-Zugriff