Exchange Hybrid Rückbau

On-Premises Objekte

Auf den lokalen Servern sollten natürlich keine Postfächer mehr liegen. Das Exchange Setup verhindert zwar die Installation aber da die Migration in die Cloud je nach Bandbreite auch länger dauern kann, sollten Sie mal schnell den aktuellen Status mit den beiden Commandlets prüfen.

Set-ADServerSetting -ViewEntireForest $true
Get-Mailbox
Get-PublicFolder
Get-MailPublicFolder

• Set-ADServerSetting -ViewEntireForest $true
  Wenn Sie mehrere Domains in ihrem Forest bedienen, dann stellen Sie damit sicher, dass der komplette Forest und nicht nur die aktuelle Domäne durchsucht wird
• Get-Mailbox
  Liefert ihnen alle Postfächer. Office 365 Postfächer sind als Remote-Mailbox hier nicht sichtbar. Die Systempostfächer, Healthcheck etc. sind nicht weiter relevant und werden später einfach entfernt
• Get-PublicFolder / Get-MailPublicFolder
  Es sollte keine Ordner mehr geben, die sie nicht schon migriert haben.

On-Premises Mailrouting / Client Access

Das Exchange Setup kontrolliert nur Datenspeicher (Mailbox, Public Folder) aber keine sonstigen Funktionen. Ehe Sie einen Server abschalten, sollten Sie die IIS/POP3/IMAP4-Logs und SMTP-Logs prüfen, ob hier noch Clients sich verbinden.

• Client Access Role
  Bis auf Autodiscover und Healthchecks sollte kein Client sich mehr mit den zu deinstallierenden Servern verbinden, da es dort ja keine Daten mehr gibt. Ein lokaler Exchange CAS/Frontend-Server kann auch kein Proxy in die Cloud sein. Sollte es noch Zugriffe geben, müssen Sie diesen nachgehen, da hier Prozesse nicht mehr arbeiten können und es anscheinend bislang niemand bemerkt hat,
• Mail Routing
  Bei SMTP liegt der Sachverhalt etwas anders, da auch ohne Postfach ein Exchange Server durchaus Mails per SMTP annimmt und weiterreichen kann. Es kann also Clients geben, die bislang per SMTP Mails einliefern und erst umgestellt werden müssten. Hier ist dann zu entscheiden, wie diese Clients zukünftig Mails einliefern. Ein direkter Versand zu Exchange Online ist möglich. wenn diese Systeme per SMTP das Internet erreichen können und Sie im Tenant die Quell-IP-Adressen aus dem Spamfilter ausnehmen.
  Solange aber lokal ein Hybrid Connector Server installiert bleibt, sollten sie die Clients dann auf diesen Server umstellen.

Mailrouting via Cloud

Damit die Mails später über die Cloud gesendet und empfangen werden, sind ein paar Einstellungen erforderlich

• Internet: MX-Record
  Sofern noch nicht geschehen, sollten Sie zuerst  ihren eingehenden MX-Record auf Exchange Online umstellen. Es dauert Stunden und manchmal auch Tage, bis andere Mailserver diese neue Konfiguration übernehmen. Dies ist zugleich auch die Zeit, die Exchange Online Protection ggfls. noch mal anzupassen. Hier gilt es die Quarantäne u.a. zu überwachen und ggfls. Systeme zu erlauben.
• SPF, SenderID
  Aber auch in die ausgehende Richtung gibt es Veränderungen. Wenn sie bislang noch nicht über Office 365 versendet haben, dann wird es Zeit die Exchange Online Mailserver im SPF-Eintrag zu addieren.
• DKIM
  Sie können in dem Zuge auch ihre Domains von Office 365 mittels "DKIM" signieren lassen. Sie schalten das im Tenant ein und veröffentlichen dazu einen passenden Eintrag im DNS. So können Empfänger schon mal DKIM prüfen und die Mails positiv bewerten. Ablehnen ist aber erst möglich, wenn wirklich alle ausgehenden Mails per DKIM signiert sind.
• DMARC
  Daher setzten Sie bitte ein DMARC-Policy, die weder SPF noch DKIM erzwingt, solange Sie noch unklare Absender haben. Sie sollten aber DMARC im "Report Only"-Mode konfigurieren, damit Sie über alle Systeme informiert werden, die noch mit ihrer Domain senden und am Ende nicht mehr senden dürfen.

Hybrid Server bestimmen

Ein Server muss bestehen bleiben. Das kann ein bestehender Server oder auch ein neuer Server sein. Wer heute schon Exchange 2016 Server hat, die von der Installation und Hardware auch noch weiter betrieben werden sollen, kann einen oder zwei Server davon weiter betreiben.

Bei den meisten Firmen ist es aber so, dass eine Migration von Exchange 2010/2013/2016 in die Cloud erfolgt, weil die Hardware schon "älter" ist und die Kosten für Wartung und Betrieb mit reduziert werden sollen. Dann kann es eine Option sein, eine VM mit Exchange 2016 als reinen Provisioning-Server mit vielleicht etwas Mailrouting aufzubauen. Theoretisch könnten Sie auch einen DC samt dem Exchange als AzureVM betreiben. Wenn Sie aber so "klein" sind, dass es lokal gar keine Server mehr gibt, dann könnte auch der Verzicht auf ADSync eine Option darstellen.

Public Folder in die Cloud

Wenn sie auch zukünftig mit öffentlichen Ordnern in der Cloud arbeiten will, dar beim Umzug nicht vergessen, am Ende den Switch durchzuführen und die Clients generell in die Cloud zu verweisen. Prüfen Sie dies mit:

Get-Organizationconfig | fl PublicFoldersEnabled

Hier sollte ein "Remote" oder "Null" aber nicht "Local" rauskommen. Geändert wird dies dann mit:

Set-Organizationconfig `
   -PublicFoldersEnabled remote

Noch einfacher ist es natürlich, wenn Sie gar keine öffentlichen Ordner mehr nutzen

Set-Organizationconfig `
   -PublicFoldersEnabled none `
   -RemotePublicFolderMailboxes $null

Danach können Sie eventuell lokal vorhandene öffentliche Ordner, Öffentliche Ordner Datenbanken (bis Ex2010) oder auch öffentliche Order Postfächer (Ab Ex2013) entfernen.

Autodisover in die Cloud

Es gibt keine lokalen Informationen mehr. Dann ist es auch an der Zeit die Funktion "Autodiscover" in die Cloud zu lenken. Ändern Sie dazu die DNS-Einträge in den DNS-Zonen ihrer SMTP-Domänen auf den Wert, den ihnen Office 365 vorgibt. DNS-Änderungen werden abhängig vom TimeToLive (TTL)-Feld des Eintrags propagiert. Es kann also einige Stunden dauern, bis Clients im Internet dies übernehmen. Kontrollieren Sie einfach ihren bislang extern veröffentlichten Webservice, wie die Anfragen abnehmen.

Auch interne Clients müssen diese URLs gegen das Internet auflösen. Wenn Sie eine "Split-DNS"-Konfiguration fahren, bei denen intern Clients eine interne gleichnamige DNS-Zone auflösen, dann sollten Sie dort den Autodiscover-Eintrag addieren.

Outlook 365 ist davon nicht mehr abhängig sondern nutzt als Fallback auch immer noch s-autodiscover.outlook.com, um solche Fehlkonfigurationen zu umschiffen. Aber es gibt ja noch andere Dienste, die auf "Autodiscover" aufsetzen.

Autodiscover ist natürlich auch intern vorhanden und Outlook erfragt dazu per LDAP vom Domain Controller die Autodiscover-URL. Diese URL sollten wir auf allen internen Servern auf $null setzen, damit Outlook und Co auf DNS schwenken.

# Exchange 2010 und neuer 
Get-ClientAccesServer `
| Set-ClientAccessSerer `
   -AutoDiscoverServiceInternalUri $null

#Exchange 2016 und hoeher
Get-ClientAccesService `
| Set-ClientAccessService `
   -AutoDiscoverServiceInternalUri $null

Damit sollte Outlook den Schwenk auf DNS vollziehen und keine lokalen Exchange Server mehr benötigen.

Postfachdatenbanken entfernen

Wenn die Server nicht mehr tun, dann können Sie zurück gebaut werden. Die Frontend-Rolle (bis Exchange 2010 auch CAS und HubTransport genannt) kann einfach so mit deinstalliert werden. Die Postfachrolle muss erst von seinen Datenbanken befreit werden.

• DAG: Passive Kopien entfernen
• Aktive Datenbank löschen
• DAG auflösen

Hybrid Konfiguration entfernen

Durch die Einrichtung des HCW - Hybrid Configuration Wizard werden nicht nur Einstellungen in der Cloud und On-Premises vorgenommen sondern auch die eigentliche Konfiguration in einem Konfigurationsdokument gespeichert. Dies ist ein nicht einsehbares Objekt im Active Directory, damit beim nächsten Aufruf des HCW die gleichen Einstellungen wieder vorgeschlagen werden. Diese Konfiguration sollte entsprechend entfernt werden.

Remove-HybridConfiguration

Hinweis:
Dieser Befehl löscht nur den Hybrid Konfigurationsspeicher aber stellt keine sonstigen Konfigurationen zurück, z.B. Empfängerichtlinien etc.

• Außerbetriebnahme und Abschaltzeitpunkt Ihrer lokalen Exchange-Server in einer Hybrid-Umgebung
  https://docs.microsoft.com/de-de/exchange/decommission-On-Premises-exchange
• Remove-Hybridconfiguration
  https://docs.microsoft.com/de-de/powershell/module/exchange/remove-hybridconfiguration

Kling einfach und ist auch einfach. Ich mache hier auch nichts anderes als über die Systemsteuerung Exchange zu deinstallieren. Sollte ich in der Vorbereitung etwas vergessen haben, dann wird mich das Setup mit einer Fehlermeldung stoppen und mir die Gelegenheit geben, die vergessenen Daten zu verschieben oder zu entfernen.

• Exchange Server Deinstallation

Server deinstallieren

Kling einfach und ist auch einfach. Ich mache hier auch nichts anderes als über die Systemsteuerung Exchange zu deinstallieren. Sollte ich in der Vorbereitung etwas vergessen haben, dann wird mich das Setup mit einer Fehlermeldung stoppen und mir die Gelegenheit geben, die vergessenen Daten zu verschieben oder zu entfernen.

Wenn Sie den allerletzten Server deinstallieren, können Sie sich auch überlegen, die komplette Organisation zu entfernen. Das ist aber nur möglich, wenn Sie kein Exchange mehr benötigen und auch nicht per ADSync noch Exchange Online angebunden haben.

• Exchange Server Deinstallation

DMARC und SPF

Nachdem sichergestellt ist, dass keine Mails mehr von den lokalen Servern ins Internet gehen und jeder Versand z.B. durch die Cloud übertragen wird, können Sie die Konfiguration von SPF und DMARC etwas strenger fassen.

• SPF Anpassen
  Über die früher aktivierten DMARC-Reports sollten Sie gut erkennen, welche Quellen mit ihrer Domain versenden. Über SPF können Sie dann vorgeben, welche IP-Adressen überhaupt mit ihrem schützenswerten Domainnamen versenden dürfen. Dann ist es an der Zeit alle anderen Quellen aus dem SPF-Record zu entfernen und die Konfiguration mit einem "-all" am Ende abzurunden.
• DMARC
  Zusätzlich können Sie nun auch über den DMARC-Eintrag die Zielsysteme anweisen, sowohl die SPF als auch DKIM-Einträge entsprechend zu honorieren.