Exchange: TLS negotiation failed

Exchange Server'da SMTP bağlantıları TLS aşamasında düşüyor ve olay günlüğünde "TLS negotiation failed" ya da Transport kaynaklı sertifika olayları (ör. 12014, 12015) görülüyorsa, genellikle SMTP hizmetine doğru sertifika atanmamıştır veya sertifika ad/protokol uyumsuzluğu vardır.

Belirtiler

• Dış sunuculardan gelen postada STARTTLS hataları, teslim gecikmeleri.
• MSExchangeTransport kaynağında sertifika bulunamadığını bildiren olaylar.
• Schannel kaynağında el sıkışma veya cipher uyuşmazlığı uyarıları.

Olası nedenler

• Sertifika SMTP hizmetine atanmamış veya süresi dolmuş.
• Receive/Send connector'da yayınlanan FQDN, sertifikanın konu adı ya da SAN alanıyla eşleşmiyor.
• Sertifika zinciri eksik ya da kök CA sunucuda güvenilir değil.
• Eski bir partner yalnızca devre dışı bırakılmış TLS sürümlerini öneriyor.

Çözüm adımları

1. Mevcut sertifikaları ve atanan hizmetleri listeleyin (Exchange Management Shell):

   Get-ExchangeCertificate | Format-List Thumbprint,Services,Subject,CertificateDomains,NotAfter

2. Doğru sertifikayı SMTP hizmetine atayın:

   Enable-ExchangeCertificate -Thumbprint <PARMAK_IZI> -Services SMTP

3. Connector'un FQDN değerini ve kullanılan sertifika adını kontrol edin:

   Get-ReceiveConnector | Format-List Name,Fqdn,TlsCertificateName

4. Sertifikanın SAN alanında connector FQDN'sinin yer aldığını doğrulayın; yoksa uygun bir sertifika talep edin.
5. Zincir eksikse ara sertifikaları "Intermediate Certification Authorities" deposuna ekleyin (certlm.msc).
6. Değişiklikten sonra Transport hizmetini yeniden başlatın ve openssl s_client -starttls smtp -connect mail.ornek.com:25 ile test edin.

Önleme

Sertifika bitiş tarihlerini izleyin, yenilemede atama adımını unutmayın ve eski protokolleri yalnızca zorunlu ortaklar için geçici olarak açın. Exchange için çoklu alan adı kapsayan sertifika seçenekleri SSL sertifikaları sayfasında; ad sorunlarında CSR oluşturucu yardımcı olur.

Ek notlar

• Uyumsuzluk yalnızca bazı ortaklarda görülüyorsa, o ortağın desteklediği TLS sürümünü ve cipher'ları talep edip karşılaştırın.
• Sertifika yenilemesi sonrası eski sertifika hâlâ SMTP'ye atanmış kalmış olabilir; eski parmak izlerini kontrol edin.
• Birden fazla Exchange sunucusu varsa her birinde sertifika ve connector ayarlarını ayrı ayrı doğrulayın.

Yapılandırma değişikliklerinden önce mevcut connector ayarlarının çıktısını kaydetmek, geri dönüşü kolaylaştırır.

Özet: hata genellikle yanlış atanmış ya da ada uymayan sertifikadan çıkar; Get-ExchangeCertificate çıktısı ilk bakılacak yerdir.