Решено Exchange 2016, ADFS, DAG, Outlook365 не подключается к одному серверу.

[Eviil]

Настройка проверки подлинности OAuth между Exchange и Exchange Online

Настройка проверки подлинности OAuth между Exchange и Exchange Online организациями в Exchange Server

docs.microsoft.com

Еще вот здесь

Отключение обычной проверки подлинности в Exchange Online

Узнайте, как заблокировать обычную проверку подлинности для проверки подлинности клиента в Exchange Online

docs.microsoft.com

OAuth настроен и прекрасно работает, не в нём дело.

 

[Fedor]

гибридное развертывание 2016 не проводил, но думаю стоит посмотреть
https://docs.microsoft.com/ru-ru/exchange/hybrid-deployment/troubleshoot-a-hybrid-deployment
Я бы еще попробовал роллапы выровнять, вряд ли в этом конечно но вдруг

 

[Eviil]

гибридное развертывание 2016 не проводил, но думаю стоит посмотреть
https://docs.microsoft.com/ru-ru/exchange/hybrid-deployment/troubleshoot-a-hybrid-deployment
Я бы еще попробовал роллапы выровнять, вряд ли в этом конечно но вдруг

Все проверки проходят без ошибок.
Про роллапы: я не хочу рисковать и обновлять рабочий сервер. А ставить не последнюю версию - Майкрософт не рекомендует.
Видимо придётся и до этого дойти.

 

[Eviil]

Собрал третий сервер Exchange, установил Exchange 2016 CU10 - проблемы с подключением нет.
Следующим этапом буду пробовать ставить CU16.

 

[dimon]

Посмотрите Exchange site Resilience Deployment

Высокая доступность и устойчивость сайтов

Сводка. Узнайте о возможностях высокого уровня доступности и устойчивости сайта, доступных в Exchange Server 2016 и Exchange Server 2019 годах.

docs.microsoft.com

и все ли требования подходят

Планирование высокого уровня доступности и устойчивости сайта

Сводка. Узнайте об элементах высокого уровня доступности и устойчивости сайта, которые необходимо включить в план развертывания Exchange Server 2016 или Exchange Server 2019 года.

docs.microsoft.com

 

[Eviil]

Посмотрите Exchange site Resilience Deployment

Высокая доступность и устойчивость сайтов

Сводка. Узнайте о возможностях высокого уровня доступности и устойчивости сайта, доступных в Exchange Server 2016 и Exchange Server 2019 годах.

docs.microsoft.com

и все ли требования подходят

Планирование высокого уровня доступности и устойчивости сайта

Сводка. Узнайте об элементах высокого уровня доступности и устойчивости сайта, которые необходимо включить в план развертывания Exchange Server 2016 или Exchange Server 2019 года.

docs.microsoft.com

В этих статьях в основном про DAG, с ним проблем нет. Проблема именно с подключением клиентов и с автообнаружением.

 

[Eviil]

UPD.
Я поспешил с радостью по поводу версии 2016CU10, автодискавер так-же не работает на новых серверах.
Т.е. проблема с автообнаружением именно у новых серверов, но не понятно в чём именно.

 

[Engineer]

UPD.
Я поспешил с радостью по поводу версии 2016CU10, автодискавер так-же не работает на новых серверах.
Т.е. проблема с автообнаружением именно у новых серверов, но не понятно в чём именно.

всмысле после накатывания роллапа перестает работать получается?

 

[Eviil]

всмысле после накатывания роллапа перестает работать получается?

Нет, после чистой установки 2016CU10 не работает автообнаружение на этом сервере.
Есть рабочий сервер, который я не трогаю, задача - настроить второй рабочий сервер и подключить к блансировщику, чтобы одновременно работало два сервера.

 

[Eviil]

Проблема решена.
Моя основная ошибка - я недостаточно внимания уделил тому факту, что проблема с аутентификацией. Решение было в этой статье:
Configuring Kerberos authentication for load-balanced Client Access servers

В частности, я сравнивал настройки Client Access Services с помощью командлета Get-ClientAccessServices -Identity ServerName | fl, который выводит не всю информацию, как оказалось:

Т.к. вывод AlternateServiceAccountConfiguration пустой, я посчитал что оно не исопльзуется и успокоился на этом. Если же исполнить командлет Get-ClientAccessServices с ключом -IncludeAlternateServiceAccountCredentialPassword - вывод немного меняется:

Собственно, проблема решилась выполнением на проблемном сервере такого командлета:
.\RollAlternateServiceAccountPassword.ps1 -ToSpecificServer exch2.domain.ru -CopyFrom exch1.domain.ru

Всем спасибо за посильную помощь