原始 KB 編號：
4495258
Email傳送至外部網域的訊息會在內部部署Exchange Server (2016 或 2013) 中排入佇列。 當您檢查狀態時，您會收到下列錯誤訊息：
421 4.4.1 連線逾時。」嘗試容錯移轉至替代主機，但未成功。 沒有替代主機，或所有替代主機傳遞失敗。
此外，傳送連接器記錄中的下列錯誤專案指出傳輸層安全性 (TLS) 交涉失敗：
TLS 交涉失敗，錯誤為 NoCredentials
如果下列條件成立，就會發生此問題：
用於輸出 TLS 的憑證遺漏私密金鑰。
您可以使用憑證的
TLSCertificateName
Issuer
和
SubjectName
字串填入屬性。 此外，
<I>Issuer string<S>SubjectName string
屬性用於傳送連接器內的輸出 TLS，以將電子郵件訊息路由傳送至外部網域。
若要解決此問題，請遵循下列步驟：
在授權傳送電子郵件訊息的傳送連接器上啟用記錄。 若要這樣做，請以系統管理員身分執行下列 PowerShell Cmdlet：
Set-SendConnector "NameOfTheSendCconnector" -ProtocolLoggingLevel Verbose
檢閱傳送連接器記錄，以識別輸出 TLS 期間所使用的憑證。 例如，記錄專案可能如下所示：
Date/Time.ConnectorId，Outbound to Office 365，SessionId，16，192.168.0.78：28252，172.16.38.36：25， ，，傳送憑證
Date/Time.ConnectorId，Outbound to Office 365，SessionId，17，192.168.0.78：28252，172.16.38.36：25， ，CN= .xxx.xxx.xxx，憑證主體
Date/Time.ConnectorId，Outbound to Office 365，SessionId，18，192.168.0.78：28252，172.16.38.36：25， ，「CN=xxxxxx， OU=xxxxxx、O=xxxx、L=xxxx、S=xxxxx、C=xx」、憑證簽發者名稱
Date/Time.ConnectorId，Outbound to Office 365，SessionId，19，192.168.0.78：28252，172.16.38.36：25， ，，xxxxxxxxx，憑證序號
Date/Time.ConnectorId，Outbound to Office 365，SessionId，20，192.168.0.78：28252，172.16.38.36：25， ，xxxxxxxx，憑證指紋
Date/Time.ConnectorId，Outbound to Office 365，SessionId，21，192.168.0.78：28252，172.16.38.36：25，，.xxxx.xxx.xx 替代名稱
Date/Time.ConnectorId，輸出至 Office 365，SessionId，22，192.168.0.78：28252，172.167.38.36：25，*，TLS 交涉失敗，錯誤 NoCredentials
檢查步驟 2 中所識別憑證的屬性狀態 PrivateKey 。 若要這樣做，請執行下列 Cmdlet：
Get-ChildItem -Path Cert:\LocalMachine\My | where {$_.Thumbprint -like 'Certificate thumbprint identified in step 2'} | Select-Object -Property thumbprint,hasprivatekey
執行下列 Cmdlet 以移除步驟 2 中識別的憑證：
Get-ChildItem -Path Cert:\LocalMachine\My | where {$_.Thumbprint -like 'Certificate thumbprint identified in step 2'} | remove-item
移除步驟 2 中所識別的憑證之前，請確定在執行 Microsoft Exchange Server 的伺服器上執行的任何其他應用程式上沒有憑證的相依性。 如果有相依性，請在應用程式中進行必要的變更，讓應用程式開始使用步驟 5 中所述的憑證。
透過一般匯入程式匯入有效的協力廠商憑證，然後執行下列 Cmdlet，從 Exchange 管理命令介面檢查憑證的狀態。
Get-ExchangeCertificate | where {$_.rootca -eq 'third-party certificate'}
Exchange 管理命令介面一律會列出具有有效私密金鑰的憑證。
執行下列 Cmdlet，在新匯入的協力廠商憑證上啟用 SMTP 服務：
Enable-Exchangecertificate -thumbprint "Thumbprint of the new certificate" -services SMTP
當系統提示您使用新憑證取代現有憑證時，請輸入 No。
如果已匯入協力廠商憑證，Exchange Server從使用新的協力廠商憑證開始。
執行下列 Cmdlet，針對佇列中的訊息執行重試。
Get-queue -resultsize unlimited | where {$_.status -eq 'retry'} | retry-queue
