none
Mobile Clients RRS feed

 > 

  • Frage

  • Question
    Anmelden
    0
    Anmelden

    Ich hoffe ich bin hier im Forum richtig, denn eigentlich hat mein Problem mehr mit DNS etc zu tun.

    Wir sitzen hier in einem großen Verband von Firmen. Alle Firmen haben einen gemeinsamen Internetzugang der über einen Proxy in München realisiert ist. Untereinander können die Firmen mit privaten IP Adressen kommunizieren. Besonders gilt dies bei den einzelnen Betrieben zwischen der Zentrale und den Filialen. Jede Firma ist jedoch auch ein eigenständiges Unternehmen. In München steht ein zentraler Exchange Server, auf den wir absolut keinen Zugriff haben. Jede Änderung muss langwierig per Mail ausverhandelt werden (z.B. neue Mailadressen etc) Außerdem hat ein User dort nur 350MB an Postfachspeicher. Weiters soll unsere TK Anlage mit Exchange verbunden werden.

    Nun möchten wir unseren eigenen Exchange betreiben, um dieser Problematik aus dem Weg zu gehen. Grundsätzlich ja kein Problem, wenn da nicht der mobile Zugang wäre. (Handy, Tablet, OWA)

    Eine eigene Internetleitung für die Mobilen Clients darf ich mir nicht legen lassen, da es das ganze Sicherheitskonzept der Gesamtstruktur aushebeln würde - verstehe ich.

    d.h. es bleibt mir nur der Weg über den einzigen Internetzugang zu unserem Server. Das Problem ist jedoch, dass auf diesem Zugang der mobile ZUgang bereits für den "Haupt Exchange" verbraucht ist.

    Ist es technisch möglich beim Eingang der Anfrage eines mobilen Clients am Internetzugang zu unterscheiden, für welchen Server die Anfrage ist. Also so eine Art Port Forwarding plus Namensauflösung.

    z.B. kommt eine Anfrage auf remote.server-1.at dann Anfrage weiterleiten an IP 10.0.40.3 und Port 443. Kommt eine ANfrage auf remote.server-2.at dann weiterleiten an IP 10.2.3.4 und Port 443.

    Mit OWA dürfte es ja weniger Probleme geben. Hier kann man ja owa.server-1.at leicht an den entsprechenden Server weiterleiten- oder?

    Ich hoffe es kann mir jemand helfen?

    Mittwoch, 4. September 2013 05:48
    |

Antworten

  • Question
    Anmelden
    1
    Anmelden

    Moin,

    andere Ports sind da offiziell nicht möglich.

    Es ist korrekt, dass der "Hostheader" verschlüsselt ist. Entweder wird das über eine andere IP-Adresse geregelt, oder der Proxy muss die Verschlüsselung aufheben und dann anhand der Hostheaders prüfen, wohin damit. Dann kann er danach wieder verschlüssel oder auch nicht.

    Übrigens kann auch IIS ab 7 den Host Header aus verschlüsselten Verbindungen erkennen, das geht nur nciht via GUI zu konfigurieren.

    Grüße aus Berlin schickt Robert MVP Exchange Server

    Mittwoch, 4. September 2013 09:16
    |
  • Question
    Anmelden
    0
    Anmelden

    Hallo Peter,

    wenn du eine offizielle IP hast, kannst du natürlich alles direkt umlenken und sie für deinen Exchange nutzen. Evtl. habt ihr bereits mehrere IPs und irgendwo ist Port 443 noch frei.

    Du solltest aber zunächst ein genaueres Konzept erstellen.
    - Wie erfolgt der Viren/Spamcheck?
    - Hast du Einfluss auf den Exchange und kannst du die akzeptierten Domainen ändern, ansonsten fühlt er sich immer verantwortlich.
    - Wie verschiebt ihr die Postfächer und kannst du das? (Cross-Forrest-Move)

    Bitte markier noch die hilfreiche Antwort.

    Viele Grüße

    Christian

    Donnerstag, 5. September 2013 06:16
    |
    Moderator

Alle Antworten

  • Question
    Anmelden
    0
    Anmelden

    Moin,

    natürlich können gute Proxys und Firewalls so etwas.

    Weiterleitungen nach unterschiedlichen Ports, unterschiedlichen Pfaden (also "domain/owa" auf anderen Server, als "domain/ecp", usw.) oder FQDN sind da kein Thema.

    Allerdings ist nicht klar, ob das beim grundsätzlichen Problem hilft, denn für einen eigenen Exchange brauchst Du auch ein eigenes AD. Und wenn Du das nicht hast, bekommst Du ohne Zustimmung der "Zentrale" nie einen eigenen Exchange installiert.

    Grüße aus Berlin schickt Robert MVP Exchange Server

    Mittwoch, 4. September 2013 08:06
    |
  • Question
    Anmelden
    0
    Anmelden

    Hallo Robert.

    AD ist kein Problem, das haben wir jetzt schon (unser eigenes). OK OWA wird also kein Problem.

    Was ich noch nicht verstehe. Wenn der mobile Client anfragt, dann kommt diese ja immer auf Port 443? Wie kann der Proxy dann unterscheiden an welchen Server er weiterleiten soll? In der Anfrage steht ja nur die öffentliche IP und das Port. Ich kann ja bei den Clients (Handy etc) kein Port einstellen über das er arbeiten soll, weil dann wäre es natürlich kein Problem. - Anfrage auf Port xy dann weiter an Server abc.

    Ich habe z.B.auf meinem IPhone vergeblich gesucht, dass es die Exchange Verbindung über ein von mir bestimmtes Port machen soll.

    Mittwoch, 4. September 2013 08:52
    |
  • Question
    Anmelden
    1
    Anmelden

    Moin,

    andere Ports sind da offiziell nicht möglich.

    Es ist korrekt, dass der "Hostheader" verschlüsselt ist. Entweder wird das über eine andere IP-Adresse geregelt, oder der Proxy muss die Verschlüsselung aufheben und dann anhand der Hostheaders prüfen, wohin damit. Dann kann er danach wieder verschlüssel oder auch nicht.

    Übrigens kann auch IIS ab 7 den Host Header aus verschlüsselten Verbindungen erkennen, das geht nur nciht via GUI zu konfigurieren.

    Grüße aus Berlin schickt Robert MVP Exchange Server

    Mittwoch, 4. September 2013 09:16
    |
  • Question
    Anmelden
    0
    Anmelden

    Danke Robert.
    Das hat mir sehr weitergeholfen.

    Ich werde versuchen, ob wir eine eigene offizielle IP für den Dienst bekommen, dann haben wir die wenigsten Probleme.

    lg

    Mittwoch, 4. September 2013 09:23
    |
  • Question
    Anmelden
    0
    Anmelden

    Hallo Peter,

    wenn du eine offizielle IP hast, kannst du natürlich alles direkt umlenken und sie für deinen Exchange nutzen. Evtl. habt ihr bereits mehrere IPs und irgendwo ist Port 443 noch frei.

    Du solltest aber zunächst ein genaueres Konzept erstellen.
    - Wie erfolgt der Viren/Spamcheck?
    - Hast du Einfluss auf den Exchange und kannst du die akzeptierten Domainen ändern, ansonsten fühlt er sich immer verantwortlich.
    - Wie verschiebt ihr die Postfächer und kannst du das? (Cross-Forrest-Move)

    Bitte markier noch die hilfreiche Antwort.

    Viele Grüße

    Christian

    Donnerstag, 5. September 2013 06:16
    |
    Moderator
  • Question
    Anmelden
    0
    Anmelden

    Hallo Christian.

    Beim Konzept sind wir gerade. Das muss ich gemeinsam mit den Verantwortlichen in München machen.

    Die oben genannten Punkte stehen bereits in meiner Liste.

    Trotzdem Danke für den Hinweis.

    Donnerstag, 5. September 2013 06:29
    |
  • Question
    Anmelden
    0
    Anmelden

    Leider weigert sich der Konzern uns eine offizielle IP zu geben.

    Eine andere Idee - da habe ich aber absolut keine Erfahrung.

    Man kann ja Exchange Server koppeln - oder? Den Zugriff per Handy benötigen bei uns 4-5 Personen. Die restlichen 200 User brauchen das nicht. Kann man 2 Exchange Server so einstellen, dass die Postfächer bei unserem Server liegen und die Active Sync, OWA etc über den Exchange des Konzerns läuft?

    Freitag, 6. September 2013 08:24
    |
  • Question
    Anmelden
    0
    Anmelden

    Technisch: Ja, das geht natürlich.

    Praktisch wirst Du damit aber nicht viel gewinnen, denn Du musst Dich dabei im gleichen AD befinden und einen zusätzlichen Exchange-Server in die Struktur bringen. Das wird Dir dann vermutlich auch nicht gestattet werden. Mit einem eigenen Forest geht das nicht, woher sollte der "Stamm"-Exchange wissen, wo er die Daten hinschicken soll?

    Ich sehe da auch keine andere Lösung: Um eine Trennung zu machen, brauchst Du immer eine zentrale Entscheidung - Firewall, IP-Adresse, Internet-Leitung, AD, Exchange, usw. Und wenn die nicht wollen, hast Du Pech gehabt. Böse formuliert: Da ist ja auch Aufgabe einer zentralen Lösung, dass man Abweichler auf der grünen Wiese sinnvoll verhindern kann.

    Ohne eine Management-Entscheidung wird bei Dir nichts laufen.

    Grüße aus Berlin schickt Robert MVP Exchange Server

    Freitag, 6. September 2013 08:33
    |
  • Question
    Anmelden
    0
    Anmelden

    Hallo Robert.

    Danke für die Info - verstehe. Der ClientzgriffServer muss ja im AD sein.

    Böse formuliert: Wenn der Konzern es nicht schafft mehr als 350MB an Postfachspeicher zur Verfügung zu stellen, sich dauernd bei neu angelegten Mailadressen vertippt, Globale Adressbücher nicht stimmen (name etc), keine Archivierung zur Verfügung zu stellen obwohl das Postfach so wenig MB hat, keine Backup Lösung für Postfächer, weil alle nur mit POP3 arbeiten müssen, bis auf wenige Ausnahmen (Geschäftsführer) usw. dann muss man leider ausweichen.

    Im Oktober treffe ich mich mit dem SystemAdmin des KOnzerns. Dann werden wir das alles mal durchdisktutieren.

    Danke für deine Hilfe.

    Freitag, 6. September 2013 09:01
    |