MIt dem Iphone4 durch die Firewall zum Exchange 2003

1. offizieller Beitrag

    Hallo Leute,


    ich würde gern mit dem Iphone4 über das Internet auf unseren Exchangeserver zugreifen und dieses zu synchonisieren. (DirectPush)


    Unser Szenario sieht folgendermaßen aus:
    Wir haben einen Exchangeserver 2003 auf einem SBS 2003 SP2 laufen. Soweit ich weiß sind alle aktuellen Updates auf beiden Systemen eingespielt. Intern greifen unsere PCs und Macs und auch die Iphones über WiFi auf den Exchangeserver zu und soweit funktioniert auch alles.


    Unser Office hat eine feste IP und eine feste Domain. An diesem Anschluß hängt eine Watchguard Firewall die alles ziemlich dicht macht. Wir haben einen VPN Tunnel, um von außen uns mit dem Exchangeserver zu verbinden. (Also im Falle vom Homeoffice, Laptops, etc.) Unsere Firewall akzeptiert SMTP Verbindungen von unserem Smarthost draußen im Netz. Hier handelt es sich um einen Postfixserver, der alle eMails an die Domain unseres Offices weiterleitet, welche dann durch die Firewall auf den Exchangeserver gehen. Der Versand erfolgt vom Exchange über den gleichen SMarthost.


    Mit einem Mobile Device ist ein VPN Tunneling echt übel. Also möchte ich am liebsten "für bestimmte Iphones" unserer Firma die Firewall öffnen und so ganz easy mit dem Exchange automatisch sychronisieren ohne all zu große Sicherheitslöcher aufzureißen.


    Mir fehlt leider hier das komplette Konzept wie sowas am geschicktesten gemacht wird.


    Ich wäre um Ratschläge oder Weblinks sehr dankbar!


    Vielen Grüsse!
    Sysadmini.

    • Offizieller Beitrag

    Moin,


    gerade bei Iphones ist aber die Config für VPN und EAS besonders problemlos. Das wird einmal konfiguriert und funktioniert danach klaglos.


    Schwierig sind Windows Mobil (Windows Phone 7 kann gar kein VPN).


    Für EAS wird nur Port 443 benötigt, also eigentlich nichts problematisches.

    Moin, Moin!


    Danke für dein Statement!
    Soweit ich weiss, gibt es aber auf dem Iphone kein Tool, was auotmatisch eine VPN Verbindung aufbaut, wenn der Exchangeserver connected wird. Und einen Tunnel permanent offen zu halten, kostet viel Akkupower...


    Wie sieht es denn mit Sicherheitsbedenken aus, wenn ich in der FW Port 443 öffne?


    Danke für eine Info!
    VG
    Sysadmini.

    Wie ich in unserem Szenario beschrieben habe, ist unser Exchangeserver quasi im Netz nicht erreichbar. Eben aus Sicherheitsbedenken. Wir akzeptieren nur eingehende Anfragen von unserem eigenen Smarthost auf Port 25. Ich habe keine Erfahrung, was mit einem geöffneten Port 443 alles so möglich ist. Ist es vergleichbar mit einem offenen Port 25?


    Thanks!
    Sysadmini.

    • Offizieller Beitrag

    Wenn eure Sicherheitsanforderungen so sind, dann mußt du eben einen Reverseproxy dazwischenschalten. Ohne konkrete Sicherheitsanforderungen die du hier nicht wirklich erklären willst/kannst/darfst, kann man dir doch nur allgemeine Antworten geben. Was hilft dir denn meine Aussage, wenn ich mitteile, dass ich ca. 3 Kunden habe, die SSL auf den Exchange direkt weiterleiten und ca. 100 Kunden die einen Reverseproxy nutzen und 2 Kunden die EAS gar nicht nutzen? Kannst du daraus dann schlußfolgern, dass SSL nach extern geöffnet gefährlich ist? (Es sei denn man akzeptiert "Totschlagargumente" wie Jeder geöffnete Port ist gefährlich.


    Bye
    Norbert

    Hallo zusammen,


    btw. habe ich nicht nach einer Empfehlung für oder gegen EAS gefragt, sondern in wie weit man etwas mit Port 443 auf dem Exchange Server etwas "anstellen" kann.


    ..anyway!


    Nun wird´s konkret:


    Stand der Dinge ist folgender:


    - An der FW Port 443 geöffnet und auf Exchange geroutet.
    - OWA eingerichtet und mit Zertifikaten ausgestattet über selfssl.
    - Benutzerkonto für OWA und Mobile freigeschaltet
    - Zertifikat aus der Standardwebsite im IIS für die Clients exportiert. Entsprechend die Instanzen darunter (Exadmin, Exchange, exchange-oma, ExchWeb) freigegeben.
    - Zertifikat auf Iphone installiert.
    - Wireshark (Traffic Control) auf Exchange installiert und Datenverkehr auf Port 443 gecheckt: funktioniert rein und raus. (Sowohl mit Iphone als auch mit externem PC)
    - Test mit PC/ Browser von außerhalb auf domaine.xxx/exchange: funktioniert (Zertifikat kann angenommen werden dann ZUgriff aufs Konto)
    - Iphone: funzt nicht: Fehlermeldung: "Verbindung mit Server fehlgeschlagen". Ich kann aber in den Logs den Verbindungsaufbau sehen.


    Was kann ich jetzt noch tun? Oder muss ich jetzt in ein Iphone Forum? :evil:


    Danke in die Runde!
    Sysadmini.