Exchange 2007 Active Sync absichern

[Netscape 11]

Hi,

 

mal eine Frage zum Exchange 2007. Und zwar möchte einer der Geschäftsführer nun ein iPhone nutzen und da natürlich die Geschäfstemails empfangen. Wir haben zwar schon einen Blackberry Enterprise Server im Einsatz aber egal.

 

Nun ist es so, dass wir nur einen Exchange2k7 haben, auf dem die ganzen Rollen(Mailbox, CAS,...) außer Edge und UM installiert sind. Wie wäre der Server abzusichern, wenn man den Zugriff auf Active Sync einrichten wollte.

 

Normal würde ich sagen, dass da ein ISA Server davor kommt. Aber gibt es auch noch andere Wege den Exchange2k7 abzusichern? Mal davon abgesehen dass ich es nicht empfehle werde den Exchange mit der Mailbox Rolle aus dem Internet erreichbar zu machen.

[BrainStorm 10]

Hallo Netscape,

 

du musst port 443 (HTTP-SSL) von aussen erreichbar machen. Ohne Application Layer Firewall wie z.B. den ISA Server ist dann aber auch Outlook Web Access nutzbar - was u.U. nicht gewünscht sein kann.

 

Wenn ausschließlich Exchange Active Sync genutzt werden soll, dann kommst du um einen ISA (oder einen anderen Reverse-Proxy) nicht herum.

[Netscape 11]

Ok, danke schonmal. Aber wie sicher ist das, wenn ich zum Beispiel nur einen Apache ReverseProxy davor schalte? Ist das sicher genug? Ich kenne mich mit den Weg Geschichten nicht so gut aus.

 

Und würdest du den CAS Server ans Internet stellen, wenn darauf auch die Mailbox Rolle installiert ist? Oder bin ich da etwas paranoid?

[NorbertFe 2.104]

Ist das sicher genug?

 

Was soll man denn darauf antworten?

 

Und würdest du den CAS Server ans Internet stellen, wenn darauf auch die Mailbox Rolle installiert ist? Oder bin ich da etwas paranoid?

 

Hängt doch wie fast immer von den eigenen (Firmen-) Anforderungen ab, oder? ;)

 

Bye

Norbert

[Netscape 11]

Ich weiß, man hat immer den Grad an Sicherheit, den man bereit ist zu zahlen. Aber der ISA z.B. nimmt die Verbindung an und überträgt aber zum Zielserver weiterhin verschlüsselt (soweit ich weiß). Kann das ein Apache ReverseProxy auch?

 

Naja, eine wirkliche Anforderung dafür gibt es nicht. Da wir ja schon einen Blackberry Server im Einsatz haben, würde ich persönlich den Exchange Server mit MAILBOX & CAS nicht direkt mit seinem IIS ans Internet stellen. Vor allem wenn es letztlich nur um ein iPhone geht.

 

Wollte nur mal die ein odere andere Meinung dazu hören.

[NorbertFe 2.104]

Ich weiß, man hat immer den Grad an Sicherheit, den man bereit ist zu zahlen. Aber der ISA z.B. nimmt die Verbindung an und überträgt aber zum Zielserver weiterhin verschlüsselt (soweit ich weiß). Kann das ein Apache ReverseProxy auch?

 

Weiß ich nicht, aber ein Apache ist keine Firewall. Der ISA schon, insofern wäre der Grad der "spürbaren" Sicherheit für mich beim ISA eindeutig höher. Dafür logischerweise auch spürbar teurer (wenn man von eventuellen Konfigurationskosten absieht). ;)

 

Vor allem wenn es letztlich nur um ein iPhone geht.

 

Erklär das mal dem Chef mit dem iPhone. ;)

 

Bye

Norbert