Exchange über VPN anbinden

[kergul 10]

Hallo zusammen,

ich hoffe Ihr könnt mir vielleicht helfen, denn ich weiß nicht so recht weiter.

 

Folgendes Problem:

Ich habe eine Firewall an Standort A und eine zweite an Standort B. Beide sind über einen VPN-Tunnel miteinander verbunden. An Standort B steht der Exchange Server. Jetzt ist das Problem, daß die Mails an Standort A eingehen (war vormals der Standort des Exchange Servers) und somit nicht beim Exchange ankommen.

Da die IP-Adresse von Standort A in ein paar Tagen an Standort B übernommen wird, würde ich gerne zur Überbrückung eine Weiterleitung an der Firewall schalten. Ein einfaches Umrouten des SMTP-Ports von Standort A nach B ist da anscheinend nicht ausreichend. Was muss ich sonst noch beachten?

 

Vielen Dank für eure Hilfe.

[s.k. 11]

Ein einfaches Umrouten des SMTP-Ports von Standort A nach B ist da anscheinend nicht ausreichend.

Das dürfte insofern nicht ausreichend sein, als die Antwortpakete des Exchange an die öffentlichen IP-Adressen der Absender gehen und vermutlich deshalb nicht in den Tunnel zum Standort A zurückgeroutet werden, sondern über der Internetzugang des Standortes B ins Internet gehen. Die Antwortpakete des Exchange kommen also mit der derzeitigen öffentlichen IP-Adresse des Standortes B beim Sender an - er erwartet jedoch als Source-IP die des Standortes A. In Folge dessen wird die Verbindung nicht zugelassen.

Man könnte natürlich am VPN-Routing arbeiten und dafür sorgen, dass auch die Antwortpakete zurück zum Standort A und von dort ins Internet gehen. Oder man macht Source-NAT an der Firewall des Standortes A (wenn das möglich ist - das Modell ist ja leider nicht benannt worden).

Da es aber ohnehin nur eine Interimslösung ist, könnte man auch einfach vorübergehend am Standort A ein Relay hinsetzen. Am einfachsten wäre eine Windows-Büchse mit einem Janaserver, der ein passendes "Extragateway" bereitstellt. Du musst allerdings darauf achten, dass die (interne) Source-IP des Janaservers am Standort A auf dem Exchange nicht berechtigt ist zu relayen, sonst baust Du für die Öffentlichkeit ein offenes Relay.

 

Gruß

sk

bearbeitet 25. November 2012 von s.k.