Exchange 2010 Zugriffs Probleme

[schnuffi79 11]

Guten Abend zusammen,

 

nach einigen Lesen und unzähligen Seiten über das Google Oracle brauche ich nun doch mal wieder nach langer Zeit eure Hilfe.

 

Folgendes Problem:

 

Es besteht ein Funktionierender Exchange 2010 auf einer Windows Server 2008 R2 Maschine die Outlook Clients im netz 2010 sowie 2013 können ohne Probleme auf den Exchange zugreifen jetzt habe ich den alten RRAS Server mit PPTP Verbindung abgeschaltet und dieser wurde durch eine FritzBOX mit VPN-Verbindung ersetzt. Die VPN-Verbindung wird ohne Probleme aufgebaut auch habe ich die Namens auflösung hinbekommen so das ich die IP-Adresse in den Rechner Namen sowie Rechner Name in IP Auflösen kann.

 

Des weiteren lässt sich auch das Postfach am Client über den Outlook Assistenten Problemlos erstellen Passwort und Benutzername werden abgefragt diese werden auch Korrekt eingegeben, sobald ich dann aber das Outlook Öffne er halte ich nicht Verbunden mit Microsoft Exchange sondern Getrennt. Ich konnte das Problem auch schon soweit eingrenzten das wenn ich die Windows eigenen Firewall ausschalte ich auf den Exchange mit Outlook 2010 zugreifen über die VPN-Verbindung. Sobald ich die Windows eigenen Firewall wieder aktiviere ist mein Verbindung zum Outlook wieder Getrennt welche Ports muss ich am Exchange Server Freigeben damit es mit Aktivierter Firewall Funktioniert? Es handelt sich um die Firewall auf dem Exchange Server die deaktiviert ist wo dann die Verbindung einwandfrei klappt.

 

Danke im vor raus

 

Gruss

Marcus

bearbeitet 4. Januar 2014 von schnuffi79

[Daniel -MSFT- 129]

Lass mich raten: Es handelt sich um einen Small Business Server? Der beschränkt standardmäßig per Firewall den internen Zugriff auf das lokale Subnetz. Du musst die Firewall nicht ausschalten, sondern nur richtig konfigurieren. Schau mal am Server in die Firewallkonfiguration und schau in die Gruppenrichtlinein nach der "Small business Server Windows Firewall"-Richtlinie. Darin musst Du die Subnetze erlauben, falls die Clients von einem anderen Subnetz via VPN kommen.

 

Generell hilft es schon mal ungemein, das Logging der Firewall einzuschalten und auszuwerten. Da findest Du ganz schnell raus, woran es liegt.

 

Have fun!
Daniel

[schnuffi79 11]

Nein es ist eine 2008er R2 Standard, in den Richtlinien der Firewall sind die ja die Richtlinien für den Zugriff auf Exchange vorhanden also sollte es Funktionieren wenn ich unter Remote IP das Fremde oder die Fremden Subnetz angebe die auf den Exchange Zugreifen wollen oder sollen. 

[XP-Fan 217]

Hallo,

 

ist der entfernte Rechner Mitglied der Domain ?

Wie hast du die Namensauflösung geregelt, du schreibst ich habe es hinbekommen, aber wie ?

Kann der entfernte Rechner den DC der Domain per Name erreichen ?

Ist auf den Systemen eine Sicherheitssoftware installiert mit zusätzlicher Firewall oder wir nur die Windows Firewall genutzt ?

 

Wie verhält sich Outlook wenn du vorher ein Netzlaufwerk aus der Domain mountest, notfalls manuell, mit Authentifizierung ?

[schnuffi79 11]

Nein der Rechner ist nicht Mitglied in der Domäne beim Anmelden ist domäne\benutzer angegeben worden. Die Namensauflösung habe ich mit WINS-Server  und in der Firewall unter eingehend SMB das Fremde Netz als Remote IP Angeben somit waren alle Rechner über ihren Namen erreichbar. 

 

Nein es ist keine Fremde Sicherheitssoftware auf dem Exchange Server Installiert ja es wird nur die Windows Firewall genutzt.  Letzteres habe ich noch nicht testen können

[XP-Fan 217]

Hallo,

 

also WINS alleine reicht da nicht, du brauchst eine funtionierende DNS Auflösung.

 

Du könntest mal versuchen über eine angepasste HOSTS Datei das DNS Thema abzufangen.

 

Trage mal in die hosts Datei (C:\Windows\System32\drivers\etc)  auf dem entfernten System den DC und den Exchange ein, entsprechend angepasst für dich.

 

 

# Copyright (c) 1993-2009 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
#      102.54.94.97     rhino.acme.com          # source server
#       38.25.63.10     x.acme.com              # x client host

# localhost name resolution is handled within DNS itself.
#    127.0.0.1       localhost
#    ::1             localhost
 
192.168.1.100       DC-Name
192.168.1.100       DC-Name.domain.local
192.168.1.101       Exchange
192.168.1.101       Exchange.domain.local

[schnuffi79 11]

Natürlich gibt es auch einen DNS Server der Funktioniert sorry aber ich bin davon ausgegangen das der einfach Standard ist in einen LAN wo ein Server auf DC arbeitet. An der host Datei will ich nicht wirklich rumbasteln weil wenn ich einen DNS habe der Funktioniert sollte ich mir diese Arbeit meines Erachtens nach eigentlich Sparen können. Wie schon erwähnt schalte ich die Windows Firewall am Exchange Server klappt alles tadellos der Outlook Client hat eine Verbindung zum Exchange kann Mails senden sowie Empfangen und auch alle anderen Funktionen nutzen. Sobald die Windows FW aktiviert ist besteht die Verbindung nicht mehr.

[RobertWi 81]

Moin,

 

schau Dur mal das hier an: Klick.

 

Im unteren Abschnitt findest Du, welche Firewall-Regel automatisch eingerichtet werden.

 

Das schwierige bei Outlook (also RPC) ist, dass es normalerweise keinen statischen Port gibt. Der Endpoint Mapper (TCP/135) vergibt die Ports dynamisch (TCP/>1023). Eine Alternative wäre es, für die verschiedenen RPC-Verbindungen statische Port zu konfigurieren.

 

Du hast nun drei Möglichkeiten:

 - Firewall-Regeln nachbauen mit dynamischen Ports

 - Firewall-Regeln nachbauen und vorher auf statische Ports umstellen

 - Firewall deaktivieren

 

Ich bin ehrlich: In einem geschützten Netzwerk sehe ich nur sehr wenig Sinn in einer lokalen Firewall. Der Sicherheitsgewinn ist marginal, die Komplexität und Fehleranfälligkeit steigt aber immens. Daher deaktiviere ich die lokale Firewall i.d.R. Seitens Microsoft gibt es zwar die grundsätzliche Empfehlung, die FW zu aktivieren, aber es ist kein Muss und wird daher auch nicht als Fehler betrachtet. Das äußert sich auch darin, dass wenn man die Frage stellt, welche Ports müssen zwischen Exchange und DC und Exchange und Exchange frei sein, die einfache Aussage lautet: ANY:ANY. Das kommt faktischer der Abschaltung gleich.

 

Hier gibt es noch weitere Infos zu diesem doch ziemlich komplexen Thema: Klick.

[Daniel -MSFT- 129]

Nein es ist eine 2008er R2 Standard, in den Richtlinien der Firewall sind die ja die Richtlinien für den Zugriff auf Exchange vorhanden also sollte es Funktionieren wenn ich unter Remote IP das Fremde oder die Fremden Subnetz angebe die auf den Exchange Zugreifen wollen oder sollen. 

 

Hast Du die Windows Firewall-Regeln selbst eingerichtet? Outlook redet auch mit Domain Controllern/Global Catalog Servern. Wenn der Zugriff geblockt wird, dann meldet Outlook auch eine getrennte Verbindung. Das liegt dann nicht an einer Exchange-Regel. Hast Du denn mal in das Firewall-Log geschaut? Da steht doch drin, warum die Verbindung geblockt wird. Wäre auf jeden Fall mein erster Ansatz um herauszufinden, warum etwas nicht funktioniert.

 

BTW: Wenn ich Dein Setup richtig verstehe, dann hast Du Exchange 2010 auf Windows Server 2008 R2 als DC und willst die Verbindungen mit einer Firewall kontrollieren. Das ist aus mehreren Gründen schwierig:

1. Exchange Server auf einem DC wird nicht empfohlen: http://technet.microsoft.com/de-de/library/ms.exch.setupreadiness.warninginstallexchangerolesondomaincontroller(v=exchg.150).aspx
2. Firewalls in Exchange-Umgebungen werden nur supported, wenn eine Any/Any-Regel eingerichtet wird. Defacto sind also Firewalls in Exchange-Umgebungen nicht supported: http://blogs.technet.com/b/exchange/archive/2013/02/18/exchange-firewalls-and-support-oh-my.aspx

Was Du machen kannst, ist Outlook Anywhere (RPC over HTTPS) zu nutzen: http://technet.microsoft.com/de-de/library/bb123542(v=exchg.141).aspx Dazu brauchst Du dann auch keine VPN-Verbindung mehr vom Client. Es reicht, wenn Port 443 auf dem Exchange-Server eingehend vom Client erreicht werden kann. Du kannst auch die von Exchange verwendeten Ports festnageln, wie in http://blogs.technet.com/b/exchange/archive/2013/02/18/exchange-firewalls-and-support-oh-my.aspx beschrieben.

 

In Summe wäre es leichter, wenn Du Deine Umgebung ein wenig näher beschreiben würdest, dann könnte man besser verstehen, was Du vor allem warum eingerichtet haben willst.

 

Have fun!

Daniel