Eine Feste-IP, zwei getrennte Domänen und zwei getrennte Exchange-Server

[TecKnowLogy 0]

Hallo Zusammen,

 

stehe hier vor einem echtem Problem. Folgende Konstellation:

Zyxel USG-200 Firewall mit Fester-IP, der LAN1 (192.168.2.x) und LAN2 (192.168.20.x) mit dem Internet verbindet;

dahinter jeweils pro LAN ein Small Business Server 2011 (Firma 1 / Firma 2), sowie File und TS-Server.

 

Natürlich gibt es hierzu auch zwei Webadressen, welche jeweils Ihre Subdomain für den jeweiligen Exchange auf die öffentliche IP des Routers setzen könnte. Das ist aber derzeit noch nicht so, sondern per Popconnector des SBS (unschön und auch problematisch wegen Outlook 2016)

 

Nun folgendes:

Wie realisiere ich es, dass beide Exchange bzw. SBS-Server von außen vollwertig angesteuert werden können?

 

Bin über jeden kreativen Vorschlag sehr erfreut. 

bearbeitet 24. Januar 2016 von TecKnowLogy

[zahni 554]

Hallo und Willkommen im Forum.

 

Web:

 

Hier gibt es sog. Reverse-Proxies. Die können, z.B. anhand des Host-Header, die Server intern entsprechend routen. Ob Deine Firewall das kann, k.A. 

Ist bei SSL etwas komplizierter, aber machbar.

 

 

SMTP:

Man mag mir korrigieren, aber ich wüsste nicht dass das so geht. Hier müsste  ein Exchange die Mails entgegennehmen und die Mails dann zum richtigen Server routen.

Oder hat  der Firewall hätte einen eigenen SMTP-Server, die diesen Job übernimmt.

[TecKnowLogy 0]

Hallo Zahnl, 

 

die Zyxel USG-200 hat da einen Punkt der nennt sich HTTPS-Redirect. Das könnte das WEB lösen (muss ich jetzt aber mal selbst probieren).

Das mit den Exchange Servern ist jedoch das wichtigste, wegen autodiscovery und Outlook-Anywhere

[NorbertFe 2.061]

Autodiscover und alles andere ist https/http. Dein Problem bleibt SMTP. Ich denke nicht, dass du dieses Konstrukt sinnvoll zum fliegen bringen wirst. Und wenn, dann nur mit einer deutlich gestiegenen Komplexität an der Firewall.

[Nobbyaushb 1.475]

Ergänzend zum anderen Norbert: rede mit deinem ISP, für ein paar Euro im Monat bekommst du eine weitere IP, auf die kannst du dann den 2ten MX und PTR Record setzten.

 

Das sollte deine FW auseinandernehmen können anhand der Quell-IP

 

Was für SBS sind das, welchen Stand hat jeweils der Exchange im SB?

http://blog-schulenburg.de/index.php/kategorie-als-blog/87-exchange-build-nummern

 

;)

[GuentherH 61]

die Zyxel USG-200 hat da einen Punkt der nennt sich HTTPS-Redirect.

 

HTTPS Redirect hat bei der USG die Funktion den ausgehenden Traffic auf einen Proxy umzuleiten. Hilft dir also nicht weiter.

 

Die Lösungen für deine Anforderungen wurden dir ja schon mitgeteilt. Entweder 2. IP (einfachste Lösung) oder Reverse Proxy wenn du es kompliziert willst

 

LG Günther

[fuuussiiidiel 52]

Mit einer Sophos UTM kannst du das hinbekommen, wenn du die Web Application Firewall benutzt. Ich habe das bei mir im privaten Umfeld auch so, weil ich nur eine öffentliche IP habe, aber von Schwiegermutter die Mails mit annehme :-D

 

Hier eine ganz gute Anleitung:

https://www.frankysweb.de/exchange-2013-sophos-utm-9-3-waf-als-reverse-proxy-fr-outlook-anywhere-owa-activesync-und-autodiscover/

 

Für den SMTP Empfang muss man auf der UTM dann mit den SMTP Profilen arbeiten und diese routen.

 

Ist für Firmenkunden aber natürlich nicht Gratis :-)

bearbeitet 25. Januar 2016 von fuuussiiidiel

[audax 0]

Du kannst einen Reverse Proxy (a.k.a Load Balancer z.B. KEMP, Citrix Netscaler etc.) vor Deine beiden Exchange Server stellen.

[zahni 554]

Das hatten wir schon...

[audax 0]

OK,

 

dass war eigtl. als Ergänzung in Bezug auf SMTP zu Deinem Vorschlag weiter oben gedacht. Ich weiß nicht, ob man mit SBS Clustern könnte, aber mit 'herkömmlichen' Exchange Servern könnte man sich überlegen, beide Server in einem Clusterverbund zu fahren.

 

Würde dann so aussehen, dass der Exchange Cluster für beide Domains Mails annimmt und an die korrekten Postfächer beider Firmen verteilt. Davor stünde dann z.B. ein Load Balancer der über Port 25 (oder besser die geschützte Version davon) und ggfs. OWA auf jeweils einen der beiden Knoten verteilt und im Falle eines Ausfalles eines Knoten eben auf den jeweils anderen übergibt.

 

So bekämen alle Mitarbeiter aus beiden Firmen immer die Mails auch dann, wenn maximal einer der beiden Knoten ausgefallen ist. Ich bin mir nicht zu 100% sicher, dass TecKnowLogy genau das mit 'ansteuern' gemeint hat, aber wäre naheliegend, dass er genau dieses Problem in den Griff bekommen möchte.

[NorbertFe 2.061]

Was sollte denn Clustering (nein SBS kann das nicht), in diesem Szenario für einen Vorteil bringen?

[audax 0]

Ich hoffe nicht, dass ich in meinem Post darüber etwas unklar war.

 

Es geht hier in meinem Post um SMTP und weiter oben schreibst Duja auch selbst:

 

zitat;

Dein Problem bleibt SMTP. Ich denke nicht, dass du dieses Konstrukt sinnvoll zum fliegen bringen wirst. Und wenn, dann nur mit einer deutlich gestiegenen Komplexität an der Firewall.          

Zitat Ende

 

Daraufhin fühlte ich mich genötigt aufzuzeigen, wie man das halt mit Loadbalancer und einem SMTP Cluster doch hinbekommt.

 

Da aber SBS kein Clustering kann, ists eh uninteresannt

 

Wenn ich mir Deine Frage aber mehrmals durchlese, komme ich zu dem Schluss, dass Du mir auch zeigen kannst, wie das ohne Cluster ginge

bearbeitet 1. Februar 2016 von audax

[NorbertFe 2.061]

Das hilft ihm nicht beim Problem, dass er getrennte SMTP Domains hat, die im Zweifel eben getrennt laufen sollen. Und das geht auch mit Cluster und loadbalancer nicht.

[audax 0]

Ok ich will nicht rechthaberisch wirken und außerdem haben wir ja nun geklärt, dass für den SBS keine Clusterfunktion zur Verfügung steht.

 

Aber mal aus Interesse:

Kann man auf einem Exchange (nicht SBS) nicht Multi Domains betreiben?

Meinst Du mit (zitat: "... die im Zweifel eben getrennt laufen sollen" zitat ende) die Tatsache, dass ausgehend immer der eine MX zur Verfügung steht und im Header diese Info ablesbar wäre?

[NorbertFe 2.061]

Natürlich kann ein Exchange Multi Domains. Nur ist es dann eben im Header ablesbar. Und ein Cluster würde daran auch nichts ändern. Und ausgehend hat nix mit mx auch nichts zu tun. ;)

bearbeitet 1. Februar 2016 von NorbertFe