Exchange 2013 und Firewall best practice

[Ryder 2]

Hallo liebes Forum,

 

die Nobbies hier werden es mitbekommen haben, ein SBS wurde migriert. Ich freue mich das nun alles tatsächlich läuft und die größte Aufregung war das ein XP-Client 3 Std keinen Connect zur Mailbox hatte, Exchange 2013 und XP mögen sich nicht, kann ich hier bestätigen.

Nun, da alle MX records auf den neuen Exchange zeigen, OWA, EAS und Outllok anywhere funktionieren. Jetzt wo Fileserver, Antivirus, AD und sonstige Dienste auch ohne SBS laufen können (und FSMO übertragen werden könnte), wollte ich die Spezialisten (Nobbies :p) fragen wie eine gute Konfiguration des Exchange über Firewall ausschaut.

Wir haben eine Gateprotect im Einsatz. Aktuell Sind Port 25 und 443 für die Kommunikation von Exchange und WAN konfiguriert per NAT und Softwareseitiger DMZ von Gateprotect (allerdings finde ich hierzu zu wenig Dokus seitens Gateprotect was es bedeutet ein DMZ Objekt zu erstellen).

Hier ein Link, wer keine Gateprotect Erfahrung hat, was ich meine: http://www.ingentive.net/blog/gateprotect-interfaces-und-dmz

Allerdings muss ich dazu sagen, es ist bei uns nicht möglich einen einzelnen Port für eine DMZ zu belegen. Sämtlicher interner Verkehr geschieht über den einen und selbern Port der Firewall.

 

Geht das besser?

 

LG und vielen Dank für alle Unterstützung bis hier hin, die erste Migration soll ja die schwierigste sein...

 

[NorbertFe 2.035]

Was willst du denn da auch mit ner DMZ? Was sollte da stehen? Gateprotect hab ich mal gesehen, aber war nicht so, dass ich in Begeisterungsstürme ausbrach. Wahrscheinlich bist du auf der "sichersten" Seite in deinem Szenario, wenn du einfach bei NAT bleibst und dafür sorgst, dass dein Exchange 2013 auf Windows 2012R2 ordnungsgemäß konfiguriert ist (dazu gehört auch die SSL Konfiguration - teste mal mit SSL Labs).

 

Bye

Norbert

[Ryder 2]

Hi Norbert.

 

DMZ klingt als security-noob eben immer gut, und reimt sich.

 

Aber im Ernst, Wozu die Funktion wenn alles andere das gleiche Ergebnis bringt?

 

so spät noch unterwegs hier? Willst doch sicher nur das Licht ausmachen  :cool:

[NorbertFe 2.035]

Hmm ja toll. Naja aber ernsthaft, wenn man ne DMZ einrichten möchte, sollte man sich schon Gedanken gemacht haben, warum und was dort positioniert werden soll, oder?

Welche Funktion genau meinst du?

 

Bye

Norbert

 

PS: Is doch noch früher Abend. ;)

[Ryder 2]

Hi,

 

habe nun den SSL-Test durchgeführt. Darf ich ihn dir per PN zusenden? Für mich schaut das ganz gut aus, Zertifikat ist zu vernachlässigen weil es noch kein öffentliches gibt.

[NorbertFe 2.035]

Na dann dürfte er T ausgeben und hinschreiben, was er bei vertrauenswürdigem Zertifikat bekommen hätte. Alles was da nicht ein A bekommt, sollte man bearbeiten. :)