Kann nicht mit iPhone Mail per OpenVPN auf den ExchangeServer 2013 zugreifen.

[magicpeter 11]

Moin,

da wir nach der Hafnium Attacke den Mailserver komplett nach außen zu gemacht haben wollte ich jetzt gerne über einen VPN-Tunnel auf den Exchange Server zugreifen.

Kann nicht mit iPhone Mail per OpenVPN auf den ExchangeServer 2013 zugreifen. 

Leider klappt das noch nicht so ganz.

 

Habe die ovpn-Konfigatrei schon erweitert um den DNS-Server und leite den gesamten Traffic über den VPN.

dhcp-option DNS 192.168.30.121                                                                                           

dhcp-option DOMAIN xxxxxx.local

redirect-gateway

Ich kann bereits per Browser auf den Exchange Zugriefen, aber über das MailProgramm Klappt das noch nicht,

Hat einer eine Idee wie ich das hinbekommen könnte.

 

Danke euch

 

 

bearbeitet 4. April 2021 von magicpeter

[winmadness 79]

Hi,

wenn das Profile schon vor der VPN Verbindung angelegt wurde, würde ich es löschen und neu anlegen. Welche FQDN ist als EAS Server angegeben? Wird der richtig aufgelöst? Ausserdem mal im IIS Protokoll prüfen, ob überhaupt die Anfrage vom iPhone ankommt.  Verwendest Du die OpenVPN App und auf welchem System läuft der VPN-Server?

[magicpeter 11]

vor 3 Stunden schrieb winmadness:

Hi,

wenn das Profile schon vor der VPN Verbindung angelegt wurde, würde ich es löschen und neu anlegen. Welche FQDN ist als EAS Server angegeben? Wird der richtig aufgelöst? Ausserdem mal im IIS Protokoll prüfen, ob überhaupt die Anfrage vom iPhone ankommt.  Verwendest Du die OpenVPN App und auf welchem System läuft der VPN-Server?

Moin, danke für deinen Kommentar. Ja, ich nutze die OpenVPN App und der VPN-Server läuft auf einer Lancom UF-200 Firewall. Das OWA läuft bereits und funktioniert auch auf dem iPhone nur die E-Mails per Mail kommen nicht an. Das Konto habe ich bereits neuangelegt. Ändert aber nix. Die IIS Logs werde ich einmal prüfen.

[magicpeter 11]

vor 16 Stunden schrieb winmadness:

Hi,

wenn das Profile schon vor der VPN Verbindung angelegt wurde, würde ich es löschen und neu anlegen. Welche FQDN ist als EAS Server angegeben? Wird der richtig aufgelöst? Ausserdem mal im IIS Protokoll prüfen, ob überhaupt die Anfrage vom iPhone ankommt.  Verwendest Du die OpenVPN App und auf welchem System läuft der VPN-Server?

Ich habe mir mal den IIS Log angeschaut (%SystemDrive%\inetpub\logs\LogFiles) 
Werde aber nicht ganz schlau daraus. 
Es scheint so als wenn der Administrator dabei nicht Funktionieren würde.
Ist das korrekt?
Ich werde mal ein anderes Konto testen.

Danke dir
 

2021-04-04 07:49:38 fe80::f0a5:a951:d836:dc3a%12 OPTIONS /Microsoft-Server-ActiveSync/Proxy/default.eas &Log=PrxFrom:fe80%3a%3af0a5%3aa951%3ad836%3adc3a%2512_V0_HH:remote.XXXXXXXXX-XXXXXXXXX.de_SmtpAdrs:administrator%40XXXXXXXXX.local_Cpo19000_Fet19031_Error:UserDisabledForSync_Mbx:ServerEX1.XXXXXXXXX.local_Dc:ServerDC1.XXXXXXXXX.local_SBkOffD:L%2f-470_TmRcv07:49:19.3856665_TmCmpl07:49:38.4169219_ActivityContextData:ActivityID%3de5416e58-3a6e-4de5-9e84-19ec43a81102%3bI32%3aATE.C%5bServerDC1.XXXXXXXXX.local%5d%3d2%3bF%3aATE.AL%5bServerDC1.XXXXXXXXX.local%5d%3d0%3bI32%3aADS.C%5bServerDC1%5d%3d2%3bF%3aADS.AL%5bServerDC1%5d%3d1.2466%3bS%3aWLM.Bal%3d480000%3bS%3aWLM.BT%3dEas_Budget:(D)Owner%3aSid%7eXXXXXXXXX%5cAdministrator%7eEas%7efalse%2cConn%3a0%2cMaxConn%3a10%2cMaxBurst%3a480000%2cBalance%3a480000%2cCutoff%3a600000%2cRechargeRate%3a1800000%2cPolicy%3aGlobalThrottlingPolicy%5F17e3e9bc-5a4e-4345-a943-6c8f1e96f21b%2cIsServiceAccount%3aFalse%2cLiveTime%3a00%3a00%3a19.0156514_ 444 XXXXXXXXX\Administrator fe80::f0a5:a951:d836:dc3a%12 Apple-iPhone10C6/1804.70 - 403 0 0 19031

 

 

2021-04-03 18:57:49 fe80::f0a5:a951:d836:dc3a%12 OPTIONS /Microsoft-Server-ActiveSync/Proxy/default.eas &Log=PrxFrom:fe80%3a%3af0a5%3aa951%3ad836%3adc3a%2512_V0_HH:remote.XXXXXXXXX-XXXXXXXXX.de_SmtpAdrs:administrator%40XXXXXXXXX.local_Cpo19000_Fet19031_Error:UserDisabledForSync_Mbx:ServerEX1.XXXXXXXXX.local_Dc:ServerDC1.XXXXXXXXX.local_SBkOffD:L%2f-470_TmRcv18:57:30.0992938_TmCmpl18:57:49.130555_ActivityContextData:ActivityID%3df3847cdd-b44e-495c-b5f1-f0187044c685%3bI32%3aATE.C%5bServerDC1.XXXXXXXXX.local%5d%3d2%3bF%3aATE.AL%5bServerDC1.XXXXXXXXX.local%5d%3d8%3bI32%3aADS.C%5bServerDC1%5d%3d2%3bF%3aADS.AL%5bServerDC1%5d%3d1.2015%3bS%3aWLM.Bal%3d480000%3bS%3aWLM.BT%3dEas_Budget:(D)Owner%3aSid%7eXXXXXXXXX%5cAdministrator%7eEas%7efalse%2cConn%3a0%2cMaxConn%3a10%2cMaxBurst%3a480000%2cBalance%3a480000%2cCutoff%3a600000%2cRechargeRate%3a1800000%2cPolicy%3aGlobalThrottlingPolicy%5F17e3e9bc-5a4e-4345-a943-6c8f1e96f21b%2cIsServiceAccount%3aFalse%2cLiveTime%3a00%3a00%3a19.0156511_ 444 XXXXXXXXX\Administrator fe80::f0a5:a951:d836:dc3a%12 Apple-iPhone10C6/1804.70 - 403 0 0 19031

 

bearbeitet 4. April 2021 von magicpeter

[Dukel 455]

  

vor einer Stunde schrieb magicpeter:

2021-04-04 07:49:38 fe80::f0a5:a951:d836:dc3a%12 OPTIONS /Microsoft-Server-ActiveSync/Proxy/default.eas &Log=PrxFrom:fe80%3a%3af0a5%3aa951%3ad836%3adc3a%2512_V0_HH:remote.XXXXXXXXX-XXXXXXXXX.de_SmtpAdrs:administrator%40XXXXXXXXX.local_Cpo19000_Fet19031_Error:UserDisabledForSync_Mbx:ServerEX1.XXXXXXXXX.local_Dc:ServerDC1.XXXXXXXXX.local_SBkOffD:L%2f-470_TmRcv07:49:19.3856665_TmCmpl07:49:38.4169219_ActivityContextData:ActivityID%3de5416e58-3a6e-4de5-9e84-19ec43a81102%3bI32%3aATE.C%5bServerDC1.XXXXXXXXX.local%5d%3d2%3bF%3aATE.AL%5bServerDC1.XXXXXXXXX.local%5d%3d0%3bI32%3aADS.C%5bServerDC1%5d%3d2%3bF%3aADS.AL%5bServerDC1%5d%3d1.2466%3bS%3aWLM.Bal%3d480000%3bS%3aWLM.BT%3dEas_Budget:(D)Owner%3aSid%7eXXXXXXXXX%5cAdministrator%7eEas%7efalse%2cConn%3a0%2cMaxConn%3a10%2cMaxBurst%3a480000%2cBalance%3a480000%2cCutoff%3a600000%2cRechargeRate%3a1800000%2cPolicy%3aGlobalThrottlingPolicy%5F17e3e9bc-5a4e-4345-a943-6c8f1e96f21b%2cIsServiceAccount%3aFalse%2cLiveTime%3a00%3a00%3a19.0156514_ 444 XXXXXXXXX\Administrator fe80::f0a5:a951:d836:dc3a%12 Apple-iPhone10C6/1804.70 - 403 0 0 19031

 

 

Du versuchst das mit dem "Administrator" und machst dir in einem anderen Beitrag sorgen um die Sicherheit?

1. gibt es den Admin SD Holder

2. nutzt man den Administrator nicht für die Tägliche Arbeit!

bearbeitet 4. April 2021 von Dukel

[magicpeter 11]

vor 2 Stunden schrieb Dukel:

  Du versuchst das mit dem "Administrator" und machst dir in einem anderen Beitrag sorgen um die Sicherheit?

1. gibt es den Admin SD Holder

2. nutzt man den Administrator nicht für die Tägliche Arbeit!

Das war nur ein Test mit dem Admin. Der Admin wird nur für Admin-Aufgaben genutzt.
Mach die keine Sorgen, aber Danke trotzdem. 

 

vor 19 Stunden schrieb winmadness:

Hi,

wenn das Profile schon vor der VPN Verbindung angelegt wurde, würde ich es löschen und neu anlegen. Welche FQDN ist als EAS Server angegeben? Wird der richtig aufgelöst? Ausserdem mal im IIS Protokoll prüfen, ob überhaupt die Anfrage vom iPhone ankommt.  Verwendest Du die OpenVPN App und auf welchem System läuft der VPN-Server?

 

Danke für euere Kommentare. Es funktioniert jetzt!

Wenn man einen ganz normalen Nutzer nimmt, dann klappt das auch mit den E-Mail (Mail am iPhone durch den VPN-Tunnel)

Ich hatte den Admin nur genutzt weil ich das Kennwort auswendig kenne und leider nicht für jeden anderen Benutzer in der Firma 


 

Exchange Server absichern - Ports schließen

VPN-Tunnel und iPhone Mail über VPN-Tunnel nutzen

 

1. Exchange Server Ports bis auf 25 in der DMZ schließen

2. Firewall VPN-Tunnel zum LAN / Exchange Server einrichten

VPN-Konfigfile exportieren

3. OpenVPN Connect App auf dem iPhone einrichten
kein besonderen Einstellung im VPN-Client/Konfigfile notwendig (DNS, Gateway)

VPN-Konfigfile importieren

4. Exchange E-Mail Konto einrichten

bestehende E-Mail Konten können weiter genutzt werden
 

[winmadness 79]

vor 2 Stunden schrieb magicpeter:

Wenn man einen ganz normalen Nutzer nimmt, dann klappt das auch mit den E-Mail (Mail am iPhone durch den VPN-Tunnel)

Hallo Peter,

klasse, eine Sicherheitsproblem weniger.

[Dukel 455]

vor 2 Stunden schrieb magicpeter:

Ich hatte den Admin nur genutzt weil ich das Kennwort auswendig kenne und leider nicht für jeden anderen Benutzer in der Firma 

Soll man hierzu noch etwas schreiben?

[magicpeter 11]

Gerade eben schrieb Dukel:

Soll man hierzu noch etwas schreiben?

Kennst du die Admin-Kennworte deiner Kunde nicht auswendig? 

 

[Dukel 455]

Meine Kunden nutzen Personalisierte Admin Accounts und auch nur zur Administration.

[magicpeter 11]

vor 14 Minuten schrieb Dukel:

Meine Kunden nutzen Personalisierte Admin Accounts und auch nur zur Administration.

OK, das ist auch eine Möglichkeit und auch noch eine sehr sichere.