MAPIoverHTTP und EWS von extern sperren mit KEMP

[Lukikum 8]

Exchange 2019 on prem neuste CU/SU

Moin zusammen,

wir wollen unsere Exchange für externe so weit wie möglich einschränken. Ziel soll es sein, das abfließen von Postfächerinhalten so schwer wie möglich zu machen. Für OWA richten wir gerade MFA ein und ActiveSynch ist über die Device Quarantäne abgeischert.

Jetzt fehlt mir noch das abschalten MAPIoverHTTP und EWS.

Ich habe auf FrankysWeb den Guide für MAPI gefunden:
https://www.frankysweb.de/outlook-anywhere-nur-fuer-bestimmte-benutzer-erlauben/

 

Das ist etwas aufwändiger, da man für extern dann eine neue URL braucht. Hat aber den Vorteil, dass man sich aussuchen kann wer von extern noch zugreifen darf.

Der Vorteil ist für uns aber nicht von großer Bedeutung, weshalb ich nach einer etwas einfachereren Lösung suche:

 

Wir haben für unseren externen Zugriff einen dedizierten KEMP Loadmaster eingerichtet. Dort gibt es einen SubVs extra nur für das /mapi Verzeichnis. Wenn ich den deaktivierte, sollte das doch bereits ausreichend sein, richtig?

Das gleiche habe ich auch mit EWS vor, um Outlook for Mac mit einzubeziehen.

Lasst mich gerne wissen was ihr davon haltet oder ob ich irgendetwas übersehen habe.

Liebe Grüße
Lukas

[NorbertFe 2.063]

vor 12 Minuten schrieb Lukikum:

Wir haben für unseren externen Zugriff einen dedizierten KEMP Loadmaster eingerichtet. Dort gibt es einen SubVs extra nur für das /mapi Verzeichnis. Wenn ich den deaktivierte, sollte das doch bereits ausreichend sein, richtig?

Ja, dann kommt man über den Kemp nicht aufs /mapi Verzeichnis. Outlook Anywhere /rpc sollte dann aber auch geschlossen werden genauso wie /EWS und /OAB. Oder anders gesprochen alles zu außer /owa /Microsoft-Server-ActiveSync und /autodiscover

bearbeitet 30. August von NorbertFe

[testperson 1.708]

Hi,

 

MAPIoverHTTP sollte doch bereits per Modern Auth über ADFS möglich sein: Enable Modern Auth in Exchange Server on-premises | Microsoft Learn

(Sofern ihr von extern aber gar keinen Outlook Zugriff braucht, ist abschalten natürlich am sichersten. ;))

 

Wenn in dieser Liste doch aus dem "No (work in progress)" bei EAS nur ein "Yes" würde.. :)

 

Gruß

Jan

[Lukikum 8]

vor einer Stunde schrieb testperson:

über ADFS

ADFS wird bei uns leider nicht in absehbarer Zeit passieren :(

[cj_berlin 1.329]

vor 2 Stunden schrieb Lukikum:

 

Wir haben für unseren externen Zugriff einen dedizierten KEMP Loadmaster eingerichtet. Dort gibt es einen SubVs extra nur für das /mapi Verzeichnis. Wenn ich den deaktivierte, sollte das doch bereits ausreichend sein, richtig?

Das gleiche habe ich auch mit EWS vor, um Outlook for Mac mit einzubeziehen.

Damit ist doch das Problem gelöst, oder?

[Lukikum 8]

vor einer Stunde schrieb cj_berlin:

Damit ist doch das Problem gelöst, oder?

Ja die Frage war praktisch nur ob das so funktioniert oder ob ich irgendwas übersehen habe ;)

[cj_berlin 1.329]

Das sollte funktionieren. Ich habe es in der Regel mit einem Context Switch machen dürfen, weil man dann doch Security-by-Obscurity-mäßig Skype for Business-Clients an EWS lassen wollte, aber mit einem SubVS funktioniert es auch.

[NorbertFe 2.063]

Und dran denken die neueste Kemp Version 7.2.60.1 zu installieren. :)

[Lukikum 8]

vor 9 Minuten schrieb NorbertFe:

Und dran denken die neueste Kemp Version 7.2.60.1 zu installieren. :)

Danke für den Hinweis ;)

[NorbertFe 2.063]

Am 30.8.2024 um 12:05 schrieb testperson:

Wenn in dieser Liste doch aus dem "No (work in progress)" bei EAS nur ein "Yes" würde.. :)

 

Jetzt :)

https://learn.microsoft.com/en-us/exchange/plan-and-deploy/post-installation-tasks/enable-modern-auth-in-exchange-server-on-premises?view=exchserver-2019

 

[testperson 1.708]

Also wurde jetzt letztlich "nur" die Dokumentation angepasst? Die Voraussetzungen an die Software ist ja immer noch identisch.

 

Was mich jetzt wundert: Warum ist Outlook 2021 aus dem VL nicht supported?

[NorbertFe 2.063]

Keine Ahnung, ich habs nur grad im Exchange Teamblog gelesen und da stand was von Apple iOS Mailapp und die kann soweit ich weiß nur ActiveSync. Also muss es funktionieren. Die Frage ist, ob es bisher am Exchange oder am iOS scheiterte oder ob sie einfach nur nicht alle Kunden auf einmal im Supportcall haben wollten. ;)