RPC over HTTP mit einem Exchange und einem DC

[lukin 10]

Hallo,

 

ich kaempfe momentan ein bisschen mit der Einrichtung von RPC over HTTP.

Fuer meine Testzwecke habe ich mir folgendes Szenario aufgestellt:

 

1x Windows Server 2003 SP1 als DC mit GC

1x Windows Server 2003 SP1 mit Exchange 2003 SP1

1x Windows XP SP2 Workstation mit Outlook 2003 SP1

 

Da es in diesem Szenario keinen Front-End-Server gibt, bin ich nach

folgender Anleitung vorgegangen:

 

http://www.microsoft.com/technet/prodtechnol/exchange/guides/E2k3RPCHTTPDep/48d6d03d-64c2-470f-9561-6de9003effe4.mspx

 

Im einzelnen habe ich dabei folgende Schritte durchgefuehrt:

 

1. Installation des RPC over HTTP Proxys auf dem Exchange-Server

 

2. Konfiguration des Exchange-Servers als RPC over HTTP Backend-Server

(Konfiguration ist gut, ein Haekchen wars)

 

3. Konfiguration des virtuellen Verzeichnisses RPC im IIS (Deaktivierung

des anonymen Zugriffs sowie Aktivierung von NTLM- sowie

Standardauthentifizierung)

 

4. Konfiguration des Proxy Servers zur Nutzung spezifizierter Ports (die

6001-6002 und 6004 fuer den Exchange Server mit NetBIOS sowie Namen

sowie FQDN)

 

5. Anlegen des Outlook Profils. Dort habe ich in den Eigenschaften den

FQDN des Exchange-Servers eingegeben (den internen, da ich das erst nur

intern teste) und die Standardauthentifizierung aktiviert. Ausserdem

habe ich die Einstellung aktiviert, dass auch bei einer schnellen

Verbindung erst HTTP benutzt werden soll. SSL habe ich deaktiviert, da

ich noch kein Zertifikat erstellt habe.

 

Wenn ich nun Outlook mit diesem Profil starte, werde ich aufgefordert,

Benutzername und Kennwort einzugeben. Danach kann ich auf mein Postfach

zugreifen - aber leider nicht ueber HTTP. In den

Verbindungseigenschaften steht nur TCP/IP als Verbindung (Wobei ich

TCP/IP da ein bisschen komisch zu lesen finde, da sollte lieber RPC

stehen wie ich finde).

 

Hat jemand eine Ahnung, was ich falsch gemacht haben koennte?

 

Freundliche Gruesse,

Michael

 

PS: In einigen Beitraegen habe ich gelesen, dass man mit Exchange SP1

die Konfiguration des Proxy Servers zur Nutzung spezifizierter Ports gar

nicht mehr in der Registrierung durchfueheren muss - angeblich kann man

die Ports auch irgendwo im System Manager eintragen. Ich frag mich nur,

wo das sein kann - ich hab's nicht gefunden.

[Christoph35 10]

Hi

 

 

Alle Clients müssen Outlook 2003 und Windows XP SP1 oder neuer nutzen mit dem Patch 331320, damit s funktioniert.

 

siehe auch hier:

http://support.microsoft.com/?id=331320

 

Christoph

[lukin 10]

Hi,

 

Alle Clients müssen Outlook 2003 und Windows XP SP1 oder neuer nutzen mit dem Patch 331320, damit s funktioniert.

 

danke. Aber ich habe mich oben nur verschrieben - es muss SP2 lauten.

 

Gruß,

Michael

[Christoph35 10]

Wie hast du genau das Outlook Profil für RPC over HTTP konfiguriert?

 

Christoph

[lukin 10]

Hallo,

 

Wie hast du genau das Outlook Profil für RPC over HTTP konfiguriert?

 

so wie oben beschrieben:

 

Anlegen des Outlook Profils. Dort habe ich in den Eigenschaften den

FQDN des Exchange-Servers eingegeben (den internen, da ich das erst nur

intern teste) und die Standardauthentifizierung aktiviert. Ausserdem

habe ich die Einstellung aktiviert, dass auch bei einer schnellen

Verbindung erst HTTP benutzt werden soll. SSL habe ich deaktiviert, da

ich noch kein Zertifikat erstellt habe.

 

mehr kann man da ja auch nicht einstellen.

[Christoph35 10]

Naja, man kann den Exchange-Server mit FQDN oder netbios-name angeben, hatte mal den merkwürdigen effekt, dass das erst geklappt hatte, als ich den FQDN des Exchange-Servers angegeben hatte, wenn ich mich recht entsinne.

 

wenn jemand noch andere Ideen hat, mir fällt sonst nix mehr dazu ein. Sorry!

 

Christoph

[lukin 10]

wenn jemand noch andere Ideen hat, mir fällt sonst nix mehr dazu ein. Sorry!

 

Trotzdem danke, ich werde mich damit am Wochenende dann noch mal etwas genauer damit befassen.

[Christoph35 10]

Kannst ja mal schreiben, woran s letztlich gelegen hat...

 

Christoph

[lukin 10]

Hallo,

 

ich habe noch mal eine Frage zu den Eintragen in der Registrierung.

 

Auf http://www.petri.co.il'>http://www.petri.co.il steht, dass man den RPC over HTTP Proxy zur Benutzung von spezifischen Ports konfigurieren muss. Dazu muessen in dem Schluessel

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Rpc\RpcProxy

 

folgende Eintragungen gemacht werden:

 

ServerNETBIOSName:6001-6002;ServerFQDN:6001-6002;ServerNetBIOSName:6004;ServerFQDN:6004

 

In einem Artikel auf http://www.tacteam.net,'>http://www.tacteam.net, in dem ein Szenario mit Front- und Backend-Server behandelt wird, steht, dass mit diesen Eintraegen der Exchange Backend-Server angegeben wird. Der Backend Server scheint dann also ueber die Ports 6001-6004 fuer den RPC over HTTP Proxy erreichbar zu sein. Habe ich das richtig verstanden?

 

Ebenfalls ist auf http://www.tacteam.net beschrieben, dass in diesem Schluessel auch der Name und Port des Global Catalog-Servers angegeben muss (jedenfalls, wenn nicht alles auf einem Server laeuft). Auf http://www.petri.co.il steht dazu, dass man allen Global Catlog Servern sagen muss, welchen Port sie fuer RPC over HTTP nehmen sollen. Das waere dann der Eintrag

 

ncacn_http:6004

 

im Schluessel HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters auf dem GC-Server.

 

Demnach waere es dann so, dass Zugriffe auf den GC durch den RPC over HTTP Proxy auf Port 6004 statt finden wuerden und nicht auf dem Standard Port 3268. Also muesste ich auf dem RPC over HTTP Proxy tatsaechlich den GC mit dem Port 6004 angeben und nicht mit dem Standard-Port 3268. Stimmt das?

 

Ueber ein bisschen Hilfe waere ich dankbar!

 

Gruss,

Michael

[lukin 10]

So, ich habe es jetzt hinbekommen. Allerdings wuerde ich mich ueber

ein bisschen Nachilfe freuen, um zu verstehen, warum das erst jetzt

funktioniert.

 

Also. Unter HKLM\SOFTWARE\Microsoft\Rpc\RpcProxy befindet sich der

Eintrag "ValidPorts", der den Ort folgender Dienste enthaelt:

 

6001 Store

6002 DSReferral

6004 DSProxy

 

Die Dienste laufen alle auf dem Exchange-Server und werden schon mit

dem Exchange-Setup eingerichtet. Mit dem Eintrag "ValidPorts" teilt

man dem RPC over HTTP Proxy also sozusagen mit, wo sich diese Dienste

befinden.

 

Ich war nun durch verschiedene Aussagen in diversen Anleitungen aber

etwas verwirrt.

 

Da ich auf http://www.petri.co.il gelesen hatte, dass man auf allen

Global Catalog Servern einen bestimmten Port fuer den RPC over HTTP

Verzeichnisdienst angeben muss, naemlich mit dem Key ncacn_http:6004

im Schluessel HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters,

dachte ich, ich muss im Key ValidPorts auf dem RPC Proxy den Port 6004

direkt mit dem Global Catalog Server angeben. Dementsprechend war das

mein Eintrag unter ValidPorts:

 

ExchangeNetBIOS-Name:6001-6002; ExchangeFQDN:6001-6002;

GlobalCatalogNetBIOS-Name:6004; GlobalCatalogFQDN:6004

 

Da ich ja mit dem Key ncacn_http:6004 auf dem Global Catalog Server

definiert hatte, dass Anfragen vom RPC over HTTP Verzeichnisdienst an

Port 6004 angenommen werden, dachte ich, das muesste eben so klappen.

So ist das ausserdem auch auf http://www.tacteam.net nachzulesen.

 

Allerdings habe ich mich damit getaeuscht. Die Verbindung zu E-Mail

klappte zwar mit HTTPS, die Verbindung zum Verzeichnisdienst jedoch

nur ueber TCP/IP.

 

Ich habe dann im Key ValidPorts einfach mal den Port 6004 mit dem

Exchange-Server angegeben. Also so:

 

ExchangeNetBIOS-Name:6001-6002; ExchangeFQDN:6001-6002;

ExchangeNetBIOS-Name:6004; ExchangeFQDN:6004

 

Damit hat es dann sofort funktioniert. Nur leider bin ich jetzt ein

bisschen verwirrt, nach der ganzen Geschichte. Kann mir vielleicht

jemand erklaeren, was es mit diesen Registrierungeintraegen genau auf

sich hat?

 

Ich verstehe zwar, dass man dem RPC over HTTP Proxy mit dem Key

ValidPorts mitteilt, wo er die Diense auffinden kann. Die Verbindung

zum Global Catalog und der Eintrag ncacn_http:6004 auf demselben

sorgen bei mir dann allerdings fuer etwas Verwirrung. Und was genau

sind ueberhaupt die die Dienste DSReferral und DSProxy? Ueber eine

Erklaerung dazu waere ich wirklich sehr dankbar! Wenn jemand eine

Quelle kennt, wo ich das nachlesen kann, waere ich ebenso dankbar!

 

Ich wuerde so gerne verstehen, was ich da gerade gemacht habe...

 

Freundliche Gruesse, Michael

[Christoph35 10]

Hi,

 

schönen Dank für die Info!

 

Vielleicht ist das ein guter Ausgangspunkt für dich.

 

http://msdn.microsoft.com/library/default.asp?url=/library/en-us/rpc/rpc/rpc_over_http_security.asp

 

Christoph

[lukin 10]

Vielleicht ist das ein guter Ausgangspunkt für dich.

 

http://msdn.microsoft.com/library/default.asp?url=/library/en-us/rpc/rpc/rpc_over_http_security.asp

 

Danke. Das werde ich mir noch mal angucken. Übrigens steht die Konfiguration des Schlüssels ValidPorts hier noch mal anders beschrieben:

 

http://www.outlookexchange.com/articles/HenrikWalther/RPC_over_HTTP.asp

 

Das ist ja echt ein sehr verwirrendes Thema. In der Anleitung oben steht wieder mal drin, dass da der Global Catalog mit rein muss. Und noche ein paar andere Ports, auf die ich mir im Moment gar keinen Reim machen kann...

 

Ist diese Verwirr-Taktik gewollt oder liegt das jetzt nur an mir? Andere Dinge sind da aber besser beschrieben, finde ich. Das ist alles ganz schön undurchsichtig.

[Christoph35 10]

Jau, das Thema ist ganz schön komplex...

 

Ich hab das nur mal im Rahmen eines MOC Trainings gemacht und danach noch mal zuhause nachvollzogen. Hier auf der Arbeit kann ich das leider (noch?!) niciht in der Praxis anwenden.

 

Christoph