Exchange Webaccess absichern

[fads 10]

Hallo,

 

wir setzen in unserer Firma einen Exchange 2003 ein und nutzen den Webaccess. Mein Problem ist dass viele unserer Mitarbeiter sehr einfallsreiche Passwörter nutzen.

Jetzt ist meine Frage ob es noch eine Möglichkeit gibt eine Passwortabfrage vor die normale Anmeldung vorzuschalten?

 

Gruß fads

[Dirk_privat 10]

Hi

 

Die Möglichkeit gibt es nicht, macht aber auch keinen Sinn. Du hast doch schon Kennwörter in Deinem Netz. Ändere einfach die Kennwortrichtlinien mit Länge, Komplexität, etc. dann hast Du Dein Ziel erreicht.

 

Gruß

Dirk

[Dr.Melzer 191]

Ich habe immer eine Authehtifizierung an der Firewall vorgeschaltet. Natürlich mit anderem Username und anderem Kennwort.

[fads 10]

Ja das einfachste wäre es die Kennwortrichtlinien zu ändern, aber das geht auf Grund der Vorgaben die ich bekomme nicht.

 

Wie macht man das mit der Authehtifizierung an der Firewall genau? Wir setzen eine Monowall ein.

 

Gruß fads

[Hr_Rossi 10]

hi

 

 

deine Firewall kann ja auch ein vpn server sein !

 

10/09/2005 - m0n0wall 1.2 released!

m0n0wall 1.2 includes many new features as well as improvements to existing ones (captive portal, PPTP VPN, logging, DHCP relay, diagnostics, DynDNS updater, IPsec). Countless small changes have been made to make the webGUI even more useful, and many bugs have been fixed in all components.

 

quelle: http://www.m0n0.ch/wall/

 

mach einen vpn-server auf der firewall und dort eine userdatenbank !

deaktivier die portweiterleitung auf den exchange !

 

wenn du nun eine vpn verbindung initierst, und das ip routing aktiviert ist solltest du jetzt auch zum exhchange per webzugriff draufkommen !

 

wie gesgat ist eher allgemein gehalten, da ich deine infrastruktur nicht kenne,

aber ich glaube dies wäre ein ansatz !!

 

lg

rossi

[kurisa 10]

ich habe es so gelöst, daß wir in unserer dmz einen server stehen haben, der eine ssl-verbindung aus dem internet zulässt (eigene user db) und dort eine verbindung auf unseren exchange weiterleitet (authentifizierung über ad) und somit den web access öffnet.

 

über diesen server kann man auch terminal-session etc. starten.

 

ssl-server: http://3sp.com (gibt auch eine open source version vom ssl-explorer)

[fads 10]

Hi,

 

VPN Verbindungen haben wir schon eingerichtet. Es geht aber darum wenn unsere Ausendienstmitarbeiter unterwegs sind und Ihr Notebook nicht dabei haben sollen sie trotzdem noch Zugriff auf das Outlook bekommen.

Ich habe für die VPN Einwahl richtige Passwörter erstellt die vernüftigen Kennwortrichtlinien entsprechen.

Diese kann sich aber keiner merken und aufschreiben geht wohl auch nicht. :mad: ...

Es ist halt so dass sie den Zugriff auf den Exchange über web haben sollen und dies soll ohne VPN gehen. Mir ist es aber zu unsicher wenn sie sich nur mit ihrem normalen Benutzer anmelden, das es ja auch nicht möglich ist ein richtiges PW zu erstellen... wars***einlich auch weil sie es sonst vergessen würden.

 

Naja Ihr werdet merken das ich mit den Vorgaben die mir gemacht werden nicht zufrieden bin, aber ich muss damit leben.

 

Gruß fads

[fads 10]

Hi Kursia,

 

das ist ein interesanter Ansatz, danke Dir das werde ich mir mal überlegen wir ich das bei uns realisieren kann.

[kurisa 10]

@fads

 

kurze anmerkung noch zum ssl-explorer: diese konstellation ist auch durch eine anfrage von unserem ad entstenden, die einen schnellen zugriff auf owa über einen bel. pc (ohne vpn) benötigen. neben owa kann man auch noch eine verbindung auf den file-server zulassen (mit/ohne installiertem webdav), bzw. bel. intranet-seiten freischalten.

auch das problem mit den passwörtern bekommt man so in den griff, da am ssl-explorer entsprechend "komplexe" passwörter eingerichtet werden.

man kann den ssl-explorer auch mit dem active directory koppeln, was mir persönlich aber nicht so zusagt, denn wenn der ssl-expl. gehackt werden sollte, kommt er mir bis ins ad hinein...

[Hr_Rossi 10]

hi

 

 

wäre https auch zu unsicher ?

 

lg

[s.k. 11]

Hallo fads,

 

die M0n0wall unterstützt ein sog. captive portal. Ich hab mich zwar noch nicht weiter damit beschäftigt, es scheint mir aber genau das zu sein, was Du suchst.

Der User wird beim ersten Zugriff mittels Browser auf eine (HTTPS-)Seite umgeleitet, wo er Username und Passwort eintragen muss. Nur wenn diese Authentifizierung erfolgreich war, wird seine Absender-IP (ggf. für einen einstellbaren Zeitraum) freigeschaltet. M0n0wall kann entweder eine eigene User-DB führen oder gegenüber einem RADIUS-Server (z.B. IAS) authentifizieren.

Ich würde dieses Feature aber nicht auf der eigentlichen Firewall aktivieren, sondern nur auf einer gesonderten Maschine in einer DMZ.

 

Gruß

Steffen