Sichere Exchange Umgebung. Zywall. ist Frontend Exch-Server notwendig?

[Superstruppi 13]

Schönen Tag!

 

Wir sind gerade am Konzeptionieren für einen Kunen und überlegen nun die beste Exchange Lösung...

 

Der Kunde hat 3 Sitze, 1 Hauptsitz und 2 Zweigstellen. Diese werden untereinander mit der Zywall 35 (am Hauptsitz) sowie mit Zywall 5 (an den Zweigstellen) via VPN verbunden.

 

Am Hauptsitz gibt es einen Exchange 2003 Server, der die Mailfuntionalität für alle Mitarbeiter zur Verfügung stellt. Laut Microsoft wird empfohlen, einen Backend Exchange Server im Hauptsitz-LAN- und einen Frontend Exchange Server in der DMZ eines ISA 2004 - Servers zu betreiben.

Insgesamt wären das also 2 Exchange Server, 1 ISA-Server und 1 Hardware Firewall Zywall 35.

Meine Frage: Bekommt man diese Sicherheit (oder eine angemessene) auch mit weniger Server? Ist eins ISA-Server notwendig? Ist ein Frontend Exchange Server notwendig?

 

Mir ist klar, dass man nie absolute Sicherheit erlangen kann. Zu finden ist allerdings eine kostengünstige aber sichere Lösung. Dumm sind die Lizenzkosten für den zweiten Exchange-Server, auch wenn man nur eine DAC bzw. 1 5'er Set CALs braucht.

 

Was meint Ihr dazu?

 

Besten Dank und viele Grüße,

Mario.

[Superstruppi 13]

hat denn keiner eine Idee?

[GuentherH 61]

Hi.

 

Diese werden untereinander mit der Zywall 35 (am Hauptsitz) sowie mit Zywall 5 (an den Zweigstellen) via VPN verbunden.

Da hast du doch eine sichere Verbindung zwischen den Standorten.

Einen Exchange in der DMZ brauchst du eigentlich nur, wenn du von aussen auf diesen zugreifen willst, und dir HTTPS und Portforwarding zu unsicher ist.

 

Ansonsten kannst du auch in die DMZ ein Mailgateway stellen auf dem auch bereits der Virenscanner und SPAM Filter läuft.

 

LG Günther

[Superstruppi 13]

Alles klar. - danke!

 

also brauch ich gar keinen Frontend Exchange, wenn ich über eine SSL Port (zB. 10001) nur OWA zur Verfügung stelle....

 

Dann brauch ich eigentlich auch gar keinen ISA 2004 Server, oder? Und an der DMZ hängt nur der IIS inkl. SMTP u. GFI MailEssentials.

 

Alle direkten Exchange-Anfragen kommen gesichert per VPN und der Rest kann von außen per OWA arbeiten.

 

Hab ich da was vergessen?

 

 

das ganze würde dann so ausschauen:

 

INTERNET

|

(WAN)

|

ZYWALL --(DMZ)--> IIS & SMTP (+ Spamschutz)

|

(LAN)

|

|_ EXCHANGE

|_ DC1

|_ DC2

|_TERMINAL CITRIX SERVER 1

|_TERMINAL CITRIX SERVER 2

|

|

CLIENTS

[Hazwo 10]

Hallo,

 

hast du schon Erfahrungen mit dieser Konfiguration?

[Superstruppi 13]

hallo hazwo.

 

fast - bis auf die dmz schaut unser netzwerk gleich aus. die dmz wär aber kein problem - man muss ja dann nur die richtigen ports weiterleiten.

 

ich empfehle in der dmz IIS & Exchange Frontend Server, da wir mit der GFI-Geschichte relativ viele Probleme haben...

 

viele Grüße,

Mario.

[Hazwo 10]

hallo,

 

ich habe ein ähnliches problem. siehe

 

http://www.mcseboard.de/showthread.php?t=81686

 

1. Punkt ist schon geklärt. Server in der DMZ wird nicht in die interne W2k Domäne hinzugefügt.

 

Allerdings bin ich mir bezüglich Sicherheit noch nicht im Klaren.

[Hazwo 10]

welche probleme hast du mir gfi?