ISA vs Exchange: nur RST Pakete

[leg 10]

Hallo zusammen.

 

Wir betreiben hier intern einen Exchange Server und veröffentlichen den über einen ISA Server, der ein Beinchen im LAN und eins in der DMZ hat.

Der ISA Server macht proxy und OWA, beides soweit wunderbar.

 

Nun möchten wir einen neuen ISA Server aufstellen, der aber Uni homed in der DMZ stehen soll. Alles soweit eingerichtet, Proxy funktioniert wunderbar.

 

Bei OWA will er aber nicht mitspielen. Die Regeln auf dem ISA haben wir alle nach Anleitung und zum Teil mit den HowTos für einen Unihomed ISA von isaserver.org angelegt.

Gleicht auch alles dem Setup vom alten ISA, an und für sich muss das einfach drehen.

 

Nun steht aber eine Firewall zwischen ISA und Exchange Server. Auf der ist aber ANY erlaubt. Immer. Alles. Ok.

 

Traffic mitgeschnitten und so sieht aus:

ISA: 10.0.10.111

Exchange: 10.0.20.222

 

812.081028 10.0.10.111.39915 -> 10.0.20.222.443: syn 2745277660
812.082527 10.0.20.222.443 -> 10.0.10.111.39915: rst 0 ack 2745277661
812.579963 10.0.10.111.39915 -> 10.0.20.222.443: syn 2745277660
812.581070 10.0.20.222.443 -> 10.0.10.111.39915: rst 0 ack 2745277661
813.017461 10.0.10.111.39915 -> 10.0.20.222.443: syn 2745277660
813.044141 10.0.20.222.443 -> 10.0.10.111.39915: rst 0 ack 2745277661
813.046318 10.0.10.111.39916 -> 10.0.20.222.443: syn 2144044377
813.047698 10.0.20.222.443 -> 10.0.10.111.39916: rst 0 ack 2144044378
813.564264 10.0.10.111.39916 -> 10.0.20.222.443: syn 2144044377
813.565333 10.0.20.222.443 -> 10.0.10.111.39916: rst 0 ack 2144044378
814.111129 10.0.10.111.39916 -> 10.0.20.222.443: syn 2144044377
814.112227 10.0.20.222.443 -> 10.0.10.111.39916: rst 0 ack 2144044378
814.114371 10.0.10.111.39917 -> 10.0.20.222.443: syn 1664401485
814.116738 10.0.20.222.443 -> 10.0.10.111.39917: rst 0 ack 1664401486
814.657957 10.0.10.111.39917 -> 10.0.20.222.443: syn 1664401485
814.658842 10.0.20.222.443 -> 10.0.10.111.39917: rst 0 ack 1664401486
815.204824 10.0.10.111.39917 -> 10.0.20.222.443: syn 1664401485
815.205871 10.0.20.222.443 -> 10.0.10.111.39917: rst 0 ack 1664401486

 

Die 81x sind nur die Sekunden, die mein Capture schon läuft.

Meiner Interpretation nach sind das 3 Versuche eine Verbindung zum Exchange aufzubauen, die der Exchange alle mit RST getaggten TCP Paketen verweigert.

 

Die Firewall ist eine Fortinet Fortigate 400, aber da es eh auf ANY steht dürfte das kein Problem sein...

 

Hat jemand eine Idee was das sein könnte?

 

danke und gruß

stephan

[leg 10]

Ok, soweit gelöst:

Wir hatten auf dem neuen die Weiterleitung auf 443 statt auf 80 wie auf dem alten.

 

Nun gilt es herauszufinden warum der exchange nicht auf 443 läuft...