Firewall Portproblem Exchange 2003 nutzt immer wieder neue Ports

[duracel 10]

Hallo Cracks,

 

Immer wenn ich den neuen Server neu starte muss ich auf der Firewall einen Port nachpflegen damit VPN Clients über Outlook weiter mit dem Server kommunizieren können. Irgendwie nutzt er jedes Mal einen andern Port.

 

Gruß und vielen Dank für jede Hilfe

Duracel

[IThome 10]

Das ist auch normales Verhalten, welches man aber ändern kann ...

Exchange Server static port mappings

[overlord 10]

Hi,

ein paar Infos:

Konfigurieren der dynamischen RPC-Portzuweisung für Firewall-Einsatz

Exchange Server static port mappings

 

[grr]

schubs@ithome

[/grr]

[CoolBlue 10]

Verweißt denn hier niemand auf fertige Problemlösungen?

 

Hier mein Thread, hatte dasselbe Problem und es so gelößt:

http://www.mcseboard.de/windows-forum-ms-backoffice-31/outlook-2003-exchange-2003-ports-99827.html

[nerd 28]

Verweißt denn hier niemand auf fertige Problemlösungen?

 

Hier mein Thread, hatte dasselbe Problem und es so gelößt:

http://www.mcseboard.de/windows-forum-ms-backoffice-31/outlook-2003-exchange-2003-ports-99827.html

 

HI,

 

Die beiden Links führen doch auch zu Lösungen - sogar direkt von MS

 

Gruß

[CoolBlue 10]

Naja... das immer die Sache

 

bis ich herausgefunden und verstanden habe wie das Problem zu lösen ist, hab ich mir 4 stunden lang dafür mit den MS dokus um die Ohren geschlagen...

 

Und die MS Dokus waren teilweise sehr wiedersprüchlich.

 

Das Statische Ports Howto ist übrigens obsolet für exchange 2003 mit outlook 2003

das ist für ältere MAPI Clients

 

Interessant ist auch das in den Firewall howtos nicht drin steht das exchange udp notfiys schickt und ich mich immer gewundert hab wieso ich schon wieder abgewiesene zugriffe hab.

 

In einem anderen Dokument mit der Übersicht über die verwendeten Ports wurde es dann mit ein wenig kombinationsgabe klarer.

 

Trotzdem behauptet jedes der Dokumente bei RPC das ein beliebiger High-Port benutzt wird, was wiederum auch nich stimmt, da laut andere Doku (und meiner praxis erfahrung) nur die Ports zwischen 1025 und 5000 benutzt werden.

 

Auch die UDP Notfiys liegen in dem Bereich obwohl dort auch steht ein beliebiger Port. Hätte ich dieser Aussage blind gefolgt hätte ich einfach 1025-65535 freigeben, was viel zu viel gewesen wär. Da ich bissher noch nich rausfinden konnte wie man auch die UDP Notifys einschränknen kann hab ich erstmal alle im bereich 1025-5000 UDP/Ausgehend freigegeben. Was aber auch ncih so schlimm ist, da der Schutz in Richtung Server gegeben ist.

 

Gut er hat natürlich nich gesagt welche Softwareversionen er einsetzt.

 

Jan

[duracel 10]

Hallo Cracks,

 

diese Geschichte hat geholfen:

 

Exchange Server static port mappings

 

von IThome und overlord

 

Ich hatte diese Sache zwr schon ausgeführt aber einen Port übersehen.

 

Danke an alle und weiterhin gutes gelingen.

[IThome 10]

Danke für die Rückmeldung ... :)

[Velius 10]

Trotzdem behauptet jedes der Dokumente bei RPC das ein beliebiger High-Port benutzt wird, was wiederum auch nich stimmt, da laut andere Doku (und meiner praxis erfahrung) nur die Ports zwischen 1025 und 5000 benutzt werden.

 

Das ist ein Erfahrungswert, und könnte möglicherweise begündet werden, was aber nicht bedeutet, dass die Doku nicht stimmt. Sie ist höchstens nicht ausführend genug.

 

Der Grund dafür, dass du keine Ports höher 5000 siehst ist eher Zufall, da es AFAIK eine Frage ist, ob der Port des Rechners der den End-Point bestimmt schon durch eine andere Anwendung belegt, sprich abgört wird. Ist das der Fall wird der nächst höhere verwendet, usw.. Da ist es eher unwahscheinlich dass ein Rechner etwa 3000 Ports simultan offen hat.:wink2:

[CoolBlue 10]

Ne ist es nicht. Laut Microsoft ist der Bereich 1025 bis 5000 der sogenante Shared Port Pool für RPC, DCOM und andere Dienste die einen Kommunkikationsport brauchen innerhalb Windows.

 

Es wird sogar ausdrücklich empfohlen den RPC Bereich aus diesem Shared Pool weg zu legen, also über Port 5000. Zum einen wegen der Sicherheit, weill dann der neue Bereich wirklich _nur_ für RPC ist, zum anderen weil dann RPC keien Ports mehr aus diesem Shared Pool belegen kann, so dass für andere Anwendungen mehr Ports zur Verfügung stehen.

 

Angeblich soll dies auf hochbelasteten Terminal Servern nötig sein, wobei ich sowas bissher aus der Praxis noch nich gehört habe.

 

Wie gesagt, obiges waren alles original Infos von MS.

[Velius 10]

Das bedeutet aber nicht, dass die End-Point Zuweisung so abläuft wie von mir geschildert. Bezüglich deiner Behauptung der Ports: Es gibt auch nicht MS-Systeme die auch RPC Calls verwenden, wie HP Openview, usw..

[CoolBlue 10]

Aso.. na da kenn ich mich noch nich mit aus.

 

Also in nem reinen ****** Netz läuft das erstmal so und ich bin zufrieden. Da acuh die AD Anmeldung über RPC geht, brauch ich jetzt nich mehr den Port 1025-1026 freigeben, da dies auch in den neuen verschobenen RPC Pool geht.