Ich hatte vor einiger Zeit darueber geschrieben, dass ich Outlook Anywhere aus einem Netz heraus erlauben moechte und es moeglichst sicher sein soll. Nun so extrem viel gibt es leider nicht dazu. Aber mit ein paar Einstellungen kann man es sicher erreichbar machen.
Wenn ihr einen TMG installiert habt, der auch noch hinter einer Firewall ist, so das der TMG nur als Proxy Server zwischen Exchange CAS und Clients aus dem Internet dient, koennt ihr Outlook Anywhere sehr schnell ueber den Wizard veroeffentlichen (die Option heisst Exchange Web Client Access Publishing Rule...). Dieser Wizard sollte auch verwendet werden (steht so unter anderem im "Microsoft Forefront Thread Management Gateway (TMG) Administrator's Companion").
So sieht dann die Konfiguration aus (in ASCII
):
Die Firewall gibt einfach nur HTTPS zum TMG Proxy frei und der TMG Proxy ist ueber den Namen "mail.test.h4des.org" erreichbar. Nun zu einer kleinen Ultrakurzanleitung, wie ihr einen Weblistener anlegt:
Da ueber den selben Web Listener auch noch OWA und ActiveSync (dazu werde ich ein andermal was schreiben) benutzt werden soll, wird als HTML Form Authentication (FBA) verwendet. Der Trick ist hierbei, dass Outlook 2010 kein FBA unterstuetzt und dann zurueck zur HTTP Authentication springt (allerdings nur Basic, leider kein "security-in-depth" Konzept, aber durch HTTPS sollte man auch Basic verwenden koennen), welches auch der TMG annimmt. Wichtig ist hierbei auch, dass beim Weblistener die Authentifizierung eingeschaltet ist, denn sonst leitet der TMG die RPC Pakete nach der Ueberpruefung ohne Authentifizierung zum Exchange CAS. Wenn wir dieses zulassen, koennen wir auch direkt RPC nach aussen freigeben und das ist ja bekanntlichermassen nicht gerade das sicherste Protokoll.
Wenn nun der Weblistener steht, koennen wir Outlook Anywhere freigeben:
Nun wuerde TMG nachdem der Nutzer sich authentifiziert hat, die Anfrage weiter an unsere Exchange CAS Server schicken. Dort muss Outlook sich allerdings nochmal authentifizieren (macht Outlook automatisch mit den vorher eingegebenem Nutzernamen und Passwort).
Da wir nun NTLM als Authentifizierungsmethode angegeben haben, muessen wir unsere Exchange CAS Server auch noch darauf vorbereiten (und Outlook Anywhere erstmal aktivieren):
Jetzt noch Outlook 2010 anpassen:
Das was ich hier in Ultrakurz beschrieben habe, findet man im Internet wie Sand am Meer. Das war auch nicht das, worauf ich hinaus wollte. Und zwar habe ich den Eintrag gemacht, weil man keine wirklichen Informationen im Internet findet, wie man die Verbindung besser schuetzt. In dem Buch "Microsoft Forefront Thread Management Gateway (TMG) Administrator's Companion" habe ich auch nicht wirklich was dazu gefunden. Allerdings habe ich mit etwas mehr basteln und lesen ein paar Sicherheitseinstellungen finden koennen.
Hier sind diese auch in ultra kurz:
Durch diese Einstellungen ist Outlook Anywhere (oder RPC-over-HTTP) sehr gut abgesichert und kann von aussen freigegeben werden.
Wenn ihr einen TMG installiert habt, der auch noch hinter einer Firewall ist, so das der TMG nur als Proxy Server zwischen Exchange CAS und Clients aus dem Internet dient, koennt ihr Outlook Anywhere sehr schnell ueber den Wizard veroeffentlichen (die Option heisst Exchange Web Client Access Publishing Rule...). Dieser Wizard sollte auch verwendet werden (steht so unter anderem im "Microsoft Forefront Thread Management Gateway (TMG) Administrator's Companion").
So sieht dann die Konfiguration aus (in ASCII
):Client --> Internet --> Firewall --> TMG Proxy --> Exchange CAS
Die Firewall gibt einfach nur HTTPS zum TMG Proxy frei und der TMG Proxy ist ueber den Namen "mail.test.h4des.org" erreichbar. Nun zu einer kleinen Ultrakurzanleitung, wie ihr einen Weblistener anlegt:
-Forefront TMG Management → Forefront TMG (h4desTMG) → Firewall Policy → Network Objects → Web Listener → Rechtsklick → New Web Listener...
-Web listener name: h4des.org exchange
-Require SSL secured connections with clients
-Listen for incoming Web requests of these networks: External
-Forefront TMG will compress content sent to clients through this Web Listener if the clients requesting the content support compression
-Use a single certificate for this Web Listener: Select Certificate...
*hier das importierte Zertifikat fuer „mail.test.h4des.org“ auswaehlen
-Select how clients will provide credentials to Forefront TMG: HTML Form Authentication
-Select how Forefront TMG will validate client credentials: Windows (Active Directory)
-Enable SSO for Web sites published with this Web listener: Harken entfernen
Da ueber den selben Web Listener auch noch OWA und ActiveSync (dazu werde ich ein andermal was schreiben) benutzt werden soll, wird als HTML Form Authentication (FBA) verwendet. Der Trick ist hierbei, dass Outlook 2010 kein FBA unterstuetzt und dann zurueck zur HTTP Authentication springt (allerdings nur Basic, leider kein "security-in-depth" Konzept, aber durch HTTPS sollte man auch Basic verwenden koennen), welches auch der TMG annimmt. Wichtig ist hierbei auch, dass beim Weblistener die Authentifizierung eingeschaltet ist, denn sonst leitet der TMG die RPC Pakete nach der Ueberpruefung ohne Authentifizierung zum Exchange CAS. Wenn wir dieses zulassen, koennen wir auch direkt RPC nach aussen freigeben und das ist ja bekanntlichermassen nicht gerade das sicherste Protokoll.
Wenn nun der Weblistener steht, koennen wir Outlook Anywhere freigeben:
-Forefront TMG Management → Forefront TMG (h4desTMG) → Firewall Policy → Rechtsklick → New → Exchange Web Client Access Publishing Rule...
-Exchange Publishing rule name: Outlook Anywhere
-Exchange version: Exchange Server 2010
-Outlook Anywhere (RPC/HTTP(s))
*Publish additional folders on the Exchange Server for Outlook 2007 clients
-Publish a single Web site or load balancer
-Use SSL to connect to the published Web server or server farm
-Internal site name: mail.test.h4des.org
-Accept requests for: This domain name (type below)
-Public name: mail.test.h4des.org
-Web listener → h4des.org exchange
-Select the method used by Forefront TMG to authenticate to the published Web server: NTLM Authentication
-This rule applies to requests from the following user sets: Authenticated Users
Nun wuerde TMG nachdem der Nutzer sich authentifiziert hat, die Anfrage weiter an unsere Exchange CAS Server schicken. Dort muss Outlook sich allerdings nochmal authentifizieren (macht Outlook automatisch mit den vorher eingegebenem Nutzernamen und Passwort).
Da wir nun NTLM als Authentifizierungsmethode angegeben haben, muessen wir unsere Exchange CAS Server auch noch darauf vorbereiten (und Outlook Anywhere erstmal aktivieren):
-Exchange Management Console → Server Configuration → Client Access → Rechtsklick auf Server → Enable Outlook Anywhere...
-External host name: mail.test.h4des.org
-Client authentication method: NTLM Authentication
-Allow secure channel (SSL) offloading: NICHT AKTIVIEREN (diese Option besagt, wenn aktiviert, dass zwischen Exchange CAS Server und TMG kein SSL verwendet wird)
-nachdem Outlook Anywhere aktiviert wurde, dauert es noch (je nach Konfiguration) 15 Minuten bis die Einstellungen aktiv sind
Jetzt noch Outlook 2010 anpassen:
-Outlook 2010 auf dem Client in den Kontoeinstellungen unter E-Mail den Nutzer auswaehlen und in die Einstellungen gehen
-Weitere Einstellungen... → Verbindung → Exchange-Proxyeinstellungen... → Diese Authentifizierung fuer die Verbindung mit dem Exchange-Proxyserver verwenden: Standardauthentifizierung
Das was ich hier in Ultrakurz beschrieben habe, findet man im Internet wie Sand am Meer. Das war auch nicht das, worauf ich hinaus wollte. Und zwar habe ich den Eintrag gemacht, weil man keine wirklichen Informationen im Internet findet, wie man die Verbindung besser schuetzt. In dem Buch "Microsoft Forefront Thread Management Gateway (TMG) Administrator's Companion" habe ich auch nicht wirklich was dazu gefunden. Allerdings habe ich mit etwas mehr basteln und lesen ein paar Sicherheitseinstellungen finden koennen.
Hier sind diese auch in ultra kurz:
-Forefront TMG Management → Forefront TMG (h4desTMG) → Firewall Policy → outlook anywhere → Rechtsklick → Configure HTTP
-General
*Maximum headers length (bytes): 32768 (default war 32768)
*Allow any payload length: aktivieren (default war aktiviert)
*Maximum URL length (bytes): 10240 (default war 10240)
*Maximum query length (bytes): 4096 (default war 10240)
*Verify normalization: aktivieren (default war deaktiviert)
*Block high bit characters: aktivieren (default war deaktiviert)
*Block responses containing Windows executable content: aktivieren (default war deaktiviert)
-Methods
*Allow only specified methods (default war Allow all methods)
*Add... → Method: RPC_IN_DATA
Add... → Method: RPC_OUT_DATA
(im ISA Server 2006 Handbuch steht angegeben, dass die Methoden RPC_DATA_IN und RPC_DATA_OUT heissen, allerdings Beispiel fuer Outlook 2003. Nach einer Ueberpruefung der Pakete wurden aber die Methoden RPC_IN_DATA und RPC_OUT_DATA gefunden)
-Extensions
*Allow only specified extensions (default war Allow all extensions)
*Add... → Extension: .dll (Der Zugriff erfolgt ueber die RpcProxy.dll)
*Block requests containing ambiguous extensions: aktivieren (default war deaktiviert)
-Signatures
*Add...
*Name: \
*Search in: Request URL
*Signature \
*Add...
*Name: ./
*Search in: Request URL
*Signature ./
*Add...
*Name: ..
*Search in: Request URL
*Signature ..
*Add...
*Name: %
*Search in: Request URL
*Signature %
*Add...
*Name: &
*Search in: Request URL
*Signature &
Durch diese Einstellungen ist Outlook Anywhere (oder RPC-over-HTTP) sehr gut abgesichert und kann von aussen freigegeben werden.
