[Exchange2003] ActiveSync problemen - Serversoftware en clouddiensten

woensdag 8 november 2006 23:48

Acties:

Topicstarter

Het volgende is de situatie, onlangs naar een nieuwe exchange server verhuisd maar we hebben nu problemen activesync werkend te krijgen.
Aangezien we geen geldig ssl certificaat hebben willen we het laten werken via http zonder SSL (ik weet wat de risico's hiervan zijn en dat certificaten niet zo heel duur zijn).

In IIS admin is SSL vereist uitgeschakeld bij Exchange en Microsoft-ServerActivesync.
Directory authenticatie methoden die toegestaan zijn, zijn basic en integrated. (Zonder integrated kreeg ik eerst een http500 foutmelding (eventid 3031 "The mailbox server [mail01.domein.local] does not allow "Negotiate" authentication to its [exchange] virtual directory")).
Ook staat er bij ip restricted dat standaard verbindingen toegestaan worden tenzij de ip's voorkomen in de lijst.

In Exchange system manager is activesync ingeschakeld en op de gebruiker is activesync ook toegestaan.
De foutmelding die mijn ipaq nu nog geeft: HTTP_400, "Your account does not have permission to sync with your current settings."

Dit is een packet log van de ipaq communicatie

code:

> POST /Microsoft-Server-ActiveSync?User=<mijngebruikersnaam>&DeviceId=<mijn_deviceid>&DeviceType=PocketPC&Cmd=FolderSync HTTP/1.1
> Accept-Language: nl
> MS-ASProtocolVersion: 2.0
> Content-Type: application/vnd.ms-sync.wbxml
> User-Agent: Microsoft-PocketPC/3.0
> Host: <mijn.bedrijf.nl>
> Content-Length: 51
> Connection: Keep-Alive
> Cache-Control: no-cache

< HTTP/1.1 401 Unauthorized
< Content-Length: 83
< Content-Type: text/html
< Server: Microsoft-IIS/6.0
< WWW-Authenticate: Negotiate
< WWW-Authenticate: NTLM
< WWW-Authenticate: Basic realm="domein.local"
< X-Powered-By: ASP.NET
< Date: Wed, 08 Nov 2006 22:29:09 GMT
< <html><head><title>Error</title></head><body>Error: Access is Denied.</body></html>


> POST /Microsoft-Server-ActiveSync?User=<mijngebruikersnaam>&DeviceId=<mijn_deviceid>&DeviceType=PocketPC&Cmd=FolderSync HTTP/1.1
> Accept-Language: nl
> MS-ASProtocolVersion: 2.0
> Content-Type: application/vnd.ms-sync.wbxml

> User-Agent: Microsoft-PocketPC/3.0
> Host: ****
> Connection: Keep-Alive
> Cache-Control: no-cache
> Authorization: Basic <Base64 encoded string: domein.local\mijngebruikersnaam:mijnwachtwoord>
> Content-Length: 0


< HTTP/1.1 400 Bad Request
< Date: Wed, 08 Nov 2006 22:29:09 GMT
< Server: Microsoft-IIS/6.0
< X-Powered-By: ASP.NET
< Pragma: no-cache
< Content-Type: text/html
< Content-Length: 46
< MS-Server-ActiveSync: 6.5.7638.1
< <body><h2>HTTP/1.1 400 Bad Request</h2></body>

Bij deze foutmelding word er niets naar het eventlog weggeschreven.

http://mijnbedrijf.nl/exchange en http://mijnbedrijf.nl/oma werken overigens wel prima vanuit de browser.

De domeinnaam van het netwerk is domein.local, de (primary) emailadressen eindigen op @bedrijfsnaam.com

Ik heb natuurlijk al uitgebreid gegoogled en allerlei documentatie erop nageslagen maar ik kom er nog steeds niet uit. Iemand enig idee waar het aan zou kunnen liggen?

[ Voor 4% gewijzigd door JasperE op 15-03-2009 15:34 ]

donderdag 9 november 2006 07:39

Acties:

Equator

Crew Council

#whisky #barista

Ten eerste is een SSL certificaat heel goed zelf te maken met een Microsoft CA of OpenSSL.

Dat deze dan niet ondertekend is door een bekende CA, who cares. Je bent iig veilig bezig, en nu niet.

Ten 2e:

Your account does not have permission to sync with your current settings.

Staan de settings van je eigen user in ADUC ook goed. Denk aan Exchange Settings en dan het mobile gebeuren.

Ten 3e:

"The mailbox server [mail01.domein.local] does not allow "Negotiate" authentication to its [exchange] virtual directory"

Staat zowel Kerberos als NTML authenticatie aan op je webroot

Dat is een metabase setting en kan bekeken/veranderd worden met een VB script in de inetpub/adminscripts folder.

En als laatste is het aan te raden om zowel form based als integrated authenticatie aan te zetten in de /exchange-oma, /exchange virtual directories. (Vanuit de Exchange System Manager, servers, protocols, http.)

donderdag 9 november 2006 10:55

Acties:

JasperE

Topicstarter

Equator schreef op donderdag 09 november 2006 @ 07:39:
Ten eerste is een SSL certificaat heel goed zelf te maken met een Microsoft CA of OpenSSL.

Dat deze dan niet ondertekend is door een bekende CA, who cares. Je bent iig veilig bezig, en nu niet.

Ten 2e:

[...]

Staan de settings van je eigen user in ADUC ook goed. Denk aan Exchange Settings en dan het mobile gebeuren.

Mobile services zijn enabled op de gebruiker ja (Outlook mobile access, user initiated sync en up-to-date notifications)

Ten 3e:

[...]

Staat zowel Kerberos als NTML authenticatie aan op je webroot
Dat is een metabase setting en kan bekeken/veranderd worden met een VB script in de inetpub/adminscripts folder.

Check!
(NTAuthenticationProviders : (STRING) "Negotiate,NTLM")

En als laatste is het aan te raden om zowel form based als integrated authenticatie aan te zetten in de /exchange-oma, /exchange virtual directories. (Vanuit de Exchange System Manager, servers, protocols, http.)

Met forms bases auth enabled en disabled getest, werkt allebei niet.
Integrated was al aangevinkt in IIS manager om de HTTP_500 met eventid3031 te verhelpen.

[ Voor 3% gewijzigd door JasperE op 09-11-2006 10:57 ]

donderdag 9 november 2006 14:07

Acties:

JasperE

Topicstarter

Ik heb zojuist mijn ipaq voor het eerst succesvol laten syncen. Welke instelling nu precies de doorslag gaf is mij nog een raadsel maar lekker belangrijk, het werkt nu zonder foutmeldingen