Exchange + DMZ

[yvesg]

Ik heb op dit moment een Exchange 2003 draaien binnen mijn domein (test).
Een linux box zorgt voor de nodige gegevens uitwisseling & beveiliging tussen intern netwerk & internet. Nu heb ik onlangs deze aangepast zodat ik ook over een DMZ beschik.
Graag had ik nu dat de exchange in het DMZ komt te staan, zodat ik via OWA ook toegang kan verkrijgen.
Enkel http & ssl poort naar het DMZ (vanuit internet) staan open.
Probleem is natuurlijk dat ik het domein niet kan bereiken vanuit het DMZ.

Ik heb op verschillende fora gekeken, en de meningen lopen hierover nogal uiteen.
De ene raad het absoluut af, de andere beschrijft (vaag) hoe het mogelijk is.

Is het verstandig om de exchange (vanuit dmz), via masqueraded routing, te laten communiceren met het interne netwerk ?
Hoe wordt dit normaal gedaan op de veiligst mogelijke mannier.

[gambieter]

Het is niet erg duidelijk wat je bedoeld? Voor Exchange zet je normaal poort 25 open (SMTP), verder niet. Als je OWA wilt gebruiken, dan zal ook poort 80 doorgestuurd moeten worden. Ik zou er zeker geen DMZ voor gebruiken.

[Archie_T]

Nee, het is niet verstandig om een server die een domein nodig heeft in het DMZ neer te zetten. MS adviseert een ISA server als reversed proxy in je DMZ. Hier heb je hele howto guides voor op internet.

[yvesg]

dus uiteindelijk kan ik best de exchange server in het intern netwerk laten staan, en gewoon de 2 poorten naar het intern netwerk laten forwarden.

<edit>
Wat ik ook veel tegenkom is het gebruik van ISA server.
Maar het kan toch niet dat als je exchange via OWA op een veilige mannier wil deployen, dat je vast zit aan ISA ?
</edit>

[ Voor 39% gewijzigd door yvesg op 09-08-2008 00:47 ]

[tim427]

Hmmm, snap het probleem niet echt....

Als je mail-verkeer werkt, dus verzenden en ontvagen, dan staan die poorten goed...

Wil je OWA van buitenaf kunnen benaderen moet poort 80 open (unsecured) en/of 443 (ssl = secured)

Dus ff firewall van windows tijdelijk uit en Poort 80, 443, 25 open zetten... Maar jij kan als particulier toch niet zenden op 25 alleen ontvangen.....

Verzenden: send-connector instellen: smtp.<jeprovider>.nl
Ontvangen: DNS: mx-records naar jouw thuis-ip (poort 25 open)
OWA: poort 80, 443 open....

[paella]

tim427 schreef op zaterdag 09 augustus 2008 @ 00:53:
Maar jij kan als particulier toch niet zenden op 25 alleen ontvangen.....

Hier geen probleem hoor.

[yvesg]

tim427 schreef op zaterdag 09 augustus 2008 @ 00:53:
Dus ff firewall van windows tijdelijk uit en Poort 80, 443, 25 open zetten... Maar jij kan als particulier toch niet zenden op 25 alleen ontvangen.....

Inderdaad, ik kan als particulier (helaas) niets onder de 1024 doen. Maar het gaat hier om een proefopstelling.
De bedoeling is een exchange op een zo veilig mogelijke mannier te laten benaderen & deployen, met een firewall ertussen, al dan niet in een DMZ.
Blijkt dat de meningen op het internet hier nogal wat uiteenlopen.

Als je het nut van DMZ dan opzoek op wikipedia blijkt dat dat ding eigenlijk nergens goed voor is. 'Last Resort'.

Vandaar dit topic.

[Jazzy]

Het idee van een DMZ is dat externe gebruikers (jouw gebruikers en hackers) niet verder dan je DMZ hoeven te komen en niet in je netwerk met alle gevoelige data die daar woont. Het heeft dus geen enkel nut om een Exchange 2003 server die lid is van het domein en al je e-mail aan boord heeft, in die DMZ te zetten. Dat is een lekker aantrekkelijk doelwit voor hackers.

Bij een front-end back-end oplossing zet je een aparte Exchange 2003 server zonder mailbox database in je DMZ, welke OWA regelt. De gebruikers komen dus niet verder dan de DMZ en op die server woont geen mail. De andere kant is dat je errug veel poorten moet openen vanuit die onveilige DMZ naar je veilige netwerk, o.a. DNS, GC, AD, etc.

[gambieter]

yvesg schreef op zaterdag 09 augustus 2008 @ 10:54:
Inderdaad, ik kan als particulier (helaas) niets onder de 1024 doen.

Que? Poort 25 is vaak geblokkeerd voor uitgaand verkeer, maar de rest van de poorten onder de 1024 is normaal echt niet geblokkeerd voor particulieren. Bij welke provider zit je dan?

[yvesg]

gambieter schreef op zaterdag 09 augustus 2008 @ 11:48:
[...]

Que? Poort 25 is vaak geblokkeerd voor uitgaand verkeer, maar de rest van de poorten onder de 1024 is normaal echt niet geblokkeerd voor particulieren. Bij welke provider zit je dan?

Telenet, alles onder de 1024 wordt afgeblokt door de proxy.
Ook al heb je geen firewall, en doe je een portscan van je eigen computer staat alles onder de 1024 op stealth.

[Jazzy]

Klopt, daar valt weinig aan te doen.

[paella]

Jazzy schreef op zaterdag 09 augustus 2008 @ 11:44:
Bij een front-end back-end oplossing zet je een aparte Exchange 2003 server zonder mailbox database in je DMZ, welke OWA regelt. De gebruikers komen dus niet verder dan de DMZ en op die server woont geen mail. De andere kant is dat je errug veel poorten moet openen vanuit die onveilige DMZ naar je veilige netwerk, o.a. DNS, GC, AD, etc.

Ipv daarvan een ISA die niet in het domain hangt, en alleen poorten als 80, 443 en de Radius poort open heeft richting Trusted Networks gaat al een hoop de goede kant op.

[tim427]

Maar waarom wil je Uberhaupt een DMZ naar je Exchange???

Zoals Jazzy al aan geeft is het dikke onzin om je exchange in een DMZ te draaien!!!

---

paella schreef op zaterdag 09 augustus 2008 @ 08:14:
[...]

Hier geen probleem hoor.

Ik ook niet hoor

[Verwijderd]

Heeft TS op zijn zoektocht ook dit artikel gevonden?

[yvesg]

tim427 schreef op maandag 11 augustus 2008 @ 10:34:
Maar waarom wil je Uberhaupt een DMZ naar je Exchange???

Zoals Jazzy al aan geeft is het dikke onzin om je exchange in een DMZ te draaien!!!

Mja vandaar nu net deze discussie.
Op technet staat dat je exchange frontend best in een dmz zet ism met isa.
Naderhand blijkt dit het alleen maar erger te maken..

[alt-92]

Hoho, even een stapje terug.

Exchange Frontend is niet hetzelfde als een Exchange install met alle rollen op dezelfde machine.
F/E in DMZ is niet zo vreemd.
Je backend is een ander verhaal.

[paella]

En het is *of* ISA *of* de FE in de DMZ. (wow, wat een afko's in 1 zin )