[2003, exchange 2003, Vista]RPC over HTTP werkt niet

[RoyBijster]

Beste medetweakers,

Het volgende probleem doet zich voor en na 1,5 dag googlen en proberen is het me nog niet gelukt.
Voor privegebruik ben ik een exchange server aan het installeren en configureren opdat ik op zowel mijn telefoon, laptop als pc mijn afspraken en email kan bijwerken.
Omdat de server bij mijn ouders staat en ik via het internet verbinding maak en VPN wil vermijden, wil ik gebruik maken van RPC over HTTP om verbinding te maken.

Het gaat hier om een enkele server configuratie. De server is zowel exchange-, web- als RPC proxy server.

Gebruikte software (Website en domeinnaam vervangen door 'bedrijf'):
Server

• Windows 2003 Server x86
• Exchange 2003
• computernaam: "SERVER" (oh, wat origineel.. ja, ik weet het )
• Domein: BIJSTER.bedrijf.nl
• Extern benaderd via mail.bedrijf.nl

Telefoon

• Windows Mobile 6.1
• Verbinden en synchroniseren via ActiveSync gelukt.
• Maakt verbinding via 3G

PC en Laptop

• Windows Vista Ultimate x64
• Outlook 2007
• Verbinden via internet

Om RPC te configureren op de server heb ik het stappenplan op http://www.petri.co.il/co...ps_on_a_single_server.htm gevolgd.
Inclusief de aangegeven registry wijzigingen.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Rpc\RpcProxy

server:6001-6002;server.BIJSTER.bedrijf.nl:6001-6002;mail.bedrijf.nl:6001-6002;server:6004;server.bedrijf.citnow.nl:6004;mail.bedrijf.nl:6004;

Sindsdien kan ik synchroniseren met mijn telefoon. Zodra ik echter outlook probeer te configureren gaat het mis. Web Access werkt overigens ook.
Via de 32 bits pagina in het configuratiescherm van Vista benader ik de mail instellingen.
Hier maak ik een nieuw email account aan voor de exchange verbinding. Na het opgeven van de standaard informatie als emailadres en wachtwoord kies ik voor het handmatig instellen van de verbinding.
Hier geef ik de volgende informatie op:

Microsoft Exchange server: server.BIJSTER.bedrijf.nl
Use cached Exchange mode: YES
username: roybijster

Als laatste instellingen geef ik op dat ik gebruik wil maken van RPC over HTTP / Outlook Anywhere.

URL to connect to my proxy server for exchange: http://mail.bedrijf.nl
Geen SSL verbinding.
NTLM Authentication

Na het afronden van de configuratie verschijnt er een venster dat vraagt om mijn inloggegevens voor server.BIJSTER.bedrijf.nl.
Als user name gebruik ik SERVER\roybijster. Na het invullen van mijn wachtwoord verschijnt echter hetzelfde venster weer. Er lijkt geen verbinding gemaakt te kunnen worden.
Dit wordt bevestigd door de melding The action cannot be completed. The connection to Microsoft Exchange is unavailable. Outlook must be online or connected to complete this action..

Variaties op de username door het gebruik van de screen name in active directory werken ook niet.
Evenals het vervangen van de Exchange server door de externe naam mail.bedrijf.nl.

Kan iemand mij vertellen wat ik waarschijnlijk fout doe of waar ik de mist in ben gegaan? Door de verschillende handleidingen die ik via internet heb doorlopen zie ik mijn eigen fout niet meer.
Ik heb op enkele fora al gelezen dat dit probleem zich vaker voor lijkt te doen bij de combinatie Vista + Outlook 2007, een werkende oplossing wordt echter niet aangedragen.

Alvast bedankt voor de hulp.

MvG,

Roy Bijster

[pennenlikker]

Zijn je certificaat (en) in orde?
Of gebruik je geen ssl? zo niet wel aan te raden

[ Voor 123% gewijzigd door pennenlikker op 25-08-2008 21:12 ]

[RoyBijster]

Gebruik geen SSL, dus ook geen SSL certificaten geinstalleerd.

[Turdie]

Op basis van mijn ervaringen kan ik je wel helpen, heb het wel Exchange 2007 gedaan maar zal niet zo verschilllen

• ZIe je in IIS logs((C:\WINDOWS\system32\LogFiles\W3SVC1) dat er verbinding wordt gemaakt met je RPC proxy
• Wat voor authenticatie settings gebruik op je RPC vdir in IIS
• Wat zie je met

  Outlook.exe /rpcdiag

• Als je in een domain enviroment werkt, of via een VPN waar je connectie maakt met een domein moet je interne dns-naam invullen (niet de externe!!)
• Cached Exchange mode werkt vaak niet met RPC verbindingen, zet dat dus eens uit.

[ Voor 84% gewijzigd door Turdie op 25-08-2008 22:24 ]

[MarkieNL]

Heb je het certificaat geinstalleerd op je computer? (Kan je uitvoeren dmv de web access van outlook)
Is de naam van het certificaat hetzelfde als de link van de mail?
Naam zou dan dus mail.domein.nl zijn.

Edit: Oops, verkeerd verbonden!

[ Voor 9% gewijzigd door MarkieNL op 26-08-2008 17:49 ]

[paella]

Lees je de post wel helemaal MarkieNL?

[RoyBijster]

guidovb999 schreef op maandag 25 augustus 2008 @ 22:13:
Op basis van mijn ervaringen kan ik je wel helpen, heb het wel Exchange 2007 gedaan maar zal niet zo verschilllen

• ZIe je in IIS logs((C:\WINDOWS\system32\LogFiles\W3SVC1) dat er verbinding wordt gemaakt met je RPC proxy
• Wat voor authenticatie settings gebruik op je RPC vdir in IIS
• Wat zie je met

  Outlook.exe /rpcdiag

• Als je in een domain enviroment werkt, of via een VPN waar je connectie maakt met een domein moet je interne dns-naam invullen (niet de externe!!)
• Cached Exchange mode werkt vaak niet met RPC verbindingen, zet dat dus eens uit.

1. Ja, heb net gekeken. In de logs wordt melding gemaakt van de zojuist opgezette verbinding. Ook de gebruikte inlognaam wordt in het logfile vermeldt, dus die gegevens komen wel door.
2. NTLM en Basic Authentication
3. Zover kom ik geeneens. Het inlogprobleem verschijnt al bij het instellen van de exchangeverbinding wat buiten het normale venster van Outlook om gebeurt. Outlook zeurt namelijk dat je geen Exchange kan instellen als outlook zelf draait, dus moet het via Control Panel -> Mail.
4. Geen VPN of Domain.
5. Cached Exchange uitgezet. Ben nog niet verder gekomen, maar ga het dadelijk weer proberen.

[pennenlikker]

Post je outlook (RPC) instellingen eens.
Post je IIS instellingen eens.
Staan alle poorten goed?
Wat geeft tracert aan? gaat hij uberhaupt wel naar je server toe?

[ Voor 10% gewijzigd door pennenlikker op 26-08-2008 09:43 ]

[RoyBijster]

Ik heb voor het gemak even screenshots genomen van de doorlopen schermen.
De bovengenoemde "bedrijf.nl" heb ik wegens veiligheidsredenen geblurd

http://picasaweb.google.n...r/ScreenshotsInstellingen

De proxy en exchange staan op dezelfde server. Tracert naar mail.bedrijf.nl geeft 1 stap met een tijd van minder dan 1ms. Volgens mij wordt de server gewoon bereikt dus.

Welke poorten dien ik te controleren? 80,110,25 en 143 worden via de router geforward naar de server.

[pennenlikker]

RoyBijster schreef op dinsdag 26 augustus 2008 @ 10:39:
Ik heb voor het gemak even screenshots genomen van de doorlopen schermen.
De bovengenoemde "bedrijf.nl" heb ik wegens veiligheidsredenen geblurd

http://picasaweb.google.n...r/ScreenshotsInstellingen

De proxy en exchange staan op dezelfde server. Tracert naar mail.bedrijf.nl geeft 1 stap met een tijd van minder dan 1ms. Volgens mij wordt de server gewoon bereikt dus.

Welke poorten dien ik te controleren? 80,110,25 en 143 worden via de router geforward naar de server.

Van buiten naar binnen hoeft alleen 80 open te staan (of 443 met ssl natuurlijk) en intern poorten:

TCP
80/443
6001
6002
6004

En probeer het eens met basic authentication ipv NTLM die kan nog soms geblocked worden door sommige firewalls.

[ Voor 9% gewijzigd door pennenlikker op 26-08-2008 11:13 ]

[Poltergeist]

Maar je zit nu remote te werken, en niet op je netwerk bij je ouders? Dat werkte bij mij ook niet. Ik moest eerst in het lokale netwerk outlook een keer verbinding laten maken naar de exchange server, waarne RPC over HTTP ook gewoon werkte... Bovendien is mijn ervaring dat het vinkje bij "On fast networks ...." ook aan moet staan.

[ Voor 15% gewijzigd door Poltergeist op 26-08-2008 11:08 ]

[RoyBijster]

Nee, ik bevind me nog in het netwerk van mijn ouders. Enkel omdat ik geen zin heb om de server hier ook te hebben werk ik via het netwerk remote op de server

Als ik het probeer via Basic Authentication met port 443 geforward naar de server kom ik door de wizard om een nieuw account aan te maken heen. (443 uiteraard toegestaan in firewall)
Als ik echter verbinding wil maken en outlook.exe /rpcdiag draai, blijft de status op connecting staan en krijg ik de volgende melding:

Outlook cannot log on. Verify you are connected to the network and are using the proper server and mailbox name. The connection to Microsoft Exchange is unavailable. Outlook must be online or connected to complete this action.

Bij het instellen van het account gebruik ik als servernaam de interne naam "server.BIJSTER.bedrijf.nl".
Bij de RPC instellingen gebruik ik daarna mail.bedrijf.nl.

[Turdie]

RoyBijster schreef op dinsdag 26 augustus 2008 @ 12:03:
Nee, ik bevind me nog in het netwerk van mijn ouders. Enkel omdat ik geen zin heb om de server hier ook te hebben werk ik via het netwerk remote op de server

Als ik het probeer via Basic Authentication met port 443 geforward naar de server kom ik door de wizard om een nieuw account aan te maken heen. (443 uiteraard toegestaan in firewall)
Als ik echter verbinding wil maken en outlook.exe /rpcdiag draai, blijft de status op connecting staan en krijg ik de volgende melding:

Outlook cannot log on. Verify you are connected to the network and are using the proper server and mailbox name. The connection to Microsoft Exchange is unavailable. Outlook must be online or connected to complete this action.

Bij het instellen van het account gebruik ik als servernaam de interne naam "server.BIJSTER.bedrijf.nl".
Bij de RPC instellingen gebruik ik daarna mail.bedrijf.nl.

Basic Authetication werkt alleen met SSL en een geldig SSL-certificaat op de RPC vdir aangeschaft via een Certification Authority zoals bijvoorbeeld VeriSign, die ook geimporteerd is in de Trusted Certification Authority van de Client.

[RoyBijster]

Ik gebruik nu weer NLTM.
In de logfiles op de server verschijnen de volgende regels.

2008-08-26 21:13:41 W3SVC1 192.168.2.12 RPC_IN_DATA /rpc/rpcproxy.dll server.BIJSTER.bedrijf.nl:6004 80 - xx.xx.xx.xx MSRPC 401 1 0
2008-08-26 21:13:41 W3SVC1 192.168.2.12 RPC_OUT_DATA /rpc/rpcproxy.dll server.BIJSTER.bedrijf.nl:6004 80 - xx.xx.xx.xx MSRPC 401 1 0
2008-08-26 21:13:41 W3SVC1 192.168.2.12 RPC_IN_DATA /rpc/rpcproxy.dll server.BIJSTER.bedrijf.nl:6004 80 BIJSTER\roybijster xx.xx.xx.xx MSRPC 500 0 0
2008-08-26 21:13:41 W3SVC1 192.168.2.12 RPC_OUT_DATA /rpc/rpcproxy.dll server.BIJSTER.bedrijf.nl:6004 80 BIJSTER\roybijster xx.xx.xx.xx MSRPC 500 0 0

waarbij xx.xx.xx.xx mijn externe IP adres is.
De 401 duidt op unauthorized en de 500 op interne serverfout, correct me if I am wrong.
(Waarom de logfile een kleine 7 uur voorloopt, geen flauw idee oeps, tijdzone )
Er wordt dus blijkbaar wel verbinding gemaakt, maar ik zie niet in waarom de toegang unauthorized is. De username en het password worden namelijk via OWA wel geaccepteerd.
De ene keer kom ik door de wizard heen in Outlook, de andere keer loopt ie met precies dezelfde gegevens en instellingen vast doordat ie geen verbinding zou kunnen maken met de server.

Ik snap er werkelijk geen snars meer van.
Iemand nog suggesties?
Waardeer jullie hulp overigens wel

[pennenlikker]

guidovb999 schreef op dinsdag 26 augustus 2008 @ 13:51:
[...]


Basic Authetication werkt alleen met SSL en een geldig SSL-certificaat op de RPC vdir aangeschaft via een Certification Authority zoals bijvoorbeeld VeriSign, die ook geimporteerd is in de Trusted Certification Authority van de Client.

sorry dat wist ik niet

[Turdie]

RoyBijster schreef op dinsdag 26 augustus 2008 @ 14:29:
Ik gebruik nu weer NLTM.
In de logfiles op de server verschijnen de volgende regels.

[...]

waarbij xx.xx.xx.xx mijn externe IP adres is.
De 401 duidt op unauthorized en de 500 op interne serverfout, correct me if I am wrong.
(Waarom de logfile een kleine 7 uur voorloopt, geen flauw idee oeps, tijdzone )
Er wordt dus blijkbaar wel verbinding gemaakt, maar ik zie niet in waarom de toegang unauthorized is. De username en het password worden namelijk via OWA wel geaccepteerd.
De ene keer kom ik door de wizard heen in Outlook, de andere keer loopt ie met precies dezelfde gegevens en instellingen vast doordat ie geen verbinding zou kunnen maken met de server.

Ik snap er werkelijk geen snars meer van.
Iemand nog suggesties?
Waardeer jullie hulp overigens wel

Dit schrijft Microsoft op hun website:
Bron
It is recommended that you use Basic authentication over Windows Integrated Authentication (NTLM) because of two reasons. First, RPC over HTTP currently supports only NTLM – it doesn’t support Kerberos. Second, if there is an HTTP Proxy or a firewall between the RPC over HTTP client and the RPC Proxy, which inserts the via pragma in the HTTP header, NTLM authentication will not work

[pennenlikker]

guidovb999 schreef op dinsdag 26 augustus 2008 @ 14:42:
[...]


Dit schrijft Microsoft op hun website:
Bron
It is recommended that you use Basic authentication over Windows Integrated Authentication (NTLM) because of two reasons. First, RPC over HTTP currently supports only NTLM – it doesn’t support Kerberos. Second, if there is an HTTP Proxy or a firewall between the RPC over HTTP client and the RPC Proxy, which inserts the via pragma in the HTTP header, NTLM authentication will not work

Daarom vroeg ik ook om basic authentication te proberen, maarja hiervoor moet je dus ssl gebruiken.
Probeer anders eens een verbinding met ssl, dat is zoiezo aan te raden.

[RoyBijster]

Bedankt voor de hulp alvast.
Ik ga vanavond verder met dit probleem.
Edit: Ik ga wat experimenteren met SSL zodra ik een goedkoop certificaat heb gevonden. Laat het jullie dan weten.

[ Voor 45% gewijzigd door RoyBijster op 26-08-2008 17:46 ]

[pennenlikker]

RoyBijster schreef op dinsdag 26 augustus 2008 @ 15:15:
Bedankt voor de hulp alvast.
Ik ga vanavond verder met dit probleem.
Edit: Ik ga wat experimenteren met SSL zodra ik een goedkoop certificaat heb gevonden. Laat het jullie dan weten.

Goedkoopste is 19 p/j euro comodo ssl, deze is prima
www.xolphin.nl

[paella]

Bji GoDaddy zijn het vergeljikbare kosten.

[RoyBijster]

19p/j vind ik voor iets waarvan ik niet weet of het werkt eigenlijk nog te duur.
http://www.startssl.com/ claimt een gratis ssl certificaat. Is dit gelijkwaardig aan eentje van GoDaddy/xolphin of raden jullie toch aan een betaal ssl certificaat te gebruiken?

[pennenlikker]

RoyBijster schreef op donderdag 28 augustus 2008 @ 08:28:
19p/j vind ik voor iets waarvan ik niet weet of het werkt eigenlijk nog te duur.
http://www.startssl.com/ claimt een gratis ssl certificaat. Is dit gelijkwaardig aan eentje van GoDaddy/xolphin of raden jullie toch aan een betaal ssl certificaat te gebruiken?

Nou een trial cert is een maand gratis dus dan kun je het gewoon even testen.
Ook kun je een self signed cert gebruiken dat kost je helemaal niets.

En probeer dit eens, ssl zou eigenlijk niet nodig moeten zijn.

Succes!

[ Voor 12% gewijzigd door pennenlikker op 28-08-2008 09:59 ]

[RoyBijster]

Met NLTM krijg ik met geen mogelijkheid aan de praat in ieder geval. De logs melden wel dat er een verbinding is, maar krijg dezelfde RPC log melding als hierboven al gepost is. Hij kan of geen verbinding maken, of niet inloggen.

Ga het nu per SSL proberen.
Is dat self signed SSL een ingewikkeld verhaal? Klinkt namelijk wel interessant om eens te proberen.

[sanfranjake]

Is het niet stiekem perongeluk een SBS-server? Ik kan eerlijkgezegd geen enkele goede reden bedenken om de configuratie open te breken en non-ssl mail access toe te staan

[pennenlikker]

RoyBijster schreef op donderdag 28 augustus 2008 @ 14:37:
Met NLTM krijg ik met geen mogelijkheid aan de praat in ieder geval. De logs melden wel dat er een verbinding is, maar krijg dezelfde RPC log melding als hierboven al gepost is. Hij kan of geen verbinding maken, of niet inloggen.

Ga het nu per SSL proberen.
Is dat self signed SSL een ingewikkeld verhaal? Klinkt namelijk wel interessant om eens te proberen.

Nee, is vrij simpel en echt aan te raden.

Alstu, succes!

[RoyBijster]

pennenlikker schreef op donderdag 28 augustus 2008 @ 15:48:
[...]


Nee, is vrij simpel en echt aan te raden.

Alstu, succes!

heel erg bedankt Ik ga er mee aan de slag.
Mocht het vanavond nog lukken dan laat ik het horen.
Anders wordt het in de loop van volgende week, wegens een verhuizing.

[Krypt]

Waarom geen eigen CA draaien. Daar een certificaat op aanvragen, deze exporteren en op alle machines/telefoons installeren.

Zo gebruikt ik het ook, heb 2 laptops, een Symbian telefoon met MailForExchange en een HTC er mee draaien.

[RoyBijster]

Op aanraden van pennenlikker heb ik aan de hand van de tutorial een certificaat aangemaakt en geinstalleerd op de Default Website in IIS waar de rpc mappen ook ondervallen.
Voor de webmail werkt dit. Echter als ik met outlook verbinding probeer te maken krijg ik de melding dat het certificaat niet vertrouwd is en de verbinding wordt verbroken.
In FF kan het certificaat toevoegen, in IE7 echter niet. de "Install certificate" knop die aanwezig zou moeten zijn ontbreekt.
Hoe kan ik het certificaat alsnog toevoegen, of zo instellen dat het ewl toegelaten wordt?

[alt-92]

Daarvoor moet je dan wel de bijbehorende rootcert hebben, en die ontbreekt in die setup.

Als je je eigen Certificate Authority zou draaien voor je AD domain wordt de root cert ook auto-enrolled (onder XP) en kan je die installeren onder Vista om de chain compleet te maken.
IE7 en Vista zijn strikter met PKI dan XP dat was - en terecht ook

[pennenlikker]

alt-92 schreef op donderdag 28 augustus 2008 @ 19:46:
Daarvoor moet je dan wel de bijbehorende rootcert hebben, en die ontbreekt in die setup.

Als je je eigen Certificate Authority zou draaien voor je AD domain wordt de root cert ook auto-enrolled (onder XP) en kan je die installeren onder Vista om de chain compleet te maken.
IE7 en Vista zijn strikter met PKI dan XP dat was - en terecht ook

Hmmm interessant, dit wist ik niet.
Heb altijd trusted certs gebruikt ipv self signed, het is erg eenvoudig te doen.
Ga het vanmiddag zelf ook is proberen, ben benieuwd

PS: denk dat het verstandig is dat als je dit gedaan hebt je even je certificaat opnieuw aanmaakt.

*edit

Van het weekend getest, en je hebt (zoals gewoonlijk) gelijk alt.
Weer wat geleerd

[ Voor 11% gewijzigd door pennenlikker op 01-09-2008 10:02 ]