exch & webserver op 1 fysieke server ?? ja /nee

[Gompy58]

Bij een klant heb ik de situatie aangetroffen dat er op 1 fysieke server zowel exchange 2000 draait alswel de eigen website wordt gehost.

Ik ben van mening dat er een aantal dingen zijn die je NIET doet en dit daar 1 van is.

Wat is jullie mening daarover ( en wat zijn de mogelijke consequenties?)

[The Lord]

Tsja, zolang je het maar goed genoeg beveiligd... En daar ligt meestal het probleem, omdat de beheerders gewoonweg niet voldoende weten van beveiliging.

[teigetjuh]

Zelfs als je het goed beveiligd neem je nog een enorm risico. Het zou mij keus ook absoluut niet zijn, net zo als een DC en een IIS op 1 machine (met sql2k erbij) Das ook iets wat je absoluut niet wil en wat je toch ziet gebeuren.

[Predator]

Op woensdag 27 februari 2002 11:08 schreef The Lord het volgende:
Tsja, zolang je het maar goed genoeg beveiligd... En daar ligt meestal het probleem, omdat de beheerders gewoonweg niet voldoende weten van beveiliging.

Een webserver kan je moeilijk niet als een security risk aanzien. Zelfs al patch je regelmatig en runt ie met beperkte rechten. Als het dan nog eens IIS is... (NOFI)
Er komen altijd wel eens nieuwe exploits waarbij je code kan uitvoeren op het doelwit waarvan je nog niet gepatched bent.

Kan je die niet ergens anders zetten + ervoor zorgen dat zelfs indien die webserver zou zijn "compromised", hij niet als springplank kan dienen

[Verwijderd]

en hoe zit dit met SBS dan dit is ook een install waarbij alles op 1 server draait toch?

je web server kan je natuurlijk wel ergens anders planten maar je sql ed staan allemaal op dezelfde server, of zie ik iets over het hoofd?

[Creepy]

Op woensdag 27 februari 2002 11:03 schreef Gompy58 het volgende:
Bij een klant heb ik de situatie aangetroffen dat er op 1 fysieke server zowel exchange 2000 draait alswel de eigen website wordt gehost.

Ik ben van mening dat er een aantal dingen zijn die je NIET doet en dit daar 1 van is.

Wat is jullie mening daarover ( en wat zijn de mogelijke consequenties?)

Waarom zou je dit NIET doen? Als je maar weinig gebruikers hebt is dit goed te doen, en het scheelt je weer een tweede systeem. Zolang het geen (cpu/mem/io)load problemen geeft.. waarom niet. Zolang je de boel goed beveiligt hebt is er niets aan de hand lijkt me.

[Gompy58]

er is inmiddels besloten om de exchange en webserver fysiek te gaan scheiden.
er is echter een vraagteken;

Kheb 2 ip adressen voor de buitenwereld
1 router als eerste contact
dan een vuurmuur
die vuurmuur moet het verkeer scheiden mbt poort 25(mail) en poort 80 (www). De beide ip adressen gaan dus naar de router en de vuurmuur. Het ip van de vuurmuur geef ik door aan de domeinhouder voor z'n DNS zodat het verkeer ook naar dat netwerk toekomt.

Alleen, wat gebeurt er nu met de webmail toegang.....
Is dat poort 80 of poort 25 verkeer... hoe gaat dat lopen ????
anybody??

[Thijsch]

Op woensdag 27 februari 2002 13:53 schreef Gompy58 het volgende:
er is inmiddels besloten om de exchange en webserver fysiek te gaan scheiden.
er is echter een vraagteken;

Kheb 2 ip adressen voor de buitenwereld
1 router als eerste contact
dan een vuurmuur
die vuurmuur moet het verkeer scheiden mbt poort 25(mail) en poort 80 (www). De beide ip adressen gaan dus naar de router en de vuurmuur. Het ip van de vuurmuur geef ik door aan de domeinhouder voor z'n DNS zodat het verkeer ook naar dat netwerk toekomt.

Alleen, wat gebeurt er nu met de webmail toegang.....
Is dat poort 80 of poort 25 verkeer... hoe gaat dat lopen ????
anybody??

op de server dit:
ipmasqadm portfw -a -P tcp -L 0.0.0.0 80 -R a.b.c.d 80

en dat zelfde voor poort 21. a.b.c.d is het ip van de server waar het opkomt. allles op poort 80 word dan daarnaartoe uitgepoept

-edit- ervanuitgaande dat de firewall linux is. voor win weet ik het niet

[Jeroen Blom]

Op woensdag 27 februari 2002 13:53 schreef Gompy58 het volgende:
Alleen, wat gebeurt er nu met de webmail toegang.....
Is dat poort 80 of poort 25 verkeer... hoe gaat dat lopen ????
anybody??

Volgens mij poort 80, intern gebruikt hij wel poort 25 maar daar heeft de firewall niets mee te maken.

[Verwijderd]

webmail heeft niets met poort 25 te maken, anders dan dat mail binnenkomt/vertrekt via die poort..

De eenvoudigste oplossing is gewoon je webmail op een andere poort zetten, bv 81 ofzo.

Ik begrijp overigens dat je 2 externe IP's hebt, je zou dan ook het 1ne IP voor je normale www-server kunnen gebruiken en het andere voor de webmail.

[Gompy58]

Op woensdag 27 februari 2002 16:55 schreef hezik het volgende:
webmail heeft niets met poort 25 te maken, anders dan dat mail binnenkomt/vertrekt via die poort..

De eenvoudigste oplossing is gewoon je webmail op een andere poort zetten, bv 81 ofzo.

Ik begrijp overigens dat je 2 externe IP's hebt, je zou dan ook het 1ne IP voor je normale www-server kunnen gebruiken en het andere voor de webmail.

dat kan niet.... die ip's heb ik nodig voor de router en de vuurmuur......

[JackBol]

Op woensdag 27 februari 2002 18:16 schreef Gompy58 het volgende:

[..]

dat kan niet.... die ip's heb ik nodig voor de router en de vuurmuur......

Als de webserver en de Exchange in het zelfde domein hangen, kun je gewoon de webserver op poort 80 laten draaien, en SMTP van de exchange op poort 25...

je laat dan de webinterface van exchange door de WWW server verzorgen.

[Verwijderd]

dat kan niet.... die ip's heb ik nodig voor de router en de vuurmuur......

Waarom? Je geeft je vuurmuur beide IP's en laat die het zaakje voorwarden en NAT-ten. //edit (onderdeel van het maken van een DMZ)

Als ik het goed begrijp heb je nu aan inet zijde zowel een router als een vuurmuur staan? Die router is dus niet beschermd?

Overigens is er nog wel een andere oplossing, welke imo zowieso netter is en dat is je webmail gewoon via https laten verlopen (=port 443 geloof ik).