outlook webaccess authentication problem

[Razorh]

Ik heb:

backend server

win 2k sp3, exchange 2000 entp sp3.

frontend server

win 2k sp3, exchange 2000 entp sp3


Probleem:

backend server draait alles werkt met mail versturen etc, maar als je op de frontend server wil inloggen via je browser http://frontend/exchange/ dan krijg je een login scherm voer je je username, password. Domain heb ik al op de server ingesteld... en dan popt dat scherm weer op als of ik het niet goed heb ingetikt.
Als ik rechtstreeks inlog op de backend via http://backend/exchange heb ik geen probleem. Maar dat is niet de bedoelling aangezien STRAKS de backend in de dmz komt te staan.

Op de frontend staat al ingesteld dat hij dus frontend is, (all commands will be relayed back to backend server).

In de exchange virtual directory van de frontend staat bij exchange path domeinnaam.nl (default)

bij access --> authentication --> staat basic authentication en het default domain ingesteld.

[Verwijderd]

ik neem aan dat je geen mailboxen hebt op je frontend server?

[mutsje]

krijg je nog event's op je front-end server te zien errors en dergelijke.. meer informatie zou erg fijn zijn.

[Razorh]

hij heeft wel een store, met mailbox system attendant, systemmailbox,smtp
En een public folder. staat zo standaard. Moet ik deze dismounten? of verwijderen?

Bij de smtp virtual server -->queues staan

domein.nl (local delivery) --> enumerate messages from the queue node
messages waiting directory lookup --> enumerate messages from the queue node
messages waiting to be routed--> enumerate messages from the queue node

in de exchange virtual server staan

exadmin
exchange
public

[Verwijderd]

mijn ervaringen is dat dat niet altijd werkt, de reden waarom het niet werkt heb ik nog niet echt kunnen achterhalen.

een oplossing die meestal werkt is:

voor de gebruikersnaam toch de domeinnaam te vermelden dus:
domeinnaam\username
wachtwoord

Dit is een optie die je nog kunt proberen en gerbuiken, totdat je erachter bent waarom de domeinnaam niet automatisch wordt meegenomen tijdens inloggen.

[mutsje]

Ik heb zelf alleen een backend server staan en hoef geen domain\username password maar kan gewoon met username & password erop komen.

Het enige wat niet op een front-end server staat zijn mailboxen. De front-end sluist dit automatisch door naar de back-end. wat E4rend!L al zegt probeer het eens met domain\username.

maar kijk ook de evenviewer op de front-end server even na misschien dat er nog gekke dingen in staan?

[Razorh]

Ik heb het geprobeerd met \domeinnaam\username maar maakt helaas niets uit.

[Hachy]

Probeer eens de frontendserver te benaderen met "/exchange/" bij mij maakte de laatste slash het verschil.

[Razorh]

Helaas dit ook niet

[mutsje]

heb boek er ff bijgepakt.

je moet dus inderdaad met domainname\username password inloggen.
Je hebt dus bij de front end server het vinkje gezet bij "this is a front-end server" ja klinkt stom dat ik het vraag maar anders heb je nog een back-end server

Heb je op de frontend server ook IISreset vanaf het run commando gedaan?
om IIS te restarten?

je adres moet duidelijk naar de frontend wijzen via internet explorer.
in boek staat front end op srv2 en zij loggen in als http://srv2/exchange/adminCA waar adminCA een mailbox op de backend is.

[Kabouterplop01]

inloggen met domeinnaam/username en domein aangeven in uppercase.(Als je van buiten af inlogt heb je een dialog box met 3 regels en dan moet je gewoon username, password en ("NetBios") domeinnaam in uppercase invullen. Je kunt trouwens ook even in AD users and comps. kijken bij de exchange properties naar mailbox naam en vergelijk dit met username.

[Arno]

Op je frontend server moet je zowiezo niet vergeten om de priv en de pub store te deleten, deze hebben immers geen nut

[Verwijderd]

Ik hadt dat ook laatst en het lag aan de settings van Internet Explorer. Ik heb alles gereset naar default (use default) en bovendien het OWA adress toegevoegt aan de Trusted Zone van IE. Verder eens proberen op IP nummer te connecten.

[Razorh]

Mensen locaal werkt het nu, het probleem zat hem waarschijnlijk in dat ik geen /forestprep had gedraait bij de installatie van exchange. Maar dit komt niet omdat ik dit niet wist maar omdat ik gelezen had dat je dat maar 1 keer hoeft te doen, want /domainprep had ik wel gedaan.

Nu zit ik met een ander probleem, hoe kan owa communiceren vanuit de dmz met het LAN active directory om de users te authenticaten.

ik heb

poort 80 TCP (http) WAN-->DMZ ALLOW
poort 443 TCP (https) WAN-->DMZ ALLOW


poort 53 TCP+UDP (DNS) DMZ-->LAN
poort 88 TCP+UDP (Kerberos_Authentication)DMZ-->LAN ALLOW
poort 135 TCP (endpointmapper) DMZ-->LAN ALLOW
poort 389 TCP+UDP (LDAP) DMZ-->LAN ALLOW
poort 445 TCP (SMB_Netlogon) DMZ-->LAN ALLOW
poort 3268 TCP (LDAP TO GLOBAL CATALOG SERVERS) DMZ-->LAN ALLOW

LAN --> DMZ ALLOW


Maar ik krijg nog steeds geen access, en als ik probeer in te loggen via internet krijg ik een internal server error 500

Ook heb ik gelezen dat je in de registry een poort range moet vasstellen (1025-1026) voor active direcotry logon and directory replication interface: hkey_localmachine\system\currentcontrolset\services\NTDS\parameters

maar ik kan deze niet vinden??

wie o wie kan me helpen?

[ Voor 17% gewijzigd door Razorh op 23-05-2003 10:53 ]

[Brahiewahiewa]

Razorh schreef op 23 mei 2003 @ 10:30:
wie o wie kan me helpen?

Je bent het tweede stukje van Exchange 2000 Windows 2000 Connectivity Through Firewalls vergeten:

One port for the Active Directory logon and directory replication interface (universally unique identifiers [UUIDs] 12345678-1234-abcd-ef00-01234567cffb and e3514235-4b06-11d1-ab04-00c04fc2dcd2), which is typically assigned port 1025 or 1026 during startup. This value is not set in the DSProxy or System attendant (MAD) source code, so you must map the port in the registry on any domain controllers that the Exchange 2000 computer must contact through the firewall to process logons, and then open the port on the firewall.

To map the port in the registry:
Start Registry Editor (Regedt32.exe).
Locate the following key in the registry:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters

On the Edit menu, click Add Value, and then add the following registry value:
Value Name: TCP/IP Port
Data Type: REG_DWORD
Radix: Decimal
Value: greater than 1024

Quit Registry Editor.
Make sure that the slash in "TCP/IP" is a forward slash, and that the value that you assign is greater than 1024, in decimal format. That number is the extra port that you need to open (TCP, UDP) on the firewall. Setting this registry value on every domain controller inside the firewall does not impact performance, and covers any logon request redirects that occur as a result of servers that are down, roles that change, or bandwidth needs.
NOTE: For the server inside the firewall to communicate back through the firewall to the external server, you also need to have ports 1024 through 65535 configured for outbound communications. Computers that initiate the communication through the firewall use a client-side port that is dynamically assigned and cannot be configured.

Je pakketjes gaan wel van de Front-end naar de Back-end, maar ze kunnen niet terug.

[Razorh]

thx, maar van uit lan mag alles naar dmz en van dmz naar wan mag ook dus dat zit wel goed, maar ik kan die key in de registry niet vinden.... of moet ik die helemaal zelf aanmaken?

[ Voor 9% gewijzigd door Razorh op 23-05-2003 13:42 ]

[Razorh]

Ok heb de registry entry al gevonden en veranderd, word ook gelijk gebruik van gemaakt net even met netstat -a op m'n workstation gekeken, heb poort 1026 ingesteld en open gezet in de firewall.
Maar ik kan er nog steeds niet in van uit de dmz, zal waarschijnlijk aan de firewall liggen (sonicwall)

[Razorh]

inderdaad van sonicwall zeggen ze dat het aan hun firewall ligt. De firmware die er nu opstaat laat absoluut geen verkeer door naar de van DMZ naar LAN (dit is ook het principe van een dmz) Maar om dit wel te kunnen moet ik een nieuwe firmware hebben. Daarom ff support verlengen.

[Brahiewahiewa]

Razorh schreef op 23 mei 2003 @ 17:15:[...]laat absoluut geen verkeer door naar de van DMZ naar LAN (dit is ook het principe van een dmz)[...]

Bweeuh, da's wel een heel rigide opvatting van het begrip DMZ. 't Idee is nou juist dat er gecontroleerd verkeer wordt doorgelaten. Om absoluut geen verkeer door te laten kun je veel goedkoper het stekkertje d'r uit trekken

[mutsje]

Brahiewahiewa schreef op 23 May 2003 @ 20:48:
[...]

Bweeuh, da's wel een heel rigide opvatting van het begrip DMZ. 't Idee is nou juist dat er gecontroleerd verkeer wordt doorgelaten. Om absoluut geen verkeer door te laten kun je veel goedkoper het stekkertje d'r uit trekken

microsoft security level1 bedoel je dan dus lol

[Razorh]

ben nog steeds bezig met die sonicwall, zit nu al op 3rd level support van uit amerika, en komen ze nog steeds met antwoorden die ik al zelf heb geprobeerd.....
ik houd jullie op de hoogte......

[Grolsch]

communiceert een front-end-back-end ook dmv RPC? misschien die poort open zetten?

[Kabouterplop01]

Misschien vermeldenswaardig, misschien ook niet. Ik kan door mijn ISA OWA gewoon benaderen; ik heb alleen integrated mode authentication gekozen. Ik heb ook een front end backend config met Exch2k en Exch2k3. Hoop dat het helpt. Die RPC was ook een goeie. (hoe moet de (behalve met LDAP) server dan communiceren?