[exchange] server niet rechtstreeks op internet?

[helpme]

Wij zijn van plan om een nieuwe server te kopen, hebben nu een novell 3.11 server . dus tijd voor iets nieuws.

Nu heeft microsoft zo'n leuk pakket genaamd Small Business Server 2003. Dit is dus Windows 2003 en Exchange 2003 met nog wat extra's, verder niet interessant.

Dit is dus precies wat ik wou, een domain controller en mail server, alleen niet op dezelfde pc. Ik zou het liefst al het mogelijke internet verkeer buiten de domain controller om houden.

Nu mijn vraag, hoe hebben andere bedrijven dit probleem opgelost, hebben zij twee x windows aangeschaft (voor ons geen keuze wegens budget) of is er nog een andere mogelijk

[Verwijderd]

Ik zou niet weten waarom je die SBS niet direct op Internet hangt aldan niet via een hardware router/modem. Hij is er tenslotte voor gemaakt/samengesteld, er zit ook firewalling etc (ISA server) bij, alles met "handige" wizards etc. dus zou toch niet zo'n probleem moeten zijn,

[FastBunny]

Veel bedrijven kopen dan 2 windows 2000 licenties en 1 exchange licentie en hebben 2 servers.

[geurtd]

Ben het eens met maui71. en anders is het toch een extra windows licentie kopen ben ik bang.
SBS is speciaal bedoeld voor de kleinere toko's die maar 1 server hebben.

[Verwijderd]

Goeie firewall ertussen gooien en niets aan het servertje hoor!

Deden we op mijn oude werkplek ook.

[Verwijderd]

Verwijderd schreef op 08 October 2003 @ 15:43:
Goeie firewall ertussen gooien en niets aan het servertje hoor!

Deden we op mijn oude werkplek ook.

Die zit toch 9 van de 10 keer ingebakken in de breedband aansluiting, ADSL/SDLS modem/router combi, of heb ik dit verkeerd?

[Verwijderd]

Verwijderd schreef op 08 October 2003 @ 15:44:
[...]


Die zit toch 9 van de 10 keer ingebakken in de breedband aansluiting, ADSL/SDLS modem/router combi, of heb ik dit verkeerd?

Ligt natuurlijk ook aan aan wat voor ADSL/SDLS modem/router combi je hebt!
Een extra firewall kan normaliter nooit kwaad en is vaker nog beter in te stellen ook nog!

[helpme]

in de basic versie van sbs2003 zit dus niet de ISA Server.
is het ook mogelijk om een linux machine die als firewall fungeert, eerst de mail ophaalt (misschien zelfs op virussen scant) en dan doorgeeft aan de exchange server?

[Verwijderd]

Waarom de Linux machine de zooi laten ophalen?
Kan toch ook gewoon er door heen en daar laten scannen.

Okay we deden het ook met een Unix machine die de mail ophaalde en dan haalde exchange de mail weer van die machine af. Dus het kan, we draaien alleen geen virusscanner/spamfilter erop!

DNS: Mx records naar je linux doos
En dan een SMTP connectie opzetten vanuit de exchange naar je linux doos.
Klaar ben je dan en het werkt goed. Vooral als Exchange eens hangt of down moet voor een backup dan wordt de mail gewoon opgehaald ontvangen en blijft ie netjes bewaard

edit:

damn net ietsjes te laat!

[ Voor 37% gewijzigd door Verwijderd op 08-10-2003 15:50 ]

[geurtd]

Kort antwoord
Ja.

Minder kort
Ja, MX records in DNS laten wijzen naar je linux doos en die smtp laten forwarden naar je exchange doos

[helpme]

Verwijderd schreef op 08 October 2003 @ 15:47:
Waarom de Linux machine de zooi laten ophalen?
Kan toch ook gewoon er door heen en daar laten scannen.

en daar laten scannen? bedoel je dit in de linux server, of op de windows server?

en dan nog even iets anders, stel exchange valt uit, stuk
is er dan een mogelijk dat de gebruikers toch nog hun (nieuwe) mail kunnen bekijken. Deze staat dan nog bij de provider (bsmtp).

[Verwijderd]

Small Business Server 2000 is prima geschikt om direct aan het internet te hangen mede dankzij de integratie van ISA Server (Proxy en Firewall). SBS2003 komt in meerdere uitvoeringen op de markt, een standaard versie zonder ISA (want de nieuwe versie is er gewoon nog niet) en een enterprise versie met ISA.
In jullie geval zou ik er zeker voor zorgen dat je een uitvoering MET ISA server krijgt.
Beknibbel in ieder geval niet teveel op de hardware. SBS2000 kan vooral flink wat geheugen verbruiken (1 Gb is zeker te adviseren).

Als je internet en zakelijk applicaties/data verder wilt scheiden kom je niet onder twee servers uit. Maar bekijk het ook eens anders. Als ze eenmaal op je "internet" server zitten zitten ze ook zo op je andere server.

Vaak wordt er besloten om dit te scheiden i.v.m. de belasting van de servers en/of om downtime te verminderen, immers als je twee servers hebt draaien kun je bij downtime van een server in ieder geval nog een ander deel wel gebruiken.
Windows 2000, Exchange 2000 en ISA 2000 zijn al een behoorlijke belasting dus als je ook nog eens databases of andere applicaties daarnaast wilt gaan draaien zou ik het zeker gaan scheiden of een heel stevige server neerzetten.

Kortom, het hangt dus een beetje af van je wensen en eisen. Als het om veiligheid gaat dan is er in principe niet echt een reden om voor twee servers te kiezen mits je ene server goed geconfigureerd is.

[Verwijderd]

helpme schreef op 08 oktober 2003 @ 15:54:
[...]


en daar laten scannen? bedoel je dit in de linux server, of op de windows server?

en dan nog even iets anders, stel exchange valt uit, stuk
is er dan een mogelijk dat de gebruikers toch nog hun (nieuwe) mail kunnen bekijken. Deze staat dan nog bij de provider (bsmtp).

Ja in prinicipe een pass through scanner.

Euh als die Unix machine de mail al heeft opgehaald dan is het helaas en staat ie lokaal bij jou en dan kunnen de gebruikers er niet aan. En zul je moeten wachten totdat de exchange server weer in de lucht is

[mutsje]

Je moet er als je SBS gaat kopen op letten als je ISA wilt welke versie van SBS koopt. Verder is een solution van Microsoft zelf(security whitepaper windows 2000 server family) dat je een SMTP server voor de Exchange server neer zet zodat de Exchange server niet rechtstreeks benaderbaar is vanaf het grote boze internet.

Het is misschiens handig om een aantal scenario's die je bij Microsoft kunt vinden te lezen voordat je een besluit neemt wat voor pakket je aan wilt schaffen.

[helpme]

ja oke, maar stel dat de unix machine de mail niet ophaalt, en de Exchange server dit zelf helemaal alleen doet, (zo hierboven te horen is dat veilig genoeg) is het dan nog wel mogelijk om de mail te lezen die nog bij de provider staat. misschien doormiddel van Pop om de mail zelf per account op te halen, of via webmail die ook bij de provider draait.

Persoonlijk denk ik dat het niet mogelijk is, omdat je de account op de Exchange server aanmaakt, en niet bij de provider. Maar zoveel verstand heb ik niet van het hele mail gebeuren.

[blackd]

helpme schreef op 08 October 2003 @ 16:09:
is het dan nog wel mogelijk om de mail te lezen die nog bij de provider staat. misschien doormiddel van Pop om de mail zelf per account op te halen, of via webmail die ook bij de provider draait.

Ligt aan je provider, bij XS4ALL consumentenabo's kun je de mail die in de wacht staat voor bsmtp in de webmail van het hoofdaccount zien. Dus dat zul je bij je provider moeten navragen.

Als je gebruik maakt van POP3 boxen bij je provider (en deze om de x aantal minuten leeghaalt) is het helemaal simpel, dan kan het gewoon wanneer de provider webmail heeft.

(wanneer Exchange uitvalt he)

[ Voor 4% gewijzigd door blackd op 08-10-2003 16:14 ]

[tc982]

Maar dan gebruik je de OWA en de POP3 functie die de exchange heeft!

Beste oplossing : Linux firewall + SBS

Anders dure oplossing : 2x windows 2000
+ ISA + CAL liscences voor zowel win2000 en ISA!

Gewoon pop gebruiken van echange is dan het gemakkelijkste!

[Verwijderd]

Ik heb het bij iemand zo ingesteld (SBS 2000 met ISA dus):
- Exchange haalt via pop-connector mail op (mail komt binnen bij provider op catch-all adres), exchange verdeelt deze mail naar lokale
postbussen (jantje/pietje/keesje).
- Verzenden doet Exchange wel direct, dus zonder connector direct dus.

Op deze manier hoef je geen smtp poort open te zetten naar de grote boze buitenwereld om mail te ontvangen. Dit gaat allemaal prima.

Die SBS is aangesloten op een KPN OfficeDsl line (zit een xxxxx 54000 modem/router tussen, kom ff niet op de naam).
Ik ben nu aan het uitpuzzelen hoe daar een VPN door heen te krijgen.

[ Voor 5% gewijzigd door Verwijderd op 08-10-2003 16:17 ]

[intert0y]

Ik zou gewoon de mail laten ophalen ALTIJD bij de provider en deze via Outlook Webaccess weer teruggeven aan de gebruiker. Dit kan prima met SBS.

Heb zelf ook sbs2000 bij enkele klanten draaien.

[Verwijderd]

intert0y schreef op 08 October 2003 @ 16:19:
Ik zou gewoon de mail laten ophalen ALTIJD bij de provider en deze via Outlook Webaccess weer teruggeven aan de gebruiker. Dit kan prima met SBS.

Heb zelf ook sbs2000 bij enkele klanten draaien.

euh, vraagje OWA direct op de SBS server draaien? Heb je ook al 's remote-login oid ingesteld?? zoja, moet dat nu perse via VPN (mits je het veilig wilt) ?

[tc982]

Login op de OWA gebeurt via de iexplorer geen VPN voor nodig.

Doe ik reeds op http://mail.entraxx.com

[Verwijderd]

tc982 schreef op 08 October 2003 @ 16:33:
Login op de OWA gebeurt via de iexplorer geen VPN voor nodig.

Doe ik reeds op http://mail.entraxx.com

code:

Socket Error

Host name lookup for 'mail.entraxx.com' failed

Ok, voor OWA niet, maar Terminal Services/Remote Desktop, die moet je toch eigenlijk door een VPN duwen voor de veiligheid? Of is dit zo al veilig genoeg met
die SBS 2000?

[elevator]

TerminalServices is eigenlijk goed vergelijkbaar met SSH, met dat verschil dat er in OpenSSH (de defacto SSH implementatie) meer exploits gevonden zijn

Dat is natuurlijk een beetje flauw - maar het komt er wel ongeveer op neer - beide zijn platformen om je PC remote te managen, en beide zijn volledig encrypted. Terminal Services is dus ook een ge-accepteerd risico (net zoals SSH dat in de meeste situaties is).

[helpme]

mutsje schreef op 08 oktober 2003 @ 16:08:
Het is misschiens handig om een aantal scenario's die je bij Microsoft kunt vinden te lezen voordat je een besluit neemt wat voor pakket je aan wilt schaffen.

waar kun je deze vinden, kan ze niet vinden

[mutsje]

Krengen zijn ook moeilijk te vinden. Ik ben ze paar keer per toeval tegen gekomen. Dan krijg je lappen text over implementaties bij grote en kleine bedrijven. dit is het niet helemaal maar staan al veel papers in hoe staff te trainen enzo

[tc982]

En natuurlijk ligt mijn domain er uit net wanneer ik een "point" wou maken

Maar geen getreur, publish je webserver en je gaat geen problemen hebben met in te loggen op je OWA!

[elevator]

En waarom kick je dit topic dan een maand later?
Ik doe het maar dicht - ik zie niet wat voor nuttigs hier nu nog uit kan komen.