[Ex2k3/Win2k] Front-End Back-End opstelling

[Verwijderd]

Hoi,

we zijn hier bezig met een Webmail opstelling.

Situatie:
- Netwerk met een 15 tal verschillende sites. In elke site staat altijd een domain controller (15 stuks) en soms een exchange server (7 stuks)
- Alle domain controllers draaien Windows 2000 Service Pack 4 met uiteraard Active Directory
- Alle Exchange server draaien Exchange 2003 op Windows 2000 Service Pack 4
- Tussen de verschillende Exchange server bestaan verschillende Routing Groups/Connectors om het verkeer te optimaliseren.

Nu is de testopzet de volgende (wat goed werkt).
- Exchange 2003 Front End server is geinstalleerd in DMZ Zone. Van buitenaf staat enkel poort 443 (SSL) open naar die Front End Server. Vanaf deze Front End server staan enkele poorten open naar het interne netwerk (oa. 53, 389, 3269, 88 naar 1 Domain Controller).
- Vanaf de Front End server server naar het interne netwerk is verkeer naar ELKE exchange server in de organizatie toegelaten op poort 80. Dit om alle mailboxen te kunnen openen binnen heel de organizatie.

Nu is het dit laatste wat me niet 100% aanstaat. Ik had het mooier gevonden als ik vanaf de Front End server slechts communicatie over poort 80 naar 1 Back End server toelaat. Als we dit instellen in de firewall werkt alles goed zolang we mailboxen openen die op die ene Back End server staan. Openen we een andere dan krijgen we een 'Service Unavailable' foutmelding in Internet Explorer. Dit lijkt me ergens ook logisch omdat de Front End server de correcte Back End server niet kan bereiken.

Kan er ergens in Exchange iets worden geforceerd dat alle verkeer van de Front End server via 1 Back End Server verloopt? Als we dan bv. een mailbox openen die op een andere exchange server staat, dan loopt de communicatie via Front End - Back End (waar comm. via prt. 80 mogelijk is) - Back End waar mailbox opstaat.

Dit alles om het verkeer van Front End naar binnen toe slechts naar 1 toestel toe te laten (wat me toch veiliger lijkt dan poort 80 open te zetten naar alle exchange servers).

Opmerkingen/suggesties welkom!

[paulhekje]

het doel van een front-end server is de load verminderen op je back-end servers en 1 centrale connectie te kunnen aanbieden. het is niet echt ontworpen voor beveiliging, ook al doet MS je dat geloven.
Een alternatief is je front-end server in het LAN te plaatsen en te publishen naar DMZ/internet via een ISA server. In de ISA feature pack zitten nieuwe OWA-filters.

[mutsje]

paulhekje schreef op 24 december 2003 @ 09:36:
het doel van een front-end server is de load verminderen op je back-end servers en 1 centrale connectie te kunnen aanbieden. het is niet echt ontworpen voor beveiliging, ook al doet MS je dat geloven.
Een alternatief is je front-end server in het LAN te plaatsen en te publishen naar DMZ/internet via een ISA server. In de ISA feature pack zitten nieuwe OWA-filters.

Er zit wel degelijk een stuk security in omdat men van buitenaf niet zomaar meer op de resources kan komen omdat een front-end server geen mailboxen en dergelijke host.

Hoe je Front-end server kunt vertellen dat hij alles moet resolven naar 1 backend ik heb geen idee en visa versa ook niet.

[Brahiewahiewa]

mutsje schreef op 24 december 2003 @ 10:13:
[...]Hoe je Front-end server kunt vertellen dat hij alles moet resolven naar 1 backend ik heb geen idee en visa versa ook niet.

Dat kan gewoon niet; een FE is gemaakt om rechtstreeks met de BE waar de gevraagde mailbox wordt gehost, te babbelen.

@TS: Als het je ècht om de veiligheid gaat, had je natuurlijk nooit een FE in je DMZ mogen zetten; als er 1 DC of Exchange server in je LAN gecompromiteerd raakt volgt de rest van je DC's en Exchange servers binnen enige tientallen seconden. Het onveilige zit'm niet in het aantal IP-adressen wat je toelaat, maar in het droge feit dat je RPC/NetBIOS verkeer tussen DMZ en LAN toestaat.

De juiste, veilige oplossing is dan ook om, zoals Paul# al aangeeft, je FE te publiceren middels ISA (of reverse te proxy-en met een ander product).
Een eventueel alternatief is om wel een FE in je DMZ te plaatsen, maar die via IPSEC met de DC's en Exchange servers in je LAN te laten communiceren. Overigens lopen de meningen over de veiligheid van zo'n IPSEC tunnel uiteen; je firewall kan namelijk geen inspectie doen op de inhoud van die pakketjes en sommige firewall beheerders worden daar uiterst nerveus van.

[mutsje]

beter zou zijn om gewoon een SMTP doos (linux of iets dergelijks) in de DMZ te parkeren en deze al het smtp verkeer af laten vangen en dat door sturen naar de FE.

[Brahiewahiewa]

mutsje schreef op 24 december 2003 @ 13:39:
beter zou zijn om gewoon een SMTP doos (linux of iets dergelijks) in de DMZ te parkeren en deze al het smtp verkeer af laten vangen en dat door sturen naar de FE.

Ja, maar daar schieten je OWA gebruikers zo weinig mee op . . .

[mutsje]

Brahiewahiewa schreef op 24 december 2003 @ 15:25:
[...]

Ja, maar daar schieten je OWA gebruikers zo weinig mee op . . .

Dat snap ik ook weer wel