Fritz!Box 7270 und Exchange

[wsyrowatka]

Liebe Forum-Mitglieder,
da ich neu in diesem Forum bin zunächst ein herzliches "Grüß Gott" an alle!

Ich habe gesehen, das Zusammenspiel zwischen Fritz!Box und Exchange wurde in diesem Forum schon mehrfach besprochen, doch habe ich für mein Problem keine Lösung gefunden.

Konkret habe ich folgende Systemkonfiguration:
Eine FRITZ!Box Fon WLAN 7270 (FW: 54.04.81, Provider AON Österreich) stellt neuerdings meinen privaten Internetzugang sicher. Ich rufe meine Mails von einem Exchange-Server 2003 auf einem Apple mit Entourage ab. Ich gehe dabei über https auf den Servers und lade die Mails so herunter. Das hat auch bis zur Installation der Fritz!Box bestens geklappt. Nun aber erhält das Mailprogramm keinen Zugriff mehr auf die Mails.
Interessant auch, dass der Web-Access nicht mehr erreicht werden kann.

Warum ich glaube, dass es an der FB liegt?
1) Wenn ich meinen Apple über den Internetstick ins Netz schicke, dann gelingt der Zugriff auf die Mails problemlos.
2) Wenn ich auf dem Apple die installierte virtuelle XP-Maschine starte so kann ich mit dem IE wieder auf den Web-Access zugreifen, auch das installierte Outlook kann sich verbinden.

Ich hoffe alle wichtigen Eckdaten angeführt zu haben und hoffe noch viel mehr, dass jemand mir weiter helfen kann. Vielleicht ist es ja auch ganz einfach und ich sehe nur den Wald vor lauter Bäumen nicht?

Beste Grüße aus Salzburg
Wolfgang

 

[Telefonmännchen]

Ich kenne zwar die Ursache nicht, aber ich habe mal ein paar Gedanken, die vielleicht bei der Fehlersuche behilflich sein könnten. Die FritzBox filtert NetBIOS und SMB-Verkehr (CIFS) über das WAN(!)-Interface. Kann sein, daß auch der von Exchange benötigte Verkehr gefiltert wird. Meines Wissens nutzen da nicht mal Portweiterleitungen der betroffenen Ports. Mir ist allerdings schleierhaft, warum derartiger Verkehr nicht über ein VPN abgesichert ist. Aber das ist ein anderes Thema. Allerdings erklärt das nicht, warum der Webaccess auch nicht mehr ereichbar ist. Die Ursache muß woanders liegen.

Gruß Telefonmännchen

 

[Feuer-Fritz]

2) Wenn ich auf dem Apple die installierte virtuelle XP-Maschine starte so kann ich mit dem IE wieder auf den Web-Access zugreifen, auch das installierte Outlook kann sich verbinden.

Dann kann es doch nicht an der FB liegen .....

 

[Telefonmännchen]

Dann kann es doch nicht an der FB liegen .....

Doch, weil er ja dann wie unter 1) mit einem Webstick per UMTS verbunden ist, und die FritzBox außen vor ist. Womit nur nachgewiesen ist, daß der Dienst zum Zeitpunkt des Tests prinzipiell erreichbar und funktionsfähig war und es auch nicht am verwendeten OS liegt (oder habe ich das jetzt falsch verstanden?).

Gruß Telefonmännchen

 

[Feuer-Fritz]

Wenn die virtualXP sich verbinden kann, geht das doch auch über die FB...

oder bin ich jetzt völlig daneben ;-)

 

[wsyrowatka]

Hallo Telefonmännchen,
servus Feuer-Fritz!

Danke für Eure Zeit!
Ihr habt die Situation ganz richtig eingeschätzt. Ich würde meinen, weder am OS noch am Mailprogramm (Entourage) kann es wirklich liegen, denn via UMTS komme ich da ja dann locker rein.

Der Traffic der VM muss auch über die FB raus und geht dann wohl den selben Weg wie der Rest.

Ich habe jetzt noch probiert mit dem Browser meines Mobiltelefons auf den Webaccess zuzugreifen. Der Androidbrowser bekommt über FB (WLAN) keine Verbindung. Aber auch da: Wenn ich über UMTS zugreife, klappt alles bestens.

Liebe Grüße
Wolfgang

 

[Telefonmännchen]

Noch mal explizite Nachfrage: Der Test mit der VM und XP lief über die FritzBox oder über UMTS? Wenn UMTS, dann ist es klar, da der gleiche Kommunikationspfad verwendet wird wie bei den anderen Tests. Wenn es aber per VM und XP über die FritzBox funktioniert, dann liegt der Hase irgendwo anders im Pfeffer. Dann benutzt dieses Entourage irgendwelche Verbindungen anders als ein Outlook unter Windows. Dann gilt es dieses Verhalten anzupassen.

Gruß Telefonmännchen

 

[PCMor]

Hallo wsyrowatka,

wenn dein Exchange-Provider nichts an den verwendeten Ports gedreht hat, also 443 für HTTPS, und du vie UMTS problemlos connecten kannst, dann sehe ich auch ein Problem bei der FB.

Daher 2 Fragen:
1. kannst du mit der FB andere HTTPS-Seiten connecten?
2. ist die FB neu, oder kann nicht ausgeschlossen werden, dass ein evt. Vorbesitzer irgendwelche Portforwardings oder sonstiges hinterlassen hat?

Wenn Frage 1. schon mit "Ja" beantwortet wird, dann vergiss Frage 2 - technisch sehe ich dann auch in der FB grundsätzlich keine Hindernisse:

wenn ein Outlook- oder sonstwie gearteter E-Mail-Client aus dem Internet direkt auf einen Exchange zugreifen können soll, stellt der Provider auf der Intranetseite einen RPC-Proxy bereit, welcher den intern generierten und für den vollen Exchange-Funktionsumfang nötigen RPC-Traffic in die HTTPS-Verbindung hinein tunnelt (RPC-over-HTTPS); clientseitig kommt nur HTTPS an - und das kann jeder Router, jedes Modem etc...



[EDIT]Blödsinn bzw. nur die halbe Wahrheit: NUR MAPI-kompatible E-Mail-Clients brauchen bei direktem Zugriff über das Internet RPC-over-HTTPS...[/EDIT]

 

[wsyrowatka]

Hallo zusammen!

Noch mal explizite Nachfrage: Der Test mit der VM und XP lief über die FritzBox oder über UMTS?

Der Test lief über die FB. Es musste jeder Traffic über die FB raus.
Entourage verbindet über Port 443, das habe ich mit little snitch überprüft.

Daher 2 Fragen:
1. kannst du mit der FB andere HTTPS-Seiten connecten?
2. ist die FB neu, oder kann nicht ausgeschlossen werden, dass ein evt. Vorbesitzer irgendwelche Portforwardings oder sonstiges hinterlassen hat?

wenn ein Outlook- oder sonstwie gearteter Client aus dem Internet direkt auf einen Exchange zugreifen können soll, stellt der Provider auf der Intranetseite eine RPC-Proxy bereit, welcher den intern generierten und für den vollen Exchange-Funktionsumfang nötigen RPC-Traffic in die HTTPS-Verbindung hinein tunnelt (RPC-over-HTTPS); clientseitig kommt nur HTTPS an - und das kann jeder Router, jedes Modem etc...

ad 1): ja, das geht problemlos
ad 2): das ist sichergestellt - die FB war jungfräulich

Ich kenn mich nicht mehr aus...

 

[stinkstiefel]

Ich würde bei der Fehlersucher zunächst beim OWA ansetzen. Funktioniert die Namensauflösung zum Exchange? Wird ein Proxy genutzt? Ist eine Firewall auf dem MAC aktiv? Zu welcher Fehlermeldung kommt es im Browser? Sind für den Admin vom Exchange 2003 deine Anfragen vom MAC zu sehen?

 

[PCMor]

Kannst du vllt. mal deine aktuellen, anonymisierten Entourage-Einstellungen mit Bildern posten?
Frage wegen der Port-Einstellungen.
Und welche Entourage-Version nutzt du? 2004?

 

[wsyrowatka]

Guten Abend!
Ich habe mal meine Hausaufgaben gemacht und ein paar Informationen eingeholt.

Ich würde bei der Fehlersucher zunächst beim OWA ansetzen. Funktioniert die Namensauflösung zum Exchange? Wird ein Proxy genutzt? Ist eine Firewall auf dem MAC aktiv? Zu welcher Fehlermeldung kommt es im Browser? Sind für den Admin vom Exchange 2003 deine Anfragen vom MAC zu sehen?

Ich gehe ohne Proxy ins Netz und nutze die IP zum Verbinden mit dem Exchangeserver. Namensauflösung dürfte daher eigentlich kein Problem ergeben.
Eine Firewall ist übrigens nicht aktiv, es kommt aber angeblich keine Anfrage beim Server an. Das würde auch den Fehlermeldungen der Browser entsprechen, wenn ich diese richtig interpretiere:
Safari:
"Safari kann die Seite „https://-IP-/exchange“ nicht öffnen, da der Server, auf dem sich die Seite befindet, nicht antwortet."
Firefox:
"Der Server unter -IP- braucht zu lange, um eine Antwort zu senden."

Kannst du vllt. mal deine aktuellen, anonymisierten Entourage-Einstellungen mit Bildern posten?
Frage wegen der Port-Einstellungen.
Und welche Entourage-Version nutzt du? 2004?

Meine Einstellungen habe angehängt.

Ich habe heute auch noch mal mit der Virtuellen Machine und dem Zugriff auf den Webmailer experimentiert. Er läuft definitiv nur über Port 443 und sonst nichts. Zum Spaß habe ich mal NETBIOS in der XP-VM deaktiviert uns es klappt alles bestens...

Liebe Grüße aus Salzburg
Wolfgang

 

[gandalf94305]

Setzt bitte mal die MTU niedriger an und versucht das nochmals.

Weiterhin: falls Client-Zertifikate verwendet werden, kann das nicht funktionieren, da das Zertifikat des Clients aufgrund der NAT-Mappings nicht zur öffentlichen IP-Adresse des Clients passt. Normalerweise werden Exchange-Clients jedoch nicht mit Client-Zertifikaten ausgestattet, so daß dieser Punkt nicht relevant sein dürfte.

Ich verwende zwar nicht Entourage, aber Outlook per https auf den Firmenserver aus einem LAN mit NAT heraus ohne Probleme. Es sollte also auch bei Dir generell gehen.

--gandalf.

 

[PCMor]

Laut deinem Config-Screenshot kann ich nicht ersehen, dass ein Domänen-Name angegeben wird, unter der dein Benutzerkonto angelegt ist - kann eigentlich nicht sein, da ein Exchange seine Maildienste nur Usern des eigenen ADs feilbietet...

 

[gandalf94305]

Die Domain könnte auch per DOMAIN\USER im User-Fehld angegeben werden.

--gandalf.

 

[gt40]

Hier stimmt doch schon was nicht.

"Safari kann die Seite „https://-IP-/exchange“ nicht öffnen, da der Server, auf dem sich die Seite befindet, nicht antwortet."
Firefox:"Der Server unter -IP- braucht zu lange, um eine Antwort zu senden."

Das ist ja nicht rpc over https das ist "normaler Zugriff" über den Browser auf die Exchange Web Site. Der TE kommt gar nicht erst zum Server.

 

[PCMor]

(...) DOMAIN\USER (...)

...oder mit USER_AT_DOMAIN.FQDN, schon klar...

Mir entzieht sich hier schlicht die Ursache:

• https funzt im Allgemeinen, egal ob direkt vom MAC oder aus der virtuellen XP-Maschine heraus

• aus der XP-VM funzt jedoch auch der OWA-Connect...

Bedeutet ja erstmal grundsätzlich, dass auf der Exchange-Seite alles ok ist, und auch, dass die FB den https-Traffic, egal ob Exchange oder sonstwoher, korrekt durchwinkt.

Für mich bleibt als Schlussfolgerung, dass sich da der MAC verschluckt - sei es, dass er irgendwie das Exchange-SSL-Zertifikat nicht mehr akzepiert (wobei das ja noch eine Fehlermeldung nach sich ziehen würde), oder irgendwo einen festen path zum Exchange-Server eingetragen hat, den es mit dem Wechsel des Routers schlicht nicht mehr gibt.
Denn auch der OWA liefert Fehlermeldungen bei bspw. falschen User-Daten, aber hier laufen die Browser im MAC ja allesamt in einen Timeout...

Keine MAC-Cracks hier, die dem Genossen wsyrowatka beiseite stehen können?

 

[gt40]

https funzt im Allgemeinen, egal ob direkt vom MAC oder aus der virtuellen XP-Maschine heraus

Genau das ist nicht bewiesen. Von der VM ja, aber vom MAC? Nochmals, der Zugriff auf die OWA Website funktioniert schon mit dem MAC nicht, lange bevor hier irgendwelche User credentials abgefragt werden.
Ich würde mal eine andere x-beliebige https Seite aufrufen. Und nochmal über Gandalfs erste Lösungsansätze nachdenken.

 

[PCMor]

Genau das ist nicht bewiesen. (...)

Sorry, aber davon war ich nach einer seiner Antworten ausgegangen (Posting von wsyrowatka)...

 

[wsyrowatka]

Sorry, dass ich mich erst jetzt wieder melde. Im Büro ist derzeit einiges los und nebenbei mache ich noch Dienst bei der Rettung und der letzte Nachtdienst hatte es wirklich in sich...

Danke jedenfalls nochmals allen, die sich meines Problems annehmen!

Genau das ist nicht bewiesen. Von der VM ja, aber vom MAC? Nochmals, der Zugriff auf die OWA Website funktioniert schon mit dem MAC nicht, lange bevor hier irgendwelche User credentials abgefragt werden.
Ich würde mal eine andere x-beliebige https Seite aufrufen. Und nochmal über Gandalfs erste Lösungsansätze nachdenken.

Sorry, aber davon war ich nach einer seiner Antworten ausgegangen (Posting von wsyrowatka)...

Nochmal zur Klarstellung: Ich kann OWA aus der VM problemlos aufrufen, nicht aber über den MAC (weder Safari noch Firefox).

Ich werde die Lösungsansätze jetzt mal abarbeiten und melde mich wieder mit den Ergebnissen!

Liebe Grüße
Wolfgang