Outlook > Fritzbox > VPN > Firmennetz > Exchange-Server möglich?

[der_heinz]

Es gibt zwar viele Einträge die ähnliche Themen behandeln, leider hat mir aber keiner der Beiträge weitergeholfen…

Ich habe die Fritz Box Fon WLAN 7170 mit einigen Modifikationen (dropbear, etherwake) und die VPN-Firmware.
Nun würde ich die Fritz Box gern so einrichten, dass sie einen VPN-Tunnel zu einem Firmennetzwerk öffnet um so Zugang zum Exchange-Server der Firma zu bekommen (da das ja aufgrund der gesperrten NetBIOS Ports nicht möglich ist).
Ich kenne mich mit VPNs bzw. IPSec nur theoretisch aus. Ich würde gern einen Traffic Selector einrichten, der Pakete die die IP Adresse des Exchange Servers als Zieladresse haben durch den IPSec Tunnel schickt und umgekehrt.
Welch Software auf Firmenseite das VPN realisiert weiß ich leider nicht. Ich kann mich aber problemlos per Windows-VPN einwählen.
Also nochmal in Kurzform:
Fritz Box 7170; VPN zu Firmennetzwerk; Alle Exchange-Server Pakete durch den Tunnel leiten

Vielen Dank schonmal für Eure Hilfe!

 

[Friedhelm]

Hallo,

Nun würde ich die Fritz Box gern so einrichten, dass sie einen VPN-Tunnel zu einem Firmennetzwerk öffnet um so Zugang zum Exchange-Server der Firma zu bekommen (da das ja aufgrund der gesperrten NetBIOS Ports nicht möglich ist).

Gesperrt sind die NetBIOS Ports nicht. Die Zugriffsprobleme sind auf die Probleme mit der Namensauflösung zurückzuführen.

Ich würde gern einen Traffic Selector einrichten, der Pakete die die IP Adresse des Exchange Servers als Zieladresse haben durch den IPSec Tunnel schickt und umgekehrt.

Das Zielsubnetz ist das Kriterium für den Zugriff aufs VPN.

Welch Software auf Firmenseite das VPN realisiert weiß ich leider nicht. Ich kann mich aber problemlos per Windows-VPN einwählen.

Das ist schlecht. Die VPN Server Konfiguration musst du auf jeden Fall exakt kennen. Die Voraussetzungen sind aber bereits denkbar schlecht, da die beiden Windows VPN Varienten (PPTP bzw. IPSec+L2TP) von der Box nicht unterstützt werden. Die macht nur IPSec. Aber vielleicht bietet euer VPN Server das ja auch an. Die Konfiguration ist im AVM VPN Portal beschrieben.

 

[LPW]

Hallo,

Nun würde ich die Fritz Box gern so einrichten, dass sie einen VPN-Tunnel zu einem Firmennetzwerk öffnet um so Zugang zum Exchange-Server der Firma zu bekommen (da das ja aufgrund der gesperrten NetBIOS Ports nicht möglich ist).

MS Outlook kommt mit der IP-Adresse des MS Exchange-Servers allein nicht klar, es muß auch seinen Namen auflösen können. Da nützt es auch nichts, bei der Anbindung des Accounts in MS Outlook direkt die IP-Adresse des Servers anzugeben. So jedenfalls meine Erfahrung mit den 2003er-Versionen dieser Produkte. Offenbar teilt MS Exchange den NetBIOS-Namen seines Servers mit und MS Outlook versucht dann darauf anstatt direkt auf die IP-Adresse zuzugreifen.

Du mußt daher Name und IP-Adresse des MS Exchange-Servers in die hosts-Datei Deines PCs eintragen. Sie liegt unter Windows XP im Verzeichnis %WinDir%\system32\drivers\etc. Wie Du dort einen Namen auf eine bestimmte IP-Adresse auflösen lassen kannst, ist in der Datei selbst in einem Kommentar dokumentiert.

Ich kenne mich mit VPNs bzw. IPSec nur theoretisch aus. Ich würde gern einen Traffic Selector einrichten, der Pakete die die IP Adresse des Exchange Servers als Zieladresse haben durch den IPSec Tunnel schickt und umgekehrt.

Dieses Verhalten sollte sich nach erfolgreichem Aufbau des Tunnels von allein einstellen. Wegen der dazu erforderlichen Konfiguration hast Du ja schon Antworten erhalten.

Mit freundlichen Grüßen
LPW

 

[der_heinz]

Vielen Dank schonmal für Eure Antworten. Also so weit ich weiß, verwendet das VPN nur IPSec. Aber lieber wäre mir natürlich, wenn ich das ganze ohne VPN hinbekomm...

Fakt ist, dass ich die Verbindung zum Exchange Server mit anderen Routern (Netgear, Speadport, ohne Router, also nur DSL Modem) problemlos aufbauen kann.

Sobald ich die Fritzbox verwende (die ich aufgrund anderer Annehmlichkeiten wie Fernzugang usw. nutzen will) geht es nicht mehr. Die IP steht bereits in der hosts Datei, hilft leider nichts. Deshalb weiß ich auch nicht, ob die Zugriffsprobleme tatsächlich auf Probleme mit der Namensauflösung zurückzuführen sind. Die sollte doch durch den hosts-Eintrag überflüssig werden.

Ich bin mir nur sicher, dass es an der Fritzbox liegt. Ich weiß, dass das Problem schon der eine oder andere hatte. Vielleicht hat ja irgendjemand eine Lösung gefunden???

Vielen Dank schonmal!

 

[Friedhelm]

Hallo,

http://www.avm.de/de/Service/Servic...VPN_Fragen_an_die_Hotline/vpn_und_outlook.php

Fakt ist, dass ich die Verbindung zum Exchange Server mit anderen Routern (Netgear, Speadport, ohne Router, also nur DSL Modem) problemlos aufbauen kann.

Aber nicht ohne VPN Verbindung, oder? Sag nicht, du kannst auf einen NetBIOS Exchange Server direkt über eine Internet Verbindung zugreifen?

Sobald ich die Fritzbox verwende (die ich aufgrund anderer Annehmlichkeiten wie Fernzugang usw. nutzen will) geht es nicht mehr.

Trotz einer existierenden VPN Verbindung? Oder ohne?

 

[der_heinz]

Aber nicht ohne VPN Verbindung, oder? Sag nicht, du kannst auf einen NetBIOS Exchange Server direkt über eine Internet Verbindung zugreifen?

Doch, in der das kann ich!
Ich weiß, dass jetzt bestimmt gleich eine Standpauke bekomme, dass das ja so unsicher sei. Aber
1. Ist das nunmal leider so von der Firma konfiguriert.
2. Ich hab mich gerade mal ein bisschen ins NetBIOS Protokoll reingelesen (d.h. in NetBIOS über TCP/IP). Ich konnte eigentlich keine gravierenden Sicherheitslücken, bzw. Berichte darüber entdecken. Wenn ich da was in der Hand hätte, bzw. kompetent genug wäre, könnte ich ja den Netzwerkadministratoren der Firma in den Arsch treten, jedoch hab ich außer ein paar Einträgen in Foren (in denen dann aber nur steht, dass es unsicher sein soll, nichts jedoch darüber was genau und warum) nichts gefunden.
Die Datenübertragung selbst zwischen Outlook und Exchange Server wird ja ohnehin nochmal verschlüsselt (ich konnte allerdings auf die Schnelle nicht herausfinden, wie).

Trotz einer existierenden VPN Verbindung? Oder ohne?

Das ist ganz spannend: Ohne VPN-Verbindung kann ich mich problemlos verbinden. Mit VPN-Verbindung (und das ist mir jetzt erst aufgefallen) nicht, bzw. nicht immer: Ist Outlook schon offen, wenn ich die VPN-Verbindung aufbaue, dann verbindet sich Outlook gleich wieder mit dem Exchange Server. Mache ich Outlook aber erst auf, wenn die Verbindung schon steht, kann keine Verbindung hergestellt werden. Ich denke mal, dass das mit der Namensauflösung zusammenhängt, im ersten Fall hat er schon die richtige IP-Adresse, im zweiten noch nicht und findet sie auch nicht?

Danke für jede Idee, bzw. Hilfestellung!

 

[LPW]

Hallo,

Doch, in der das kann ich!
Ich weiß, dass jetzt bestimmt gleich eine Standpauke bekomme, dass das ja so unsicher sei. Aber
1. Ist das nunmal leider so von der Firma konfiguriert.
2. Ich hab mich gerade mal ein bisschen ins NetBIOS Protokoll reingelesen (d.h. in NetBIOS über TCP/IP). Ich konnte eigentlich keine gravierenden Sicherheitslücken, bzw. Berichte darüber entdecken.

Du vermischst hier die Ebenen. Wenn man die im LAN verfügbaren Dienste auch per Internet zugänglich macht, muß jeder einzelne über eine hinreichend starke Authentifizierung, über Sicherheiten gegen Einstiege in bereits etablierte Verbindungen und Verschlüsselung des Traffics verfügen. Das ist im Allgemeinen nicht der Fall. Die meisten Client-Server-Anwendungen gehen davon aus, daß in einem LAN kommuniziert wird und passen daher spätestens bei der Verschlüsselung.

Immerhin könnte man MS Exchange mit Outlook Web Access (OWA) per https zugänglich machen. Das bedeutet, daß von außen nicht mit MS Outlook, sondern mit dem Internet Explorer auf eine Website zugegriffen wird, die der MS Internet Information Server (IIS) mit den Daten aus dem MS Exchange-Server aufbaut und ausliefert. Sie ist der Oberfläche von MS Outlook stark nachempfunden.
Ich würde mich allerdings nicht getrauen, Eurer IT-Administration das vorzuschlagen - denn so wie die anscheinend arbeitet, würden die jetzigen Sicherheitsprobleme wahrscheinlich nur gegen solche des IIS ausgetauscht. Denn dieser Webserver von Microsoft, den man für OWA ja braucht, will auch erstmal sicher konfiguriert und betrieben werden.

Um solchen Problemen aus dem Wege zu gehen, baut man zu Rechnern "on the road" VPN-Verbindungen, die diesen Rechner möglichst so mit dem LAN verbinden, als wären sie direkt dort eingestöpselt. Solche Software verfügt über die unerläßlichen Mechanismen, um Authentizität, Integrität und Vertraulichkeit aller übertragenen Informationen zu gewährleisten. Auf die Anwendungen, die über so einen VPN-Tunnel kommunizieren, muß man sich dann nicht mehr verlassen.

Die von Dir hier dargestellte Betriebsweise führt zu einem hohen Haftungsrisiko für die Geschäftsleitung und - sofern korrekt bestellt - auch für den EDV-Leiter.

Mit freundlichen Grüßen
LPW

 

[Friedhelm]

Hallo,

Doch, in der das kann ich!

Ok, damit ist auch klar, warum du über die Fritzbox nicht mehr auf den Exchange Server zugreifen kannst. Denn auf die Internetverbindung werden die NetBIOS Ports tatsächlich geblockt. Nur über VPN nicht.

Allerdings ist durch diese merkwürdige Konstallation jetzt Verwirrung eingekehrt. Denn oben schreibst du ja noch, dass du die VPN Verbindung benötigst, deshalb waren wir lange auf der falschen Fährte.

Also ohne VPN Tunnel kannst du über die Fritzbox definitiv nicht auf den Exchange Server zugreifen. Ob du aber eine VPN Verbindung über die Fritzbox aufbauen kannst, liegt an eurem VPN Server. Da musst du also zunächst für Klarheit sorgen.
Und dann musst du noch dafür sorgen, dass über einen VPN Tunnel der Exchange Zugriff geht. Wie du schon schreibst, muss dafür die Namensauflösung funktionieren.

 

[LPW]

Hallo,

Also ohne VPN Tunnel kannst du über die Fritzbox definitiv nicht auf den Exchange Server zugreifen.

Er schreibt aber doch, daß es ohne VPN-Tunnel problemlos geht, nur bei aufgebautem Tunnel gäbe es Probleme, sofern Outlook erst nach Tunnelaufbau gestartet wird. Ehrlich gesagt kann ich nicht nachvollziehen, wie der Zugriff auf den MS Exchange-Server überhaupt funktionieren soll, wie es der Fragesteller beschreibt.

Wenn er MS Exchange dagegen durch einen VPN-Tunnel nutzt, gehörte die lokale Adresse dieses Servers in die hosts-Datei. Und wenn sich die virtuelle IP-Adresse, unter der sein Rechner im VPN-Gateway der Firma auftaucht, nicht im gleichen Subnetz wie der Server befindet, muß sowohl auf dem Rechner als auch im Internetgateway eine Route gesetzt sein. Bei OpenVPN kann man das vom Server aus veranlassen, andere VPN-Clients dürften das wohl auch können.

Mit freundlichen Grüßen
LPW

 

[Friedhelm]

Hallo,

Er schreibt aber doch, daß es ohne VPN-Tunnel problemlos geht, nur bei aufgebautem Tunnel gäbe es Probleme, sofern Outlook erst nach Tunnelaufbau gestartet wird.

Ja, das schreibt er. Er schreibt aber auch

Fakt ist, dass ich die Verbindung zum Exchange Server mit anderen Routern (Netgear, Speadport, ohne Router, also nur DSL Modem) problemlos aufbauen kann.
Sobald ich die Fritzbox verwende (die ich aufgrund anderer Annehmlichkeiten wie Fernzugang usw. nutzen will) geht es nicht mehr.

Deshalb habe ich daraus geschlossen, dass er über die Box nicht auf den Exchange Server zugeifen kann. Die VPN Versuche - so vermute ich - wurden mit dem Windows VPN Client an den anderen Routern durchgeführt.

 

[der_heinz]

Ok, hier nochmal eine Zusammenfassung, dass es keine Verwirrungen gibt:

Fritzbox -> keine Verbindung
Fritzbox + VPN -> keine Verbindung
anderer Router -> Verbindung funktioniert
anderer Router + VPN -> keine Verbindung
anderer Router + VPN + Outlook war schon offen -> Verbindung funktioniert
(die (globale) IP-Adresse ist dabei immer in der hosts Datei)

@LPW:
Das mit den 'Ebenen' ist mir schon klar. Dass NetBIOS, bzw. RPCs über das Internet nicht sicher sind, wie es andere Protokolle wie IPSec sind usw. ist klar. Aber wenn ich in einem unsicheren Protokoll eine verschlüsselte Verbindung habe sollte das doch kein Problem sein. Und der Verkehr zwischen Exchange Server und Outlook wird verschlüsselt (zumindest laut meinen Einstellungen im Outlook), also auf der Applikationsschicht, daher ists ja relativ egal, was weiter unten passiert.
Dashalb ist mir nicht ganz klar, warum was genau so extrem unsicher ist.

Wenn ihr mir da nochmal weiterhelfen könntet wäre ich Euch sehr dankbar, schon dass ich den Betreuern des Servers das klar machen kann, dass sie da was ändern sollten.
Was wäre denn eine sinnvolle Änderung auf Serverseite um das ganze sicher und auch durch die Fritz Box zum Laufen zu bekommen?

@Friedhelm:
Du hast recht! Eine VPN-Verbindung per Fritz Box aufzubauen hilft mir da natürlich auch nicht weiter.

Achja und übrigens: Der Outlook WebAccess funktioniert, auch über eine TLS Verbindung, aber ich will halt nicht auf den Komfort eines echten Outlooks verzichten.

 

[Friedhelm]

Hallo,

Der Outlook WebAccess funktioniert, auch über eine TLS Verbindung, aber ich will halt nicht auf den Komfort eines echten Outlooks verzichten.

Worauf muss man bei OWA denn verzichten? Ich hab mein Outlook auch über OWA am Exchange Server angebunden (über https), und das klappt super.

Übrigens könnte OWA deine Problem lösen. Das sollte sowohl über die Fritzbox als auch über eine VPN Verbindung funktionieren.

 

[der_heinz]

Nachtrag:

Jetzt hab ich die Verbindung doch hinbekommen:
Durch den VPN-Tunnel, dafür musste ich die hosts Einträge löschen, da der Server sonst ja nicht im lokalen Netz gefunden wird...

Damit stellen sich mir dann doch noch zwei Fragen:
- Kann ich bei Windows eine VPN Verbindung so einrichten, dass nur der Exchange Verkehr durch den Tunnel geht? (wenn ich jetzt z.B. ein traceroute mache zu google.de geht das auch über die Firma, das muss ja nicht sein)
- Kann ich nun vielleicht doch die Fritzbox die VPN Verbindung aufbauen lassen? Allerdings wird MPPE 128 verwendet... Daher hab ich mal lieber nicht allzuviel Hoffnung.

 

[Friedhelm]

Hallo,

- Kann ich bei Windows eine VPN Verbindung so einrichten, dass nur der Exchange Verkehr durch den Tunnel geht? (wenn ich jetzt z.B. ein traceroute mache zu google.de geht das auch über die Firma, das muss ja nicht sein)

Man kann die VPN Verbindung so konfigurieren, dass nicht das Standard-Gateway über die Verbindung geführt wird. In den Verbindungs-Eigenschaften -> Netzwerk -> TCP/IPv4 -> Eigenschaften -> Erweitert den Punkt "Standardgateway für das Remotenetz verwenden" deaktivieren.

- Kann ich nun vielleicht doch die Fritzbox die VPN Verbindung aufbauen lassen? Allerdings wird MPPE 128 verwendet... Daher hab ich mal lieber nicht allzuviel Hoffnung.

PPTP kann die Box nicht von Haus aus. Aber im Freetz gibts einen PPTP Client.

 

[der_heinz]

Ok, bei mir funktioniert nun soweit alles. Vielen Dank an Friedhelm.

Ich baue die VPN Verbindung jetzt per Windows auf (zumindest vorest mal) und wenn dann nicht die globalen IP Adressen in der hosts stehen findet Outlook den Exchange server auch. So hab ich mehr Sicherheit und es funktioniert.

Gibts nun noch ne Möglichkeit, die VPN Verbindung mit dem Windows Start zu öffnen, bzw. noch besser mit dem Outlook start? Leider kann ich bei Outlook nicht wie bei den Internetoptionen vom IE eine Standardverbindung auswählen die immer gewählt werden muss.

Danke!

 

[der_heinz]

OK, hab das ganze jetzt so gelöst:

Die Verknüpfungen zu Outlook zeigen jetzt nicht mehr auf Outlook, sondern auf eine VBS Datei die wiederum eine Batch Datei startet (der Umweg um das Anzeigen einer Konsole zu verhindern).
Diese Batch Datei startet dann mit RASDial die VPN Verbindung, dann Outlook und wenn ich Outlook schließe wird die Verbindung mit RASHangOn wieder beendet.

So merkt man keinen Unterschied mehr zum normalen Starten von Outlook und es funktioniert.

Nochmals Danke für Eure Mithilfe!