Zugriff vom Pocket PC auf Exchange mit Zertifikat

[scirocco790 11]

Ich habe heute die Aufgabe bekommen für Pocket PC Clients den Zugriff auf unseren Exchange 2003 (SP2) zur Verfügung zu stellen. Im groben weiss ich schon wie das funktioniert, hab es auch schon ohne Zertifikat hinbekommen.

Der momentane Stand ist so:

- VPN auf Pocket PC

- PPC User baut manuell VPN auf (umständlich)

- PPC User startet Active Sync auf Pocket PC und drückt auf synchronisieren. Geht!

- Beim Anschluß an den PC des Users synct der PPC dann über IP im lokalen Netz mit Exchange. Geht!

 

Die Bedienung am Pocket PC ist mit dieser Lösung umständlich.

Wir möchten nun den Exchange im Internet zugreifbar machen. Bedeutet für mich, zumindest eine Dyndns Domain am Router zu verwenden, Port 443 auf den Exchange zu mappen, im internen DNS einen Alias mit der Dyndns Domain anzulegen (so das der PPC auch im internen Netz synchronisiert), und am Exchange und am PPC ein Zertifikat zu installieren.

Und hier hörts mit meinem Know How auf.

 

Wie macht man das? Ich hoffe ich habe unser Szenario verständlich erklärt.

Bitte keine Antworten ala "Warum nehmt ihr kein Pushmail?". Das ist Absicht so, und aus Gründen der Kostenkontrolle auch so gewollt!

Danke schonmal im voraus für eure Tips.

[NorbertFe 1.799]

Die Bedienung am Pocket PC ist mit dieser Lösung umständlich.

Wir möchten nun den Exchange im Internet zugreifbar machen. Bedeutet für mich, zumindest eine Dyndns Domain am Router zu verwenden, Port 443 auf den Exchange zu mappen, im internen DNS einen Alias mit der Dyndns Domain anzulegen (so das der PPC auch im internen Netz synchronisiert), und am Exchange und am PPC ein Zertifikat zu installieren.

 

Ja, aber ich würde eine feste IP empfehlen, da das deutlich sinnvoller in diesem Szenario ist.

 

Wie macht man das? Ich hoffe ich habe unser Szenario verständlich erklärt.

Bitte keine Antworten ala "Warum nehmt ihr kein Pushmail?". Das ist Absicht so, und aus Gründen der Kostenkontrolle auch so gewollt!

Danke schonmal im voraus für eure Tips.

 

Wieso? Das ist doch Pushmail was du da vorhast. Dass du nur alle 10 Minuten synchst oder verlangst, dass die User manuell auf den button drücken müssen ist doch wurscht.

 

Frank hat dieses Szenario auf MSXFAQ.DE - Franks MSExchangeFAQ übrigens beschrieben. Ich würde erstmal vorschlagen, du besorgst dir eine feste IP und ein offizielles Zertifikat auf den public CN deines Exchangeservers. Wenn das alles da ist, ist der Rest relativ unkompliziert.

 

Bye

Norbert

[scirocco790 11]

Wieso? Das ist doch Pushmail was du da vorhast. Dass du nur alle 10 Minuten synchst oder verlangst, dass die User manuell auf den button drücken müssen ist doch wurscht.

 

Frank hat dieses Szenario auf MSXFAQ.DE - Franks MSExchangeFAQ übrigens beschrieben. Ich würde erstmal vorschlagen, du besorgst dir eine feste IP und ein offizielles Zertifikat auf den public CN deines Exchangeservers. Wenn das alles da ist, ist der Rest relativ unkompliziert.

 

Ist so nicht ganz richtig. So wie wir das im Moment verwenden pusht Exchange gar nix. Die Mails werden erst dann auf den PPC synchronisiert, wenn der User im Active Sync auf dem PPC auf synchronisieren drückt. Die Zeitpläne stehen auf manuell!

Der PPC stellt mit dieser Methode keine Verbindungen ins Internet selbsttätig her.

 

Den Guide auf MSXFAQ.DE hab ich auch grad gefunden. Ich denke ich werd das nächste Woche mal angehen.

 

Eine Frage noch dazu: Sobald das mit dem Zertifikat geht, kann ich doch auch mit Outlook 2003 per Zertifikat überall auf der Welt synchronisieren?

[NorbertFe 1.799]

Ist so nicht ganz richtig. So wie wir das im Moment verwenden pusht Exchange gar nix. Die Mails werden erst dann auf den PPC synchronisiert, wenn der User im Active Sync auf dem PPC auf synchronisieren drückt. Die Zeitpläne stehen auf manuell!

 

Wieso? Das ist doch Pushmail was du da vorhast.

 

Die Technik ist vollkommen identisch, du hast nur den Zeitplan auf Manuell gedreht.

 

 

Der PPC stellt mit dieser Methode keine Verbindungen ins Internet selbsttätig her.

 

Und wen würde es stören wenn er das täte?

 

Eine Frage noch dazu: Sobald das mit dem Zertifikat geht, kann ich doch auch mit Outlook 2003 per Zertifikat überall auf der Welt synchronisieren?

 

Ja, wenn der Exchange dafür dann konfiguriert wurde.

 

Bye

Norbert

[scirocco790 11]

Das die Datenverbindungen nur bei Bedarf hergestellt werden war Anforderung, da wir keine Flats für die PPC´s haben.

 

Na mal sehen, wird schon klappen! :D

[NorbertFe 1.799]

Wer braucht schon ne Flat? Oder habt ihr so hohes Emailaufkommen, dass die 30MB die man normalerweise inklusive hat nicht ausreichen?

 

Bye

Norbert

[scirocco790 11]

Na ja, vermutlich wohl eher nicht, da ja keine Anhänge mitsynchronisiert werden.

Ich werd eh mal bei unserem Mobilfunkanbieter checken, wie das ist mit Datentarifen. War alles etwas chaotisch wg. plötzlichem Anbieterwechsel...

[NorbertFe 1.799]

Hmm die ERfahrung zeigt, dass man mit 30MB relativ gut hin kommt. Wir haben hier nur alles auf Firmenflat umgestellt, weil sichs einfacher rechnet, wenn man doch mal per UMTS was downloaden muß.

 

Bye

Norbert

[scirocco790 11]

Eine Frage noch:

Das Zertifikat, daß ich ausstelle wird doch auf die "externe" Domain z.b: exch.domain.de ausgestellt.

Das bedeutet, doch aber auch, daß diese Domain auch intern aufzulösen sein muß, oder?

Sprich, ich müßte eine neue Zone im AD integrierten DNS anlegen domain.de, und hier dann einen CNAME eintragen, der auf den Exchange verweist.

Sonst würden doch die Geräte, wenn sie im internen Netz verwendet werden nicht funktionieren, oder?

Muß ich dann in dieser Zone auch einen Host anlegen für Domain.de - Domains registrieren und verwalten - Ihre Online-Plattform für Domains und Webhosting Die Website ist nämlich extern bei einem Webspaceanbieter.

 

OT: Seit wann mach die Boardsoftware automatisch Werbelinks rein....

[NorbertFe 1.799]

Eine Frage noch:

Das Zertifikat, daß ich ausstelle wird doch auf die "externe" Domain z.b: exch.domain.de ausgestellt.

 

Ja.

 

Das bedeutet, doch aber auch, daß diese Domain auch intern aufzulösen sein muß, oder?

 

Nicht zwingend.

 

Sprich, ich müßte eine neue Zone im AD integrierten DNS anlegen domain.de, und hier dann einen CNAME eintragen, der auf den Exchange verweist.

 

Kann man tun.

 

Sonst würden doch die Geräte, wenn sie im internen Netz verwendet werden nicht funktionieren, oder?

 

Sie könnten ja auch von intern auf den externen Hostname zugreifen. Ist meist sinnvoller als das was du vorhast.

 

Bye

Norbert

[scirocco790 11]

 

 

Sie könnten ja auch von intern auf den externen Hostname zugreifen. Ist meist sinnvoller als das was du vorhast.

 

 

Soweit klar, aber das würde doch bedeuten, daß der Traffic raus und wieder rein geht, oder? Ist jetzt zwar nicht so schlimm, aber nicht optimal.

[NorbertFe 1.799]

Soweit klar, aber das würde doch bedeuten, daß der Traffic raus und wieder rein geht, oder? Ist jetzt zwar nicht so schlimm, aber nicht optimal.

 

Der letzte Satz ist wichtig. ;)

 

Bye

Norbert

[scirocco790 11]

Okay. Dann werd ichs dabei belassen. Zum Thema Zertifikat:

Was ist eigentlich der Vorteil von einem offiziellen Zertifikat zum Stammzertifikat wie man es selbst mit der Windows Zertifizierungsstelle ausstellen kann?

[BrainStorm 10]

Was ist eigentlich der Vorteil von einem offiziellen Zertifikat zum Stammzertifikat wie man es selbst mit der Windows Zertifizierungsstelle ausstellen kann?

 

Der Vorteil eines offiziellen Zertifikats ist u.a. dass diesem Zertifikat global vertraut wird und in den meisten Systemen bereits die dazu passenden Root-CA Zertifikate hinterlegt sind.

 

Bei Zertifikaten aus eigener Zertifizierungsstelle musst du ggf. das Root-CA Zertifikat erst auf den Client kopieren.

 

Von der Funktionalität sind beide Varianten identisch.

[scirocco790 11]

Na dann werd ich kein extra Zertifikat kaufen. Für ca. 6 Clients die das nutzen wollen lohnt der Aufwand dann nicht.... Da kann ichs auch bei Ausgabe des Geräts mit draufmachen. Dank euch! Werd morgen dann mal alles ans laufen bekommen, denke ich.

:)