RPC over HTTPS

[Evoco 10]

Hallo zusammen,

 

ich bin gerade dabei RPC Over HTTPS ein zu richten.

 

leider hat mein Vorgänger auch schon in diese Richtung getestet und ich bin mir nicht ganz sicher ob die Registry Einträge die in unserem Frondend Exchange server stehen richtig sind.

 

Also zu unsere Infrastruktur.

 

Wir haben mehrere Exchnage Serever 2003 (aktueller SP) davon ist ein Exchange Server der Frondendserver. Dieser steht auch im internen Netz.

 

In der DMZ steht nur ein Reverse Proxy der Anfragen weiter routet.

OWA und OMA wird schon seit einiger Zeit genutzt über HTTPS.

 

Wenn ich meinen Laptop für RPC over HTTPS konfiguriere und dies im internen Netz teste funktioniert der abgleich über HTTPS auch ohne Probleme.

Dies kann man ja im Verbindungsstatus am Client sehen.

 

Leider funktioniert es von extern nicht und ich bekomme im IIS Log folgende Einträge:

 

443 HTTP/1.1 RPC_OUT_DATA /rpc/rpcproxy.dll?servername02.int:6001 - 1 Connection_Dropped ExchangeApplicationPool

443 HTTP/1.1 RPC_IN_DATA /rpc/rpcproxy.dll?servername02.int:6001 - 1 Timer_EntityBody ExchangeApplicationPool

443 HTTP/1.1 RPC_OUT_DATA /rpc/rpcproxy.dll?servername02.int:6004 - 1 Connection_Dropped ExchangeApplicationPool

 

Leider finde ich so keinen Fehler daher würde ich gerne mal wissen was bei eurem FronendServer gleiche Struktur wie bei mir in der registry unter:

 

HKLM\Software\Microsoft\RPC\RPCProxy\ValidPorts

 

steht oder gibt es bei euch diesen Eintrag nicht?

 

Ich würde mich über Unterstützung freuen.

 

Danke

 

Gruß Evoco

[Evoco 10]

Hat hier denn keiner einen Tipp für mich.

 

Braucht ihr noch Infos um mir helfen zu können.

 

Kann es sein das bei einer Frondend mit mehreren Backend Servern man den ValidPorts Key nicht benötigt.

 

Wie habt ihr dies konfiguriert?

[fluehmann 10]

Hallo Evoco

 

Beim IIS ist keine IP Filterung eingestellt?

 

Ansonsten könntest du das ganze mal nach diesen infos überprüfen:

MSXFAQ.DE - RPC over HTTP

 

http://technet.microsoft.com/de-de/library/bb124649(EXCHG.65).aspx

 

http://technet.microsoft.com/de-de/library/bb124876(EXCHG.65).aspx

 

Gruss

fluehmann

[Evoco 10]

Hallo Fluehmann,

 

danke für die Sendung der Links aber leider bin ich trotzdem nicht weiter gekommen.

 

Ich habe jetzt mit der Seite https://testexchangeconnectivity.com meine Verbindung getestet abre leider läuft er auf einen Fehler den ich nicht verstehe:

 

Attempting to ping RPC Endpoint 6001 (Exchange Information Store) on server interner-postfach-mailserver.domian.int

Failed to ping Endpoint

Additional Details

An RPC Error was thrown by the RPC Runtime. Error 1818 1818

 

Dort komme ich nicht weiter :confused:

 

Wie sieht es eigentlich aus wenn ich von intern und von extern "https://webseite/rpc" eingebe. Bei mir kommt dort eine Benutzername Passwort Abfrage. Wenn ich dort was eingebe passiert nichts immer wieder die User/Passwort Abfrage. Nach dem 3mal kommt dann die Fehlermeldung:

 

------------------------------------------------------------------------

You are not authorized to view this page

You do not have permission to view this directory or page due to the access control list (ACL) that is configured for this resource on the Web server.

--------------------------------------------------------------------------

Please try the following:

 

Contact the Web site administrator if you believe you should be able to view this directory or page.

Click the Refresh button to try again with different credentials.

HTTP Error 401.3 - Unauthorized: Access is denied due to an ACL set on the requested resource.

Internet Information Services (IIS)

 

Was sollte dort im normal Fall kommen und was muss ich dafür einrichten?

 

Noch zur Info:

Ich habe bei uns eine Wildcard *.domain.de hinterlegt diese sollte doch keine Problem sein oder? Diese wird ja auch in unserem OWA genutzt..oder gibt es dort Probleme?

bearbeitet 5. Oktober 2009 von Evoco

[fluehmann 10]

Der RPC Endpunkt 6001 vom Mailboxserver muss erreichbar sein.

Teste am besten mal per telnet ob der Mailboxserver überhaupt auf diesen Port hört.

 

Vielleicht helfen diese Tests noch:

How to Verify Exchange Server 2003 Port Configuration

 

Gruss

fluehmann

[Evoco 10]

Also ich habe jetzt per telnet versucht die Mailboxserver zu erreichen auf 6001.

Dies geht ohne Probleme und er antwortet auch.

 

Aber wenn ich auf dem Fronendserver folgenden Befehl abgebe:

 

rpcdump /S Frondendserver /P ncacn_http

dann kommt:

Querying Endpoint Mapper Database...

RpcMgmtEpEltInqNext:(Access is denied. ).

 

Wenn ich den backendserver (Maiboxserver) angebe,

rpcdump /S Backendserver /P ncacn_http kommt:

 

Querying Endpoint Mapper Database...

RpcMgmtEpEltInqNext:(Access is denied. ).

 

Was fehlt und was mache ich falsch?

[fluehmann 10]

Ich glaube da hilft nur gooooogeln.

 

Ansonsten könntest du es noch mit RPCping versuchen. Das sollte einige Debugg Infos mehr bringen:

 

How to use the RPC Ping utility to troubleshoot connectivity issues with the Exchange over the Internet feature in Outlook 2007 and in Outlook 2003

 

Gruss

fluehmann

[Evoco 10]

Goooooogeln ist gut das ist das was ich schon seit 4 Tagen mache.

 

Aber ich finde leider keine Abhilfe. :(

 

Kann es denn sein das es an unserem Reverse Proxy (Apache 2) in der DMZ liegt obwohl OWA funktioniert. Oder kann man dies ausschließen wenn OWA schon funktioniert?

 

Zu unserem Aufbau nochmal:

 

in der DMZ steht der Reverse Proxy der SSL Anfragen weiter gibt an unseren Frondend Server der im lokalen Netz steht, also nicht in der DMZ.

 

Ist da dir was bekannt ?

 

Wir brauchen doch eigentlich nur den Port 443 vom internet-->DMZ--->FrondendExchange richtig?? oder falsch??

[fluehmann 10]

Ist das IIS Log vom Front -oder Backendserver?

Laufen noch andere Apps unter dem IIS auf den Exchange Servern?

 

Wenn beim Verbindungstest von OL intern wirklich alle Verbindungen auf https gesetzt sind, dann muss es fast im Zusammenhang mit dem Proxy liegen.

 

Wie ist die Authentifizierung bei den Clients die über den Proxy kommen im OL Profil? (Standard oder NTLM)

 

Gruss

fluehmann

[Evoco 10]

Das IIS Log ist vom Frondendserver das ich gepostet hatte. Ist das Falsch?

 

Es laufen außer OWA keine anderen IIS Apps auf den exchange servern.

 

>Wenn beim Verbindungstest von OL intern wirklich alle Verbindungen auf >https gesetzt sind, dann muss es fast im Zusammenhang mit dem Proxy >liegen.

 

Ich habe dir mal ein Screenshot angehangen damit du die Verbindung mal siehst. Dort habe ich per VPN mal dies getestet. Im LAN habe ich die gleichen Meldungen wie siehe Screenshot.

 

>Wie ist die Authentifizierung bei den Clients die über den Proxy kommen im >OL Profil? (Standard oder NTLM)

 

Ich habe die Standard Auth. ausgewählt.

 

Gruß Evoco