Windows und Exchange 2000 durch die Firewall konfigurieren

Exchange 2000 unterstützt eine ganze Reihe von Zugriffsmöglichkeiten für Clients, darunter MAPI, IMAP, POP3 und Web. Als Beispiel soll hier die MAPI-Konfiguration dienen. Beim Zugriff auf Microsoft Exchange ist MAPI das gewählte Zugriffsprotokoll der Clients für die Kommunikation zwischen E-Mail-Client und Server.

Um den E-Mail-Clients vollen Zugriff auf den Server zu ermöglichen, muss man vier Ports durch die Firewall hindurch zum Windows 2000 Exchange Server in der DMZ öffnen. Der erste dieser vier Ports ist TCP 135 (RPC Endpoint Mapper).

Drei weitere Ports werden für die MAPI-Kommunikation des Clients zum Exchange Server verwendet. Obwohl diese Ports normalerweise beliebige Ports mit hoher Nummer sein können, empfiehlt sich die statische Zuweisung mithilfe von zwei Registry-Schlüsseln, um Sicherheitsalbträumen vorzubeugen. Man öffnet den Registrierungs-Editor (Regedt32.exe) und nimmt die entsprechenden Änderungen an den folgenden Schlüsseln vor:

Schlüssel 1

HKEY_LOCAL_MACHINESystemCurrentControlSetServices
MSExchangeSAParameters

Microsoft Exchange System Attendant Request For Response (SA RFR) Interface:
Name: TCP/IP Port
Typ: REG_DWORD
Wert: Wählen Sie einen ungenutzten Port, dessen Nummer größer als 1024 ist.

Microsoft Exchange Directory Name Service Provider Interface (NSPI) Proxy Interface:
Name: TCP/IP NSPI Port
Typ: REG_DWORD
Wert: Wählen Sie einen ungenutzten Port, dessen Nummer größer als 1024 ist.

Schlüssel 2

HKEY_LOCAL_MACHINESystemCurrentControlSetServices
MSExchangeISParametersSystem

• Microsoft Exchange Information Store Interface:
  Name: TCP/IP port
  Typ: REG_DWORD
  Wert: Wählen Sie einen ungenutzten Port, dessen Nummer größer als 1024 ist.

Wenn diese Ports zum Windows 2000 Exchange Server in der DMZ offen sind, haben interne und externe Clients vollständigen Zugriff auf ihre Mailbox über ihr Outlook-Programm.

Fazit
Manchmal kann ein Geschäftsprozess die Netzwerkstruktur und Sicherheitsarchitektur an den Rand der Unsicherheit bringen. Dennoch ist die Einrichtung eines sicheren Zugangs zu einem Windows 2000 Exchange Server, der sich in der DMZ befindet, vergleichsweise einfach und unkompliziert. Viel schwieriger ist es, immer mit allen Patches auf dem Laufenden zu bleiben…