philipp05
Mar 16, 2023
view2323
view17
0
Goto Top

Microsoft Exchange Server 2019 x Apache2 reverse Proxy - Weiterleitung zur internen URI unterbinden?

GermansolvedQuestionExchange ServerDebianWindows ServerDevelopment
Servus!

Ich habe eine Problem bei der Installation eines Exchange Servers. Der Server läuft wie gewohnt auf einem Windows Server 2022 und ich wollte die OWA per Domain öffentlich zur Verfügung stellen.

Deshalb hatte ich Apache2 genutzt und reverse proxy konfiguriert. Das sieht dann so aus:

ProxyPass / https://10.0.120.50:443/ nocanon
ProxyPassReverse / https://10.0.120.50:443/

Diese Konfiguration gibt mir auch Zugriff auf die OWA, jedoch nur intern, da mich die Domain zur internen IP weiterleitet. (domain.example -> 10.0.120.50)
Weiß möglicherweise jemand weiter?

Beste Grüße
Philipp
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 6389379529

Url: https://administrator.de/contentid/6389379529

Printed on: April 28, 2024 at 15:04 o'clock

17 Comments
Latest comment
Goto Top
Mitglied: 2423392070
2423392070 Mar 16, 2023 at 07:30:20 (UTC)
Goto Top
DNS und Reverse DNS passt?
Wie sieht der Rest der Konfig aus? Sicher dass du ohne FQDN in der Konfig arbeiten willst?
Member: Philipp05
Philipp05 Mar 16, 2023 at 07:51:21 (UTC)
Goto Top
DNS und rDNS passt und ist soweit richtig konfiguriert.
Der Rest der Konfig sieht folgendermaßen aus:

<IfModule mod_ssl.c>
<VirtualHost *:443>
  ServerName mail.domain.example
  ServerAdmin admin@domain.example

  AllowEncodedSlashes NoDecode

  SSLProxyEngine on
  SSLProxyVerify none 
  SSLProxyCheckPeerCN off
  SSLProxyCheckPeerName off
  SSLProxyCheckPeerExpire off
  ProxyPass / https://10.0.120.50:443/ nocanon
  ProxyPassReverse / https://10.0.120.50:443/
  ErrorLog ${APACHE_LOG_DIR}/error.log
  CustomLog ${APACHE_LOG_DIR}/access.log combined

SSLCertificateFile /path/to/crt
SSLCertificateKeyFile /path/to/key
</VirtualHost>
</IfModule>
Mitglied: 2423392070
2423392070 Mar 16, 2023 at 07:59:20 (UTC)
Goto Top
Das sieht sehr wenig aus. Es geht nur um OWA?

Was passiert genau, wenn es von extern nicht geht?
Kannst du HTTP-Header mitschneiden und auswerten?
Mitglied: 6376382705
6376382705 Mar 16, 2023 at 08:02:31 (UTC)
Goto Top
Hi,

Apache2
Auch wenn es nicht gefragt ist: ich würde Dir nginx ans Herz legen. Lightweight, schnell und ideal als Reverseproxy.
Apache2 ist dagegen sehr langsam und arg unflexibel.

Just 2 cents.

Viel Erfolg, Grüße
Member: Philipp05
Philipp05 Mar 16, 2023 at 08:10:51 (UTC)
Goto Top
Das wichtigste wäre erstmal OWA. Trotzdem sollte es wegen dem Proxy jeglichen Traffic umleiten.
Ich habe mir aber erstmal den HTTP-Header angesehen und folgendes entnommen:

Request:

Request URL: https://owa.domain.example/
Request Method: GET
Status Code: 302 (Welcher hier schon auf einen Fehler hindeutet)

Response:

location: https://10.0.120.50/owa
server: cloudflare (DNS läuft bei Cloudflare)
x-feserver: ws12050 (hostname exchange server)

Das ist natürlich auf das wichtigste zugeschnitten. Falls du mehr benötigst, sag einfach Bescheid.
Mitglied: 2423392070
2423392070 Mar 16, 2023 at 08:12:59 (UTC)
Goto Top
Und der externe öffentliche Client bekommt dann auch diese private IP genannt?
Member: Philipp05
Philipp05 Mar 16, 2023 at 08:17:57 (UTC)
Goto Top
So ist es. Dem Gerät, das darauf eben zugegriffen hat, wurde auch die interne IP übermittelt.
Mitglied: 2423392070
2423392070 Mar 16, 2023 at 08:22:20 (UTC)
Goto Top
Der Externe, der kein VPN hat, bekommt eine interne IP genannt? Und das vom CF DNS?
Member: Philipp05
Philipp05 Mar 16, 2023 at 08:24:22 (UTC)
Goto Top
Nein, der externe Client bekommt von Cloudflare die externe, öffentliche IP mitgeteilt. So wie ich das sehe, leitet der Exchange Server selbst an die interne IP weiter.
Mitglied: 2423392070
2423392070 Mar 16, 2023 at 08:26:18 (UTC)
Goto Top
Wo hast du wie den Header mitgeschnitten?
Member: Philipp05
Philipp05 Mar 16, 2023 at 08:28:49 (UTC)
Goto Top
In dem Fall relativ Simpel mit den Chrome DevTools. Falls benötigt könnte ich auch versuchen, am Server den Header zu catchen.
Mitglied: 2423392070
2423392070 Mar 16, 2023 at 08:37:29 (UTC)
Goto Top
Wenn jemand im öffentlichen Internet, eine private IP aufruft, würde der erste ISP Router das nicht routen. Daher die Frage.
Vielleicht habe ich auch einen Kurzschluss im Kopf, daher noch einmal die Frage.
Member: Philipp05
Philipp05 Mar 16, 2023 at 08:51:52 (UTC)
Goto Top
Nein, der DNS Eintrag ist so gesetzt, dass er auf die öffentliche IP zeigt. Der Apache2 Server erkennt die Verbindung auch, jedoch leitet irgendwas und irgendwie schlussendlich auf die interne weiter.
Mitglied: 2423392070
2423392070 Mar 16, 2023 updated at 09:13:45 (UTC)
Goto Top
Warum auf die IP? Cname/Alias macht Sinn.

Du solltest klären, warum der Client die IP bekommt. Ich tippe auf die Konfig des Indianers mit der IP.
Mit IPs arbeiten ist meistens schlecht, besonders wenn es nicht lokale Sachen sind.

DNS muss perfekt sitzen.
Mitglied: 6247018886
Solution 6247018886 Mar 16, 2023, updated at Mar 17, 2023 at 06:20:17 (UTC)
Goto Top
Da fehlen einige Direktiven, unter anderem diese:
ProxyPreserveHost On
Apache als Reverse Proxy für Exchange Server (Teil 1)
Apache als Reverse Proxy für Exchange Server (Teil 2)

Cheers briggs
Member: Dani
Dani Mar 16, 2023 at 11:23:52 (UTC)
Goto Top
Moin,
Request URL: https://owa.domain.example/
Request Method: GET
Status Code: 302 (Welcher hier schon auf einen Fehler hindeutet)
und
mail.domain.example
sind zwei paar Stiefel. Das würde ad-hoc erst einmal bedeuten, dass es von owa.domain.example zu mail.domain.example eine Weiterleitung gibt. Damit wäre der HTTP Code 302 erst einmal richtig.

Nein, der DNS Eintrag ist so gesetzt, dass er auf die öffentliche IP zeigt. Der Apache2 Server erkennt die Verbindung auch, jedoch leitet irgendwas und irgendwie schlussendlich auf die interne weiter.
Geh doch hin, nimm einem Client im Netzwerk und manipuliere die hosts Datei. Und zwar dahingehend, dass du dort den FQDN mail.domain.example hinzufügst. Als IP-Adresse nimmst du die des Servers auf dem der Apache2 läuft. Somit kannst du dein Setup verifizieren, ohne dass euere Firewall oder CF Einfluss hat.


Gruß,
Dani

P.S. Ein Reverse Proxy, der die Verbindungen 1:1 durchreicht, schützt dich bzw. dein Exchange Server vor keinem Angriffsvektor.
Member: Philipp05
Philipp05 Mar 17, 2023 at 06:14:23 (UTC)
Goto Top
Zitat von @6247018886:

Da fehlen einige Direktiven fehlen unter anderem diese:
ProxyPreserveHost On
Apache als Reverse Proxy für Exchange Server (Teil 1)
Apache als Reverse Proxy für Exchange Server (Teil 2)

Cheers briggs

Danke für die hilfreichen Links! Daraus habe ich nun die Konfiguration entnommen und anstatt jede Verbindung (also /) umzuleiten, hat es tatsächlich geholfen, nur die jeweiligen Links anzusprechen. Nun habe ich von außen Zugriff!

Ich danke auch @2423392070 und @Dani für die Unterstützung!

Ich wünsche ein schönes Wochenende!
Grüße
Philipp
GermansolvedQuestionExchange ServerDebianWindows ServerDevelopment
Hotly discussed
admtechDeveloper diary: Release 6.1admtechDaniEnd of availability for classic Teams clientDani