Exchange 2010 Outlook Anywhere Autodiscover SRV DNS

Hallo Tom,

da muss ich emeriks leider widersprechen: Outlook kann auch von extern aus eingerichtet werden.
Wenn man in den Kontoeinstellungen unter Exchange-Kontoeinstellungen -> "Verbindungen" die Exchange-Proxyeinstellungen korrekt setzt, kann man auch "ausser Haus" in einem frisch installierten Outlook ein Konto anlegen, das sich dann sofort mit dem Exchange-Server im Firmen-LAN problemlos verbindet und synchronisiert. (dafür ist die autodiscover-Funktion ja schliesslich da!)

Ich kann leider nicht ganz präzise helfen, da ich den 2011er-Server nicht kenne (arbeite selbst mit SBS2008 und Exchange 2007), aber das Prinzip dürfte im Wesentlichen identisch sein.
Das Gewurschtel im DNS ist definitiv keine saubere Lösung - sowa steht in keinem (vernünftigen) Handbuch.
SRV-Einträge sind nicht erforderlich (wüsste auch nicht, dass Outlook-Clients sowas nutzen können).
Für die Verbindung der Clients reichen ganz normale A-Records im DNS-Eintrag der externen Domain (auf dem DNS-Server im WAN). Der DNS-Server im LAN muss nicht konfiguriert werden.

Laut dem Exchange 2007-Buch von Ulrich Boddenberg wirst Du für einen sauberen(!) Zugriff von aussen auf jeden Fall eines der beiden Zertifikate benötigen:
-SAN-Zertifikat (für mehrere, konkrete Domains: firma.com, autodiscover.firma.com, remote.firma.com, evtl webmail.firma.com)
-Wildcard-Zertifikat (für firma.com inkl aller Unterdomains)

Am schönsten geht das natürlich mit gekauften Zertifikaten, die von Outlook und dem Browser ohne zu meckern sofort akzeptiert werden.
Mir war das damals jedoch zu teuer, und so habe ich ein SAN-Zertifikat auf dem SBS2008 selbst erstellt, und die Zertifikate dann auf den Clients einmalig verteilt.
Alternativ können die PC/Laptop-Clients sich auch im LAN einmal in der Domäne anmelden, dann wird das Zertifikat, meine ich, sogar automatisch rübergeschaufelt.
Nur bei Smartphones geht das natürlich nicht - da muss ein selbst erstelltes Zertifikat entweder installiert, oder bei der ersten Verbindung akzeptiert werden.
Bei einer überschaubaren Client-Anzahl von unter 20 ist das aber durchaus praktikabel.

Ich kann Dir die Bücher von diesem Autor nur wärmstens empfehlen - da steht leicht verständlich und umfangreich drin, wie man sowas von A bis Z vernünftig macht - die ganzen Tutorials, die ich im Internet dazu gefunden habe, waren entweder nicht standard-konformes Gewurschtel, oder nicht vollständig.
Und selbst wenn Du wurschtelst und es läuft irgendwann - wirklich wissen tust Du dann immer noch nichts so richtig. Die Thematik ist einfach zu komplex, um mal eben in nem Forum ein 5-Minuten-Tutorial abzuarbeiten.
Deshalb meine Empfehlung: 50-60 Euro für so'n Buch investiert, und dann hat man auch eine saubere Lösung, man versteht die Hintergründe (wie sich das Microsoft gedacht hat), und man weiss, wie es richtig geht.
Man hat dann also nicht nur ne Lösung, sondern man versteht auch die Abläufe etc, und das ist ne Menge wert!

Gruß,
Colt

Hallo,

das Outlook ohne Autodiscover geht ist nur eine Halbwahrheit. Meinetwegen 90%-Wahrheit: Mailsychronisation geht, aber alles, was die Webservices benötigt (Free&Busy, OOF, Regeln, Mailtips...) geht nicht - die kann man nämlich nicht manuell in Outlook konfigurieren, weder intern noch extern.
Dass SRV ein "gewurschtel" wäre stimmt nicht, genausowenig, wie dass man zig Namen auf den Zertifikaten bräuchte.

Ich würde dir einen Test mit https://testconnectivity.microsoft.com/ empfehlen.

Wenn ich dich richtig verstehe, dann funktioniert bei dir Autodiscover dadurch, dass der Host autodiscover.firma.com gefunden wird - nur ist der Name nicht im Zertifikat. Dann wirst du das nur mit einen _zusätzlichen_ SRV-Record nicht gelöst bekommen: Outlook testet die verschiedenen Methoden sequentiell, wird immer zuerst den A-Record autodiscover.firma.com finden, dort einen Host finden und diesen dann nehmen - der SRV-Record wird nicht mehr getestet.
Lösung: die A-Record autodiscover.firma.com löschen. Dann wird weitergesucht, und der SRV gefunden (sofern er auch extern aufgelöst werden kann - siehe Hinweis emeriks).

Grüße

Filipp

Hallo


So, wie Tom es bisher gemacht hat, scheint es sehr wohl ein Gewurschtel zu sein - try and error halt.
Und nötig sind SRV-Einträge ohnehin nicht.
Wie Du selbst schon sagst, geht es ohne Autodiscover nicht vernünftig. Dann kann mans auch gleich vernünftig lösen: über ein SAN- oder Wildcard-Zertifikat, denn ohne Zertifikat gehts ja eh nicht.

Dass zig Namen auf dem Zertifikat erforderlich ist, habe ich nicht behauptet. Aber zwei sind schon zu empfehlen:
autodiscover und dann noch die Domain, über die OWA etc aufgerufen wird - also z.b. webmail.firma.de oder exchange.firma.de - whatever.
Evtl gibt es Szenarien, bei denen weitere Domains sinnvoll sein können.
Ob die interne Domäne auch noch rein muss, weiss ich grad nicht - könnte aber (sinnvoll) sein. Schaden tuts jedenfalls nicht.


Gruß,
Markus