Exchange aus Office 365 in lokalen Exchange 2013 umziehen

Hallo malungo,


Da is schon ein Server und 5 Cals dabei.


Oh ja, klaaaaaar... einfach bissel an ein paar Stellen nachziehen, dann is das Preis-Leistungsverhältnis wesentlich besser als mit neuer Software lizensiert.
Aber das muß jeder für sich selbst ausrechnen.


Ja, aber ich weiß nicht, wieviele einfach ins kalte Wasser gesprungen sind...?
Ich habe erst ein wenig Trockenschwimmen mit eigener Büchse gemacht, und dann aus diesen Erfahrungen und Studium von Fachlekture meine Lehren gezogen. Zusätzlich kommt dazu, daß ich jemanden kenne, der, sagen wir es mal so, "Guru" in Sachen Exchange ist.


Echt? Hm, komisch, das geht bei einigen meiner Kunden aber tadellos...?
Outlook 2010/2013 zu Exchange auf Nicht-Domänen-Mitgliedern -> no problemo. Ist halt keine Durchsatzauthentifizierung da, muß man alles manuell einrichten (oder per Autoconfig unterschieben), aber lüppt tadellos.


Ts ts ts ts, siehst Du, und genau deswegen holt man ein Systemhaus/einen Consultant.
Der fährt den Karren vorher schon nicht in den Sand


Lonesome Walker
(der sich fragt, was hier bei 10 Usern denn so kompliziert ist...?)

N'Abend.
Ein lokaler Exchange setzt aber einiges an Kenntnis voraus, damit er auch "datensicher" ist.


Exchange setzt ein Windows AD vorraus, der Betrieb von Clients ohne Domain-Anbindung ist problemlos möglich - wenn man es richtig konfiguriert/konfigurieren kann.

Ganz klar: Ja. Und nochmals Ja.
Und selbst für nen "normalen" DSL-Anschluss rücken die Teletubbies ne statische IP raus (die dann zwar nach wie vor per DHCP vergeben wird, aber eben per Reservierung; evtl. Änderungen werden lange vorher angekündigt).

SSL = Zertifikat => statische IP-Adresse
Alle Mails wird kein Gerät syncen, aber eine Suche nach Mails im Postfach älter als n Jahre ist problemlos vom mobilen Device aus möglich.

Bei 10 Leuten => 365-Postfach in eine PST kopieren und diese dann in den lokalen Exchange schieben.
Es gibt auch einen Webdienst, der die 365-Postfächer direkt in den lokalen schiebt, damit haben wir >70 User problemlos migrieren können. Ich find nur grad ums Verplatzen weder die URL noch den Namen des Anbieters; suche morgen im Büro.

Cheers,
jsysde

N'Abend.

Und hier isses:
https://www.bittitan.com/products/#migrationwiz

Cheers,
jsysde

Sorry, aber BULLSHIT.


Und im Grundkurs Datenschutz hast Du auch geschlafen...


Lonesome Walker

Ach, wie ich dieses Forum liebe. Kriech wieder in deine Linux-Ecke.

Cheers,
jsysde

Hi,


Dafür musst Du den Port 443 an Deinen Exchange weiterleiten. Ohne einen Reverse-Proxy dazwischen würde ich das nicht machen.
Wenn Du einfach den Port 443 weiterleitest ist nämlich neben deinedomain.dyndns.org/Microsoft-Server-ActiveSync u. a. auch deinedomain.dyndns.org/ecp, deinedomain.dyndns.org/owa deinedomain.dyndns.org/powershell etc... erreichbar. Das solltest Du dabei bedenken.

Gruß

Weil?


Ja und?
Ohne Authentifizierung passiert dann was?

Genau, gar nix.

Hat hier überhaupt jemand fundierte Ahnung, wovon er schreibt?


Lonesome Walker

Es entsteht damit unnötige Angriffsfläche. Ich würde auch einen Reverse-Proxy empfehlen.


Klar geht das theoretisch auch mit dyndns.org, aber ehrlich, dass ist Bullshit! Kein vernünftiges Unternehmen wurde das ohne eine feste IP-Adresse machen. Das wäre verantwortungslos.


Sagt der eine Bauer zum anderen Bauer - du Bauer.

Gruß
max

Wenn Du das so siehst, dann dürftest Du ja nicht mal ActiveSync zulassen...


Bitte belegen, wo die Vorteile speziell im Szenario beim SBS liegen.
Wir sind hier schon so weit von der ursprünglichen Frage abgedriftet, aber wenn Du Dich schon lächerlich machen willst, dann bitte mit Anlauf.
KMU haben von einer festen IP eher mehr Nachteile als Vorteile (Stichwort nicht wechselnde Angriffsfläche, etc... aber das weiß man, wenn man schon ein paar SBS-Büchsen aufgesetzt hat...)
Für große Firmen keine Frage, die haben auch entsprechendes Equipment (Firewall, IDT, DPI...).


Nö, sacht der Fachmann zu jemandem, der hierzu in der Praxis wohl noch nicht ausreichend Erfahrung sammeln durfte.


Lonesome Walker

N'Abend.
Anscheinend hattest du mehr als genug Anlauf...
Wo ist der Unterschied, ob ich eine (immer brav aktuell gehaltene) DynDNS-Adresse angreifen oder direkt die IP-Adresse?
Genau, es gibt keinen. Aber das weiß man, wenn man schon ein paar mal damit konfrontiert war.

</Sarkasmus>

Cheers,
jsysde

P.S.:
Und wer mal versucht hat, Mails per Exchange von ner dynamischen IP aus ohne Smarthost zu versenden... aber lassen wir das, hier zählt ja weder Wissen noch Erfahrung, nur der "Level 4 Mod" weiß alles, im Zweifel halt besser. Ich bin raus.

In der Verfügbarkeit.
DynDNS muddu erst wissen, IP ist im Netz einfach default gescannt.


Siehste, Eingangsbeitrag nich gelesen:


Lonesome Walker

warum steht der Beitrag denn schon auf gelöst, alle Fragen beantwortet?

Und bitte nich wieder bekriegen hier, sonst muss ich die Keule schwingen...es ist Montag und mein Kaffee wird kalt.

Hallo malungo,


Pardon.


Jein, das Problem ist folgender Natur:
Du hast hier gutgemeinte Ratschläge von Profis erhalten, die es sicherlich gut meinen, jedoch mit manchen Sachen über das Ziel hinaus schießen.

Bsp. das hier:


Nein, um ehrlich zu sein, nicht wirklich.
Ich bin kein Freund der Produkte aus Redmond, das können Dir viele in meinem Umfeld bestätigen.
Was ich Dir aber aus Erfahrung sagen kann: wenn Du einen SBS entsprechend sauber konfiguriert ins Netz hängst, ist es für einen Admin sehr entspannt zu sehen.

Gerne darfst Du hierzu mal auf GuentherH seinem Blog nachlesen.
Seines Zeichens auch SBS-Guru, äh, MVP... (läßt sich es hier aber nicht raushängen...)
Man kann in seinem Blog auch die Best-Practices aus seiner Erfahrung nachlesen.
Irgendwie habe ich da aber noch nie was von Reverse-Proxy gelesen...

Komisch, liegt vielleicht auch daran, daß wir hier von KMU reden/schreiben.

Generell mußt Du für Dich abwiegen, willst Du keine Kohle ausgeben, oder hast Du doch Geld für Equipment und Lizenzen übrig.
Wenn Du sagst: 0 Budget -> kein Problem. Mußt Du viel lesen, und mit Sicherheit wirst Du die ersten paar Sachen in den Sand setzen (daher die Migration vielleicht vorher mal bissel mit Spieldaten üben)

Was ich Dir aber sagen kann:
Hände weg von so tollen Migrationsdiensten, denn die Cloud klaut.
Vielleicht nicht jetzt gleich oder so, aber selbst wenn da steht, DIN-ISO-TÜV-wir-leben-Datenschutz...
Wir haben immer gesagt: die Geheimdienste sind unter uns, keiner hat es geglaubt.
Jetzt ist das Geschrei groß, aber irgendwie kann ich da nicht mitfühlend sein, wenn faule Admins plötzlich feststellen, daß sie die Fehler ihres Lebens gemacht haben.

Von daher:
Dein Projekt ließe sich kosten-nutzen-technisch am Einfachsten mit einem SBS 2011 Standard umsetzen.
3-4 Manntage Arbeit, und fertig ist der Lack.
Die genannten Dinge meiner Mitschreiber oben sind sicherlich nette Features, jedoch nicht zwingend notwendig für einen korrekten Betrieb eines eigenen Servers mit Mailversand.


Lonesome Walker

Hi,


Aus meiner Sicht ist SBS 2011 schon ein wenig zu alt, um es neu zu installieren. Aber das kann natürlich jeder halten wie er will.


Na und? Muss man sie deshalb kritisieren?


Eine feste IP Adresse sorgt gerade für hohe Sicherheit, da man sie per Firewall sehr gut absichern kann.

Ein gute Firma sollte immer Geld für eine feste IP haben (ist meist sogar billiger als der Dyn Dienst) und eine Firma sollte natürlich auch einen Firewall vor seinen Diensten schalten. Das ist weder teuer noch unsinnig. An dieser Stelle sollte nicht am Budget gespart werden. Lösung wie DynDns gehören für mich in die Kategorie "Bastler vor dem Herrn" - aus der Ecke kommt der Dienst ja ursprünglich auch. Klar funktioniert auch diese "Bastellösungen", aber Professionell sieht anders auch (ja ja eine bestimmte Person hier siehst das sicher anders). Reverse-Proxy ist eine sichere Methode, man kann es aber natürlich auch anders lösen oder ganz lassen.

Es gibt nicht immer nur einen Weg - jede Firma hat unterschiedliche Voraussetzungen. Daher finde ich es absolut falsch hier so etwas zu behaupten. Der User hat nach Möglichkeiten gefragt und die hat er von einigen Usern auch bekommen. Was ich aber absolut nicht verstehe, sind diese negativen Kommentare zu diesen Möglichkeiten. Leider hat sich "jsysde" wohl abgemeldet. Das haben wir dann wohl der guten konstruktiven Kritik mit den noch besseren Alternativvorschlägen eines Users zu verdanken. Danke, vielen Dank dass Du hier zu jedem Beitrag Deinen Senf dazu gegeben hast. Ohne Dich würde es hier tatsächlich Spaß machen zu antworten. Aber nur weiter so, irgendwann überziehst auch Du und der Webmaster verliert die Geduld mit Dir. Ich hätte Dich nicht wegen Deines Wissens, aber alleine wegen Deiner Art zu kommunizieren, hier längst rausgeworfen. Die ist weder nett oder höflich, noch professionell.

Aber gut, dann dauert es halt noch eine Weile. Ich habe Geduld.

Gruß
max

Also ich empfehle dir folgendes:

- SBS 2011 inkl. Domain, WDS Server und Exchange

-Win 8.1 Pro per WDS zu verteilen (und in die Domäne aufnehmen)
-Servergespeicherte Profile

-Fixe IP, mit Portweiterleitung aufm Exchange

Als migration würd ich die PST-Variante nehmen.

So, dies nur mal kurz zur Klarstellung und dann bitte keine persönlichen Dinge mehr, sonst ist dicht:

Ihr redet aneinander vorbei oder wollt es, keine Ahnung . Eine feste IP kann man per Firewall absichern, stimmt. Genau das gilt aber auch für eine dyn. und der Vorteil liegt darin, dass man eine feste IP eben NICHT suchen muss, sieht bei der dynamischen schon anders aus. Hier also...Sicherheit...wechselnd...weißt scho ^^

schau nochmal

genau ab hier bitte die PN nutzen, gilt für alle, die sich in der Hinsicht weiterbeschäftigen wollen.

So, das wars und ich verbleibe

Mit freundlichen Grüßen
Mitchell

Hi,


Ich persönlich kenne keine Firewall, die so ohne weiteres mit DDNS umgehen kann. Wie sichert man das also ab? Bin offen für jegliche Aufklärung. Bei einem öffentlichen Mailserver sehe ich bei einer dynamischen IP Zuweisung auch keinen Sicherheitsvorteile (siehe unten). Ein Mailserver muss mit anderen Mailservern reden. Was würde da eine IP-Verschleierung bringen? Dynamische Adresse werden aus meiner Sicht oft nur aus Kostengründen eingesetzt.

Da mich die Frage dazu beschäftigt, zerlegen wir das ganze etwas genauer:

Firewall
Man braucht schon eine Firewall die DDNS auch unterstützt. Unter iptables für Linux zum Beispiel wird auch eine Regel wie diese auf die IP-Adresse aufgelöst:
nach dem Wechsel der IP wäre diese Regel also ungültig. Man könnte das dann per Script lösen und alle paar Minuten per Cron die alte Regel löschen und eine neue hinzufügen. Kenn jemand einen besseren Weg? Da die meisten Firewalls auf Linux/Unix basieren wird das wohl generell ein Problem sein.

Reverse DNS
Ein Mailserver braucht in der Regel einen Reverse DNS Eintrag. Nur so wird er von anderen Mailservern überhaupt angesprochen. Das musst der DDNS Dienst oder Hoster unterstützen (oder man muss einen eigenen DNS betreiben).

Andere öffentliche Mailserver
In der Regel sind andere Mailserver nicht sehr angetan von wechselnden IP-Adressen. Die meisten großen Provider verweigern Mails von diesen Servern (z.B. gmx.de).

Der IP Vorbesitzer war ein Spammer
Was wenn der IP-Adressen Vorbesitzer ein fleißiger Spammer war und die IP-Adresse längst in allen Mail-Blacklisten verteilt wurde. Die Pflege dazu kann sehr aufwendig sein.

SSL-Zertifikat
Soweit ich weiß verweigern viele offizielle Zertifikatsbetreiber die Ausstellung eines SSL-Zertifikat auf einen Namen eines dynamischen Anbieters. Wie ist da der aktuelle Stand?

Das sind viele unbekannte Punkte bei dynamischen IP-Adressen, die ich im professionellen Betrieb niemals haben möchte. Daher würde ich das, wie oben bereits beschreiben, niemanden empfehlen. Aber das bleibt natürlichen jedem selbst überlassen.

Auf http://www.msxfaq.de/internet/ddns.htm wird übrigend recht gut erklärt was es für Möglichkeiten per DDNS gibt. Die meisten sind aber entweder a) Bastellösungen oder b) man muss für den Dienst bezahlen. Dann drängt sich aber die Frage nach einer festen IP schon wieder auf.

Ich versuche die Frage 2 von malungo mal abzuschließen (konstruktive Kritik, Korrektur oder Verbesserungen sind gewünscht):


Es funktioniert Beides. Bei der dynamischen IP-Adresse braucht man aber einen DDNS Dienst der ein paar Exchange Features unterstütz (z.B. 1&1). Das ist aber in der Regel auch mit zusätzlichen Kosten verbunden. Unter http://www.msxfaq.de/internet/ddns.htm werden die meisten Möglichkeiten recht gut erklärt. Was aber bleibt, sind aus meiner Sicht bei dynamischen IPs die wichtigen Fragen zum Thema Sicherheit. Auch die Frage, ob andere Mailanbieter einen Server (mit direkten Sendemöglichkeit) überhaupt zulassen ist für mich offen (per Pop3 sollte es kein Thema sein).

Bei einer festen IP-Adresse hast du beim Thema Sicherheit (Firewall, SSL, etc.) in der Regel keine Probleme oder Stolpersteine.


ja, in der Tat - er ist wieder da. Da hat er es sich wohl anderes überlegt (bin mir sicher, dass er komplett abgemeldet war).


Warum? Ich habe weder Namen noch konkrete Person genannt. Wer sich angesprochen fühlt, sollte darüber nachdenken.

So, ich hoffe ich konnte etwas zum Thema beitragen.

Gruß
max

Moin.
Indeed - so war es und so ist es.

Back2topic:
Ich sehe keinen Unterschied zwischen einer statisch und einer dynamischen IP beim Thema Sicherheit: Wenn ich gezielt jemanden angreifen will, dann kenne ich seinen DynDNS-Namen oder seine statsiche IP und ballere eben drauf los. Wenn ich einfach nur das Netz scanne, werden sowohl statische als auch dynamische IP vom Scanner gefunden (ok, bei dynamischen IPs muss ich andere IP-Subnetze scannen - damit hat es sich mit den Unterschieden).

Absichern, also eine Firewall einsetzen und entsprechend konfigurieren, muss ich in beiden Fällen, vor allem dann, wenn ich irgendwelche Dienste bereitstellen will, sei es ein Webserver oder eben ein Exchange.

Alles in allem sehe ich nur Vorteile bei Verwendung einer statischen IP: Ich bin nicht auf einen Diensteister angewiesen, der mir einen DynDNS-Hostnamen aktuell hält, damit fällt auch die Verwendung der entsprechenden Software weg, die meine dynamische IP dort aktualisiert. Beim Aufbau von Site-to-Site VPNs kann ich direkt mit den IP-Adressen arbeiten und muss keinen DNS-Resolver dazwischen schalten, der kompromittiert sein könnte. Last but not least kann ich meinen Mitarbeitern recht einfach einen VPN-Zugriff einrichten, wiederum unabhängig von DNS & Co. Sind nur so ein paar Punkte, die mir da spontan zu einfallen.

Eine dynamsiche IP-Adresse ist für den direkten Mailversand _ohne!_ Smarthost ein absolutes No-Go, das gibt -das zeigt schlicht die Erfahrung- nur Probleme, weil (berechtigterweise) etliche MTAs schlicht den Transport der Mails verweigern.

Cheers,
jsysde

Okay,

nachdem manche User hier ja nicht umhin kommen, sich zum Horst zu machen, wollen wir uns nicht lumpen lassen, und auch diesen Kollegen mal ein wenig aus der Realität zu berichten...


Mag ja sein, daß Du keine Ahnung hast, aber einer Firewall ist DDNS total egal.
Wozu auch, die hat nur einen Job: nix Unerwünschtes reinlassen, nix Unerwünschtes rauslassen, fertig ist der Lack.
Hierzu muß ich mich nicht mit DNS rumschlagen.


s.o.


Jein, ja, es ist halt ein monatlicher Kostenblock, den man sich sparen kann.
Klar, feste IP ist schon was Feines, erleichtert ein paar Sachen; aber es ist KEIN MUSS.
Und nur deswegen habe ich auch "Bullshit" geschrieben.


Oh ja, das macht das Ganze ja auch viel leichter für Dich.


Wie schon geschrieben, einer Firewall ist es egal, welchen Namen sie trägt, oder welche IP sie hat.
DDNS macht ein Nameserver, keine Firewall (gut auswendig lernen für später...)


Wozu?
Erstens stelle ich fest, Du wirfst hier mit Brocken um Dich, die Du wohl irgendwo aufgeschnappt hast, aber so wirklich nicht verstanden hast.
Selbst wenn iptables das auflöst, wenn man sauber gearbeitet hat, interessiert diese Regel keinen, denn sie wird maximal die Zeit nicht greifen, in der das Zonefile des DNS aktualisiert wurde. Typischerweise ist das so 1-2 Minuten.
Den Resync mit DSL setzt man typischerweise in die Zeit, in der keiner arbeitet, also wen stört das dann?


Ja, anscheinend hast Du beim 1x1 des Netzwerkens nicht aufgepaßt: wo kein Port nicht offen ist, kann keiner dran rütteln;
sei es von extern oder intern.
Und einfach so von draußen nach drinnen zu kommen setzt dann ein Portmapping voraus, NAT oder eine von innen geöffnete Session.
Und ab da ist es dann schon nicht mehr trivial, ohne Deep Packet Inspection eine unerwünschte von einer erwünschten Session zu unterscheiden.
Was solche Firewalls kosten, kann der geneigte Leser ja gerne ergoogeln...

Stell' Dir mal das typische Szenario von Billig-Lösungen im KMU-Bereich vor:
Netz -> Router -> SBS -> Clients -> SBS -> Router -> Netz

Ports sind die üblichen für SBS freigegeben.
Dann würde ich von Dir gerne sehen, wie Du dieses Netzwerk von außen übernimmst.
Bruteforce scheidet wegen Logwatch aus, und gegen die offenen Ports für die Dienste muß man sich authentifizieren.
1-2-3-tschüss. So, und jetzt?


Nö, wozu?
Und genau hier hört das tolle Wissen von vielen Admins auf, die nur im Enterprise-Bereich (oder deren eigenem Netz) unterwegs sind.
Bei Strato setzt man sich beispielsweise einen A-Record auf seine dynamisch zugeteilte IP, und der Lack ist gegessen.


Aha, ich habe ja hier auf administrator.de schon viele Weisheiten gelesen, aber die hier ist wirklich lustig.
Wenn ich mir jetzt also bei Strato ein Webhosting-Paket für meine Domain, DynDNS und Mails buche, da dann einen A-Record auf meine dynamische IP setze, und per Smarthost (was in 99% der Bastellösungen beim SBS so der Fall ist...) nach draußen meine Mails abkippe, dann werden die meisten Mails nicht rejected, weil mein SBS eine dynamische IP hat, sondern weil der Provider-SMTP auf einer Blacklist steht.


Tolles Argument, dem kann ich kontern: was ist, wenn jemand IP-Spoofing macht? (ich weiß, sowas ist für gewisse Admins unvorstellbar...)


Echt? Auf meine eigene Subdomain kann ich kein eigenes Zertifikat ausstellen lassen?
Oh, ja, ich vergaß, fehlendes Wissen...


Ich konnte bisher keinen Einzigen feststellen.


Oh, GENAU, da sind wir hier in dem Thread aber!
Hast Du nicht gelesen?
Ich nix Geld, aber will möglichst viel ohne Geld umsetzen können.


Auch bei dynamischer IP -> keine Probleme.


Genau.


Ja, leider wieder nur Deine Sicht der Dinge aus Deinem Universum.

Ich kann es ja verstehen, daß manche Admins halt nicht die Möglichkeit haben, viele Projekte zu realisieren, weil deren Betrieb einfach ein festes Segment bedient, ud mehr ist im Netzwerk halt nicht zu tun.
Daß heißt aber nicht, daß es NUR mit fester IP geht, die im übrigen bei den typischen Scans zu 100% ausgelastet wird, weil sie eben permanent vergeben ist.
Eine dynamische IP hat den Vorteil, daß sich da jemand halt nicht dran festbeißen kann; den dynamischen Hostnamen kann ich jederzeit nach Belieben ändern.
Heute nenne ich meinen SBS nach außen mail.domain.tld, morgen zuhause.domain.tld übermorgen xyz.domain.tld.
Wer mit einem SBS umgehen kann, weiß, wie einfach sowas ist (anders als mit 2 Büchsen für Server und Exchange...).

Ich sage ja nicht, daß so wie ich es machen würde die ultimative Lösung ist; die Aussage, feste IP UNBEDINGT ist halt aber schon im Kern falsch.


Lonesome Walker

Walker, dass ist nicht nett!! Ich bin nicht käuflich ...

LG, Thomas