Outlook Webaccess Exchange 5.5

Wichtiger Patch:
Wenn Sie Outlook 2003 einsetzen, kann OWA 5.5 hängen bleiben. Details:
818709 Outlook Web Access Stops Responding When You Try to Access a Mailbox on an Exchange 5.5 Computer

Outlook Web Access ist das Modul, um per Webbrowser von überall auf dem Internet schnell auf die eigene Seite zugreifen zu können. So nett das ist, es gibt immer wieder Fragen und Probleme dazu. Mit dem Outlook Webzugriff können sie übrigens auch weiterhin auf einen Exchange 2000 Server zugreifen. Aber im Hinblick auf die Funktionen des OWA 2000 sicher nur für den Zeitraum der Migration.  Lesen Sie auch die Hinweise auf MSXFAQ - Frontend Backend Konstellation.

Funktionsweise

Der Outlook Web Zugriff von Exchange 5.5 ist ein virtuelles Verzeichnis in einem bestehenden IIS3 oder IIS4, welcher neben den Bildern und Hilfetexten sehr viele ASP-Seiten enthält. Diese ASP-Seiten bauen eine Verbindung zum Exchange Server (auch mehrere) auf. Der Exchangeserver "sieht" einen normalen Mail-Client. Die ASP-Skripte formatieren die Rückgaben entsprechend um, dass diese Internetkonform sind (HTML, GIF-Bilder etc.). Neben den einfachen ASP-Seiten wird auch eine ISAPI-Filter-DLL (EXCHFILT.DLL) installiert. Diese nimmt bei der Verbindung des Browsers die Anfragen an, ermittelt unter anderem die Sprache des Browsers und leitet den Anwender dann auf die lokalisierte Seite um.

Der Browser auf der anderen Seite surfen unter Nutzung der allgemein verfügbaren Möglichkeiten und Ports (Javascript, Java etc.) einfach auf den Webserver.

OWA ist quasi ein Gateway (OSI-Schicht 7) zwischen den beiden sonst unvereinbaren Systemen Exchange Server und Browser und konvertiert die Informationen.

Installation

Die Installation ist recht einfach. Sie brauchen einen NT-Server mit einem installierten IIS3 mit ASP oder IIS4. Es ist dabei egal, ob dieser Server ihr PDC, BDC oder Member Server ist. Wir raten von der Installation des OWA auf einem Domain Controller ab, da die Gruppe der OWA-Benutzer das Recht "lokale Anmeldung" haben muss, und das will man als Administrator nicht unbedingt jedem User auf einem Domaincontroller zugestehen. Daher eignet sich ein Member Server vorzüglich. Ein "Standalone Server" ist nicht geeignet, genauso wenig wie eine NT Workstation oder gar Windows 95 oder Linux.

Der OWA Server kann sowohl auf dem Exchange Server als auch jedem anderen Server mit oben genannten Bedingungen installiert werden. Nachdem der Rechner ausgesucht ist, legen Sie einfach die Exchange CD ein und starten das Setup. Wählen Sie dann "Benutzerdefiniert", damit sie OWA alleine installieren oder nachinstallieren können. Mehr ist es eigentlich schon nicht. Es ist lohnend, auch hier das aktuelle Exchange Service Pack zu installieren, da diese einige Bugs behebt und natürlich Funktionen nachliefert. Was aber immer noch nicht geht, lesen sie weiter unten.

Achtung mit Select CDs. Sollten Sie kein SETUP.EXE finden, sondern eine SRVMAX.EXE oder SRVMIN.EXE dann kann es bei der Installation zu Problemen kommen. Kopieren Sie dann die CD auf eine Festplatte und benennen Sie SRVMAX.EXE nach SETUP.EXE um und starten dann das Setup. (Grüsse an Herrn Fellner nach Österreich für diesen Tipp)

Daran sollten Sie denken: (Bitte lesen Sie auch weiter unten die Voraussetzungen für den Betrieb in der DMZ)

1. PFLICHT:

2. Test von intern.

3. Zugriff von außen

(Siehe auch Firewall mit Exchange)

4. SICHERHEIT:

Konfiguration

Konfiguriert werden muss eigentlich gar nichts. Einfach loslegen unter http://name-des-servers/exchange und das war es schon.

Konfiguriert wird dies aber alles im IIS-Admin, denn OWA ist nur ein virtuelles Verzeichnis des Webservers mit jede Menge ASP-Seiten und einer ISAPI-DLL.

Ports und Kommunikation

Outlook Web Access hat zwei Seiten der Kommunikation:

Vom Internet zu OWA

Auf der einen Seite erfolgt die Kommunikation mit dem Browser der Clients. Hierzu muss der OWA-Server über die Ports 80 (http) und eventuell auch 443 (SSL) erreichbar sein. Natürlich können sie diese Ports auch ändern und die Firewall entsprechend anpassen.

Von OWA zu  ...

Auf der anderen Seite kommuniziert der OWA-Server mit dem Exchange Server über die gleichen Ports, die auch ein Outlook Client nutzt. Aber es ist nicht nur der Exchange Server ist ein Partner, auch der Domain Controller und Namensdienste sind von Belang

Die genauen Einstellungen zu den Ports finden man problemlos in der Microsoft TechNet. Links am Ende

Betrieb in einer DMZ

Nun wird niemand seinen Exchangeserver ins Internet stellen, sondern eher in eine DMZ. basierend auf den vorherigen Ausführungen können die Ports und Filter eingestellt werden. Aber wie installiert man OWA dort draußen, wo es doch ein Server in einer Domäne sein muss ? Es gibt auch hier zwei Möglichkeiten

Genau genommen sind die Unterschiede marginal, aber im Einzelfall sicher zu beachten, damit die firmeneigene Sicherheitsrichtlinie umgesetzt werden kann.

Betrieb mit mehreren Domains

Mit dem Wissen, das sie nun haben, sollten sie alleine erkennen können, was einzustellen, ist, dass OWA auch mit mehreren Exchange Servern in mehreren Domains zurechtkommt. Es "geht" einfach, wenn folgendes erfüllt ist

Dann steht dem zentralen OWA-Server nichts mehr im Wege-

OWA für mehrere Server

Ein OWA-Server viele Exchange Server bedienen, auch wenn diese in anderen Sites stehen. Allerdings nicht, wenn Sie in einer anderen Organisation stehen. Damit ein OWA-Server aber verschiedene Server in einer Organisation bedienen kann muss man immer die Voraussetzungen betrachten, die beim Betrieb von OWA in mehreren Domains gelten. Erst dann kann es weiter gehen.

OWA liest dazu über LDAP und RPC von seinem primären Server (Er selbst oder der bei der Installation angegeben wurde) die Liste der User und findet den Anwender in der Globalen Adressliste (GAL). Dieser muss natürlich schon auf diesen Server repliziert und sichtbar sein. Weiterhin muss er "eindeutig" sein. Es gibt nur wenige Dinge, die bei Exchange "eindeutig" sind. Zwar können wir in der Eingabemaske den Alias des Benutzers verwenden, aber dieser ist nicht immer eindeutig über die gesamte Organisation hinweg. Im Zweifel sollten Sie daher einfach ihre komplette SMTP-Adresse eingeben, dann ist die Eindeutigkeit sichergestellt.

Nun stellt sich aber für die Firma die Frage, ob ich einen OWA-Server für meine Exchange Organisation zentral installieren soll, oder jede Site ihren eigenen OWA-Server installieren muss. Bei dieser Entscheidung spielen Performance, Sicherheits- und Netzlastaspekte eine große Rolle. Welche Seite des OWA macht mehr Last ? Der Browser zum Server oder der OWA-Server zum Exchange ?. OWA auf dem IIS ist "wie ein Outlook" zu betrachten. Zwei Szenarien sind denkbar:

Browser ---- HTTP ---- OWA-Server1 ----- RPC ---- Exchange1
                              !--------- RPC ---- Exchange2
Browser ---- HTTP ---- OWA-Server1 ----- RPC ---- Exchange1
             HTTP ---- OWA-Server2 ----- RPC ---- Exchange2

Ein OWA kann theoretisch alle Benutzer  bedienen, deren Postfach in der gleichen Exchange Organisation ist, solange er über LAN oder WAN auf den anderen Exchangeserver zugreifen kann. Aber folgende Punkte wollen bedacht sein

Sie merken schon, dass ich eher für  den zentralen Server argumentiere. Aus Sicht der Netzwerklast gibt sich OWA nichts, ob nun RPC oder HTTP über das interne WAN gehen. Allerdings ist RPC innerhalb schwerer zu filtern, wenn man nicht dir richtige Firewall einsetzt.

Anpassen von OWA

Der Outlook Web Zugriff besteht bei Exchange 5.5 unter der Oberfläche aus ASP-Seiten. Mittels Active Server Pages werden die Informationen aus Exchange geholt, aufbereitet und dem Browser zugeleitet. Wenn Sie daher die Form oder Farben anpassen wollen, müssen Sie die ASP-Seiten entsprechend Anpassen. Sie können dies z.B. per Frontpage oder jedem anderen HTML-Editor erreichen. Allerdings sollten Sie immer nur eine Seite ändern und dann die Funktion testen und zudem eine Sicherung des Originals haben. Einfacher ist hierbei die Veränderung der Grafiken oder die Gestaltung einer eigenen Eingangsseite.

Bei der Installation eines Service Packs werden aber alle Änderungen nach WEBDATA.OLD verschoben und die ASP-Seiten durch die Versionen des Service Packs ersetzt. Achten Sie daher darauf, die Änderungen entsprechend zu dokumentieren, damit Sie diese wieder nachführen können.

Der HTTP-Zugriff bei Exchange 2000 wird nicht mehr über ASP-Seiten bereitgestellt, sondern über eine ISAPI-Filter-DLL. Hier ist als einfachste Veränderung z.B.: das Logo unter C:\Programme\Exchsrvr\exchweb\img\logo-ie5.gif anzupassen. Alles weitere bedeutet einen höheren Programmieraufwand. Auf der anderen Seite können Sie aber gezielt Teile des Informationsangebots in eigene Webseite (z.B. per Frames) einbinden. Schließlich ist jede Ansicht und jedes Objekt direkt per URL ansprechbar

Mehrsprachigkeit

Outlook Webzugriff mit Exchange 5.5 ist mehrsprachig ausführbar. Dazu sind einfach die entsprechenden Sprachen zu installieren. Wenn Sie einen deutschen OWA installieren, erhalten Sie automatisch die Verzeichnisse GER und US. Die EXCHFILT.DLL im Webserver erkennt anhand der Sprache des Clients (der Browser), in welches virtuelle Verzeichnis der Verweis erfolgt.

Sicherer Zugriff per SSL

Tja das ist keine Frage des Outlook Web Access, sondern mehr einer Frage des eingesetzten Webservers. Für den IIS3 als auch den IIS4 kann man bei einer Zertifizierungsstelle ein Serverzertifikat anfordern (gegen $$$) und das dann in deinem IIS einstellen. danach kannst du das "virtuelle Verzeichnis" "/EXCHANGE" als "SSL" aktivieren. und schon geht es "sicher" weiter. Nun halt die Frage "Woher" bekommt man ein Zertifikat. Nun ja eben bei einer entsprechenden Zertifizierungsstelle.

Schau einfach in deinem Browser, wen es da so gibt. Bei mir ist das z.B.

Ach ja dann gibt es da natürlich noch Net at Work. Wir haben uns auch unsere eigene CA installiert. Allein für eine verschlüsselte SSL-Verbindung müssen Sie kein SSL-Zertifikat kaufen. Sie können sich mit dem Zertifikatsserver von Windows 2000 oder dem NT4 Option Pack natürlich auch selbst ein Zertifikat ausstellen. Dann werden Sie zwar auf den meisten Browsern der Welt eine Warnung erhalten, dass das Zertifikat von einer unbekannten CA ausgestellt worden sei, aber verschlüsselt ist die Verbindung dann trotzdem.

Siehe Internet Eigenschaften " Inhalt" Zertifikate - Agenturen. Bei denen kann man sich dann die Zertifikate "Kaufen" und einspielen.

Genau genommen musst du auf deinem IIS einen Key erstellen (Wird erstellt aus der URL, Land, Ort, Person, Firmenname) und den bei Zertifizierungsstelle mit deren Key "signiert". diesen codierten Key bekommst du zurück zum einspielen.

Nun bekommt jeder Browser diesen Key zugesandt, den er mit dem Public Key der Zertifikatsstelle (die mit dem Browser meist mitkommen, die du aber sonst von der Webseite laden und installieren kannst) decodieren kann und dann eben prüft, ob da drin die gleiche Home-URL steht, wie die des Browsers. Damit verhindert man also auch dass jemand deine Webseite "umleitet".

Mit dem gleiche Key (auch dein Browser erzeugt einen bzw. hat einen) wird dann auch die Datenübertragung gesichert Das genaue Verfahren ist natürlich etwas aufwendiger. So ist meine Beschreibung weder vollständig noch 100% richtig.

Aber das Vorgehen ist klar.

Eine How-To-Anleitung für SSL finden Sie auf:

Es gibt auch in Deutschland einige Zertifikate. Gehe einfach mal auf http://www.ccc.de Die haben ihre ganze Seite (nach einem Klau) nun zertifiziert Und dort ist es auch erklärt. Siehe http://hades.pizzaservice.de/crypto/ssl.html Wenn ich auch in der genialen TechNet nach SSL suche, dann kommen 380 Vorkommen. z.B. Q171084 How to install a Certificate.

Was alles nicht geht

Tja und das ist schon traurig aber nicht zu ändern. Jedes Service Pack verkleinert die Liste der fehlenden Funktionen aber es bleibt noch einiges zu tun. (Stand Exchange 5.5. SP4)

Wie man sieht bleibt noch viel Platz für alternative Wege wie diese unter Konzepte beschrieben werden.

OWA und Outlook

Wenn Sie planen, Outlook und OWA auf einem Server zu installieren, dann sollten Sie wissen, dass die Installation von Outlook 2000 (und höher) und Exchange Server 5.5 (auch nur OWA) auf dem selben System ist eine nicht von Microsoft unterstützte Konfiguration darstellt. Problemtisch ist hierbei, dass beide eine verschiedene Versionen des MAPI Subsystem mitliefern.

"Exchange installs its MAPI subsystem under the \Winnt\System32 folder.
Starting with Outlook 2000 MAPI subsystem moves to the \Program Files\Common
Files\System\Mapi\1033\NT folder. Normally, Outlook installs a "stub"
version of MAPI into the \Winnt\System32 folder, which routes MAPI calls to
Outlook's implementation. If Exchange is running when Outlook is installed,
the Mapi32.dll file is still loaded, and is not replaced by the stub DLL.
This breaks Outlook's Mapi32 stub mechanism and leaves two different
versions of MAPI on the system."
Quelle nicht mehr ermittelbar

Normalerweise ist dies aber kein Problem, da auf einem OWA-Server mit IIS und Internetzugang  in der Regel kein Outlook benötigt wird.

Fehlersuche

Fehlersuche ist knifflig aber möglich.

Weitere Schritte können Sie selbst ableiten, wenn Sie sich die Funktion des Exchange 5.5 OWA aus "Q263236 XWEB: Exchange Server 5.5 Outlook Web Access Logon Process" erarbeiten.

Sicherheit und OWA

Exchange 5.5. OWA ist eine Sammlung von ASP-Seiten, welche auf dem Webserver ausgeführt werden und Parameter über URLs erhalten. Es ist möglich und Realität, dass Programme mit Fehlern behaftet sind und damit der OWA-Zugriff missbraucht werden kann. Kontrollieren Sie daher regelmäßig die Sicherheitsseiten von Microsoft unter www.Microsoft.com/security. Im Dezember 2001 war zumindest der Artikel unter http://www.Microsoft.com/technet/security/bulletin/MS01-057.asp relevant.

Passwort ändern

Der OWA 2000 bringt im Gegensatz zum OWA von Exchange 5.5 keine eigenen Routinen mehr mit, um Kennworte zu ändern. Statt dessen baut OWA auf die Existenz der URL https://servername/IISADMPWD auf. Diese Skript sind bei der Installation von Windows 2000 Server auf dem Server vorhanden, aber nicht eingerichtet. Siehe IISADMPWD.

Weitere Links

In der TechNet und Knowledgebase kommen sie mit dem Suchbegriff "XWEB" die relevanten Artikel zu sehen.

Keywords:OWA EX55 IISLOCKDOWN ASP