Zugriff von Unterwegs per RAS und VPN

Clients, die außerhalb der Firma unterwegs sind, müssen eine Verbindung zum Exchange Server aufbauen können, um Nachrichten zu übermitteln.

Es ist dabei egal, ob dies nun ein Outlook im Offlinebetrieb ist oder ein POP3-Client. All diesen Anwendungsprogramme ist keine eigene Verbindungssoftware beigelegt, die mit proprietären Protokollen arbeiten oder selbst die Übertragungseinrichtungen ansteuern. Sie nutzen einfach eine bestehende Netzwerkverbindung.

Das Protokoll

Damit ist klar, dass es Aufgabe des darunter liegenden Betriebssystems ist, eine Verbindung aufzubauen. POP3 und IMAP4-Clients benötigen zwingend das Protokoll TCP/IP während Outlook auch mit IPX oder NetBeui kommunizieren kann. Aber aus heutiger Sicht kann ich Ihnen nur nahe legen, allein mit TCP/IP zu arbeiten. Nur TCP/IP lässt sich problemlos auch über weite Strecken routen und bietet eine zuverlässige und standardisierte Namensauflösung. NetBeui funktioniert nur richtig in lokalen Netzwerken, die Broadcasts zulassen. IPX wird meistens in NetWare Netzwerken eingesetzt, aber auch hier ist der Trend zu TCP/IP klar erkennbar.

Outlook benötigt allerdings nicht die Datei und Druckfreigabe von Microsoft oder andere Dateidienste.

Wir haben nun mehrere Wege, eine Verbindung aufzubauen: Aber ehe Sie nun Modems auspacken, Telefonanschlüsse stilllegen, sollten Sie ein paar Minuten auf das Thema Namensauflösung verwenden. Denn selbst wenn Sie von ihrem PC den Exchange Server über die IP-Adresse "anpingen" können, ist das noch nicht ausreichend, darüber auch Outlook zu betreiben.

RAS / DialIn

Der Remote Access Dienst von Windows NT erlaubt es einem Client sich über eine Wählverbindung direkt in das lokale Netzwerk einzuwählen. In der Regel bekommt der Client dabei eine IP-Adresse aus dem internen Netzwerk und kann dann arbeiten, als wäre er im Netzwerk vor Ort. Nur die Geschwindigkeit ist natürlich nicht so schnell.

Beim Einsatz von RAS ist neben TCP/IP auch das Protokoll IPX und NetBeui möglich, aber ich kann ihnen davon nur abraten. TCP/IP ist einfach das effektivere Protokoll.

Unter die Thematik RAS fallen alle direkten Einwahllösungen mit ihrem PC in das Firmennetzwerk über Modem, ISDN-Karte aber auch Funktelefon (GSM).

Auch wenn der Server in der Firma kein Windows Server ist sondern z.B. ein NetWare oder UNIX-System oder eine Hardwarelösung (z.B. Lucent MAX oder Cisco), ist für Outlook der Unterschied nicht zu erkennen. Sie können diese Zugang mit zusätzlichen Mechanismen schützen, z.B. Chipkarten, Einmalkennworten etc. (SecureID, etc.) oder Rückruf, um den Anrufer sicherer zu identifizieren. 

Das größte Risiko hierbei ist, dass der Benutzername und das Kennwort eines Anwenders veruntreut wird und damit jemand Unbefugtes eine Verbindung in ihr Netzwerk aufbauen kann. Insofern ist es zu überlegen, ob das Zugangssystem vom Hauptnetzwerk durch einen Router oder eine Firewall abgetrennt wird, so dass nur die notwendigen Dienste passieren können.

Nachteil einer direkten Einwahl ist allerdings immer die begrenzte Bandbreite (max. 64KBit) und natürlich die Entfernung und die damit verbundenen Telekommunikationskosten (speziell aus Hotels) und die teilweise schlechte Leitungsqualität. Zudem müssen Sie als Firma ausreichend Zugangsports bereithalten, um auch in Spitzenzeiten eine Erreichbarkeit zu gewährleisten. Die Kosten können Sie aber z.B.: durch einen gebührenfrei 0800-Nummer drücken. Das könnte unterm Strich günstiger für Mitarbeiter aus Hotels sein.

VPN und IPSec

Auf der anderen Seite gibt es das Internet, welches heute nahezu weltweit problemlos verfügbar ist und Internetprovider halten ein vielfaches an Zugangsports bereit, als wir als Firma installieren können. Da liegt es nahe, das Internet als Verbindung zum Heimatnetzwerk zu nutzen. Wenn die Firma selbst dann eine schnellere Anbindung (z.B.: 2 MBit) besitzt und der Heimarbeiter mit DSL auch recht schnell angebunden ist, dann werden andere Übertragungsleistungen möglich. Es gibt auch Internetprovider, die eine Einwahl über kostenfreie Rufnummern bereitstellen, so dass keine Gebühren an der Anschlussstelle sondern auf der heimischen Rechnung anfallen (z.B. T-Online oder UUNet). Damit ist auch der günstige Zugang zum Internet weltweit möglich.

Bleibt die Frage, wie die Daten gesichert zum Exchangeserver kommen. Hier kommen der Begriff VPN (Virtual Private Network) ins Spiel. Ohne nun allzu tief auf Details einzugehen, bedeutet VPN, dass die Daten auf beiden Seiten verschlüsselt werden und dann getunnelt werden (PPTP) oder direkt als verschlüsseltes offiziellen IP-Paket übertragen werden.

Das Internet dient quasi als Telefonstrecke. Nach dem Verbindungsaufbau mit dem Internet baut der Client ein zweites Mal eine Verbindung auf zur VPN-Gegenstelle. Nur dass diese Verbindung keine Telefonleitung mehr benutzt, sondern "IP" als Transportmittel. Die hierbei verwendeten Standard sind PPTP (Point to Point Tunnel Protocol) bzw. IPSEC. Die VPN Gegenstelle in der Firma ist dann dafür zuständig, den Absender zu autorisieren und dann die Pakete zu decodieren und an die internen Server weiter zu leiten.

VPNs sind also keine zusätzlichen Protokolle, sondern ein Hilfsmittel, Daten sicher über das Internet zu übertragen. Sie eignen sich daher auch und gerade für die Übertragung von Daten per POP3, IMAP4 aber auch FTP über das Internet. Sogar direkte Verbindungen von Netzwerken untereinander sind damit sicher möglich.

Der Exchange Server als auch Outlook merken von dieser Übertragung überhaupt nichts. Die gesamte Umsetzung findet auf den darunter liegenden Protokollschichten statt. Allerdings muss auch hier die Namensauflösung funktionieren, damit Outlook den Exchangeserver findet.

Keywords: Client Ras VPN