Archiv

Posts Tagged ‘Thread Management Server 2010’

Work Folders | Zertifikate ausrollen

14. Januar 2014 4 Kommentare

der 4. Teil der Implementierung der Work Folders geht es um den DNS Einträge und der Implementierung des Zertifikates, damit wir mit allen Geräten nicht nur innerhalb unseres Firmennetzwerkes Zugriff haben, sondern auch über das Internet von jeder beliebigen Stelle. Dabei gehe ich auch auf die Problematik eines bestehenden Exchange Servers und der mittlerweile von Microsoft abgekündigten Firewall Thread  Management Gateway (TMG 2010) einNetzwerk-Diagramm  für Work Folders

Wenn in einer Firma sowohl ein Sync-Server als auch ein Mail Server eingesetzt werden sollen, so ergibt sich auf Grund des verwendeten Protokolls (hppts= Port 443) ein Problem. Der Datenstrom muss an der Firewall getrennt werden. Die nachfolgende Beschreibung hier gilt für folgende Komponenten:

  • Proxy-Server: TMG 2010 auf Windows Server 2008 R2
  • Mail-Server: Exchange Server
  • Sync-Server: Windows Server 2012 R2
  • Es ist nur eine externe IP Adresse vorhanden
    Exchange Server verlangt beim Protokoll Outlook Web Access (OWA) SSL Verschlüsselung. Für den Zugriff muss öffentlich ein DNS Eintrag beim Provider eingerichtet werden. Der Sync- Server benötigt für die Work Folders ebenfalls einen öffentlichen DNS Eintrag
  • mail.contoso.com
  • workfolders.contoso.com
    ich habe im DNS Manger der Domäne auch noch einen Host-Eintrag workfolders erzeugt, dessen  IP auf den Sync-Server (Fileserver) zeigt:

DNS Eintrag für Workfolders

 

Und natürlich benötigen wir in SAN-Zertifikat (Multi-Domain Zertifikat), bei dem beide Einträge vorhanden sind. Dann kann auf der TMG mittels Bridging der SSL Datenstrom je nach Anforderung zum Mail-Server also auch zum Sync-Server weitergeleitet werden.

Dieses Zertifikat muss sowohl auf dem Mail-Server (Exchange) als auch auf dem Sync-Server und natürlich auf dem Proxy-Server (TMG) ausgerollt werden.

Exchange-Server

Es gibt genügend Beschreibungen im Internet, wie ein Zertifikat auf dem Exchange Server aus zu rollen ist, das ist auch abhängig von der Version des Exchange Servers. Hier ein paar Links:

 

Sync-Server (File Server)

hier ist eine Besonderheit zu beachten, weil eine SSL-Bindung ans den Web-Server IIS nicht über die Oberfläche funktionierten kann, weil der Web-Server (IIS) gar nicht installiert werden muss und auch gar nicht installiert wurde.

Besonderheiten bei den Rollen: Workfolders und Web Server

Es wurde aber (automatisch) mit den Work Folders die IIS Hostable Web Core installiert, die aber keine graphische Oberfläche hat.

PowerShell Abfrage: welche Komponenten sind installiert?

Das Powershell-Kommando hierfür: get-windowsfeature | where {$_.installed -eq $True}

Ist die Rolle Web Server (IIS) installiert, dann gibt es hier eine Beschreibung, wie Sie da Zertifikat an die Website binden können.

und hier der Weg, bei dem wir mit  Powershell und der CMD die Bindung vornehmen können.

1- Zuerst muss das Zertifikat importiert werden: (Powershell)

PS C:\>Import-PfxCertificate –FilePath <certFile.pfx> -CertStoreLocation cert:LocalMachine\My

natürlich können wir das ganze auch über das über das Zertifikats Snap-in der MMC erledigen. Dann sollte nach dem Import die Einstellung so aussehen:

MMC: installierte Zertifikate

 

2– Danach müssen den thumbprint des soeben importierten ermitteln:

PS C:\>Get-ChildItem –Path cert:\LocalMachine\My

Powersehll Abfrage: Thumbprint der installierte Zertifikate ermitteln

3- Das SSL Zertifikat muss nun mittel einer CMD-Konsole (!!!) gebunden werden.

netsh http add sslcert ipport=0.0.0.0:443 certhash=<Cert thumbprint> appid={CE66697B-3AA0-49D1-BDBD-A25C8359FD5D} certstorename=MY

Nachdem die Zeile in die CMD Konsole eingegeben (kopiert) wurde, wechseln wir wieder in die Powershell und kopieren den richtigen Thumprint des weiter oben installierten Zertifikates. und ersetzen in der Kommando-Zeile (CMD) <Cert thumbprint> durch die Zeichenfolge und dann erst wird das Kommando mit Return abgesetzt.

CMD: Zertifikat an WebServer binden 

Das  Kommando bindet das Zertifikat an das Root (alle Hostnamen dieses Servers) dieses Servers mit Port 443


Eine Besonderheit ist noch zu beachten, wenn sich ein Exchange Server in der Domäne befindet.Diese Beschreibung hier setzte aber auf bestimmte Gegebenheiten auf:
  • Es ist nur eine feste IP Adresse vorhanden
  • Benutzer nutzen auch OWA um auf Ihre Mail-Daten des Exchange Servers zuzugreifen
  • Als Firewall wird ein Thread Management Server 2010 (TMG) eingesetzt
    Das Problem ist, das sowohl OWA als auch Work Folders SSL (Port 443) benutzen und wir auf an der Firewall Bridging einsetzen müssen, um die SSL Daten entweder zum Exchange Server oder aber zum Sync-Server weiter zu leiten.
    1- Zertifikat importieren
    Das Zertifikat ist mit der MMC (Zertifikats Snap in)  auf der der TMG zu importieren. Danach sieht der persönliche Zertifikatsspeicher so ausSmiley mit geöffnetem Mund:

MMC: welche Zertifikate sind installiert

        Der rote Pfeil zeigt auf das “alte” OWA Zertifikat, der blaue auf das neue Zertifikat
          2- Web Listener erstellen bzw. umstellen
          Der existierende Web-Listener muss nun umgestellt werden:
      TMG Weblistener für SSL Ich habe nicht nur den Namen, sondern auch die Beschreibung geändert.
      TMG Weblistener : für welche IP er muss zwingend auf die externe Adressen “lauschen”
      TMG Weblistener : für SSL Traffic es geht um SSL Verkehr an Port 443
      TMG Weblistener : SAN Zertifikat zuweisen im Kartenreiter Certifikate müssen wir jetzt das neue Zertifikat zuweisen

      Hier noch einmal der Hinweis, dass auch der Exchange Server natürlich mit dem neuen Zertifikat versehen wurde!

      Der Weblistener lauscht ja auf Port 443 und weil in dieser Konfiguration nur eine externer IP Adresse vorhanden ist, gilt dieser Web Listener sowohl für OWA als auch für WEorkfolders und erst im Bridging wird unterschieden …

      Klick auf Select Certificate…

      TMG Weblistener : SAN Zertifikkat auswählen Das Bild zeigt jetzt das ich bereits auf das neue Zertifikat (Blau) geklickt habe.

      Anschließend auf “Select” klicken

      TMG Weblistener : Authentifizierung Im Kartenreiter Authentication habe ich “no Authentication” eingestellt (gehabt).

      Wir reichen ja nur durch und authentifizieren im Exchange Server bzw. im Sync Server

    Damit haben wir die Änderung des Web Listeners an der TMG abgeschlossen und klicken auf OK

    3- Regel OWA ändern
    TMG Regel für OWA: Weblistener auswählen Alle Einstellungen bleiben, nur der Weblistener muss richtig ausgewählt werden.
    4- Work Folder Regeln erstellen
    Der Einfachheit habe ich die “OWA” Regel in der TM kopiert , den Namen dann geändert und dann die Änderungen durchgeführt.
    TMG Regel für Work Folders: Name und Beschreibung Name und Beschreibung geändert
    TMG Regel für Work Folders: Erlaubnis  
    TMG Regel für Work Folders: für welche Quelle?  
    TMG Regel für Work Folders: Webserver eintragen Der Client kennt den externen oder internen DNS Namen (publish Sites) und als Computer habe wird der Namen des Sync-Servers eingetragen
    TMG Regel für Work Folders: Protokoll https eintragen Es geht um HTTPS (Port 443)
    TMG Regel für Work Folders: Weblistener auswählen hier wieder den Web-Listener eintragen.

    TMG Regel für Work Folders: DNS eintragen hier wird der öffentliche DNS Name eingetragen

    (beim der OWA Regel steht hier der öffentliche DNS Name für OWA)

    TMG Regel für Work Folders: Pfad umsetzen bei dem internen Pfad tragen wir ein:

    /sync/1.0/*

    Danke an meinen MVP Kollegen Christian Gröbner, der mich bei den Zertifikaten unterstützt hat und der diesen Eintrag aus dem Live-Logging ausgelesen hat.

    TMG Regel für Work Folders: keine Authentifizierung an der Firewall wird nicht authentifiziert, sondern nur weitergereicht…
    TMG Regel für Work Folders: WebServer und Protokoll 443 Traffic wird an den Web-Server weitergeleitet.
    TMG Regel für Work Folders: Benutzer auswählen und eintragen Ich habe hier “alle Benutzer” eingetragen…
    TMG Regel für Work Folders: Regel testen Ein Klick auf “Test Rue” zeigt, dass die Weiterleitung korrekt ist.
    Damit ist die Konfiguration an der TMG 2010 abgeschlossen. Im nächsten Blog Post werde ich dann den Abschluss dieser Work Folders Serie beschreiben, nämlich die Implementierung der Work Folders unter Windows 8.1, und zwar für ein Gerät in der Domäne als auch ein BYOD Gerät.
  1. Work Folders | Überblick
  2. Work Folders | Einrichtung Server und Konfiguration
  3. Work Folders | Quota und SMB
  4. Work Folders | Zertifikate ausrollen
  5. Work Folders | Client Konfiguration

        TMG 2010 und IE9: Management Console Error

        17. August 2011 1 Kommentar

        Der letzte Windows Server 2003 mit dem ISA Server 2006 sollte weichen. Regelwerk korrekt exportiert. Neuer Windows Server 2008 R2 installiert, als Member Server der Domäne hinzugefügt. Wie in der alten Konfiguration 3 Netzwerkkarten mit exakt den gleichen Parametern gefüttert. Dann Microsoft Forefront Thread Management Gateway 2010 installiert.

        1. Aufruf der TMG Management Console: Fehler:

        An Error has occured in the script on this page.
        Line : 287
        Char : 13
        Error : Invalid Argument
        Code : 0
        URL : file:///C:/Program%20Files/Microsoft%20Forefront%20Threat%20Management%20Gateway/UI_HTMLs/Generic.htm?guid=%7BA1D27D3E-0030-4486-A6FE-1AAE77C01E3A%7D
        Do you want to continue running scripts on this page?

        Nichts wird angezeigt. Immer wieder die gleiche Meldung. Was war passiert ?
        Nun, eine Domänengruppenrichtlinie installiert den Internet Explorer 9. Und der kann nicht mit TMG 2010. Auch nicht mit den Service Packs des TMG.

        Abhilfe 1: Deinstallation des IE9 ? Eine Möglichkeit
        Abhilfe 2:

        Beenden Sie die TMG Management Console und öffnen Sie die Datei: "C:\Program Files\Microsoft Forefront Threat Management Gateway\UI_HTMLs\TabsHandler\TabsHandler.htc"  mit dem Editor.

        Suchen Sie nach den 3 Zeilen, mit dem Inhalt  “.PaddingTop” und kommentieren Sie die Zeile durch das Voranstellen von “//” aus.

        Beispiel:  Ändern Sie
        m_aPages [niPage].m_tdMain.style.paddingTop = ((m_nBoostUp < 0) ? -m_nBoostUp : 0) ;
        in
        //m_aPages [niPage].m_tdMain.style.paddingTop = ((m_nBoostUp < 0) ? -m_nBoostUp : 0) ;

        Speichern Sie die geänderte Datei und öffnen Sie die TMG Management Console neu.

        Mein Resümee:

        Schade, dass bei Microsoft die Qualitätskontrolle nicht bei allen eigenen Produkten eingesetzt wird.

        Folgen

        Erhalte jeden neuen Beitrag in deinen Posteingang.

        Schließe dich 77 Followern an

        %d Bloggern gefällt das: