Admin Center blocki...
 
Notifications
Clear all

Admin Center blockieren

8 Posts
3 Users
0 Reactions
2,492 Views
(@scorpion99)
Eminent Member
Joined: 4 years ago
Posts: 22
Topic starter  

Hallo zusammen,

 

Folgende Situation:

2x Exchange 2019 als DAG vorhanden.

Ziel das EAC nur aus dem internen Netz erreichbar machen

 

Habe diese Anleitung von franky gefunden

https://www.google.de/amp/s/www.frankysweb.de/exchange-2016-eac-nur-im-internen-netzwerk-freigeben/amp/

wenn ich die Anleitung richtig verstehe, müsste ich ja den Befehl auf Mail 1 ausführen und kann dann auf Mail 2 noch ins Admin Center kommen? Aber gleichzeitig habe ich den Zugriff aus dem Netz geschlossen?!

 

korrigiert mich bitte wenn ich es falsch verstanden habe. 


   
Quote
NorbertFe
(@norbertfe)
Joined: 4 years ago
Posts: 1583
 

Sinnvoller wäre, das per Reverse Proxy schon vor dem Exchange abzufangen. Das geht bei einer DAG am sinnvollsten vermutlich am Loadbalancer. Wenn nicht da, dann per Firewall und WAF.

Bye

Norbert


   
ReplyQuote

Frank Zöchling
(@franky)
Honorable Member Admin
Joined: 15 years ago
Posts: 512
 

Servus,

bei 2 Servern in einer DAG würde ich das EAC nur auf einem der Server sperren (wie im Artikel oben beschrieben). Den anderen Server dann zur Verwaltung nehmen. An der der Firewall oder WAF würde ich dann kein Loadbalancing zwischen Server 1 / 2 nutzen, sondern ein Failover (Bei F5 heißt dies Priority Group). Sprich solange Server 1 (mit gesperrtem EAC antwortet) werden alle externen Verbindungen zu Server1 geleitet, fällt Server1 aus, werden externe Verbindungen zu Server2 geleitet (dann mit verfügbaren EAC).

Hintergrund: Nur /ecp in der Firewall oder WAF zu sperren, ist oft kontraproduktiv, da auch die Einstellungen für OWA der Benutzer über /ecp laufen. Willst du also nicht die Benutzer aus den OWA Einstellungen aussperren, bleibt da meist nur der Workaround (bei mehr Servern wird es dann einfacher).

Gruß,

Frank


   
ReplyQuote
Frank Zöchling
(@franky)
Honorable Member Admin
Joined: 15 years ago
Posts: 512
 

Servus,

kleiner Nachtrag: Man könnte bei einem Reverse Proxy / WAF mit Auth. Feature auch nur die "Admin Benutzer" aus dem /ecp aussperren (ohne das EAC deaktiviert werden muss).

/Frank


   
ReplyQuote

NorbertFe
(@norbertfe)
Joined: 4 years ago
Posts: 1583
 

Soweit mir bekannt, werden die User nicht mehr in /ecp gelotst. Hab’s aber ne Weile nicht getestet. Für intern und extern kann man dann einfach zwei Virtual Services auf dem loadbalancer konfigurieren.


   
ReplyQuote
NorbertFe
(@norbertfe)
Joined: 4 years ago
Posts: 1583
 
Veröffentlicht von: @franky

da auch die Einstellungen für OWA der Benutzer über /ecp laufen.

Welche denn?


   
ReplyQuote

(@scorpion99)
Eminent Member
Joined: 4 years ago
Posts: 22
Topic starter  

Ich danke euch.

werde es mit dem Befehl erstmal probieren und kann es ja sonst auch wieder Rückgängig mit dem gleichen Befehl auf true machen?

 

sollte ja keine Auswirkungen haben bis auf das ich dann auf Mail 1 nicht mehr ins admin Center komme, so wie ich es haben will und übers Internet wäre er auch nicht erreichbar 

Get-EcpVirtualDirectory -Server mail | Set-EcpVirtualDirectory -AdminEnabled:$false

   
ReplyQuote
NorbertFe
(@norbertfe)
Joined: 4 years ago
Posts: 1583
 

Ich würds trotzdem am reverse proxy lösen. Wenn man Prä-auth nutzt kann man es auch für bestimmte Gruppen erlauben, wobei ich behaupte (bis es widerlegt ist), dass ein User ecp gar nicht braucht.


   
ReplyQuote

Share: