Dieser Artikel im PDF-Format beschreibt eine konkrete Implementierung der Terminaldienste für den sicheren Zugriff durch Benutzer, die sich außerhalb des Unternehmensnetzwerks befinden.

Verwandte Beiträge:

1. Terminal Server 2008 einrichten
   Als Grundlage eines TS 2008 dient in diesem Beispiel ein...
2. RDP-Neuerungen unter Windows Server 2008
   Für die tägliche Arbeit der Administratoren gehört mittlerweile die RDP-Verbindung...
3. NAP – Network Access Protection
   Mit NAP, der Network Access Protection, möchte Microsoft die Sicherheit...

http://www.shudnow.net/2007/07/15/publishing-exchange-2007-autodisover-in-isa-2006/
http://www.isaserver.org/tutorials/Publishing-Exchange-2007-Outlook-Autodiscover-2006-ISA-Firewalls.html

Hier bin ich einen anderen Lösungsweg gegangen. In der Exchange-Newsgroup habe ich mal durch Zufall einen Thread verfolgt, in dem jemand fragte, ob man den Autodiscover-Pfad für den Client vorgeben kann. Frank Carius hat dann einen Link gefunden und gepostet.

http://office.microsoft.com/search/redir.aspx?AssetID=AM102105061033

Das Problem ist nur die Beispiel-XML-Datei. Diese XML-Datei muss für die Verwendung mit Outlook Anywhere angepasst werden. Die folgende „Anleitung“ beschreibt also diesen Ansatz.

Das Problem

Hintergrund: Autodiscover funktioniert nicht bei Clients, welche über das Internet eine Verbindung über ISA Server herstellen und/oder keine Domänenmitglieder sind. Im Synchronisierungsprotokoll von Outlook 2007 steht dann:

Grund des Problems ist die URL, welche vom ISA Server nicht erlaubt wird (autodiscover.Domaene.tld).

Die Lösung (eine mögliche)

Die Lösung wäre jetzt für dieses Beispiel, dem Client eine URL mitzugeben, die er für Autodiscover nutzen kann und welche erlaubt ist. Dazu muss die Registry um einen Eintrag für den Domänennamen für Outlook Anywhere (öffentlicher Name) und den Verweis zu der lokalen XML-Datei ergänzt werden. Der Registry-Pfad lautet:
HKEY_CURRENT_USER\Software\Microsoft\Office\12.0\Outlook\Autodiscover.

XML-Datei

Die XML-Datei sieht wie folgt aus.

Es kann eine beliebige andere XML-Datei aus dem Verzeichnis verwendet werden, lediglich der Punkt <TYPE> muss auf WEB gesetzt und der Punkt <Server> auf HTTPS://servername.tld gesetzt werden.

Die XML-Datei liegt dann in folgendem Verzeichnis:

Einstellungen für Outlook Anywhere in Outlook 2007

Test der Autokonfiguration

Test der Autokonfiguration über Outlook Anywhere:

Regel auf dem ISA Server

Auf dem ISA Server muss der Pfad für das /Autodiscover Verzeichnis zu dem /RPC Pfad hinzugefügt werden.

Verteilung

Die XML-Datei und der Reg-Key müssen jetzt noch an den Client übertragen werden. Dieser Vorgang kann mit Skripten etc. automatisiert werden.

Vielen Dank an Marc Grote für die Zusammenarbeit.

Verwandte Beiträge:

1. Migration von Exchange 2003 nach Exchange 2007
   Es gibt mehrere Möglichkeiten, auf die aktuelle Version von Exchange...
2. Exchange 2007 auf Windows Server 2008 R2 installieren
   Mit dem Service Pack 3 für Exchange Server 2007 ist...
3. Exchange 2007 SP2 und Windows Server 2008 R2
   Es besteht jetzt die Möglichkeit, Exchange 2007 SP2 auf Windows Server...

Microsoft hat sich viel Mühe gegeben, eine saubere Schnittstelle zu schaffen, die nicht nur von Programmierern (z.B. C++, VB, DotNet) genutzt werden kann, sondern auch von VB-Skript. Die Steuerung ist auf der ISA-Maschine selbst ebenso möglich wie remote, der Code lässt sich auch in ASP-Skripten einsetzen (wobei es mitunter mit den Berechtigungen etwas knifflig werden kann). Besondere Beachtung sollte die Möglichkeit finden, solche Skripte per geplantem Task zu starten, um sehr genaue zeitgesteuerte Aktionen zu veranlassen.

Alle Versionen des ISA-Servers (2000, 2004, 2006) lassen sich skripten. Da das Modell jedoch zwischen 2000 und 2004/6 grundlegende Unterschiede aufweist, will ich in den folgenden kleinen Beispielen nur auf die aktuellen Versionen eingehen. Diese sind in fast allen Punkten kompatibel.

Für eigene Versuche ist eine ausführliche Referenz unabdingbar. Diese findet man im ISA-SDK (http://www.microsoft.com/downloads/details.aspx?FamilyID=16682C4F-7645-4279-97E4-9A0C73C5162E&displaylang=en ) als CHM-Datei. Online gibt es einige Hinweise und Beispiele unter http://msdn2.microsoft.com/en-us/library/ms828066.aspx und auch hier die Referenz unter http://msdn2.microsoft.com/en-us/library/ms828066.aspx.

Zwei zugegeben sehr einfache Beispiele sollen sowohl den Nutzen als auch die Einfachheit der Skriptsteuerung demonstrieren:

Beispiel 1: Regel (de)aktivieren

Im ISA existiert eine bestimmte Regel, die sagen wir bestimmten Mitarbeitern während der Arbeitszeit den Zugriff auf gewisse Seiten verbietet. Diese Regel soll nun (per Skript und geplantem Task) von 17:30 Uhr bis 07:45 Uhr deaktiviert sein (das Zeitfenster im ISA selbst erlaubt leider nur eine Zeitauflösung im Stundentakt).

Aufruf:
Regelschalter.vbs Regelname on|off
z.B. Regelschalter.vbs "Surfsperre Vertrieb“ on

‘ Regelschalter.vbs
If WScript.Arguments.Count <> 2 THEN
    Msgbox "Falsche Anzahl Parameter!",  vbExclamation
    Wscript.Quit
End If

Set root = CreateObject("FPC.Root")
Set isaArray = root.GetContainingArray()
Set policyrules = isaArray.ArrayPolicy.PolicyRules

for each rule in policyrules
    If lcase(rule.Name) = lcase(WScript.Arguments(0)) Then
        If lcase(WScript.Arguments(1)) = "on" Then
            rule.Enabled = true
        Else
            rule.Enabled = false
        End If
        rule.Save
    End If
next

Beispiel 2: URL sperren

Als Administrator steht man mitunter vor der Aufgabe, eine bestimmte Domäne (IP, URL) zu sperren, sei es weil von dort aus Angriffe gefahren werden, sei es weil die Geschäftsleitung wünscht. Viel zu umständlich, das per vielen Mausklicks über die ISA-Konsole zu machen. Das Skript geht davon aus, dass eine Verweigerungsregel und der zugehörige Adresssatz schon besteht und nur ergänzt werden muss.

' URLSperre
Const sURLSatz = "BoeseSeiten"

URL = Inputbox("Bitte zu sperrende URL eingeben")

Set root = CreateObject("FPC.Root")
Set isaArray = root.GetContainingArray()
Set URLSet = isaArray.RuleElements.URLSets.Item(sURLSatz)
URLSet.Add(sURL)
URLSet.Add("*." & sURL)

URLSet.Save

Anmerkungen:
1.    Analog kann man auch eine Domäne in einen Domänensatz einfügen.
2.    Wie man sieht, wird der Eintag doppelt eingefügt. Auf diese Weise wird sowohl boeseSeite.com als auch www.boeseSeite.com gesperrt. Bei IP-Adressen sollte man dies unterlassen (das lässt sich ggf. über einen regulären Ausdruck unterscheiden).

… und jetzt remote

Natürlich geht das ganze auch remote. Dabei lässt sich auch das Konto und Passwort des ISA-Administrators übergeben oder, falls leer gelassen, auch mit den aktuellen Anmeldedaten zugreifen.

Dazu muss man nur jeweils die Zeile
Set isaArray = root.GetContainingArray()

ändern in

Set isaArray = root.Arrays.Connect(IsaServerName,IsaAdmin,””,Pwd)

Wobei für die Parameter natürlich die entsprechenden Werte einzusetzen sind.

So, ich hoffe das macht Appetit auf eigene Experimente…

Verwandte Beiträge:

1. Automatische Backups für SQL Server Express
   Die Express-Edition des SQL Server 2005 erfreut sich ähnlich großer...
2. TS Web Access 2008 über ISA Server veröffentlichen
   Windows Server 2008 hat die Terminaldienste deutlich erweitert. Unter anderem...
3. Tipps und Tricks zum Backup eines SQL Server
   Tägliches Backup: Backup-Datei Tägliches Backup: Backup-Medium Tägliches Backup: Automatisierung Tägliches...