Quelltext der Seite Apache2 als Reverse Proxy für Exchange 2010 2013 2016 2019 inklusive Outlook Anywhere RPC over http

<!--{{Vorlage:AchtungBaustelle}}-->
{{Vorlage:Hinweis| Diese Anleitung habe ich zuletzt mit Ubuntu 20.04 und Exchange 2019 selbst getestet!}}<br>
[[Kategorie:Apache2]]
[[Kategorie:Exchange]]
[[Kategorie:Exchange+Outlook]]
[[Kategorie:Linux]]
[[Kategorie:Ubuntu]]
[[Kategorie:Webserver]]
Nachfolgend beschreibe ich wie
* ein Webserver mit
* mehreren Servern dahinter
* sich eine externe IP teilen und
* je nach DNS-Name / Subdomain die Anfragen zu den einzelnen Servern weiter geleitet werden
* inklusive eines Exchange-Server mit OWA, ActiveSync und(!) Outlook Anywhere (RPC over http)
<br>
<u>'''ChangeLog:'''</u>
* 20.11.2014: Eintrag in Konfigurationsdatei hinzugefügt damit AutoDiscover funktioniert - hatte Probleme bei der Authentifizierung
* 20.11.2014: Expectation Failed Apache 417 - Fehler behoben! Der [https://testconnectivity.microsoft.com/ Remote Connectivity Analyzer] meldet keine Fehler bei AutoDiscover und ActiveSync mehr!!!
* 20.11.2014: Und noch den letzten Fehler gefunden - der Zugriff auf den /ews Teil scheiterte an der Authentifizierungsmethode NTLM - geht durch den Apache nicht Fehlerfrei durch, Workaoround gebaut
* 21.11.2014: Text zu den notwendigen Subdomains und den Zertifikaten noch etwas weiter ausgeführt
* 18.12.2014: <code>a2enmod headers</code> hinzugefügt, ist nicht unbedingt ab Werk aktiv
* 17.12.2015: Ergänzungen zum OAB Modul (Offline Address Book) - Dank an '''T. Andreas'''
* 21.04.2016: Ergänzung zum Anhang versenden per Active Sync - Danke an '''RWambacher'''
* 24.03.2019: Anpassung des Artikels an Ubuntu 18.04 und Exchange 2016
* 24.04.2019: Neue Version mit Exchange 2016
* 08.05.2019: aktive Konfiguration wie ich diese zur Zeit im Live-Betrieb habe
* 10.12.2020: Lösung die ohne Änderung an der IIS Security auskommt von '''Marco Maus''' ( marco.maus@mit-system.eu ) übernommen
* 02.04.2021: Sicherheitsproblem im Zusammenhang mit dem mpm_prefork - Modul und nicht Outlook-Clients behoben
<br>
----
==Ausgangslage==
Ich habe einen ESXi-Server im Internet stehen. Auf diesem laufen
* pfSense als zentrale Firewall
* ein WEBSERVER mit dieser und anderen Webseiten (Ubuntu 18.04.x LTS / Apache2 / MySQL) mit ISPConfig zur Verwaltung
* ein ZABBIX Server (Zabbix 5.0.x auf Ubuntu 20.04.x LTS / Apache2 / MariaDB)
* ein SEAFILE Server (Seafile 7.2.1 auf Ubuntu 20.04.x LTS / Apache2 / MySQL)
* zwei EXCHANGE Server (Exchange 2016 auf Windows Server 2016)
<br>
Diesen Server habe ich bei <del>Kimsufi SoYouStart</del> OVH gemietet <del> - die sind sehr günstig - aber bieten auch nur eine einzige externe IP-Adresse.</del><br>
Die IPv4 liegt an der pfSense Firewall extern an. Nun wollte ich das je nach Subdomain die entsprechende Webseite bzw. der entsprechende Server angesprochen wird.<br>
[[Datei:Exchange-Apache-Proxy-001.png]]<br>
<br>
Die Schwierigkeit lag nun darin das ich diverse Domänen haben - und hinter diesen verschieden Subdomains, teils mit '''http''', teils mit '''https'''<br>
Trotzdem sollte sich alles eine gemeinsame externe IP-Adresse teilen. Ich hätte ja auch nur den Port 443 an den Exchange weiterleiten (NAT) können - aber dann hätte ich keine anderen<br>
Webseiten mit '''https''' absichern können ... und das in der heutigen Zeit
<br>
Bei Webseiten ist dies nicht weiter schwierig - je nachdem mit welchem DNS-Namen man von extern kommt serviert Apache die entsprechende Webseite.<br>
Dies habe ich mit einer Apache-VirtualHost (vhost) Konfiguration gelöst: http://httpd.apache.org/docs/2.4/vhosts/examples.html<br>
Da es einfacher zu verwalten ist nutze ich '''ISPConfig''' ( http://www.ispconfig.de/ ) zur Konfiguration.<br>
Im Verzeichnis<br>
 /etc/apache2/sites-available
liegt dazu für jede Webseite / Subdomain eine passende Datei mit der Konfiguration eben dieser Domain / Subdomain.<br>
 # ls -l /etc/apache2/sites-available
 drwxr-xr-x 2 root root 4096 Okt 31 19:34 ./
 drwxr-xr-x 8 root root 4096 Okt 14 23:35 ../
 -rw-r--r-- 1 root root 6437 Jan  7  2014 default-ssl.conf
 -rw-r--r-- 1 root root 1622 Okt 31 08:44 ispconfig.conf
 -rw-r--r-- 1 root root 2023 Okt 31 08:44 ispconfig.vhost
 -rw-r--r-- 1 root root 3601 Nov  2 12:09 mail.linz.email.vhost
 -rw-r--r-- 1 root root  922 Okt 31 19:57 seafile.znil.net.vhost
 -rw-r--r-- 1 root root 3357 Okt 25 20:57 support.znil.net.vhost
 -rw-r--r-- 1 root root  945 Okt 25 22:57 zabbix.znil.net.vhost
 -rw-r--r-- 1 root root 3361 Okt 24 23:58 znil.de.vhost
 -rw-r--r-- 1 root root 2923 Okt 25 00:01 znil.net.vhost
usw.<br>
Jede Datei besitzt einen symbolischen link in das Verzeichnis<br>
 /etc/apache2/sites-enabled
es ist also beides die jeweils gleiche Datei.<br>
Durch direktes Bearbeiten dieser Dateien kann man nun steuern wo etwas landen soll. Habt Ihr keine vhost Konfiguration und gibt es nur eine Datei in diesen Verzeichnissen so müsst Ihr einfach eine neue Datei anlegen. In diesem Fall aktiviert Ihr die Datei mit<br>
 a2ensite [name_der_datei]
Die Datei wird dann nach 
 /etc/apache2/sites-enabled
verlinkt (und was Apache sonst noch machen muss).<br>
<br>
<br>
----

==Apache Module nachinstallieren / aktiviern==
Um den Apache auch als Reverse Proxy nutzen zu können brauch es ein paar Module die erst noch aktiviert werden müssen:<br>
 a2enmod headers
 a2enmod rewrite
 a2enmod proxy_http
 a2enmod ssl
Im Anschluss ein
 systemctl restart apache2.service
und es kann losgehen.<br>
<br>
<br>
----

==Domänen / Subdomains anlegen==
Ihr müsst bei eurem Provider / Hoster der Domänen die folgenden Subdomains anlegen:<br>
* wenn eure Domäne <code>linz.email</code> heisst dann die Subdomains
** <code>mail.znil.org</code> <- da lassen wir den MX-Record drauf zeigen
** <code>autodiscover.mail.znil.org</code> <- brauchen wir damit Autodiscover funktioniert
Beide Einträge sollten dann auf die externe IP-Adresse eures Apache-Servers zeigen.<br>
<br>
Diese Domänen brauchen wir dann auch auf eurem Server mit Apache. Falls ihr ISPConfig nutzt legt bitte nur die '''''mail.domäne.suffix''''' dort an - die andere Subdomain '''''autodiscover.domäne.suffix''''' schreiben wir direkt in die Konfigurationsdatei.<br>
<br>
Wenn Ihr das von Hand machen wollt legt eine Datei im Verzeichnis <code>/etc/apache2/sites-available</code>, das kann auch gleich die weiter unten aufgeführte Datei sein.
<br>
<br>
----

==Port Weiterleitung / Port Forwarding / NAT==
Egal ob wie hier eine pfSense-Maschine oder eine Fritzbox - leitet die externen Ports<br>
 80
 443
an euren internen Webserver weiter (also den Server auf dem der Apache Reverse Proxy läuft).<br>
Brauchen eure anderen Server noch weitere Ports wie bei mir (siehe Zeichnung oben) so leitet die entsprechenden Ports dann direkt an die jeweiligen Server weiter,<br>
bei mir z.B. den Port 25 für SMTP an den Exchange Server oder den Port 10051 an den Zabbix-Server.<br>
<br>
<br>
----
==Apache Reverse Proxy==
Nachdem wir die Domänen angelegt haben und es für jede dieser Domänen eine eigene '''''.vhost''''' Datei unter
 /etc/apache2/sites-available
und deren Verlinkung unter
 /etc/apache2/sites-enabled
gibt bearbeiten wir diese für die verschiedenen Subdomains.<br>
Bearbeitet immer die Version unter <code>sites-available</code>.<br>
<br>
<br>
----

==Zabbix-Server (zum Aufwärmen)==
Bevor wir mit der "dicken" Konfigurationsdatei für Exchange anfangen eine kleinere, leichtere zum Einstieg und zum Verständnis.<br>
Mein Zabbix-Server soll extern über die Subdomain
 zabbix.znil.net
erreichbar sein.<br>
In ISPConfig habe ich diese Subdomäne als Host angelegt und habe somit auch eine Datei<br>
 /etc/apache2/sites-available/zabbix.znil.net.vhost
Intern hat der Zabbix-Server die IP-Adresse
 192.168.200.20
Wir bearbeiten nun also die Datei:<br>
 nano /etc/apache2/sites-available/zabbix.znil.net.vhost
Löschen den gesamten Inhalt (bei '''nano''' mal {{key|F9}} probieren!) und ersetzen diesen durch den folgenden:<br>
 <VirtualHost 192.168.200.10:80>
                ServerName zabbix.znil.net
                ServerAdmin webmaster@znil.net
                <nowiki>ProxyPass / http://192.168.200.20/</nowiki>
                <nowiki>ProxyPassReverse / http://192.168.200.20/</nowiki>
 </VirtualHost>
 
 <VirtualHost 192.168.200.10:443>
                ServerName zabbix.znil.net
                ServerAdmin webmaster@znil.net
                SSLEngine on
                SSLCertificateFile /var/www/zabbix.znil.net/ssl/zabbix.znil.net.crt
                SSLCertificateKeyFile /var/www/zabbix.znil.net/ssl/zabbix.znil.net.key
                <nowiki>ProxyPass / http://192.168.200.20/</nowiki>
                <nowiki>ProxyPassReverse / http://192.168.200.20/</nowiki>
 </VirtualHost>
Wie Ihr seht gibt es jeweils eine http (Port 80) und https (Port 443) Konfiguration. Braucht ihr eines von beiden nicht so lasst es weg.<br>
<br>
Erklärungen:<br>
 <VirtualHost 192.168.200.10:80>             : Die 192.168.200.10 ist die interne IP-Adresse unseres Webservers.
                                               Auf diese IP werden per NAT von extern die Ports 80 und 443 weiter geleitet.
                                               Steht euer Webserver direkt im Internet wäre dies die öffentliche IP des Servers
                                               Der Port ist hier 80 (hhtp) oder 443 (https)
 
 ServerName zabbix.znil.net                  : Die Subdomäne / Domäne für welche die Einstellungen gelten sollen
 
 ServerAdmin webmaster@znil.net              : Email-Adresse an die sich bei Problemen gewandt werden soll
 
 ProxyPass / <nowiki>http://192.168.200.20/</nowiki>          : leitet alle Anfragen an die Subdomain an diese (interne) IP-Adresse weiter.
                                               Man könnte auch einen DNS-Namen nehmen
 
 ProxyPassReverse / <nowiki>http://192.168.200.20/</nowiki>   : Der Rückweg zur vorherigen Regel
Bei der SSL Konfiguration steht zusätzlich noch<br>
 SSLEngine on
 SSLCertificateFile /var/www/zabbix.znil.net/ssl/zabbix.znil.net.crt
 SSLCertificateKeyFile /var/www/zabbix.znil.net/ssl/zabbix.znil.net.key
Hier wird also ein SSL Zertifikat verwendet - die Kommunikation nach extern(!) findet also verschlüsselt statt! Intern ist die Weiterleitung aber per http:, intern wird also unverschlüsselt Kommuniziert.<br>
Soll/Muss intern der Datenverkehr auch verschlüsselt stattfinden so gebt einfach die https-Adressen an.<br>
Man kann auch noch "Rewrite" Regeln angeben - das ist eine Text-Ersetzung die stattfindet.<br>
Wenn Ihr im Teil für Port 80 so ändert:<br>
  <VirtualHost 192.168.200.10:80>
                ServerName zabbix.znil.net
                ServerAdmin webmaster@znil.net
                RewriteEngine On
                RewriteCond %{HTTPS} off
                RewriteRule (.*) <nowiki>https://%{HTTP_HOST}%{REQUEST_URI}</nowiki> [R=301,L]
 </VirtualHost>
Würde ein {{Key|http:}} Aufruf auf {{Key|https:}} umgeleitet.<br>
Von den Rewrites macht gleich die Exchange-Lösung massiv gebrauch.<br>
<br>
<br>
----

==Exchange-Server==
Die Exchange-Version ist etwas umfangreicher ...
----
===Outlook Anywhere Unterstützung nachinstallieren===
Seit Ubuntu 14.04 geht das einfach mit<br>
 apt install libapache2-mod-proxy-msrpc
Nach der Installation funktioniert der Eintrag
 OutlookAnywherePassthrough On
ohne Installation wird Apache meckern und nicht starten.<br>
----
===KeepAlive Einstellung des Apache prüfen===
Unter Ubuntu 20.04 / 18.04 ist diese Einstellung normalerweise schon ab Werk aktiv, wir prüfen das zur Sicherheit aber einmal:<br>
 nano /etc/apache2/apache2.conf
und dort die Zeile
 KeepAlive On
suchen - diese sollte nicht aus kommentiert sein und auf On stehen.<br>
Dieser Hinweis stammt von Marco Maus und ist wichtig damit die Authentifizierung per NTLM funktioniert.<br>
----
===Apache2 Module prüfen===
Auch diese Einstellungen sind unter Ubuntu 20.04 bereits ab Werk deaktiviert und aktiviert (war bei mir zumindest so), aber es schadet nicht sicher zu gehen
 a2dismod mpm_event
 a2enmod mpm_prefork
 systemctl apache2.service restart
Dieser Hinweis stammt von Marco Maus und ist wichtig damit die Authentifizierung per NTLM funktioniert.<br>
----

===Zertifikate===
Im Moment nutze ich für den Apache2 ein Lets Encrypt Zertifikat welches immer automatisch erneuert wird.<br>
In der nachfolgenden Konfiguration wird ein Zertifikat für
 mail.znil.org
 autodiscover.znil.org
benötigt. Das könnt Ihr auf dem Linux-Server wie folgt anfordern:<br>
 systemctl stop apache2
 certbot certonly --standalone --preferred-challenges http --rsa-key-size 4096 -d <span style="background:yellow">mail.znil.org</span> -d <span style="background:yellow">autodiscover.znil.org</span>
 systemctl start apache2
Damit wird der Apache-Webserver gestoppt, das Zertifikat angefordert und der Apache wieder gestartet.<br>
Werden weitere DNS-Namen benötigt so fügt einfach weitere <code>-d</code> Einträge hinzu - und unten in der Konfiguration weitere <code>ServerAlias</code>-Einträge<br>
<br>
So ein Lets Encrypt Zertifikat läuft nach 3 Monaten ab und muss dann erneuert werden.<br>
Die Erneuerung funktioniert nach dieser Methode:
 [[Lets Encrypt Zertifikate erneuern mit Apache Reverse Proxy]]
Dabei halte ich den Apache Dienst im Falle einer Erneuerung immer kurz an. Da dieses nur selten vorkommt (bei meinen 30 Subdomänen so alle 3 Tage mal für eine Minute) kann ich damit gut leben.<br>
Auf dem Exchange 2016 nutze ich eine selbstsigniertes Zertifikat welches ich einfach über das Management erstellt habe
 Server => Zertifikate => +
:[[Datei:ClipCapIt-190424-115141.PNG]]<br>
Dieses ist 5 Jahre gültig bei mir - sollte erst einmal ausreichen. Auch in diesem Zertifikat sollten aber alle DNS-Namen vorhandenen sein die genutzt werden (und das Lets Encrypt Zertifikat hat)<br>
In der Apache2 Konfiguration oben sind alle Prüfungen ausgeschaltet - solange also nur über den Apache-Proxy zugegriffen wird gibt es keine Probleme.<br>
<br>
<u>'''Zusammengefasst:'''</u>
* nach extern wird ein kostenloses "Lets Encrypt" Zertifikat genutzt und automatisch erneuert<br>
* intern nutzt der Exchange-Server ein selbst signiertes Zertifikat welches länger gültig ist und deshalb nicht erneuert werden muss.
<br>
----
===Konfigurationsdatei===
Die nachfolgende Version funktioniert bei mir Einwandfrei mit Exchange 2019 auf Windows Server 2019.<br>
 # Tipp von Bernd Krumböck wegen Sicherheitsproblemen mit dem MPM Modul und NTLM Authentifizierung
 # Clients welche EWS verwenden (z.B. AquaMail) bekommen E-Mails anderer Sitzungen synchronisiert
 # ServerLimit und MaxRequestWorkers ggf. an die Anzahl der vorhandenen Clients anpassen
 #ServerLimit 300
 #MaxRequestWorkers 300
 MaxConnectionsPerChild 1
 
 <VirtualHost <span style="background:yellow">10.100.12.10</span>:80>
         ServerName <span style="background:yellow">mail.znil.org</span>
         ServerAlias <span style="background:yellow">autodiscover.znil.org</span>
         ServerAdmin <span style="background:yellow">webmaster@znil.org</span>
 
         ErrorLog /var/log/apache2/error.log
         # Nachfolgende Zeile loggt jeden Zugriff, alternativ den Zeile darunter verwenden, dann werden die Logs verworfen
         CustomLog /var/log/apache2/access.log combined
         #CustomLog /dev/null common
 
         Header always set X-Frame-Options SAMEORIGIN
         Header set Server Apache
         RequestHeader unset Expect early
         Header unset X-AspNet-Version
         Header unset X-OWA-Version
         Header unset X-Powered-By
 
         ProxyRequests Off
         RewriteEngine On
         RewriteCond %{HTTPS} !=on
         RewriteRule ^/owa(.*) https://<span style="background:yellow">mail.znil.org</span>/owa$1 [R,L]
         RewriteRule ^/ecp(.*) https://<span style="background:yellow">mail.znil.org</span>/ecp$1 [R,L]
         RewriteRule ^/Microsoft-Server-ActiveSync(.*) https://<span style="background:yellow">mail.znil.org</span>/Microsoft-Server-ActiveSync$1 [R,L]
 
         DocumentRoot <span style="background:yellow">/var/www/mail.znil.org/web</span>
 
         <Directory />
             Order deny,allow
             Deny from all
         </Directory>
 
         <Directory /var/www/<span style="background:yellow">mail.znil.org</span>/web>
             DirectoryIndex index.php index.html
             Options -Indexes +FollowSymLinks
             Order allow,deny
             Allow from all
         </Directory>
 
         <Proxy *>
                 Order deny,allow
                 Allow from all
         </Proxy>
 </VirtualHost>
 
 <VirtualHost <span style="background:yellow">10.100.12.10</span>:443>
         DocumentRoot <span style="background:yellow">/var/www/mail.znil.org/web</span>
 
         ServerName <span style="background:yellow">mail.znil.org</span>
         ServerAlias <span style="background:yellow">autodiscover.znil.org</span>
         ServerAdmin <span style="background:yellow">webmaster@znil.org</span>
 
         ErrorLog /var/log/apache2/error.log
         # Nachfolgende Zeile loggt jeden Zugriff, alternativ den Zeile darunter verwenden, dann werden die Logs verworfen
         CustomLog /var/log/apache2/access.log combined
         #CustomLog /dev/null common
 
         Header always set X-Frame-Options SAMEORIGIN
         Header set Server Apache
         Header unset X-AspNet-Version
         Header unset X-OWA-Version
         Header unset X-Powered-By
 
         RequestHeader unset Expect early
 
         SetEnvIf User-Agent ".*MSIE.*" value BrowserMSIE
         # 10.12.2020: Nachfolgende Zeilen würden eine Standardauthentifizierung erzwingen, ist nun nicht mehr Notwendig
         # Tipp von Marco Maus, Fragen an marco.maus@mit-system.eu
         # Header unset WWW-Authenticate
         # Header add WWW-Authenticate "Basic realm=<span style="background:yellow">mail.znil.org</span>"
         ProxyRequests Off
         ProxyPreserveHost On
 
         #abgeschaut von https://github.com/phr0gz/Apache-reverse-proxy-for-Exchange-2010-2013-2016/blob/master/webmail.conf
         ProxyVia Full
         RequestHeader edit Transfer-Encoding Chunked chunked early
         RequestHeader unset Accept-Encoding
         TimeOut 1800
         # Ende abgeschaut
 
         SSLProxyEngine On
         # Problemen mit Kommunikation zwischen Apache-Proxy und Exchange-Server aus dem Wege gehen
         # Alle SSL Prüfungen werden damit ausgeschaltet. So kann z.B. auch intern ein Selbstsigniertes Zertifikat verwendet werden
         SSLProxyVerify none
         SSLProxyCheckPeerCN off
         SSLProxyCheckPeerName off
         SSLProxyCheckPeerExpire off
 
         #Nachfolgende Zeile bewirkt das ein Aufruf von nur https://sub.name.suffix auf https://sub.name.suffix/owa weiter geleitet wird.
         Redirect / /owa/
 
         # owa
         ProxyPass /owa https://<span style="background:yellow">10.100.12.81</span>/owa
         ProxyPassReverse /owa https://<span style="background:yellow">10.100.12.81</span>/owa
         ProxyPass /OWA https://<span style="background:yellow">10.100.12.81</span>/OWA
         ProxyPassReverse /OWA https://<span style="background:yellow">10.100.12.81</span>/OWA
         ProxyPass /Owa https://<span style="background:yellow">10.100.12.81</span>/Owa
         ProxyPassReverse /Owa https://<span style="background:yellow">10.100.12.81</span>/Owa
 
         # ecp = Adminoberfläche - falls Zugriff nicht gewünscht einfach auskommentieren!
         ProxyPass /ecp https://<span style="background:yellow">10.100.12.81</span>/ecp
         ProxyPassReverse /ecp https://<span style="background:yellow">10.100.12.81</span>/ecp
         ProxyPass /ECP https://<span style="background:yellow">10.100.12.81</span>/ECP
         ProxyPassReverse /ECP https://<span style="background:yellow">10.100.12.81</span>/ECP
         ProxyPass /Ecp https://<span style="background:yellow">10.100.12.81</span>/Ecp
         ProxyPassReverse /Ecp https://<span style="background:yellow">10.100.12.81</span>/Ecp
 
         # mapi
         ProxyPass /mapi https://<span style="background:yellow">10.100.12.81</span>/mapi
         ProxyPassReverse /mapi https://<span style="background:yellow">10.100.12.81</span>/mapi
 
         # ews -> Exchange Web Services
         ProxyPass /ews https://<span style="background:yellow">10.100.12.81</span>/ews
         ProxyPassReverse /ews https://<span style="background:yellow">10.100.12.81</span>/ews
         ProxyPass /EWS https://<span style="background:yellow">10.100.12.81</span>/EWS
         ProxyPassReverse /EWS https://<span style="background:yellow">10.100.12.81</span>/EWS
         ProxyPass /Ews https://<span style="background:yellow">10.100.12.81</span>/Ews
         ProxyPassReverse /Ews https://<span style="background:yellow">10.100.12.81</span>/Ews
         ProxyPass /exchange https://<span style="background:yellow">10.100.12.81</span>/exchange
         ProxyPassReverse /exchange https://<span style="background:yellow">10.100.12.81</span>/exchange
         ProxyPass /Exchange https://<span style="background:yellow">10.100.12.81</span>/Exchange
         ProxyPassReverse /Exchange https://<span style="background:yellow">10.100.12.81</span>/Exchange
         ProxyPass /exchweb https://<span style="background:yellow">10.100.12.81</span>/exchweb
         ProxyPassReverse /exchweb https://<span style="background:yellow">10.100.12.81</span>/exchweb
         ProxyPass /public https://<span style="background:yellow">10.100.12.81</span>/public
         ProxyPassReverse /public https://<span style="background:yellow">10.100.12.81</span>/public
 
         # oab (Offline Address Book)
         ProxyPass /oab https://<span style="background:yellow">10.100.12.81</span>/oab
         ProxyPassReverse /oab https://<span style="background:yellow">10.100.12.81</span>/oab
         ProxyPass /OAB https://<span style="background:yellow">10.100.12.81</span>/OAB
         ProxyPassReverse /OAB https://<span style="background:yellow">10.100.12.81</span>/OAB
 
         # RPC over http(s) / Outlook Anywhere
         OutlookAnywherePassthrough On
         ProxyPass /rpc https://<span style="background:yellow">10.100.12.81</span>/rpc
         ProxyPassReverse /rpc https://<span style="background:yellow">10.100.12.81</span>/rpc
         ProxyPass /Rpc https://<span style="background:yellow">10.100.12.81</span>/Rpc
         ProxyPassReverse /Rpc https://<span style="background:yellow">10.100.12.81</span>/Rpc
 
         # Microsoft-Server-ActiveSync
         ProxyPass /Microsoft-Server-ActiveSync https://<span style="background:yellow">10.100.12.81</span>/Microsoft-Server-ActiveSync connectiontimeout=900
         ProxyPassReverse /Microsoft-Server-ActiveSync https://<span style="background:yellow">10.100.12.81</span>/Microsoft-Server-ActiveSync
 
         # Problem mit dem Versenden von Dateianhängen > 128KByte per ActiceSync umgehen (neuer Wert 30MByte)
         <Directory /Microsoft-Server-ActiveSync>
                 SSLRenegBufferSize 31457280
         </Directory>
 
         # AutoDiscover  -> Autodiscover for non-AD integrated Clients (Mac, eg.)
         ProxyPass /autodiscover https://<span style="background:yellow">10.100.12.81</span>/autodiscover
         ProxyPassReverse /autodiscover https://<span style="background:yellow">10.100.12.81</span>/autodiscover
         ProxyPass /Autodiscover https://<span style="background:yellow">10.100.12.81</span>/Autodiscover
         ProxyPassReverse /Autodiscover https://<span style="background:yellow">10.100.12.81</span>/Autodiscover
         ProxyPass /AutoDiscover https://<span style="background:yellow">10.100.12.81</span>/AutoDiscover
         ProxyPassReverse /AutoDiscover https://<span style="background:yellow">10.100.12.81</span>/AutoDiscover
 
         # Zeichensatz spezifieren fuer Umlaute
         AddDefaultCharset ISO-8859-1
 
         <Directory />
                 Order deny,allow
                 Deny from all
         </Directory>
 
         <Directory <span style="background:yellow">/var/www/mail.znil.org/web</span>>
                 DirectoryIndex index.php index.html
                  Options -Indexes +FollowSymLinks
                 Order allow,deny
                 Allow from all
         </Directory>
 
         <Proxy *>
                 # 10.12.2020: Nachfolgende 2 Zeilen sind nicht mehr Notwendig
                 # Tipp von Marco Maus, Fragen an marco.maus@mit-system.eu
                 # SetEnv proxy-nokeepalive 1
                 # SetEnv force-proxy-request-1.0 1
                 Order deny,allow
                 Allow from all
         </Proxy>
 
         # Nach extern ein Lets Encrypt Zertifikat nutzen:
         SSLEngine on
         SSLProtocol All -SSLv2 -SSLv3
         SSLHonorCipherOrder     on
         SSLCertificateFile /etc/letsencrypt/live/<span style="background:yellow">mail.znil.org</span>/fullchain.pem
         SSLCertificateKeyFile /etc/letsencrypt/live/<span style="background:yellow">mail.znil.org</span>/privkey.pem
         SSLCertificateChainFile /etc/letsencrypt/live/<span style="background:yellow">mail.znil.org</span>/chain.pem
 
         BrowserMatch "MSIE [2-6]" nokeepalive ssl-unclean-shutdown downgrade-1.0 force-response-1.0
         # MSIE 7 and newer should be able to use keepalive
         BrowserMatch "MSIE [17-9]" ssl-unclean-shutdown
 
 </VirtualHost>
<br>


Der Port 80 Teil ist nicht viel mehr als eine http zu https Umleitung.<br>
<!--Es ist das Verzeichnis <br>
 /var/www/mail.linz.email/web
angegeben - da liegt eine <code>index.html</code> mit einer Weiterleitung und ein paar Informationen und dem Link auf das Root-Zertifikat etc. - kann man machen, muss man aber nicht.<br>
<br>
-->
Ihr müsst alle folgenden Einträge mindestens anpassen<br>
* IP-Adresse '''10.100.12.10''' an eure IP-Adresse des Webservers
* IP-Adresse '''10.100.12.81''' an eure IP-Adresse des Exchange-Server
* '''mail.znil.org''' ändern zu eurem externen DNS-Namen
* '''autodiscover.znil.org''' ändern zu eurem externen DNS-Namen.
<br>
Ausserdem müsst Ihr ein externes Zertifikat erstellen und angeben - das kann das vom Exchange-Server exportierte sein - oder aber ein anderes, selbst erstelltes.<br>
Wie man das vom Exchange-Server verwendet steht im nächsten Abschnitt.<br>
<br>
Vergesst nicht den Apache neu zu starten nach Änderungen in der Datei!<br>
 systemctl restart apache2.service
<br>
----
<!--
===Zertifikat aus Exchange und das Exportieren um es in Apache zu nutzen===
Erstellt auf dem Exchange-Server ein passenden Zertifikat. Es muss mindestens<br>
* den Internen DNS-Namen
* den Externen DNS-Namen
* Den Internen NetBIOS Namen
enthalten.<br>
<br>
Falls Ihr dafür eine eigene Stammzertifizierungsstelle nutzt (die von Windows) solltet Ihr später auf den Windows-Clients die per ''''OWA''''' oder '''''Outlook Anywhere''''' zugreifen wollt solltet das Zertifikat dieser Stammzertifzierungsstelle auf den Clients importieren - der Client vertraut dann allen Zertifikaten die von dieser Zertifizierungsstelle ausgestellt wurden.<br>
Falls Ihr Outlook mit Outlook Anywhere / RPC over https nutzt müsst ihr das sogar machen! Sonst verbindet sich Outlook nicht!<br>
<br> 
Exportiert euer Exchange-Zertifikat wie hier beschrieben: https://www.sslshopper.com/move-or-copy-an-ssl-certificate-from-a-windows-server-to-an-apache-server.html<br>
Alternativ gibt es im Exchange auch einen Menüpunkt dafür.<br>
<br>
Dann kopiert Ihre eure <code>.pfx</code> Datei auf den Linux-Webserver.<br>
Ich nenne die Datei hier mal <code>zertifikat.pfx</code>, nachfolgend beschreibe ich die Befehle um das Zertifikat umzuwandeln:<br>
 openssl pkcs12 -in zertifikat.pfx -nocerts -out zertifikat.private.key
 openssl rsa -in zertifikat.private.key -out zertifikat.key
 rm zertifikat.private.key
 openssl pkcs12 -in zertifikat.pfx -clcerts -nokeys -out zertifikat.crt
Nun hab Ihr eine .crt und .key Date im Verzeichnis liegen die Ihr wie oben zu sehen einbinden könnt (mit genauen Pfad)
<br>
<br>
Nun funktioniert bei Outlook das folgende:<br>
 * OWA
 * Active Sync
aber leider noch nicht Outlook Anywhere -> und das kommt im nächsten Abschnitt!<br>
<br>
<br>
----
-->

<!--
==Outlook Anywhere Unterstützung nachinstallieren==
Seit Ubuntu 14.04 geht das einfach mit<br>
 apt-get install libapache2-mod-proxy-msrpc
-->
<!-- {{Hinweis| Die nachfolgenden Anleitung könnt Ihr ab Ubuntu 14.04.x inzwischen abkürzen - Ihr müsst das Modul inzwischen nicht mehr selbst kompilieren, es ist in den Paketquellen enthalten.<br>
:<code>apt-get install libapache2-mod-proxy-msrpc</code><br>
::Ihr könnt danach direkt zum Abschnitt [[#mod_proxy_msrpc in Apache einbinden|mod_proxy_msrpc in Apache einbinden]] springen}}<br>
<br>
Das funktioniert mit Apache-versionen ab 2.4.x - eure Version könnt Ihr mit<br>
 apache2 -v
Abfragen:<br>
 Server version: Apache/2.4.7 (Ubuntu)
 Server built:   Jul 22 2014 14:36:38
<br>
<br>
Apache selbst kann das mit dem Outlook Anywhere nicht mehr - aber jemand hat eine Lösung gebaut: 
 https://modules.apache.org/modules.lua?id=39
 https://github.com/bombadil/mod_proxy_msrpc<br>
Zusätzlich habe ich mir das hier durchgelesen um zu dieser Lösung zu kommen: http://www.klehr.de/michael/apache-als-reverse-proxy-fuer-outlook-anywhere/<br>
Ich habe dann mir hier wieder eine Schritt-für-Schritt Anleitung daraus gebaut.<br>
<br>
Die Installation dieses Moduls geht wie folgt:<br>
<br>
<br>
----
===Vorraussetzungen schaffen===
 apt-get install make gcc check
eventuell fehlen in eurem System noch mehr Vorraussetzungen:<br>
 No package 'check' found
Dann Installiert diese eben genau nach!<br>
<br>
<br>
----
===mod_proxy_msrpc herunterladen===
 git clone <nowiki>https://github.com/bombadil/mod_proxy_msrpc.git</nowiki> /usr/src/mod_proxy_msrpc
<br>
<br>
----

===mod_proxy_msrpc kompilieren und kopieren===
 cd /usr/src/mod_proxy_msrpc/
 ./configure
 make
In das Apache-Verzeichnis kopieren:<br>
 cp /usr/src/mod_proxy_msrpc/src/.libs/mod_proxy_msrpc.so /usr/lib/apache2/modules/
Dann noch folgende Datei erstellen:<br>
 nano /etc/apache2/mods-available/proxy_msrpc.load
und diesen Inhalt hinein kopieren:<br>
 LoadModule proxy_msrpc_module /usr/lib/apache2/modules/mod_proxy_msrpc.so
Speichern.
<br>
<br>
----

===mod_proxy_msrpc in Apache einbinden===
Nun können wir mit<br>
 a2enmod proxy_msrpc
die Erweiterung aktivieren.<br>
Vor dem Neustart von '''Apache''' passen wir unsere .vhost Datei nocheinmal an:<br>
 nano /etc/apache2/sites-available/mail.linz.email.vhost
und fügen noch folgende Zeile ein:<br>
 # RPC over http(s) / Outlook Anywhere
 OutlookAnywherePassthrough On
 ProxyPass /rpc <nowiki>https://192.168.200.80/rpc</nowiki>
 ProxyPassReverse /rpc <nowiki>https://192.168.200.80/rpc</nowiki>
<br>
Jetzt noch ein Neustart von Apache:<br>
 service apache2 restart
und wir können den Erfolg testen!<br>
<br>
<br>
----
-->

<!--
==Vollständige vHost-Datei==
Hier noch mal die komplette vHost-Datei:<br>
<source lang="XML">
<VirtualHost 192.168.200.10:80>
ServerName mail.linz.email
ServerAlias exchange.znil.local
ServerAlias autodiscover.linz.email
ServerAdmin admin@znil.net

ErrorLog /var/log/apache2/error.log
CustomLog /var/log/apache2/access.log combined

Header always set X-Frame-Options SAMEORIGIN

Header set Server Apache

Header unset X-AspNet-Version
Header unset X-OWA-Version
Header unset X-Powered-By

# Nachfolgende zeile löst den "Expectation Failed Apache 417" Fehler beim AutoDiscover etc.
RequestHeader unset Expect early

# Nachfolgende Zeilen sind um die Authentifizierung zu ermöglichen - NTLM-Funktioniert durch den Proxy nicht, deshalb Basis-Authentifizierung erzwingen
SetEnvIf User-Agent ".*MSIE.*" value BrowserMSIE
Header unset WWW-Authenticate
Header add WWW-Authenticate "Basic realm=mail.linz.email"

ProxyRequests Off

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^/owa(.*) https://mail.linz.email/owa$1 [R,L]
RewriteRule ^/ecp(.*) https://mail.linz.email/ecp$1 [R,L]
RewriteRule ^/Microsoft-Server-ActiveSync(.*) https://mail.linz.email/Microsoft-Server-ActiveSync$1 [R,L]

DocumentRoot /var/www/mail.linz.email/web

<Directory />
    Order deny,allow
    Deny from all
</Directory>

<Directory /var/www/mail.linz.email/web>
    DirectoryIndex index.php index.html
    Options -Indexes +FollowSymLinks
    Order allow,deny
    Allow from all
</Directory>

<Proxy *>
        Order deny,allow
        Allow from all
</Proxy>

</VirtualHost>




<VirtualHost 192.168.200.10:443>

ServerName mail.linz.email
ServerAlias autodiscover.linz.email

ServerAdmin admin@linz.email

ErrorLog /var/log/apache2/error.log
CustomLog /var/log/apache2/access.log combined

Header always set X-Frame-Options SAMEORIGIN

Header set Server Apache

Header unset X-AspNet-Version
Header unset X-OWA-Version
Header unset X-Powered-By

RequestHeader unset Expect early

#SetEnvIf User-Agent ".*MSIE.*" value BrowserMSIE
Header unset WWW-Authenticate
Header add WWW-Authenticate "Basic realm=mail.linz.email"

ProxyRequests Off
ProxyPreserveHost On

SSLProxyEngine On
# Problemen mit Kommunikation zwischen Apache-Proxy und Exchange-Server aus dem Wege gehen
# Alle SSL Prüfungen werden damit ausgeschaltet
SSLProxyVerify none
SSLProxyCheckPeerCN off
SSLProxyCheckPeerName off
SSLProxyCheckPeerExpire off

# owa
ProxyPass /owa https://192.168.200.80/owa
ProxyPassReverse /owa https://192.168.200.80/owa
ProxyPass /OWA https://192.168.200.80/OWA
ProxyPassReverse /OWA https://192.168.200.80/OWA
ProxyPass /Owa https://192.168.200.80/Owa
ProxyPassReverse /Owa https://192.168.200.80/Owa

# Einstellungen um per OWA das Kennwort zu aendern
ProxyPass /iisadmpwd https://192.168.200.80/iisadmpwd
ProxyPassReverse /iisadmpwd https://192.168.200.80/iisadmpwd

# ecp
ProxyPass /ecp https://192.168.200.80/ecp
ProxyPassReverse /ecp https://192.168.200.80/ecp
ProxyPass /ECP https://192.168.200.80/ECP
ProxyPassReverse /ECP https://192.168.200.80/ECP
ProxyPass /Ecp https://192.168.200.80/Ecp
ProxyPassReverse /Ecp https://192.168.200.80/Ecp

# ews -> Exchange Web Services
ProxyPass /ews https://192.168.200.80/ews
ProxyPassReverse /ews https://192.168.200.80/ews
ProxyPass /EWS https://192.168.200.80/EWS
ProxyPassReverse /EWS https://192.168.200.80/EWS
ProxyPass /Ews https://192.168.200.80/Ews
ProxyPassReverse /Ews https://192.168.200.80/Ews
ProxyPass /exchange https://192.168.200.80/exchange
ProxyPassReverse /exchange https://192.168.200.80/exchange
ProxyPass /Exchange https://192.168.200.80/Exchange
ProxyPassReverse /Exchange https://192.168.200.80/Exchange
ProxyPass /exchweb https://192.168.200.80/exchweb
ProxyPassReverse /exchweb https://192.168.200.80/exchweb
ProxyPass /public https://192.168.200.80/public
ProxyPassReverse /public https://192.168.200.80/public

# oab (Offline Address Book)
ProxyPass /oab https://192.168.200.80/oab
ProxyPassReverse /oab https://192.168.200.80/oab
ProxyPass /OAB https://192.168.200.80/OAB
ProxyPassReverse /OAB https://192.168.200.80/OAB

# Microsoft-Server-ActiveSync
ProxyPass /Microsoft-Server-ActiveSync https://192.168.200.80/Microsoft-Server-ActiveSync connectiontimeout=600
ProxyPassReverse /Microsoft-Server-ActiveSync https://192.168.200.80/Microsoft-Server-ActiveSync

<Directory /Microsoft-Server-ActiveSync>
# Problem mit dem Versenden von Dateianhängen > 128KByte per ActiceSync umgehen (neuer Wert 30MByte)
SSLRenegBufferSize 31457280
</Directory>

# RPC over http(s) / Outlook Anywhere
OutlookAnywherePassthrough On
ProxyPass /rpc https://192.168.200.80/rpc
ProxyPassReverse /rpc https://192.168.200.80/rpc

# AutoDiscover  -> Autodiscover for non-AD integrated Clients (Mac, eg.)
ProxyPass /autodiscover https://192.168.200.80/autodiscover
ProxyPassReverse /autodiscover https://192.168.200.80/autodiscover
ProxyPass /Autodiscover https://192.168.200.80/Autodiscover
ProxyPassReverse /Autodiscover https://192.168.200.80/Autodiscover
ProxyPass /AutoDiscover https://192.168.200.80/AutoDiscover
ProxyPassReverse /AutoDiscover https://192.168.200.80/AutoDiscover

# Zeichensatz spezifieren fuer Umlaute
AddDefaultCharset ISO-8859-1

DocumentRoot /var/www/mail.linz.email/web

<Directory />
    Order deny,allow
#    Order allow,deny
    Deny from all
#    Allow from all
</Directory>

<Directory /var/www>
    DirectoryIndex index.php index.html
    Options -Indexes +FollowSymLinks
    Order allow,deny
    Allow from all
</Directory>

<Proxy *>
        SetEnv proxy-nokeepalive 1
        SetEnv force-proxy-request-1.0 1
        Order deny,allow
        Allow from all
</Proxy>

  SSLEngine on
        SSLCertificateFile    /var/www/mail.linz.email/ssl/mail.linz.email.crt
        SSLCertificateKeyFile /var/www/mail.linz.email/ssl/mail.linz.email.key

  BrowserMatch "MSIE [2-6]" \
    nokeepalive ssl-unclean-shutdown \
    downgrade-1.0 force-response-1.0
  # MSIE 7 and newer should be able to use keepalive
  BrowserMatch "MSIE [17-9]" ssl-unclean-shutdown

  # old Server config
        #BrowserMatch ".*MSIE.*" \
        #        nokeepalive ssl-unclean-shutdown \
        #        downgrade-1.0 force-response-1.0
</VirtualHost>

</source>
<br>
<br>
----
-->

===Basic Auth / Standardauthentifizierung für Exchange aktivieren===
Diesen Abschnitt hier bräuchtet Ihr nur wenn Ihr in der Apache2 Konfiguration die Standard-Authentifizierung erzwingt. Dazu müsstet Ihr die 4 Zeilen die mit Kommentaren
 # 10.12.2020: xxxxxxxxx
 # Tipp von Marco Maus, Fragen an marco.maus@mit-system.eu
gekennzeichnet sind wieder aktivieren. Stand heute ist es nicht mehr notwendig!<br>
<div class="mw-customtoggle-Spoiler_2 znil-menu-button">Hier klicken (Toggle) um die Aktivierung der Standard-Authentifizierung trotzdem zu sehen'''</div>
<div id="mw-customcollapsible-Spoiler_2" class="wikitable mw-collapsible mw-collapsed">
Damit auch das Programm Outlook funktioniert müsst Ihr für '''Outlook Anywhere''' die Standardauthentifizierung aktivieren:<br>
:[[Datei:ClipCapIt-190508-133613.PNG]]<br>
<br>
Wenn Ihr bis hierhin gekommen seit läuft schon mal vieles scheinbar schön schnucklig.<br>
Das Autodiscover funktioniert - sofern es die Subdomain "autodiscover.euredomain.suffix" gibt und ihr diese brav als Alias mit in der Apache-Konfig Datei habt.<br>
<br>
Wenn Ihr wie ich Outlook Anywhere nutzt wird euch aber nach einer Weile auffallen das der Abwesenheitsassistent z.B. nicht funktioniert.<br>
Und bei jeder neuen Email steht oben eine Hinweis:<br>
:[[Datei:Exchange-Apache-Reverse-Proxy-004.png]]<br>
<br>
Nach einigen Stunden(!) Tests - in denen ich mich langsam an das Problem herangetastet habe - fand ich endlich den Grund des Übels:<br>
Die Verbindung dafür geht über<br>
 https://externe-adresse-exchange/ews
und an dieser Stelle scheitert die Authentifizierung - weil hier nur NTLM zugelassen ist.<br>
NTLM geht aber durch den Apache nicht sauber durch.<br>
Deshalb gibt es in der Konfig oben die Zeilen:<br>
 Header unset WWW-Authenticate
 Header add WWW-Authenticate "Basic realm=mail.znil.org"
Welche auf die '''''Basic Auth''''' umschalten - dadurch funktioniert dann nämlich Autodiscover.<br>
Nun akptzeptiert aber der '''''/ews''''' Pfad '''''Basic Auth''''' bzw. '''''Standardauthentifizierung''''' nicht.<br>
<br>
Das müssen wir auf dem Exchange-Server ändern das er dies auch dafür zulässt:<br>
<br>
Öffnet auf dem Exchange-Server den<br>
 Internetinformationsdienste (IIS)-Manager
den Ihr in der Verwaltung findet.<br>
Navigiert euch durch bis Ihr links <code>EWS</code> markiert habt und klickt dann rechts auf <code>Authentifizierung</code>:<br>
:[[Datei:Exchange-Apache-Reverse-Proxy-001.png]]<br>
<br>
Markiert in der neuen Auswahl den Eintrag <code>Standardauthentifizierung</code> und dann oben rechts auf <code>Aktivieren</code>:<br>
:[[Datei:Exchange-Apache-Reverse-Proxy-002.png]]<br>
<br>
:[[Datei:Exchange-Apache-Reverse-Proxy-003.png]]<br>
<br>
<br>
Und schon klappt es auch mit dem Abwesenheitsassistenten etc. und es gibt keine Warnungen mehr beim Email-Schreiben.<br>
<br>
Bleibt noch das Offline Address Buch, hier gibt es das gleiche Problem, also noch mal das gleiche:<br>
:[[Datei:Exchange-Apache-Reverse-Proxy-011.png]]<br>
<br>
:[[Datei:Exchange-Apache-Reverse-Proxy-012.png]]<br>
<br>
<br></div>
----

==Ergebnisse des "Microsoft Remote Connectivity Analyzer"==
Findet Ihr unter: https://testconnectivity.microsoft.com/<br>
<br>
Ergebnisse gemäß den vorstehenden Konfigurationsschritte bei mir: (Bilder anklicken zum vergrößern)<br>
<br>
<big>'''<u>Exchange-Webdienste: Synchronisierung, Benachrichtigung, Verfügbarkeit und automatische Antworten:</u>'''</big><br>
:[[Datei:Exchange-Apache-Reverse-Proxy-005.png|400px]]<br>
<br>
<big>'''<u>Exchange ActiveSync-AutoErmittlung:</u>'''</big><br>
:[[Datei:Exchange-Apache-Reverse-Proxy-006.png|400px]]<br>
<br>
<big>'''<u>Exchange ActiveSync:</u>'''</big><br>
:[[Datei:Exchange-Apache-Reverse-Proxy-007.png|400px]]<br>
<br>
<br>
----
==Kommentare==
<comments />