Hallo Exchanger,

bei einem Kunden hatte ich mal wieder das konkrete Problem der Replikation von oeffentlichen Ordnern zwischen einer Exchange Server 2003 Organisation und einer Exchange Server 2007 Organisation. Waehrend der Migrations-Uebergangsfrist von Exchange Server 2003 auf Exchange Server 2007 sollen die oeffentlichen Ordner in beiden Welten verfuegbar sein und bidirektional repliziert werden.

Die folgende Kurzanleitung beschreibt exemplarisch die Einrichtung der InterOrg Replikation:
http://www.it-training-grote.de/download/pf-repl.pdf

Details findet Ihr unter anderen in meinem Artikel von 2004 auf www.msexchange.org:
http://www.msexchange.org/tutorials/Configuring-InterOrg-Replication-Tool.html

Gruss Marc

Hallo Spammerhasser,

heute ist etwas passiert, was mir seit ich mit Computern arbeite (und das mache ich seit ca. 23 Jahren) noch nie passiert ist (oder ich es nur nicht wusste :-(. Ich hatte heute fuer ca. 15 Minuten fremden Besuch. Das betroffene System: Windows Vista Ultimate, Englisch mit SP1 und allen Fixen, Windows Defender, ein (hoffentlich) umsichtiger User, NOD32 und UAC. Ich fuehlte mich bisher sicher :-). Zuerst dachte ich an einen NDRSPAM, meine ersten Erkenntnisse liessen aber auf etwas anderes schliessen (UPDATE: Das es dann doch ein NDRSPAM war, habe ich erst heute Morgen erfahren)

Es folgt ein chronologischer Ablauf:

20:45 – auf einmal bekomme ich statt 20 SPAM die Stunde 20 pro Minute. Immer ein NDR Report, dass ein Empfaenger nicht erreicht wurde. OK, die ersten 1,2 Minuten nichts dabei gedacht. Die Flut an Mails wurde aber nicht weniger.
20:47 – Am ISA Server den SMTP und POP Port geschlossen – Es gehen keine Mails mehr raus und rein
20:48 – Anderes System genommen und per Webmail auf meinen Mailserver und siehe da, keine NDR-Mails mehr. muss also an meinem System liegen – und das mir 🙁
20:52 – Windows Defender laufen lassen NOD32 Tiefenscan, Registry durchsucht, laufende Tasks, NTFS Alternate Data Streams etc. – Nichts gefunden – ICH BIN WOHL DOCH EIN LAIE
21:10 – Die Kiste einmal gebootet, POP und SMTP wieder am ISA erlaubt, Notebook hochgefahren und am anderen System das Postfach beim Provider beobachtet – Es bleibt leer bis auf einige NDR Mails und dem ueblichen SPAM.
21:12 – Outlook wieder gestartet und alles scheint sauber zu sein. Jetzt werde ich mal meine forensischen Faehigkeiten testen und schauen, ob ich nachtraeglich noch was finde. Fakt ist: Obwohl ich seit 07:30 Uhr vor der Kiste sitze, habe ich heute bewusst keine Programme installiert, war auf keinen mir nicht bekannten Seiten, kein Update installiert usw.

UPDATE: Nachdem ich dann gestern Abend ab 21:30 Uhr ausser Haus war und alle PC ausgeschaltet waren und ich heute Morgen doch wieder ca. 250 Bounce Mail hatte, kann ich mir sicher sein, dass ich mir nichts eingefangen habe, sondern einem NDRSPAM unterlegen war/bin.

Na gut, Lessons learned. Man ist nie sicher, und ich auch nicht!

Gruss Marc
 

Hallo Security Experts,

wie den meisten von Euch bekannt sein sollte, koennen Windows Vista und Windows Server 2008 Clients nicht die /CERTSRV-Webseiten einer Windows Server 2003 CA verwenden, da Windows 2003 / XP XENROLL verwenden, Windows Vista / 2008 hingegen CERTENROLL. Um das Problem zu umgehen, gab es vor knapp 3 Monaten ein Update, welches viel Bastelarbeit erforderte (Dateien patchen, Registry usw.). Seit einiger Zeit ist jetzt auch ein Update in Form eines Hotfix verfuegbar:
http://support.microsoft.com/kb/922706/en-us

Diesen Hotfix habe ich heute bei einem Kunden eingespielt und wie erwartet, koennen jetzt auch Windows Vista Clients die /CERTSRV-Webseiten nutzen, aber leider fehlt nun der Dialog zum Anfordern von Smartcard Zertifikaten fuer andere Benutzer (bei einer Windows Server 2008 CA uebrigens auch – da wird der Vorgang jetzt ueber die erweiterten Funktionen der MMC durchgefuehrt). Wie aber die Smartcard Anforderung unter Windows Server 2003 aktivieren. Nach einigem Basteln bin ich fuendig geworden:

Kopieren der CERTSCES.ASP aus dem vorher hoffentlich erstellten /CERTSRV Backup Verzeichnis von WINDOWS\SYSTEM32
Kopieren der Datei CERTRQAD.ASP aus dem Backup Verzeichnis und den folgenden String aendern
<% If bNewThanNT4 And “Enterprise”=sServerType Then%>
aendern in <% If “Enterprise”=sServerType Then %> (Schoenen Dank an meinen Kunden, IT Leiter Hendrik Neumann, der die Idee hatte, die Abfrage zu reduzieren).
Die Datei speichern und dann kann man auch wieder ein Smartcard Enrollment durchfuehren und Windows Vista Clients koennen die /CERTSRV-Webseiten ebenfalls nutzen.

Gruss Marc

Hallo Sicherheits-Consulter,

heute durfte ich endlich mal wieder bei einem Kunden ein Windows Server 2003 Smartcard Enrollment mit Aladdin E-Token durchfuehren 🙂

In der Forest Root Domain gibt es einen Windows Server 2003 Enterprise PKI Server und darunter zwei Subdomains, welche durch zwei ISA Server 2006 Enterprise Arrays getrennt sind (den ISA habe ich zum Glueck selbst eingerichtet :-). Ziel im Schritt 1 ist es fuer ca. 250 User eine sichere Smartcard Anmeldung zu implementieren.

Ich habe mal in kurzen Worten mit viel Screenshots die notwendigen Schritte dokumentiert, auch wenn es dazu schon zahlreiche Artikel bei Technet gibt, denke ich, koennen Bilder manchmal mehr als Worte sagen.

Hier ist der Artikel:
http://www.it-training-grote.de/download/smartcard-PKI.pdf

Paralell dazu haben wir gleich noch die Schluessel-Archivierung auf der CA eingerichtet und die Wiederherstellung getestet. Fuer Details zum Thema Schluessel Archivierung koennt Ihr auch meinen “uralten” Artikel  von 09/2004 im Windows 2000 Magazin lesen:
http://www.it-training-grote.de/download/w2kmag-pki-092004.pdf

Auf alle Faelle eine super schoene Sache und sehr sicher.

Gruss Marc