Verständnisproblem Reverse Proxy

[toemsn]

Hallo zusammen,

erst mal: sorry für die Überlänge des Beitrags.

ich habe, glaube ich, ein Verständnisproblem des Reverse Proxys. Ich will einen Apache Reverse Proxy (XAMPP 1.5.4) für Outlook Web Access (Exchange 2003) einrichten. Der Exchange server steht im LAN, der Apache in der DMZ. Bis dato habe ich eine Regel gehabt, dass https://webmail.domain.com direkt auf den Exchange weitergeroutet wurde, sprich Port 443 wurde auf der Firewall aufgemacht. Das will ich aber nicht mehr so haben.

Ich will, dass https://webmail.domain.com:9443 (9443, weil 443 schon belegt ist) auf den Apache in der DMZ geht und dieser greift dann auf den Exchange im LAN zu, d. h. ich öffne Port 443 vom Apache (DMZ) zum Exchange (LAN). So habe ich mir das vorgestellt, allerdings sagt mein Firewall-Log etwas anderes:

Ich habe den Apache so eingerichtet:

<VirtualHost _default_:9443>



General setup for the virtual host
DocumentRoot "C:/Webserver/xampp/htdocs/OWA"
ServerName webmail.domain.com
ServerAdmin support@domain.com


OWA
<Directory "C:/Pfad/OWA">
Options -Indexes FollowSymLinks Includes ExecCGI
AllowOverride All
Order allow,deny
Allow from all
</Directory>

AddDefaultCharset UTF-8

ProxyRequests Off

ServerSignature Off
HostnameLookups Off
UseCanonicalName Off
ProxyPreserveHost On
SSLProxyEngine On
ProxyVia On

SSLProtocol All
SSLEngine On

#RequestHeader set Front-End-Https "On"
RequestHeader unset Accept-Encoding

#207.68.172.246
ProxyPass / https://10.x.x.x/exchange/
ProxyPassReverse / https://10.x.x.x/exchange/
ProxyPass /exchweb https://10.x.x.x/exchweb/
ProxyPassReverse /exchweb https://10.1.1.12/exchweb/
ProxyPass /public https://10.x.x.x/public/
ProxyPassReverse /public https://10.x.x.x/public/

### WAP & ActiveSync ###

ProxyPass /oma https://10.x.x.x/oma/
ProxyPassReverse /oma https://10.x.x.x/oma/
ProxyPass /Microsoft-Server-ActiveSync https://10.x.x.x/Microsoft-Server-ActiveSync/
ProxyPassReverse /Microsoft-Server-ActiveSync https://10.x.x.x/Microsoft-Server-ActiveSync/

###

ErrorLog logs/owa_ssl_error_log
TransferLog logs/owa_ssl_access_log
SSLCertificateFile conf/ssl.crt/owa_server.crt
SSLCertificateKeyFile conf/ssl.key/owa_server.key

#CustomLog logs/owa_ssl_request_log \“%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \”%r\” %b”

### Extras ###

SetEnvIf User-Agent ".*MSIE.*" nokeepalive ssl-unclean-shutdown

</VirtualHost>

Danach habe ich vom LAN und auch von extern zum Testen zugegriffen und gesehen, dass trotzdem immer noch der jeweilige Client direkt den Zugriff auf Port 443 direkt ins LAN benötigt. Zum Testen habe ich auch versucht, statt auf https://10.x.x.x/exchange auf http://207.68.172.246 (=msn.com) weiterzuleiten. Das hat auch funktioniert, aber der Client hat auch wieder den Zugriff nach extern (msn.com) über Port 80 haben müssen ansonsten hat es nicht funktioniert. Und im Browser des Clients ist auch plötzlich http://msn.com drin gestanden, nicht https://webmail.domain.com:9443.
Ich dachte, dass dann nur der Apache den jeweiligen Zugriff benötigt, oder habe ich etwas falsch konfiguriert?

Wenn ich als Weiterleitung https://10.x.x.x/exchange drin lasse, kommt im Clientbrowser folgendes:
https://webmail.domain.com/exchweb/bin/ ... ?url=https: ...

Bitte um Aufklärung.
Danke

[Scory]

Wenn es ich richtig verstehe, lauscht Apache nun auf 9443 (statt auf 443). Und soll via ReverseProxy auf den Exchange Server weiterleiten, der seinerseits auf Port 443 lauscht.

Ich sehe aber an keiner Stelle, dass Du irgendwo auf Port 443 weiterleitest - in Deinen Proxy-Direktiven sind nirgends Ports angegeben, also nimmt Apache selbstverständlich "seinen" Port, nämlich 9443.

[toemsn]

Danke für den Tipp,

allerdings hat das auch nichts gebracht, wenn man den Port nochmal explizit angibt, denn vorher schon hab ich gesehen, dass der Client direkt über 443 auf den Exchange im LAN zugreifen wollte und das bleibt gleich, auch wenn ich 443 direkt angebe (https://10.x.x.x:443/exchange/).

Tom

[Scory]

>dass der Client direkt über 443 auf den Exchange im LAN zugreifen wollte und das bleibt gleic

Welcher Client?

[toemsn]

irgendein Client, entweder aus dem www, oder aus dem LAN.

Deshalb meine grundsätzliche Frage: wenn ein Client (per Browser) auf den Apache in der DMZ auf Port 9443 zugreift und er dann per Reverse Proxy auf den Exchange im LAN weitergeleitet wird, muss er (der Client, per Browser) dann immer noch direkt Zugriff über Port 443 auf den Exchange im LAN haben, oder genügt es, wenn der Apache in der DMZ den Zugriff über Port 443 auf den Exchange im LAN hat?

Danke