Solutions Serveur pour TPE/PME : SSL

Partie 8 - Mise en oeuvre du "Poste de Travail Web à distance" dans Small Business Serveur

pierrc — Fri, 07 Dec 2007 23:05:00 GMT

Le "Poste de Travail Web à Distance" est un élément essentiel pour couvrir quelques scénarios de mobilité dans SBS. En fonction du profil connecté nous allons pouvoir avoir accès de l' extérieur à différents éléments. Il suffira de se connecter en https sur le site ex : https://nom_fqdn_public_sbs/remote

Un Profil Utilisateur pourra avoir accès :

Pour avoir la possibilité de Télécharger "le Gestionnaire de connexion" il faudra lancer l' assistant " Configurer l'accès à distance" sur le serveur puisque ce composant est généré lors du paramètrage RRAS, et SBS se sert du kit "administration de connection Manager" de Windows 2003 pour créer un client VPN customisé

Un Profil Administrateur pourra avoir accès :

Il est très simple de mettre en oeuvre le "poste de travail Web à distance" , "L' assistant de configuration de la messagerie et de la connexion Internet" va nous aider à configurer simplement :

- le contrôle de flux entrants TCP 443 pour les connexions SSL sur le serveur SBS ( Outlook Web Accès, rapport de performances et rapport d' utilisateur)

- le contrôle de flux entrants TCP 444 pour les connexions SSL sur le serveur SBS (Site Windows SharePoint Service 2.0 "companyweb")

- le contrôle de flux entrant TCP 4125 pour les connexions TSWeb sur le serveur SBS (pour rappel on fera du TCP 4125 entre le poste Internet et le serveur SBS et du TCP 3389 entre le serveur SBS et le poste du réseau SBS)

- le contrôle d'accès sur le site Web "remote"

- le contrôle du site Web "Monitoring"

- le contrôle du site "ExchWeb"

Encore une fois le certificat auto signé doit absolument matcher avec le nom public de votre serveur SBS

Pour se connecter à un ordinateur du domaine

Le contrôle ActiveX " Microsoft Terminal Services Client Control " va s' installer sur le poste et la requête se lance :

" https://remote.ma-tpe.fr/Remote/tsweb.aspx?Server=PC-DE-PIERRC&Port=4125&Height=600&Width=800&User=pierrc&Domain=ma-tpe&redirectPrinters=1&redirectAudio=2 "

Les postes sur lesquels on se connecte doivent avoir le bureau à distance activé , dans le cas ou ces postes ont été déployés par les assistants SBS, il n 'y pas de problème, le paramètrage à été fait automatiquement :-)

Partie 7 - Paramétrage de Small Business Server 2003 R2 pour le mise en oeuvre des " RPC over HTTPs" avec le client Office Outlook 2003 Sp1/ Outlook 2007

pierrc — Tue, 04 Dec 2007 17:01:00 GMT

Slides des Universités Small Business Serveur "mise en oeuvre d' une solution de mobilité autour de Small Business Serveur"

Voici la procédure à suivre pour mettre en oeuvre facilement les "RPC over HTTPs" dans SBS Standard ou Premium de manière à ce que les utilisateurs nomades puissent se connecter à leur messagerie avec le client Office Outlook 2003 SP1 ou Office Outlook 2007 depuis Internet sans avoir à ouvrir de connexion VPN (PPTP) .

"L' assistant de configuration de la messagerie et de la connexion Internet" va nous aider à configurer simplement :

- le contrôle de flux SSL (TCP 443) sur la carte externe du serveur SBS

- le paramétrage de IIS/Exchange automatiquement (site RPC de IIS)

Encore une fois le certificat auto signé doit absolument matcher avec le nom public de votre serveur SBS

Côté client il faudra paramétrer Office Outlook 2003 ou Outlook 2007

Le certificat auto signé "remote.ma-fr" généré pendant "L' assistant de configuration de la messagerie et de la connexion Internet" doit être installé sur le poste client.

Partie 4 - Installation d' un certificat Web avec une autorité principale de confiance dans une Version de Small Business Server Premium -

pierrc — Tue, 27 Nov 2007 22:16:00 GMT

Slides des Universités Small Business Serveur "mise en oeuvre d' une solution de mobilité autour de Small Business Serveur"

Une fois que "L' assistant de configuration de la messagerie et de la connexion Internet" a été exécuté nous nous retrouvons avec deux Certificats Auto signés installés:

Un pour les connexions SSL Internet "ISACert" (remote.ma-tpe.fr) installé sur le port d' écoute d'Isa Serveur (SBS Web Listener) et l' autre SBSCert (publishing.ma-tep.local) pour les connexions SSL Interne.

Le but est donc d' acheter un certificat WEB auprès d' une autorité approuvée de type ( Verisign, Twate, UTN-USERFirst-Network Applications ....) et de l' installer sur le port d' écoute "SBS Web listener" de Isa Server afin de remplacer le certificat Web auto signé "ISACert".

Dans un premier temps nous allons effectuer une demande de certificat (CSR, Certificate Signing Request) à l' aide de l' assistant " Assistant Certificat de serveur Web" de IIS.

Au préalable, pour effectuer cette tâche à l' aide de cet assistant, nous devons sauvegarder le certificat "Publishing.ma-tpe.fr" installé dans IIS en l' exportant de manière à le ré-installer une fois la demande de certificat faite. Pour rappel il n' est pas possible de faire une demande de certificat avec un certificat déjà installé dans IIS...

Pour exporter (sauvegarde) le certificat "Publishing.ma-tpe.fr" :

Allez dans "Certificat de serveur"

Une fois la sauvegarde terminée, nous allons pouvoir supprimer le certificat publishing.ma-tpe.local avant de commencer notre demande de certificat . Il suffit de relancer l' assistant

Procédure pour faire notre demande de certificat à l' aide de l' assistant.

Important! Vous devez mettre dans ce champs le nom FQDN public de votre serveur SBS

ex : d' un poste internet nous lancerons https://remote.ma-tpe.fr

Une fois l' assistant terminé nous nous retrouvons avec un fichier "c:\certreq.txt" qui contient :

- notre requête avec toutes les informations saisies (nom de l' organisation, nom du site, infos

géographique etc ...)

- notre clé publique

En fonction de votre fournisseur il suffira d' envoyer le fichier "certreq.txt" ou de faire un "copier" "coller" dans le formulaire de votre fournisseur d' autorité ( Verisign, Twate, UTN-USERFirst-Network Applications ....)

Le fournisseur vous renverra un certificat soit *.cer ou sous cette forme (ci-dessous).

Pour faire simple , c' est notre demande de certificat signée avec la signature numérique du fournisseur d' autorité ....

A ce stade, il suffira simplement de copier tout ce contenu dans un notepad et de le sauvegarder en fichier *.cer

ex: ma-tpe.cer

Maintenant, il nous reste à installer ce certificat dans le bon magasin .

Et de l' installer sur le port d' écoute d'Isa Serveur (SBS Web Listener)

Pour finir nous devons remettre le certificat "publishing.ma-tpe.local" sur le site d' IIS de SBS (site Web par défaut)

Partie 3 - Certificat Web dans Small Business Serveur -

pierrc — Fri, 23 Nov 2007 02:33:00 GMT

Slides des Universités Small Business Serveur "mise en oeuvre d' une solution de mobilité autour de Small Business Serveur"

Dans la version Standard de SBS un seul certificat web auto-signé est généré "sbscert.cer". Il servira aux connexions SSL internes et externes entre les postes et le serveur (remote.ma-tpe.fr; srvsbs.ma-tpe.local; srvsbs; localhost; companyweb ).

Ce Certificat est installé automatiquement sur les postes clients si l' on passe par l' assistant "ajout d' ordinateur"

Dans la version Premium de SBS deux certificats auto-signés sont générés :

- "SBSCert.cer" pour les connexions SSL internes entre IIS et les postes clients ( publishing.ma-tpe.local ; companyweb; srvsbs ; localhost; srvsbs.ma-tpe.local)

- "ISAcert.cer" pour les connexions SSL externes entre les postes clients et le port d' écoute d' ISA Serveur (remote.ma-tpe.fr)

Ces deux certificats sont installés automatiquement sur les postes clients si l' on passe par l' assistant "ajout ordinateur"

Il faut installer le ou les certificats manuellement sur les clients s' ils n' ont pas été déployés dans le domaine à l' aide de l' assistant.

il faudra aussi installer le ou les certificats manuellement sur les PDA ou les Smartphones si l' on veut mettre en oeuvre une solution de mobilité avec ActiveSync en SSL.

Pour installer un certificat manuellement sur un PC fonctionnant sous Windows Vista il faut lancer Internet explorer en mode "Executer en tant qu' administrateur".

Il faut installer le certificat dans "Autorités de certification racines de confiance"

partie 2 - L' assistant de configuration de la messagerie et de la connexion Internet -

pierrc — Thu, 22 Nov 2007 00:47:00 GMT

Slides des Universités Small Business Serveur "mise en oeuvre d'une solution de mobilité autour de Small Business Serveur"

L' assistant de configuration de la messagerie et de la connexion Internet est la première tâche à effectuer sur le serveur SBS il va nous aider à configurer :

- La connexion du serveur SBS sur Internet ( carte réseau, modem .... )

- Le pare-feu (RRAS et ISA Serveur pour les versions Premium)

- Les règles de flux entrantes sur la carte Externe du serveur (SMTP, PPTP, .... )

- Les règles de flux HTTP et HTTPS entrantes sur la carte Externe du serveur et les paramètres des sites de IIS

- la gestion d' un certificat Web pour les connexions SSL

- la gestion de la messagerie ( connecteur SMTP d'exchange, méthode de remise, relay SMTP, connecteur POP3, pièces jointes

Cet assistant SBS génère un fichier C:\Program Files\Microsoft Windows Small Business Server\config.vbs que l'on peut re-exécuter à tout moment .

Il est fortement recommandé d' utiliser une version de SBS Premium (ISA Serveur) pour connecter son serveur sur Internet . Pour la version standard c' est le composant RRAS de Windows 2003 qui gère la partie pare-feu donc:

- aucun contrôle des flux sortants

- pare-feu niveau 3 et 4

- compliqué pour récupérer les logs

Contrôle des flux entrants sur la carte externe de SBS (TCP 25, TCP 1723, TCP 3389, TCP 21)

Pour la version Standard les filtres sont créés dans RRAS

Pour la version Premium les règles des flux entrants sont créées dans Isa Serveur

Contrôle des flux HTTPs entrants sur la carte externe de SBS plus les paramètres des sites de IIS (restriction d' accès par adresse IP)

Pour la version Premium les règles de publication seront créées dans Isa Serveur

Si vous voulez mettre en oeuvre ActiveSync en SSL ou les RPC over HTTPs le nom du certificat doit absolument matcher avec le nom public de votre serveur SBS ...

Exemple, si je mets "remote.ma-tpe.fr " l' assistant va nous créer un certificat auto-généré sans autorités principales de confiance , bien évidemment remote.ma-tpe.fr doit pouvoir être résolu dans votre domaine public.

Comment sont envoyés les mails (connecteur SMPT d' Exchange ou un relais SMPT d'un FAI) ?

Important ! le nom du domaine de messagerie doit être votre nom de domaine public

exemple : ma-tpe.fr