Мобильный outlook и доступ к exchange 2010 из вне

[Prokop31]

Добрый день.
Поднял kerio control 9.2. В сети выступает в качестве прокси сервера и проброс портов на вэб и почтовый сервер.
Создал правила трафика, фильтрацию.
Пробросил порты для вэб сервера 80 и для exchange 443.
Инт. интерфейс - брандмауэр - https - nat/map (почтовый сервер)
OWA из вне доступна. Сторонние мобильные почтовые приложения настраиваются без проблем.
Но мобильный outlook не хочет. Тайм аут соединения и все.
В самом приложении кроме почты, адреса сервера и учетных данных ничего больше нет. В сторонних прописывается порт и подключение сертификатов.
Может кто сталкивался с проблемой подключения именно outlook.
Я так понимаю приложение ходит не по 443 порту.

Добавлено через 20 часов 1 минуту
Вопрос закрыт. Похоже дело на стороне сертификатов. Порт проброшен правильно. The Microsoft Connectivity Analyzer is testing Exchange ActiveSync
не проходит проверку по 443 порту. Хотя снаружи он открыт.
Просто все началось, когда поднялся новый прокси от керио. Скорей всего стечение обстоятельств.

[naliman]

на правила взглянуть не мешало бы
так то

[Prokop31]

Цитата:

Сообщение от naliman

на правила взглянуть не мешало бы
так то

Тему можно закрывать.
Решение найдено.

[naliman]

Цитата

Сообщение от Prokop31

Решение найдено.

и какое же оно?

[Prokop31]

Цитата:

Сообщение от naliman

и какое же оно?

Отключил Фильтр GeoIP в параметрах безопасности.
443 сразу стал проходить тесты.

И дополнительно, у кого много клиентов подключается из вне, отключил ограничения на максимальное кол-во подключений для отдельно созданной группы, в которую добавил почтовый сервер.

Основная причина именно в фильтре GeoIP. Если его включить, мобильный Outlook и айфоны перестают соединяться.

Я повторюсь, что данная проблема появилась именно на мобильном outlook.

[naliman]

Цитата

Сообщение от Prokop31

Основная причина именно в фильтре GeoIP. Если его включить, мобильный Outlook и айфоны перестают соединяться.

ип-адреса мобильных операторов попадают в "закрытые" этим фильтром страновые диапазоны??

[Prokop31]

Цитата:

Сообщение от naliman

ип-адреса мобильных операторов попадают в "закрытые" этим фильтром страновые диапазоны??

Вычитал, что outlook для ios и android не устанавливает соединение напрямую с сервером клиента, как например другие приложения, сначала он соединяется со своими облачными серверами и уже от них происходят запросы к серверам клиента. Т.е. надо знать ip этих серверов.

[naliman]

ну а облака заграничные и их отсекает фильтр геоип
понятно

[Prokop31]

Цитата:

Сообщение от naliman

ну а облака заграничные и их отсекает фильтр геоип
понятно

Вроде нашел описания всех служб и ip в суппорте офиса.
Создам группу ip, добавлю в правило для мапа 443 порта.
Вопрос по приоритету. Если я в правиле разрешаю ip, но они принадлежат стране из списка geoip и фильтр включен, будут разрешены эти ip или фильтр geoip будет в приоритете ?

[naliman]

хз
фильтр геоип видел но никогда не пользовал

а что мешает поэкспериментировать?
так попробовать и эдак?
посмотреть на результаты, сделать выводы????

[Prokop31]

Цитата:

Сообщение от naliman

хз
фильтр геоип видел но никогда не пользовал

а что мешает поэкспериментировать?
так попробовать и эдак?
посмотреть на результаты, сделать выводы????

В общем надо подумать.
Я создал группу и добавил туда ip рекомендованные с сайта
[Для просмотра данной ссылки нужно зарегистрироваться]
Там их очень много.
Создал правило, разрешающее соединение от этой группы на брандмауэр с портом 443, потом временно и все порты разрешал.
Ситуация не изменилась. Что смог улучшить, так это проверка теста соединения testconnectivity.microsoft.com на порт 443. Но от этого outlook не заработал. Посмотрел в активных соединениях, какие страны участвуют для этого правила. Проскакивал Сингапур. Я его из фильтра geoip удалил, но результата этого не дало.
Знать бы по какому принципу работает фильтр geoip и его взаимодействие с правилами трафика. Как разрешать нужный айпи, который попадает в фильтр по странам.

[naliman]

угу, это я всё понял, но как понятно фильтр GeoIP всю малину портит, вот в его сторону и надо копать

Цитата

Сообщение от Prokop31

Знать бы по какому принципу работает фильтр geoip и его взаимодействие с правилами трафика. Как разрешать нужный айпи, который попадает в фильтр по странам.

так наверное в мануале прочесть можно

[naliman]

такс
стало интересно
полез в мануал, там говорится только о том как включить и как помониторить откуда коннекшены

включил виртуального керио, посмотрел, да, вкл\выкл блокировки и всё

отсюда имеем следующее:
1. вам "хочется" отсекать (кстати зачем?) трафик из "посторонних" стран
2. вам нужно иметь трафик из "посторонних" стран для работы облачных почтовых клинтов
3. фильтр GeoIP не имеет настроек исключения ИП-адресов, от тупо либо включен либо выкючен

вывод простой:
ваша необходимость в работе почтовых клиентов и особенности фильтра НЕ ПОЗВОЛЯЮТ вам использовать этот фильтр

других вариантов нет

[Prokop31]

Цитата:

Сообщение от naliman

такс
стало интересно
полез в мануал, там говорится только о том как включить и как помониторить откуда коннекшены

включил виртуального керио, посмотрел, да, вкл\выкл блокировки и всё

отсюда имеем следующее:
1. вам "хочется" отсекать (кстати зачем?) трафик из "посторонних" стран
2. вам нужно иметь трафик из "посторонних" стран для работы облачных почтовых клинтов
3. фильтр GeoIP не имеет настроек исключения ИП-адресов, от тупо либо включен либо выкючен

вывод простой:
ваша необходимость в работе почтовых клиентов и особенности фильтра НЕ ПОЗВОЛЯЮТ вам использовать этот фильтр

других вариантов нет

Да. Мануал по geoip я читал.
Вы правы. Фильтр geoip отключил, потому что почтовыми приложениями могут пользоваться из разных стран.
И судя по всему фильтрация geoip в приоритете.
Надеюсь саппорт учтет возможность добавления в исключения подсети в фильтре geoip. Как, например, в модулях geoip для вэб серверов.