URLscan konfigur�cie v prostred� servera Exchange a IIS lockdown

Pozn�mka Tento �l�nok odkazuje na probl�my s Exchange 2000 a v�mena Server 5.5 ke� pou�ijete IIS lockdown n�stroj verzie 1.0. Microsoft odpor��a sa, �e v�m stiahnu� najnov�iu verziu n�stroja IIS lockdown: �al�ie inform�cie z�skate kliknut�m na ��slo �l�nku ni��ie, ��m zobraz�te �l�nok v datab�ze Microsoft Knowledge Base: Internet Information Services (IIS) bezpe�nosti n�stroje IISlockD a URLscan, mus� by� vhodne nakonfigurovan� na v�menu. Tento �l�nok popisuje konfigur�ciu, ktor� je potrebn� pre tieto n�stroje v Exchange 2000 Server a Exchange Server 5.5 prostrediach. Typick� pr�znaky nespr�vne IISlockD a URLscan konfigur�cie zah��aj�:

• Program Microsoft Outlook Web Access (OWA). Ke� z�skate pr�stup k OWA, va�e po�tov� polo�ky, polo�ky kalend�ra a kontaktov m��u ch�ba�. okrem toho Ak sa pok�site z�ska� pr�stup k OWA z prehliada�a na Exchange 2000 serveru, m��e sa zobrazi� nasledovn� chybov� hl�senie:
  A Vyskytla sa chyba v re�ime runtime.
  Prajete si Debug?
  Riadok: 878
  Chyba: Popisova� je v stave pre po�adovan� oper�ciu
• Program Exchange System Manager. Pri pokuse kliknut�m rozba�te strome verejn� prie�inok v programe Exchange System Manager m�?ete dosta nasleduj�ce chybov� hl�senie:
  Objekt u� k dispoz�cii. Stla�en�m kl�vesu F5 Obnovte zobrazenie, a potom to sk�ste znova.
  ID no: 80040e19
  Program Exchange System Manager
• Program Exchange System Manager. Pri pokuse rozba�te verejnosti strom prie�inkov v Exchange System Manager, m��e sa zobrazi� nasledovn� chyba Spr�va:
  Oper�cia sa nepodarila kv�li internom serveri chyba. c1030af2
• Vymie�a� okam�it� spr�vy. Pri pokuse prihl�si� v slu�be Exchange Instant Messaging, m��e sa zobrazi� nasledovn� chyba Spr�va:
  Prihl�senie na server Exchange Instant Messaging zlyhala, preto�e slu�ba je do�asne nedostupn�. Pros�m, sk�ste znova nesk�r.

Tento probl�m sa m��e vyskytn��, preto�e predvolen� konfigur�ciu bezpe�nostn� n�stroje IISlockD a URLScan sa predpoklad�, �e server sl��i iba statick� obsah. Exchange 2000 zlo�ky na pou�itie Web Distributed Authoring a Versioning (WebDAV) a in� sloves� Hypertext Transfer Protocol (HTTP), ktor� s� nie povolen� predvolen� konfigur�ciu. Exchange Server 5.5 zlo�ky pou�itie Str�nky ASP (Active Server) ktor� s� predvolene vypnut�.

Pros�m tieto nastavenia d�kladne presk�majte sk�r, ne� pou�ijete ich na serveri. S� navrhnut� tak, aby umo�nili Exchange 2000 Server a V�menu Server 5.5 aby pracoval optim�lne, ale m��u ma� in� ��inky, ktor� v�s m��u o�ak�va�. Napr�klad ni��ie URLscan INI nastavenia ovplyvn� IIS. Ak ste Pre��tajte si sekciu "DenyExtensions" INI nastavenia ni��ie, m��ete vidie�, �e Tieto nastavenia zabr�ni� sl��iace v��ine foriem obsahu in�ch ako statick� IIS .HTM alebo.HTML str�nky.

IIS uzamknutie na servery Exchange 2000 Server

V�menou 2000 prostrediach, lockdown n�stroj nie je ubytova� v�meny in�talovate�n� s�bor kore�ov�mu syst�mu (IFS) jednotky (zvy�ajne disk M). Pou��vanie n�stroja lockdown na servery Exchange 2000 Server:

1. Spusti� IISlockD.exe.
2. Kliknite na tla�idlo Roz��ren� Lockdown, a potom kliknite na tla�idlo Bud�ci.
3. The Odstr�ni� skript priradenia zobraz� dial�gov� okno:
   1. Ak Vypnite podporu Active Server Pages (.asp) je za�iarknut� pol��ko, OWA Multim�di�tla�idlo nefunguje a Odhl�si� tla�idlo nie je Funkcia. Nasledovnom �l�nku datab�zy Microsoft Knowledge Base opisuje proces Ak chcete vypn�� multimedi�lne tla�idlo pre z�kazn�kov, ktor� nemaj� jednotn� rie�enie na odosielanie spr�v:
      288119

      (http://support.microsoft.com/kb/288119/EN-US/ )

      XWEB: Ako vypn�� multimedi�lne tla�idlo v OWA
      Ke� s� zak�zan� Active Server Pages (ASP) str�nky, jednotn� spr�v st�le funkcie s pr�loha s�boru WAV.
   2. Ak Vypnite podporu.Skriptovanie HTR (.htr) je za�iarknut� pol��ko, funkciu OWA zmeni� heslo neposkytuje Funkcia. T�to funkcia OWA je �tandardne vypnut�. Nasleduj�ce Knowledge Base �l�nok popisuje postup na skrytie Zmena hesla tla�idlo v OWA:
      297121

      (http://support.microsoft.com/kb/297121/EN-US/ )

      XWEB: Ako skry� tla�idlo Zmeni� heslo na str�nke Outlook Web Access mo�nosti
4. Kliknite na tla�idlo Bud�ci.
5. The �al�ie opatrenia Lockdown zobraz� dial�gov� okno:
   1. Kliknut�m zru�te za�iarknutie pol��ka Vypn�� distribuovan� Authoring and Versioning (WebDAV) za�iarkavacie pol��ko.
   2. Kliknut�m zru�te za�iarknutie pol��ka Nastavenie s�boru povolenia IIS anonymn�m pou��vate�om zabr�ni� p�sanie obsahu adres�rovza�iarkavacie pol��ko. Nepatria sem virtu�lne adres�re slu�by IIS, ktor� s� priraden� k V�mena IFS.
6. Kliknite na tla�idlo Bud�ci, a potom kliknite na tla�idlo �no na dokon�enie lockdown procesu.

Manu�lne nastavi� pr�stupov� pr�va pre s�bor pre IIS anonymn� u��vate�a, nastavi� explicitn� poprie� v�etky pr�stup kontroly vstupu (ACE) pre anonymn� Web u��vate�ov pre ka�d� IIS virtu�lny adres�r:

1. Spusti� Microsoft spr�va internetu slu�ieb Manager Console (MMC).
2. Kliknut�m rozba�te Predvolenej webovej lokality.
3. Pre ka�d� virtu�lny adres�r:
   1. Kliknut�m vyberte virtu�lny adres�r, kliknite prav�m tla�idlom my�i virtu�lny adres�r a potom kliknite na Vlastnosti.
   2. Na Virtu�lny adres�r kartu, pozn�mka lok�lnu cestu.
   3. Spustite program Prieskumn�k a vyh�adajte Lok�lna cesta prie�inka.
   4. Kliknite prav�m tla�idlom na prie�inok a potom kliknite na tla�idlo Vlastnosti.
   5. Kliknite na tla�idlo Zabezpe�enia kartu.
   6. Kliknite na tla�idlo Prida�.
   7. Kliknut�m vyberte mo�nos� _Web anonymn�ch pou��vate�ov a _Web aplik�cie kont� a potom kliknite na tla�idlo ok.
   8. Kliknut�m vyberte mo�nos� _Web anonymn�ch pou��vate�ov �vahy a potom ur�it�mu zariadeniu zak�ete pln� kontrolu ACE.
   9. Kliknut�m vyberte mo�nos� _Web aplik�cie �vahy a potom ur�it�mu zariadeniu zak�ete pln� kontrolu ACE.
4. Opakujte krok 3 pre ka�d� virtu�lny adres�r, okrem V�mena a Exadmin virtu�lne kore�ov�.

IIS Lockdown na Exchange Server 5.5 po��ta�och

Pou��vanie n�stroja lockdown po��ta�och Exchange Server 5.5:

1. �tart IISlockD.exe.
2. Kliknite na tla�idlo Roz��ren� Lockdown, a potom kliknite na tla�idlo Bud�ci.
3. The Odstr�ni� skript priradenia zobraz� dial�gov� okno
   1. Kliknut�m zru�te za�iarknutie pol��ka Vypnite podporu akt�vneho Server str�nok (.asp) za�iarkavacie pol��ko.
   2. Ak Vypnite podporu.Skriptovanie HTR (.htr) je za�iarknut� pol��ko, funkciu OWA zmeni� heslo neposkytuje Funkcia. Kliknite na tla�idlo Bud�ci.
4. The �al�ie opatrenia Lockdown zobraz� sa dial�gov� okno.
5. Kliknite na tla�idlo Bud�ci, a potom kliknite na tla�idlo �no na dokon�enie lockdown procesu.

Ak ste u� b�el IIS Lockdown n�stroj proti va�e Exchange Server 5.5 OWA server so v�etk�mi mo�nosti vybrat� na obnovenie funk�nos�:

• OWA:
  1. Spusti� spr�vcu internetov�ch slu�ieb.
  2. Kliknut�m rozba�te Predvolenej webovej lokality, kliknite prav�m tla�idlom na virtu�lny adres�r Exchange, a potom kliknite na tla�idlo Vlastnosti.
  3. Kliknite na tla�idlo Virtu�lny adres�r kartu a potom kliknite na Konfigur�cia.
  4. Kliknite na tla�idlo .ASP mapovanie a potom kliknite na tla�idlo Upravi�. IIS Lockdown n�stroj aktualizuje toto mapovanie na 404.dll. Zmena priradenie k asp.dll. Na po��ta�och so syst�mom Microsoft Windows NT 4.0, pridajte "DA�, ODSTR�NI�" Sp�sob vyl��enia r�m�ek. Na po��ta�och so syst�mom Microsoft Windows 2000, skontrolujte, �i The Obmedzi� na je za�iarknut� pol��ko, a �e Obmedzi� na pole obsahuje "GET, hlavy, POST, TRACE".
  5. Kliknite na tla�idlo ok Zatvorte vlastnosti.
• Zmeni� heslo:
  1. Znova vytvori� virtu�lny adres�r Iisadmpwd, ktor� bol vyp���a.�al�ie inform�cie o tom, ako znova vytvori� Iisadmpwd virtu�lny adres�r, kliknut�m na nasleduj�ce ��slo �l�nku zobrazte �l�nok v datab�ze Microsoft Knowledge Base:
     301428

     (http://support.microsoft.com/kb/301428/EN-US/ )

     Rie�enie probl�mov slu�by Outlook Web Access z poh�adu IIS
  2. V predvolenom nastaven� s� tie� priradenia s�borov ".htr" odstr�nen�. Obnovi� mapovania pre ".htr" s�bory:
     1. Spusti� spr�vcu internetov�ch slu�ieb.
     2. Kliknite prav�m tla�idlom my�i Predvolenej webovej lokality, a potom kliknite na tla�idlo Vlastnosti.
     3. Kliknite na tla�idlo Domovsk� adres�r kartu a potom kliknite na Konfigur�cia.
     4. Kliknite na tla�idlo .htr mapovanie a potom kliknite na tla�idlo Upravi�. IIS Lockdown n�stroj aktualizuje toto mapovanie na 404.dll. Zmena priradenie k ism.dll.
     5. Kliknite na tla�idlo ok Zatvorte vlastnosti.

URLscan na servery Exchange 2000 Server

�al�ie inform�cie o pou��van� Exchange 2003 a URLscan, kliknite na nasledovn� ��slo �l�nku zobrazte �l�nok v Microsoft Knowledge Base: T�to �as� obsahuje URLscan konfigura�n�ch s�borov pre nasleduj�ce s��asti:

• OWA
• Program Exchange System Manager
• Instant Messaging
• Webov� prie�inky

Uvedomte si, �e po pridan� �asti DenyUrlSequences s�bor URLScan.ini nie je mo�n� otvori� po�tov� spr�vy cez Outlook Web Access (OWA) Ak predmet po�tov� spr�va obsahuje tieto zvl�tne znaky. Spr�vcovia by mali presk�ma� URLscan log s�bor v %windir%\system32\inetsrv\urslscan prie�inok na pomoc pri rie�en� t�chto ot�zky.

Ak s� nain�talovan� viacer� slu�by na jednom serveri, m��ete je potrebn� spoji� konfigura�n� s�bory zabezpe�i�, aby v�etky s��asti na�alej funk�n�.

Otvorte Urlscan.ini s�bor v nasleduj�cich umiestnenie: Upravte s�bor Urlscan.ini zalo�en� na v�menu po��ta�ov�ch �lohu.

Ak zaznamen�te �al�ie �a�kosti pri pokuse HTTP �iadosti s URLScan zapnut�, skontrolujte s�bor Urlscan.log zoznam �iadosti, ktor� s� odmietnut�. Predvolen� umiestnenie s�boru Urlscan.log je:

OWA

URLscan konfigura�n� s�bor pre OWA sa takto (ak zmena Po�aduje sa heslo funk�nos�, mus�te odstr�ni� pr�ponu ".htr" z �asti poprie� roz��renia):

Program Exchange System Manager pre riadenie verejn�ch prie�inkov

URLscan konfigura�n� s�bor pre program Exchange System Manager riadenie verejn�ch prie�inkov je nasledovn�: Pozn�mka .Com m��ete prida� do zoznamu DENYEXTENSIONS ak vn�torn�ho dom�ny Syst�m DNS (name) neobsahuje. com.

Instant Messaging

URLscan konfigura�n� s�bor na Instant Messaging je ako takto:

Webov� prie�inky

URLscan konfigura�n� s�bor pre webov� prie�inky sa takto:

Vlastn� WebDAV programy

Treba skontrolova� v�etky vlastn� programy, ktor� boli vypracovan� na Exchange 2000 skladu pre zoznam DAV sloves�, ktor� s� pou��van�. Prida� tieto sloves� na �asti AllowVerbs URLscan konfigur�cie s�boru a uplat�ova� s�bor servery, ktor� host� vlastn� program.

URLscan na Exchange Server 5.5 po��ta�och

Uvedomte si, �e po pridan� �asti DenyUrlSequences s�bor URLScan.ini nie je mo�n� otvori� po�tov� spr�vy cez Outlook Web Access (OWA) Ak predmet po�tov� spr�va obsahuje tieto zvl�tne znaky. Spr�vcovia by mali presk�ma� URLscan log s�bor v %windir%\system32\inetsrv\urslscan prie�inok na pomoc pri rie�en� t�chto ot�zky.

URLscan konfigura�n� s�bor pre OWA sa takto (ak Zmena hesla funk�nos� je po�adovan�, mus�te odstr�ni� s�bor ".htr" roz��renie od popieraj� roz��renia sekci�):