Reverse Proxy Solution

Hello,

I have to agree that Pound is a nice working, lightweight solution. I am running it in a high-traffic environment and haven't encountered any serious problem. I tried Apache2 in this setup and it just didn't make it, even with serious tweaking.
AFAIK, there's no security risk involved, as long as you run version 1.6+.

Did any of you implement this on your ASL boxes?

Unfortunately not. I use a dedicated PC (Suse Linux) for this.

Hi!

I have some questions concerning the OWA:

- why don't you publish it direct? What are the advantages of using a reverse proxy?

- where does your exchange server stand? In your LAN or your DMZ?

Right now I'm trying to figure out, where to put our new exchange server. In the DMZ for security reasons, or in the LAN for better implementing it into our active directory...

My main concern is, that I would have to define a rule, that lets external users access our LAN...

Maybe you could give me some hints on this!

Thanx,
Thorsten

[ QUOTE ]
Hi!

I have some questions concerning the OWA:

- why don't you publish it direct? What are the advantages of using a reverse proxy?

- where does your exchange server stand? In your LAN or your DMZ?

Right now I'm trying to figure out, where to put our new exchange server. In the DMZ for security reasons, or in the LAN for better implementing it into our active directory...

My main concern is, that I would have to define a rule, that lets external users access our LAN...

Maybe you could give me some hints on this!

Thanx,
Thorsten 

[/ QUOTE ]
I would put it on the DMA then simply forward netbios ports(including 445) and whatever other ports exchange needs tow ork via MASQ and packet filtering..[:)]  Then i would also turn on smtp and pop3 proxies as well.

Well, that's exactly what I DON'T want to do - expose my Windows server to the internet! I want it in my secure LAN for active directory integration etc. I could use a front-end exchange server, but that's too much hassle. 
Instead, I use the reverse proxy in the DMZ and use MASQ to open 80/443. Then I allow 80/443 traffic from the reverse proxy to the Exchange server.

[ QUOTE ]
I would put it on the DMA then simply forward netbios ports(including 445) and whatever other ports exchange needs tow ork via MASQ and packet filtering..[:)]  Then i would also turn on smtp and pop3 proxies as well. 

[/ QUOTE ]

Problem is, SMTP and POP-prxy work only from the inside to the outside. And if you direct port 80 directly to your server, you will have every script kiddy and every worm out there attacking your server with a good chance of crashing it, rendering your whole active directory domain useless.

Oliver

Astaro's http proxy is Squid; Squid can be configured as a reverse proxy. 
It shouldn't be too hard to modify the Squid.conf on ASL to get it to work. 
I believe several people here have done it, but I haven't seen anyone post the config.

Barry

 [ QUOTE ]
 you will have every script kiddy and every worm out there attacking your server with a good chance of crashing it, rendering your whole active directory domain useless. 

[/ QUOTE ] 

Unfortunately, a proxy won't help with this unless you properly lock down the proxy ACL's or whatever.

Besides, ASL 5's IPS should block known worms on http. It won't be able to filter SSL though. Neither will most proxies unless you put the SSL cert on the proxy server.

Barry

OK, so you have an exchange server in your LAN and a reverse proxy in your DMZ.
For this to work you have to create a rule, letting the reverse proxy connect to the exchange server on 80/443.
Isn't that a security hole by definition? The DMZ isn't supposed to connect to the internal LAN, isn't it?