Exchange Ersatz und anmeldung der Clients über VPN

[STI]

Hi, erstmal ein fröhliches hallo, an alle und einen schönen Abend.
Ich würde gerne bei mir in der Firma vollgendes Realiseiren.

Das Grundsätzliche:
Ein Unternehmen mit 4 Fillialen. In einer Filliale steht derzeit der Mail/Fileserver. Die Fillialen sind über VPN-Verbindungen miteinadner verbunden. VPN Router sind Bintec Acces 25. Clients bassieren alle auf Windows XP Home/Pro.

Fragen/Problemstellungen:

1. Ich möchte nun gerne, das meine Mitarbeiter über einen Server zusammen auf einen Outlook Kalender zugreifen können, sowie es bei einem Exchange Server möglich ist. Dafür möchte ich den Mailserver, der nun schon sehr sehr lange werckelt ersetzten. Am liebsten würde ich das über Debian realiesieren. Allerdings konnte ich leider kein Programm finden, welches ich dafür benutzen könnte.
Also kurz gefasst, suche Server der Outlook Netzwerkfähig macht und Mails versenden bzw. von POP3 Servern abholen kann, das alles über Debian. Die Mails, sollten nicht das Problem sein, das bekomme ich hin. Aber mit dem Exchange "Ersatz" habe ich leider keine Ideen.
#EDIT: Ich wollte eigendlich Outlook als Kalender Programm verwenden, da die meisten Mitarbeiter nur Erfahrung mit Outlook haben, sollte es am besten (auch) darüber funktionieren, falls das nicht geht, oder es ein Programm gibt welches ähnlich ist, dann wäre ich auch da für jeden Tipp dankbar.

2. Da ich leider bei einigen Besuchen in den Fillialen feststellen musste, dass die Mitarbeiter die PCs anders nutzen als gedacht(eMule, Die Sims,...), habe ich nun notdürftig einige Einträge in der Reg. vorgenommen, um zumindest erstmal das grobe zu unterbinden. Allerdings kann ich nicht nachvollziehen ob sich nun wirklich daran gehalten wird und nicht doch andere Programme oder sonstige Sachen gemacht werden. Ich möchte nihct falsch verstanden werden, ich möchte meine Angestellten nicht alles verbieten, aber eMule oder die Sims während der Arbeit bzw. inerhalb der Firma gehören nicht zudem was ich gestatten kann und möchte!
Gerne können sie auf das Internet etc. zugreifen, auch mal was Firmen fremdes tun, aber nicht etwas so extremes, wie ich es leider erleben musste.
Also, meine Idee, einen Server einrichten, an dem sich alle User vorher anmelden müssen, bevor sie dann Zugriff auf das Internet bekommen, damit man meine derzeitigen Sicherheits-Richtlinien nicht einfach durch eine Live CD umgehen kann. Das Probelm ist nun allerdings, das ich das gerne über Debian machen würde und ich auch leider heir keine Idee habe wie und, das die Filialen über VPN miteinander verbunden sind. Ich möchte nun aber nicht den ganzen Transfer über den VPN Router leiten und dann ins Hauptnetzwerk zum Server, sondern möchte quasi eine Anmeldung, die extrem wenig Bytes über den VPN Tunnel sendet und dann das Internet über den VPN Router direkt erlaubt, also ohne das die Daten alle erst über den Server gehen.

3. Zu 2 ich weiss nicht ob nun 2 überhaupt machbar ist, bzw. ob das vieleicht von mir ein bischen "zu" Sicher gemacht werden soll. Vieleicht bin ich auch einfach ein wenig paranoid, allerdings war der Schock und das damit verlorene Vertrauen in meine Angestellten dahin. Darum dieser gedachte Schritt. Habt ihr vieleicht noch andere Ideen, wie ich sie "Sicher" bekomme, ohne einen Sicherheits Staat daraus zu machen, sprich ohne Key Tracker etc.?

4. Die VPN Router habe ich damals aus Erfahrung mangel und auch aus Zeit mangel von einer anderen Firma einrichten lassen, die mir allerdings keine Zugangsdaten dafür hinterlassen hat. Auf eine Nachfrage meinerseits, wurde mir gesagt das sie mir die Daten nicht geben würden! Da ich die Router aber gekauft habe, bin ich der meinung das sie mir gehören und ich dementsprechend auch vollzugriff auf sie bekommen sollte. Oder liege ich da falsch?

Ich weiss, gleich der erste Thread und ein haufen fragen, aber ich hoffe ihr könnt mir helfen und ich euch dafür später mal.
Also, bleibt wohl nur noch zusagen please

 

[theton]

Bei Problem 1. wuerde ich dir von Debian abraten. Das was du da suchst ist mit einem SuSE Enterprise Server leicht zu realisieren. Du koenntest es auch mit OpenXchange versuchen ein Howto zu Debian gibt es dazu unter http://www.linux-tin.de/modules.php?op=modload&name=PagEd&file=index&topic_id=1&page_id=28

Bei Problem 2 kann ich keine grosse Hilfe sein, da sowas bei uns in der Firma nicht notwendig ist. Wir analysieren den Traffic zwar, aber direkt geblockt wird eigentlich nur der Besuch bestimmter Webseiten mit bestimmten Stichwoertern ueber einen Proxy-Server. Wenn jemand zu viele private Sachen im Firmen-Netzwerk macht, wird das an den Chef gemeldet und meist hat das nach einer Verwarnung dann auch personelle Konsequenzen.
Evtl. koennte dir aber ein IDS (wie .z.B. snort) weiterhelfen, mit dem du einfach bestimmten Traffic ausfilterst. Ausserdem gibt es so ein nettes Skript namens zonk.pl mit dem man auf dem Router schauen kann, welche Rechner im Netzwerk gerade Filesharing-Programme nutzen. Momentan kann man den Traffic auf emule, gg, jabber, skype sowie bearshare/gnuttella absuchen lassen, aber weiter Analyse-Moeglichkeiten sollten problemlos einbaubar sein. Da ich nicht mehr weiss, wo ich das urspruenglich mal her hatte, kannst du es einfach bei mir runterladen: http://www.bitmuncher.de/files/zonk.pl oder schau halt bei Tante Google wo das Original rumgeistert.

Bei 3. wuerde ich mal sagen, dass du mit der Analyse des Traffics schon genug erreichen kannst. Wenn die Mitarbeiter wissen, dass jede noch so kleine Bewegung im Netzwerk durch den Administrator auffindbar ist und bemerkt wird, hat das meist schon eine ausreichend abschreckende Wirkung. Wenn dann auch noch die Zusammenarbeit mit der "Fuehrungsetage" und der Systemadministration stimmt und z.B. im Arbeitsvertrag die Benutzung bestimmter Programme (Download copyright-geschuetzter Medien, Benutzung von Spielen u.ae.) untersagt ist, wird kaum ein Mitarbeiter seinen Arbeitsplatz riskieren wollen nur um ein paar MP3s runterzuladen oder Sims zu spielen. Ausserdem sollten Mitarbeiter garnicht erst die Moeglichkeit haben Software zu installieren und das ist unter Windows mit einem eingeschraenkten Benutzer problemlos moeglich.

Zu 4.: Wenn du den Router gekauft hast, hast du ein Recht auf die Zugangsdaten. Etwas anderes ist das bei den "Routern" (sind ja eigentlich nur Forwarder) der SDSL-Provider und bei Standleitungen. Hier hat man auf den Router ja eh keinen Zugriff und der Zugriff ist nur ueber das entsprechende Rechenzentrum moeglich (wird meist eh nur genutzt um zu ueberpruefen ob die Leitung ok ist). Bei einem VPN-Router solltest du aber die Zugangsdaten einfordern. Oft hilft da eine Drohung mit dem Gericht weiter, denn als Kaeufer des Produkts hast du ein Anrecht auf alle zur Nutzung notwendigen Daten. Solltest du allerdings einen Service-Vertrag mit der Firma geschlossen haben, sollte in dem Vertrag verzeichnet sein, dass du die Daten nicht bekommst. Ansonsten halt wirklich einfordern.

 

[STI]

Hi, gut erstmal danke. Warum genau würdest du mir von Debian abraten?
Ich finde es eigendlich sehr gut!
Funktioniert das mit OpenXchange den auch oder würdest du mir wirklich zu Suse raten(mag ich aber garnicht)?

Bei dem Punkt mit dem Überwachen, mir gehts wie gesagt garnicht so darum das ich die Mitarbeiter ganz genau auf die Finger gucken kann, würde es nur gerne so einrichten, das die Mitarbeiter sich vorher auf einem Server anmelden müssen, damit sie Internet Zugriff bekommen. Am besten sollte natürlich dann verstckt vom Client eine bestimte Datei übertragen werden, die nur von diesem Client aus gesendet wird und nicht von einem anderen Betriebssystem, etwa wie Live CD gesendet werden kann.
Naja, muss nicht so komliziert sein, ich möchte es Grundsätzlich so haben, dass meine Mitarbeiter genau mit dem Betriebssystem arbeiten wie ich es ihnen vorgegeben habe und sie nicht einfach über eine Live CD meine ganzen Bestimmungen übergehen können. Darum soll sellbst wenn sie eine Live CD einlegen, das Internet und wenn möglich sogar das Intranet für sie unerreichbar sein.

Aber vorerst vielen Dank, werde mich mal mit dem OpenXchange HowTo beschäftigen und es bei mir zu Hause mal antesten.

Nachmal Danke

 

[theton]

Ich rate von Debian ab, weil ich weiss, dass OpenXchange da immer mal wieder Probleme macht und die Einrichtung unnoetig kompliziert ist, was ja nunmal Zeit kostet. Bei SuSE ist das gleiche in weniger als der Haelfte der Zeit aufsetzbar. Allein das Zusammensammeln der notwendigen LDIF-Dateien fuer's Outlook-Adressbuch macht schon eine Menge Arbeit. Dazu kommt noch, dass beim Enterprise-Server von SuSE die fuer Outlook notwendigen Connectoren gleich dabei sind (waren sie zumindest bis 9.3, weiss nicht ob das immernoch so ist). Bei Debian muss man sich die selbst besorgen und die wirklich brauchbaren kosten eh alle Lizenzgebuehren.

 

[supersucker]

Also erstmal würde ich anfangen die Windows-Kisten richtig zu konfigurieren.

Wie theton schon erwähnte:

Alle Mitarbeiter dürfen sich nur unter einem eingeschränkten Benutzer-Account anmelden, der ihnen die Installation von Software verbietet.

Damit hättest du schon mal viel erreicht.

 

[STI]

Hi, leider ist das Problem, das sie teilweise Administrator Befugnisse brauchen.
Da muss ich mal schauen. AHbe wie gesagt bis jetzt über die Reg. ertsmal alles Programme gesperrt die sie nicht benötigen.

Aber nochmal zu OpenXchange, was genau brauche ich den um die Anbindung an Outlook zu realisieren?
Bin numal kein Suse freund, habe 3 Systeme gehabt und alle sind mir mehr oder weniger vor die fritten gegangen. Bestimmt trage ich auch Teilschuld, aber das Debian danach, lief einwandfrei, deshalb würde ich gerne dabei bleiben, kenn mich mit Debian solangsam auch aus. Ein Grund mehr bei Debian zu bleiben. Habt ihr HowTos oder sonstiges für mich, was ich nutzen kann?
Wollte es heute Abend mal probieren.

 

[theton]

Du brauchst einen OpenXchange Connector fuer Outlook. Eine Auswahl davon findest du bei Google. Gibt verschiedenste von Skyrix, Netline u.a.

 

[Supermethan]

Hi STI,

zu deiner ersten Frage würde ich dir David von der Firma Tobit empehlen, ist wesentlich günstiger als die Microsoftprodukte, läuft unter Linux, hat einen Gruppenkalender und ermöglicht darüber hinaus die Benutzung von Fax, SMS und Voice Funktionen. Wir haben es bei uns selbst unter Suse 9.1 laufen und lieben den Gruppenkalender.

Grüße Supermethan

 

[STI]

@Supermethan
Danke, werde ich mir mal anschauen.

@all
jagut, mit openxchange ist ja wirklich nen akt. Habe es Gestern Abend mal probiert, aber das war wohl nichts. Mal schauen, das schöne wäre, das OpenXchange kostenlos ist.
Wobei 400€ für die Enterprise Suse version im Vergleich zu knappen 1500€ ja auch noch gehen.

Ich probiere es wenn ich etwas mehr Zeit habe nochmal, dann seh ich weiter, aber bis dato erstaml vielen Dank, vorallem an theton.

 

[STI]

Hi, wollte nurmal eben meiene Lösung beschreiben.
Also habe glaube ich fast jede Groupware durch, aber es gab imme nur Probleme oder halt keinen Connector der auch wirklich mit Outlook funktioniert.
Bin jetzt bei eGroupware( egroupware.org ) gelandet, gutes Projekt, OpenSource, kostenlos. Klasse gemacht. läuft allerdings auf PHP. Und am besten noch das 5er. Aber, es läuft, super stabil, hat gleich beim ersten Versuch geklappt, also sowohl einrichtung und auch Betrieb. Gibt Connectoren für Outlook und und und. Habe dann den Sync4j Con. genommen, läuft über das SyncML Protokoll, welches man dann nochmal ein bischen auf dem Server einrichten muss, ist aber eine Anleitung auf der Homepage.
Andernfalls gibt es noch den eGWOsync, der läuft dann über das XMLRPC Protokoll. Läuft auch super, doch ich finde ersters besser, da es ein Plugin für Outlook ist und kein separates Programm, welches man laufen lassen muss.

Leider habe ich es noch nicht raus, das alle 3-4 Minuten ein Daten Update gemacht wird, aber eigendlich sollte es möglich sein zumindest alle 15 Minuten eins zu machen. Na ich probiere noch einbichen, bin jdetzt erstmal froh, das es läuft.

Nochmal dnake für euere Unterstützung und ich hoffe ich konnte allen die noch auf der suche nach einer Groupware mit Outlook anbindung für Linux sind einen heissen Tip geben.

P.S. alle Programme sind Freeware! Die Anleitung auf der Seite von eGroupware ist allerdings es was schwer zu überschauen.

Aber es läuft!!!

 

[pitschi5]

Hi,
du solltest als Groupware mal Scalix testen (www.scalix.de). Ist sogar bis zu 25 Premium-Usern und unbegrenzten Standard-Usern (Definition dazu auf der Scalix-Site). Du kannst damit einen Netzwerkzugriff über Outlook realisieren, sowie einen externen Zugriff über Webmail oder Outlook. Scalix unterstützt Outlook über einen Outlook-Connector ohne Probleme (extern sowie intern). Solltest du wirklich mal ausprobieren, ich denke das du mit dieser Software deinen Bedürfnissen für eine Groupware am nächsten kommst. Empfehlen würde ich dir dazu allerdings auch ein SuSE.

so long..

 

[STI]

Hi, sorry bin halt wirklich nicht der Suse Typ/Fan.
Und bis jetzt läuft EGroupware wirklich klasse. Gut, das mit den Connectoren hat im nachhinein leider nicht Funktioniert, aber über die Web Oberfläche ist der Zugriff genauso unproblematisch wie über Outlook.
Die Mitarbeiter hatten es nach zwei drei Versuchen raus und es gibt bis jetzt eher Positive Resonanz.

Also, werde wohl zimlich sicher bei eGroupware bleiben, aber trozdem danke für deinen Tipp, kannst ja mal zu Hause ausprobieren.

Gruss Tim