Firewallanforderungen für den Zugriff durch externe Benutzer

Öffentlich routingfähige IP-Adresse

An einem Standort, an dem mehrere Edgeserver hinter einem System zum Lastenausgleich bereitgestellt werden, darf eine externe Firewall nicht als NAT (Network Address Translation, Netzwerkadressenübersetzung) fungieren. An einem Standort, an dem jedoch nur ein einzelner Edgeserver bereitgestellt wird, kann die externe Firewall als NAT konfiguriert werden.

Konfigurieren Sie in diesem Fall die NAT als DNAT (Destination Network Address Translation, Zielnetzwerk-Adressenübersetzung) für eingehenden Datenverkehr. Das bedeutet, Sie konfigurieren alle Firewallfilter für den Datenverkehr vom Internet zum Edgeserver mit DNAT; die Firewallfilter für den Datenverkehr vom Edgeserver zum Internet (ausgehender Datenverkehr) konfigurieren Sie als SNAT (Source Network Address Translation, Quellnetzwerk-Adressenübersetzung). Die Filter für den eingehenden und ausgehenden Datenverkehr müssen, wie in Abbildung 1 dargestellt, derselben öffentlichen IP-Adresse und derselben privaten IP-Adresse zugeordnet werden.

Die interne Firewall fungiert jedoch möglicherweise nicht in allen Topologien als NAT für die interne IP-Adresse des Edgeservers.

Hinweis:

Microsoft Internet Security and Acceleration (ISA) Server wird nicht nur als Reverseproxy unterstützt, sondern auch als Firewall für Office Communications Server 2007 R2. Folgende Versionen von ISA werden als Firewall unterstützt: ISA Server 2006 ISA Server 2004 Wenn Sie ISA Server als Firewall verwenden, kann dieses nicht als NAT konfiguriert werden, da ISA Server 2006 keine statische NAT unterstützt.

Standardports

In der folgenden Abbildung werden die Standardfirewallports für jeden Server im Umkreisnetzwerk veranschaulicht.

In den folgenden Abschnitten finden Sie zusätzliche Informationen zu den Ports, die für jede Serverrolle in jeder Topologie konfiguriert werden müssen. In den folgenden Tabellen verweisen die in der Spalte "Nummer in der Abbildung" angegebenen Ziffern auf die Nummern, die den Portbeschreibungen in der obigen Abbildung zugeordnet wurden.

Firewallrichtlinienregeln des Edgeservers

In den folgenden drei Tabellen werden die Firewallrichtlinienregeln beschrieben, die für den Edgeserver konfiguriert werden müssen. Diese Einstellungen werden in getrennten Tabellen aufgeführt, um darzustellen, welche Porteinstellungen von den einzelnen auf dem Edgeserver ausgeführten Diensten verwendet werden.

In den folgenden Abschnitten werden die Firewallrichtlinienregeln aufgelistet, die auf den einzelnen Servern im Umkreisnetzwerk erforderlich sind. In den Tabellen dieser Abschnitte entsprechen die Zahlen in der Spalte Nummer in der Abbildung den Zahlen in Abbildung 2.

Der in diesen Tabellen für die Richtung der Firewallrichtlinienregeln verwendete Begriff "ausgehend" ist folgendermaßen definiert:

• An der internen Firewall bezieht er sich auf den Datenverkehr von den Servern des internen (privaten) Netzwerks zum Edgeserver im Umkreisnetzwerk.
• An der externen Firewall bezieht er sich auf den Datenverkehr vom Edgeserver im Umkreisnetzwerk zum Internet.

Tabelle 1. Firewalleinstellungen für den Zugriffs-Edgedienst

Hinweis:
PSOM (Persistent Shared Object Model, Modell für beständige freigegebene Objekte) ist das proprietäre, von Microsoft für Webkonferenzen verwendete Protokoll.

Tabelle 2. Firewalleinstellungen für den Webkonferenz-Edgedienst

Tabelle 3. Firewalleinstellungen für den A/V-Edgedienst

Firewall	Richtlinienregeln	Nummer in der Abbildung
Intern	Lokaler Port: 443 TCP (STUN/TCP) Richtung: Ausgehend (für die Übertragung von Mediendaten zwischen internen Benutzern und externen Benutzern). Remoteport: beliebig Lokale IP: die interne IP-Adresse des A/V-Edgediensts Remote-IP: beliebige IP-Adresse	12
Intern	Lokaler Port: 5062 TCP (SIP/MTLS) Richtung: ausgehend (für die Authentifizierung von A/V-Benutzern) Remoteport: beliebig Lokale IP: die interne IP-Adresse des A/V-Edgediensts Remote-IP: beliebige IP-Adresse	13
Intern	Lokaler Port: 3478 UDP (STUN/UDP) Richtung: Ausgehend (für die Übertragung von Mediendaten zwischen internen Benutzern und externen Benutzern). Beachten Sie, dass es sich hierbei um die gängigste Einstellung handelt. Aufgrund der Eigenschaften von verschiedenen Firewalls und UDP sind für Ihre Firewalls möglicherweise andere Einstellungen erforderlich. Remoteport: beliebig Lokale IP: die interne IP-Adresse des A/V-Edgediensts Remote-IP: beliebige IP-Adresse Hinweis: Wenn Sie ISA Server als Firewall verwenden, müssen Sie die Regel für Senden/Empfangen konfigurieren.	14
Extern	Lokaler Port: 443 TCP (STUN/TCP) Richtung: Eingehend (für den Zugriff auf Mediendaten und A/V-Sitzungen durch externe Benutzer). Remoteport: beliebig Lokale IP: die externe IP-Adresse des A/V-Edgediensts Remote-IP: beliebige IP-Adresse	8
Extern	Lokaler Port: 3478 UDP (STUN/UDP) Richtung: Eingehend/Ausgehend (für die Herstellung einer Verbindung mit Mediendaten und A/V-Sitzungen durch externe Benutzer) Beachten Sie, dass es sich hierbei um die gängigste Einstellung handelt. Aufgrund der Eigenschaften von verschiedenen Firewalls und UDP sind für Ihre Firewalls möglicherweise andere Einstellungen erforderlich. Remoteport: beliebig Lokale IP: die externe IP-Adresse des A/V-Edgediensts Remote-IP: beliebige IP-Adresse Hinweis: Wenn Sie ISA Server als Firewall verwenden, müssen Sie die Regel für Senden/Empfangen konfigurieren.	10
Extern	Lokaler Portbereich: 50.000-59.999 TCP (RTP/TCP) (Einzelheiten zu diesem Portbereich bei Partnern mit früheren Versionen von Office Communications Server finden Sie unter Portbereich 50.000 – 59.999.) Richtung: Ausgehend (für die Übertragung von Mediendaten) Remoteport: beliebig Lokale IP: die externe IP-Adresse des A/V-Edgediensts Remote-IP: beliebige IP-Adresse	9

Firewallrichtlinienregeln des Reverseproxys

In der folgenden Tabelle wird die für den Reverseproxy zu konfigurierende Firewallrichtlinie beschrieben.

Tabelle 4. Firewalleinstellungen für den Reverseproxy

Firewall	Richtlinienregeln	Nummer in der Abbildung
Intern	Lokaler Port: beliebig Richtung: eingehend (für den Zugriff durch externe Benutzer auf Webkonferenzen) Remoteport: 443 TCP (HTTP(S)) Lokale IP: die interne IP-Adresse des Reverseproxys Remote-IP: beliebig	2
Extern	Lokaler Port: 443 TCP (HTTP(S)) Richtung: eingehend Remoteport: beliebig Lokale IP-Adresse: die externe IP-Adresse des HTTP-Reverseproxys Remote-IP: beliebig Hinweis: Wenn Sie Ihren Benutzern ermöglichen möchten, aus Ihrem Intranet heraus Verbindungen mit externen, von anderen Unternehmen gehosteten Konferenzen herzustellen, öffnen Sie Port 443 als ausgehenden Port.	1