RPC in Windows bzw. Exchange ein Security-Problem/Designfehler???

[RPC]

Mir ist die Diskussion bzgl. RPC in diesem Forum aus diesem Thread (http://www.forum-3dcenter.org/vbulletin/showthread.php?p=7954200#post7954200) bekannt.

Jetzt habe ich folgenden Artikel gefunden:
"Die Exchange CAS-Rolle veröffentlicht zwar nach extern nur Port 443, mit dem Server der die Mailboxrolle innehat wird jedoch über Mapi kommuniziert. Dieses Protokoll verwendet RPC (Remote Procedure Call). RPC funktioniert so das auf dem Zielport 135 die Kommunikation gestartet wird und dann ein oder mehrere hohe Ports für die weitere Datenübertragung genutzt werden. Möchte man nun den CAS-Server in die DMZ stellen müsste man in Richtung Mailboxserver alle Ports öffnen. Die DMZ wäre damit dahin. Die Beschränkung der Ports ist zwar möglich, jedoch nur in Richtung Client supportet, nicht in Richtung des Mailboxservers (der wiederum auch mittels MAPI/RPC mit dem Server mit der CAS – Rolle kommuniziert).

Weiterhin muß der CAS – Server auch Mitglied eines Active Directory Forests bzw. einer Domäne sein. Auch hier wird RPC zur Kommunikation teilweise verwendet."
http://msmvps.com/blogs/wstein/archive/2010/02/21/exchange-cas-in-der-dmz.aspx

Wie ist das zu verstehen?

[Rajin the troll]

Die antwort darauf findet sich doch eigentlich im ersten absatz des Artikels den du verlinkt hast.

"Es kommt öfters vor das es Fragen zu CAS-Servern in einer DMZ gibt. Gleich vorweg: Dieses Scenario ist nicht supportet von Microsoft."

Ein CAS-Server wurde garnicht dazu entwikelt um in eine DMZ gestellt zu werden.
Die Fragen danach kommen in der Regel aus der vergangenheit. Bei Exchange 2000/2003 gab es den sogenanten Frontendserver, der in der DMZ sich um die autorisierung von zugriffen auf die eigentlichen Mailboxserver gekümmert hat.

Seit Exchange 2007 gibt es diesen nichtmehr, da es für diese aufgaben inzwischen sinnvollere lösungen gibt. Stichwort hierbei ist reverse Proxy.

Ich hoffe mal das das deine etwas vage formulierte Frage beantwortet.