Nginx als Reverse Proxy für Autodiscover und Outlook Anywhere

Letzte Aktualisierung am 22.09.2019, 12:09:08 Uhr

In den letzten Tagen stand die Veröffentlichung einiger Dienste eines Microsoft Exchange Server 2010 auf dem Plan. Es ging dabei primär um Outlook Anywhere in Verbindung mit Autodiscover. Die Herausforderung dabei ist noch das Exchange 2010 mit hilfe von RPC over https kommunziert. Damit kommt leider nicht jeder Reverse Proxy klar. Der Lösungsansatz ist eine virtuelle Maschine unter Ubuntu 14.04 LTS mit dem Webserver nginx. Dieser benötigt im Vergleich zu Apache kaum Ressourcen und ist somit auf schwachen Systemen leistungsstark. Des Weiteren entstehen keine Lizenz- und Wartungskosten.

Die Installation von Ubuntu und die Konfiguration von Outlook Anywhere erspare ich mir hier.
Es geht direkt los mit der Installation von Nginx inkl. Tools:

apt-get update
apt-get upgrade
apt-get install nginx nginx-extras

Die Installation von Nginx über das Repository des Entwicklers und die Tools aus dem Ubuntu-Archiv funktioniert nicht fehlerfrei! Die Tools sind erforderlich, damit Parameter wie more_set_input_headers genutzt werden können.

Zuerst muss eine neue Nginx-Konfiguration erstellt werden. Es existiert nach der Installation zwar eine Default Konfiguration, aber diese soll unberührt bleiben.

vi /etc/nginx/sites-available/autodiscover.domain.de

Nachfolgend meine Konfiguration als Vorlage:

server {
        listen 80 spdy;
        listen [::]:80;

        # redirect from htttp to https
        server_name autodiscover.domain.de;
        return 301 https://$server_name$request_uri;
}

server {
        listen 443 ssl;
        listen [::]:443 ssl spdy;
        server_name autodiscover.domain.de;


        #Enable SSL
        ssl on;
        ssl_certificate /etc/nginx/ssl/domain.de.pem;
        ssl_certificate_key /etc/nginx/ssl/domain.de.key;

        ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:AES256+EECDH:AES256+EDH;
        ssl_protocols TLSv1.2 TLSv1.1 TLSv1;
        ssl_session_cache shared:SSL:10m;
        ssl_prefer_server_ciphers on;
        ssl_dhparam /etc/ssl/certs/dhparam.pem;

        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";
        add_header X-Frame-Options DENY;
        add_header X-Content-Type-Options nosniff;

        proxy_http_version 1.1;
        proxy_pass_request_headers on;
        proxy_pass_header Date;
        proxy_pass_header Server;

        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        more_set_input_headers 'Authorization: $http_authorization';
        proxy_set_header Accept-Encoding "";
        more_set_headers -s 401 'WWW-Authenticate: Basic realm="exchange.domain.de"';

        # Required for Outlook 2013
        location /autodiscover {
                proxy_pass https://10.20.18.7/Autodiscover;
        }

        # Required for Microsoft Remote Connectivity Analyzer
        location /Autodiscover {
                proxy_pass https://10.20.18.7/autodiscover;
        }
}

Den Wert domain durch ist ein Platzhalter.
Der Wert Basic realm=“exchange.domain.de“ muss der Outlook Anywhere Adresse entsprechen.
Die IP-Adresse 10.20.18.7 ist durch eure Exchange Server Adresse zu ersetzen.

Mit :wq wird die Konfiguration abspeichert und geschlossen. Damit der Webserver die neue Konfiguration bei einem Reload einliest, muss noch ein symbolischer Link erstellt werden.

ln -s /etc/nginx/sites-available/autodiscover.domain.de /etc/nginx/sites-enable/autodiscover.domain.de

Die Datei /etc/ssl/certs/dhparam.pem könnt ihr mit folgenden Befehl generieren lassen:

cd /etc/ssl/certs
openssl dhparam -out dhparam.pem 4096

Zum Abschluss die Konfiguration auf Fehler prüfen lassen und in den Webserver einlesen lassen:

service nginx configtest
service nginx reload