Server_ActiveSync The average of the most recent [200] heartbeat intervals used by clients is less than or equal to [540]. Make sure that your firewall configuration is set to work correctly with Exchange ActiveSync and direct push technology. Specifically, make sure that your firewall is configured so that requests to Exchange ActiveSync do not expire before they have the opportunity to be processed.

Il Firewall a cui fa riferimento Server_ActiveSync potrebbe non essere quello della macchina (Microsoft Exchange in questo caso) ma bensì il firewall ISA. In quest’ultimo caso va elevato il livello di timeout come specificato nella Knowledge base Microsoft parzialmente riporta qui sotto.

1. Scegliere Opzioni dal menu Strumenti.
2. Nella finestra di dialogo Opzioni scegliere la scheda Altro.
3. Fare clic su Opzioni avanzate.
4. Fare clic su Moduli personalizzati.
5. Fare clic su Password.
6. Inserire le informazioni appropriate nella finestra di dialogo Cambia password di Windows.
7. Scegliere OK quattro volte per chiudere la finestra di dialogo Opzioni.

Quello che vi propongo è una soluzione a costo zero usando Apache 2.0 e le mod mod_ssl e mod_proxy, spiegando passo passo come realizzare una efficace protezione di OWA.

Prima di tutto fissiamo alcune informazioni base per la spiegazione, si suppone che abbiamo Exchange e OWA perfettamente funzionanti, altresì abbiamo un server in ambiente Linux con Apache 2.x installato e funzionate.
Il server Exchange avrà come indirizzo ip 192.168.0.100 e la risoluzione dns in exchange.lan
Il server proxy-apache sarà raggiungibile da internet tramite un indirizzo pubblico a.b.c.d risolto come webmail.mydomain.com, mentre l’indirizzo interno sarà 192.168.10.50

Primo passo sarà quello di configurare le due mods per Apache, ove non presenti. Prima di tutto verifichiamo la situazione, da linux diamo il comando a2enmod -l
Dovremmo ottenere un risultato simile a:

actions alias auth_basic authn_file authz_host authz_groupfile authz_default authz_user authn_dbm autoindex cgi dir env expires include log_config mime negotiation setenvif ssl suexec userdir php5 proxy headers proxy_http proxy_ftp proxy_connect

il nostro target è quello di vedere aggiunti in questa lista ssl, proxy, proxy_http, proxy_connect e headers. Se li avete già saltate il prossimo paragrafo.

Con il comando a2enmod -q ssl aggiungeremo il modulo ssl alla lista precedente, che ricordo viene caricata all’avvio di Apache. Ripetiamo l’operazione per i moduli restanti

a2enmod -q proxy
a2enmod -q proxy_http
a2enmod -q proxy_connect
a2enmod -q headers

Riavviamo Apache ( /etc/init.d/apache2 restart ) e i moduli saranno caricati oltre che disponibili ad essere usati.
NOTA: in SuSE Linux Enterprise 10 abbiamo aggiustato anche le direttive APACHE_SERVER_FLAGS con il valore “SSL !NOSSL” presenti in \etc\sysconfig\apache2, o tramite YAST sotto il menu System -> Config Editor: Network/WWW.

Ora passiamo alla parte più complicata da spiegare, dobbiamo modificare il file di configurazione di Apache, nel caso specifico un VirtualHost, questa è la nostra modifica nel completo, più sotto spieghiamo alcuni passaggi:

DocumentRoot "/srv/www/htdocs"
ServerName webmail.mydomain.com
RequestHeader set Front-End-Https "On"
ProxyRequests Off
ProxyPreserveHost On
ServerAdmin support@mydomain.com
ErrorLog /var/log/apache2/webmailssl_error_log
TransferLog /var/log/apache2/webmailssl_access_log
CustomLog /var/log/apache2/ssl_request_log   ssl_combined

SSLEngine on
SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

SSLCertificateFile /etc/apache2/ssl.crt/owaserver.crt
SSLCertificateKeyFile /etc/apache2/ssl.key/owaserver.key

SetEnvIf User-Agent ".*MSIE.*" \
  nokeepalive ssl-unclean-shutdown \
  downgrade-1.0 force-response-1.0

ProxyPass  http://webmail.mydomain.com/exchange
ProxyPassReverse http://webmail.mydomain.com/exchange
SetEnv force-proxy-request-1.0 1
SetEnv proxy-nokeepalive 1
SSLRequireSSL

ProxyPass http://webmail.mydomain.com/exchweb
ProxyPassReverse http://webmail.mydomain.com/exchweb
SetEnv force-proxy-request-1.0 1
SetEnv proxy-nokeepalive 1
SSLRequireSSL

ProxyPass http://webmail.mydomain.com/public
ProxyPassReverse http://webmail.mydomain.com/public
SetEnv force-proxy-request-1.0 1
SetEnv proxy-nokeepalive 1
SSLRequireSSL

La chiamata ProxyPreserveHost inoltra l’header originale da parte del client al server (exchange).
RequestHeader forza l’uso di https:// al posto di http:// ed è richiesto per creare un tunnel SSL in quanto OWA offre l’autenticazione solo in chiaro, per cui è meglio avere una protezione criptata quando si offrono le proprie username e password.
SSLcertifcate files (.crt e .key in formato PEM) richiedo un certificato autofirmato se non volete spendere soldi, oppure uno acquistato dalle società di sicurezza tipo Verisign.

Ora la parte più interessante:

ProxyPass  http://webmail.mydomain.com/exchange
ProxyPassReverse http://webmail.mydomain.com/exchange
SetEnv force-proxy-request-1.0 1
SetEnv proxy-nokeepalive 1
SSLRequireSSL

nell’uso di OWA occorre passare in proxy le subdomain /exchange /exchweb e /public.
Tramite SetEnv force-proxy-request-1.0 e SetEnv proxy-nokeepalive andremo a bypassare alcune problematiche di OWA con Apache, come riportato in questo estratto dalla documentazione Apache.

[Protocol Adjustments]
http://httpd.apache.org/docs/2.2/mod/mod_proxy.html

For circumstances where you have a application server which doesn’t
implement keepalives or HTTP/1.1 properly, there are 2 environment
variables which when set send a HTTP/1.0 with no keepalive. These are set
via the SetEnv directive.

Bene abbiamo quasi finito, dobbiamo solo indicare al server dove gira Apache come risolvere webmail.mydomain.com, visto che internamente girerà probabilmente su un suffisso diverso. Apriamo il file /etc/hosts ed aggiungiamo
192.168.0.100 webmail.mydomain.com

Operazione completata, riavviamo apache e le schede di rete e proviamo ad accedere dall’esterno alla nostra webmail all’indirizzo https://webmail.mydomain.com/exchange in cui dovrebbe apparire la pop-up con richiesta credenziali di Exchange (forse prima dovrete accettare il certificato se è autofirmato).

Un ultima nota, tutto quanto funziona se andiamo a puntare all’indirizzo https e con la declinazione /exchange, se invece puntate in http a webmail.mydomain.com otterrete una pagina di errore. Per redirigere in automatico la vostra utenza (e salvarvi da chiamate inutili in assistenza) potete usare questa semplice host directive da mettere nel VirtualHost in porta 80, ovviamente modificherete la chiamata RedirectMatch con i valori appropriati alla vostra situazione.

ServerAdmin support@mydomain.com
    ServerName webmail.mydomain.com
    ErrorLog /var/log/apache2/webmail.error_log
    CustomLog /var/log/apache2/webmail.access_log combined
    ServerSignature On

    RedirectMatch permanent /$ https://webmail.mydomain.com/exchange
    RedirectMatch permanent (/.*) https://webmail.mydomain.com$1