Exchange ActiveSync
Siehe auch Mobile Information Server, Outlook Webzugriff 2003, Exchange 2003 - Outlook Mobile Access, Exchange 2003 SP2 und Pushdienste, sowie ActiveSync über Server und ActiveSync über Desktop und Windows Mobile 5 und EAS Inside
Mit dem Exchange 2003 Outlook Mobile Access ist auch der Mobile Information Server integriert, welcher " mit. Über diesen Weg ist eine Replikation zwischen einem mobilen Gerät und dem Exchange Server möglich. In Verbindung mit Pocket Windows Phone Edition ist sogar eine Benachrichtigung des Clients bei neuen Nachrichten möglich. Diese Seite schaut etwas hinter die Kulissen von EAS und gibt Tipps zum Einsatz und der Pflege.
Wenn ihr Postfach "voll" ist, dann kann dies auch dazu führen, dass ActiveSync nicht mehr funktioniert und Sie nicht einmal Mails löschen können.
Background Scan und Virenscanner
Wenn ActiveSync manchmal geht und manchmal nicht oder Ordner oder einzelne
Mails fehlen, dann kann ihr ESE-Virenscanner dran Schuld sein. Prüfen Sie
die Dokumentation und Supportseiten des Herstellers bezüglich ActiveSync und
BackgroundScan.
827615 Server ActiveSync does not download all items during a
synchronization session
http://msg-blog.de/2008/03/08/sporadisch-keine-neuen-elemente-auf-exchange-activesync-clients-was-der-exchange-virenscanner-damit-zu-tun-haben-kann/
Exchange ActiveSync
http://en.wikipedia.org/wiki/Exchange_ActiveSync
Enthält eine ausführliche Evolution der Active Sync Versionen und
unterstützten Funktionen
So funktioniert EAS
EAS ist eine HTTP/HTTPS-basierte Kommunikation zwischen dem Client und dem Server. Damit ist klar, dass irgendwo ein IIS mit im Spiel ist und TCP/IP genutzt wird. Der Zugriff des Clients erfolgt auf das virtuelle Verzeichnis "/Microsoft-Server-ActiveSync". Damit EAS funktioniert, legt das Installationsprogramm von Exchange 2003 in der Default Webseite ein neues virtuelles Verzeichnis "Microsoft-Server-ActiveSync" an. Dies sind die Einstellungen:

Es ist gut zu sehen, dass in dem virtuellen Verzeichnis eigentlich keine Dateien zum Download drin liegen und daher die Einstellung zum tragen kommt, dass MASSYNC.DLL alle Anfragen annimmt und verarbeitet. Wenn EAS nicht funktioniert, sollten Sie diese Einstellungen prüfen.
Das macht MASSYNC.DLL
Im Verzeichnis Microsoft-Server-ActiveSync sind keinerlei Dateien. Das ist auch nicht erforderlich, da die MASSYNC.DLL alle anfragen bekommt. MASSYNC seinerseits muss aber nun auf das Postfach des Anwenders zugreifen. Dazu nutzt MASSYNC einfach den Zugriff per OWA. MASSYNC nutzt also nicht MAPI, CDO oder andere versteckten Optionen, sondern bedient sich einfach des Outlook Web Access als legitimen Zugriff auf den Server.

Wenn Sie hingegen eine Frontend/Backend Konstellation nutzen, dann sieht das Bild etwas anders aus:

Der Server, auf dem "Microsoft-Server-ActiveSync" aktiv ist, greift seinerseits auf das "/exchange" des Mailboxservers zu. Damit ist natürlich auch klar, dass EAS nicht mehr funktioniert, wenn kein Postfachzugriff über "http://postfachservername/exchange" möglich ist. Und dafür gibt es gleich mehrere Stolpersteine:
- Namensauflösung und Firewall
Speziell in Szenarien mit Frontend und Backend Konfigurationen - /Exchange nicht vorhanden
Einige Firmen glauben eine höhere Sicherheit zu erhalten, wenn Defaults verändert werden und das Exchange virtuelle Verzeichnis anders genannt wird. Das können Sie gerne tun, aber Sie müssen dann MASSYNC über die Registrierung umkonfigurieren oder /Exchange nur noch von intern erreichbar lassen. - /Exchange hat keine "integrierte Authentifizierung
Exchange ActiveSync funktioniert nicht, wenn der OWA-Server (virtuelles Verzeichnis /exchange) auf die integrierte Authentifizierung verzichtet. - Keine Mailadresse der SMTP-Domäne für virtuelles Verzeichnis "/Exchange"
Ein Anwender kann nur dann OWA nutzen, wenn er eine Mailadresse mit der Domäne hat, die auch hinter dem virtuellen Verzeichnis "Exchange" hinterlegt ist. (Exchange 2000/2003 Default Empfängerrichtlinie. Siehe RUS und Empfängerrichtlinien). Erschwerend kommt hinzu, wenn die primäre SMTP-Adresse nicht diese Default Adresse ist. Dann müssen Sie die Schritte aus "KB886346 You receive an HTTP_500 error message when you synchronize your mobile device with Microsoft Exchange Server 2003" durchgehen. - SSL erzwungen
OMA kann nicht arbeiten, wenn der OWA-Server (virtuelles Verzeichnis /exchange) zwingend SSL erforderlich macht. Wenn Sie Angst um die Sicherheit haben, dann sollten Sie EAS auf ein neues virtuelles Verzeichnis umkonfigurieren und den Zugriff auf dieses Verzeichnis nur von 127.0.0.1 erlauben. Bei der Konstellation mit Frontend und Backend ist auf dem Backend Server keine "SSL" aktiv und damit das Problem nicht vorhanden - Formbased Authentication
Die Aktivierung der seit Exchange 2003 verfügbaren formularbasierten Anmeldung setzt EAS außer Kraft. Sie müssen EAS manuell mit REGEDIT umkonfigurieren. Bei der Konstellation mit Frontend und Backend ist auf dem Backend Server keine "Formbased Authentication" aktiv und das Problem nicht vorhanden. Das Problem tritt ebenfalls nicht auf, wenn ein ISA-Server die formularbasierte Anmeldung anfordert und auf Exchange keine formularbasierte Anmeldung aktiv ist. - falsche Reverse Proxy Konfiguration
Wenn Sie EAS über den ISA-Server veröffentlichen, dann müssen Sie natürlich auch daran denken, die Url /Microsoft.Server-ActiveSync zuzulassen. - IISLockdown
Wenn Sie IIS nachträglich weiter "sichern" und nicht auf MASSYNC.DLL Rücksicht nehmen, dann kann EAS darunter leiden. - Auf dem Client kein oder eigenes SSL-Zertifikat
Server ActiveSync auf dem Client nutzt per default SSL. Ohne SSL müssen Sie auf dem PDA mit dem Programm "DisableCertChk.EXE" die SSL Prüfung abschalten. Wenn Sie ein eignes Stammzertifikat nutzen, muss das mit AddRootCert.exe erst hinzugefügt werden.
Frontend/Backend
Besteht ihre Struktur hingegen aus einem Frontend Server, so müssen Sie
diese Einstellung NICHT machen, da die MASYNC.DLL auf Frontend direkt auf
das Verzeichnis /exchange auf dem Backendserver geht, welches keine
formularbasierte Anmeldung benötigt.
MASSync ist immer Frontend !
Auch ohne die explizite Konfiguration eines Server als "Frontend" ist
die Funktion von MASSYNC.DLL immer ein Reverse Proxy. Es findet also keine
"Umleitung" des PDA auf seinen Homeserver statt. Insofern können Sie jeden
Exchange 2003 Server hierfür nutzen.
Weitere Details
Frontend/Backend
Konstellation
Wichtig in Verbindung mit SSL und Formularbasierter Authentifizierung ist auch folgender Artikel:
- 817379 Exchange ActiveSync and Outlook Mobile Access errors occur when SSL or forms-based authentication is required for Exchange Server 2003
- 886346 You receive an HTTP_500 error message when you synchronize your mobile device with Microsoft Exchange Server 2003
Dieser erklärt, wie sie MASSYNC so umkonfigurieren, dass ein anderes virtuelles Verzeichnis für den Postfachzugriff genutzt wird. Dann können Sie OWA und EAS auf dem Webserver trennen. Sie müssen dazu
- Das "\Exchange"- Verzeichnis einfach im IIS kopieren.
Das funktioniert am einfachsten über deinen Export und Import als XML-Datei. Das neue Verzeichnis kann z.B. "Exchange-oma" heißen - MASYNC das neue Verzeichnis mitteilen.
Das funktioniert über eine Änderung in der Registrierung des Servers, z.B. mit folgender REG-Datei.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MasSync\Parameters]
"ExchangeVDir"="/exchange-oma"
So kann ActiveSync dann weiter "normal" arbeiten während Sie auf dem virtuellen Verzeichnis "/Exchange" mit SSL, Formbased Authentication, RSA und anderen Dingen arbeiten können.
Achtung: Beim Small Business Server heißt dieses Verzeichnis zwingend "exchange-oma". Siehe auch KB 817379 Exchange ActiveSync and Outlook Mobile Access errors occur when SSL or forms-based authentication is required for Exchange Server 2003
Alternativ können Sie natürlich gleich einen eigenen virtuellen Webserver für EAS konfigurieren.
SSL mit Windows Mobile 2003
Natürlich will niemand seine Kennwort im Klartext über die Leitung senden. Daher sollten Sie Zugriffe per HTTP (und dazu zählt auch Server ActiveSync) per SSL verschlüsseln. Hierfür sind zwei Dinge erforderlich:
- SSL-Zertifikat auf dem Webserver
Hierzu können Sie einsetzen:
Ein Selbstzertifikat (Siehe SelfSSL)
Ein eigenes Zertifikat mit einer eigenen CA (siehe CA installieren und IIS SSL einrichten)
Ein offizielles Zertifikat (Kaufen) - Ausstellende CA auf dem Client als vertrauenswürdig eingestuft
Damit der Client aber die Verbindung auch akzeptiert, muss die Zertifizierungsstelle, die das Zertifikat ausstellt, als "vertrauenswürdig" auf dem Client abgelegt sein.
Auf den meisten mobilen Geräten sind schon einige namhafte Zertifizierungsstellen hinterlegt, aber dies hilft ihnen nur, wenn Sie von diesen Stellen ein Zertifikat erhalten haben. Wenn Sie mit eigenen Zertifikaten oder einer anderen Zertifizierungsstelle arbeiten, dann hilft dies nicht weiter. Sie müssen das Stammzertifikat auf dem PocketPC importieren. Das ist aber leider gar nicht so einfach.
- ROOT CA installieren
Besonders die Smartphones sind stark gesichert. Sie können ein Stammzertifikat nur dann installieren, wenn die Anwendung zur Installation selbst für das Smartphone "Trusted Code" darstellt oder Sie selbst "Manager"-Zugriff auf das Smartphone haben. Oft ist genau das aber vom Hersteller blockiert und es ist auch Sache der Hersteller eine "Zertifikat Installationsanwendung" mitzuliefern oder nicht. - Blockiertes Smartphone
In diesem Fall können Sie nur versuchen das Smartphone "entsperren" zu lassen oder erhalten vom Telefonlieferant ein Programm zur Installation von Zertifikaten. - Wildcard Zertifikate
Werden aktuell nicht unterstützt. Wenn Sie also auf dem Webserver ein Zertifikat mit dem Namen "*.firma.de" haben, dann wird ActiveSync nicht funktionieren. - SSL deaktivieren
Bei Windows Mobile 2003 gibt es das Programm "certchk.exe", mit dem die Prüfung des Zertifikats abgeschaltet werden konnte. Damit war dann eine Verschlüsselung mit SSL trotz ungültigem oder abgelaufenen Zertifikat möglich. Dies ist mit Windows Mobile 5 NICHT mehr möglich.
Hier kann man sich aber über einen Registrierungsschlüssel behelfen, den man z.B.: mit dem Programm RegeditSTG eintragen. kann. Addieren Sie folgenden Key um die Prüfung des Stammzertifikats zu deaktivieren. (Danke an Meinrad Wimmer für den Tipp). Allerdings schaltet diese Funktion jegliche Prüfung des Zertifikats
HKEY_CURRENT_USER\Software\Microsoft\ActiveSync\Partners\--Partner-ID---\secure:dword = 0
ACHTUNG:
Diese Einstellung deaktiviert jegliche Zertifikatsprüfung. Zwar ist die
Verbindung weiterhin per SSL verschlüsselt, aber ein Angreifer könnte als
"Man in the Middle" durchaus die Daten decodieren, ja jeder ein Zertifikat
mit dem Namen ausstellen kann und die Verbindung annehmen.
Überlegen Sie sich, ob wie wirklich dann auf allen
Endgeräten ihr Stammzertifikat installieren wollen oder nicht einfach ein
offizielles Zertifikat einfacher zu nutzen ist. So bietet z.B. GoDaddy ein
Serverzertifikat für unter 20 US-$/Jahr an.
https://www.godaddy.com/gdshop/ssl/ssl.asp.
Bei
http://www.comodo.com können sie
kostenfrei ein Zertifikat für 90 Tage erhalten
Alternativ können Sie einfach unter dem Link https://www.t-refer.com/t-refer/DENETATW-1 bei Thawte ein Zertifikat bestellen (Vermittlungsprovision kommt der MSXFAQ zugute). Natürlich beraten und unterstützen wie Sie auch bei der Beantragung und Installation.
- Programm zum Import von PKCS#12 Zertifikaten
http://www.jacco2.dds.nl/networking/p12imprt.html - Anleitung zum Abschalten der Zertifikatsprüfung
http://www.bitrace.net/index.php?menu=451&openkb=wm5cert
Die Problematik mit Zertifikaten ist nicht nur für Exchange Server ActiveSync relevant, sondern betrifft auch andere zertifikatbasierte Zugriffe per WiFI oder VPN auf Services. Eine Beschreibung zur Installation von Zertifikaten auf Windows Mobile 5 und Windows Mobile 5 Smartphones finden sie auf Windows Mobile 5.
EAS und Firewalls / ISA-Server / RSA
Wie Sie mittlerweile wissen, nutzt der PocketPC oder ein anderes Endgerät mit ActiveSync Unterstützung einfach nut HTTPS und als URL etwas in der Form "http://servername/Microsoft-Server-ActiveSync/*" um mit dem Server zu kommunizieren. Sie müssen also nicht den kompletten IIS aus dem Internet erreichbar machen. Wenn ihre Firewall oder ein vor geschalteter Reverse Proxy explizit einzelne URLs bzw. Pfade einer URL veröffentlichen kann, ist das natürlich der ideale Weg, den ActiveSync Server erreichbar zu machen.
Allerdings geben einige Firewalls nicht nur URLs frei, sondern überwachen auch die damit verbundenen Befehle. Wer etwas HTTO "kennt", sollte zumindest die Befehle "GET" und "POST" kennen. Aber es gibt derer noch einige mehr, die von der Firewall auch entsprechend durchgelassen werden müssen. In Verbindung mit Active Sync ist dabei das Kommando "OPTIONS" wichtig, was aber vom vielen Proxies und Firewalls gerne blockiert wird.
- 304340 The ISA Server response to client options requests is limited to a predefined set
- 905013 Enterprise firewall configuration for Exchange ActiveSync Direct Push Technology
-
Firewall Timeouts and Direct Push
http://msexchangeteam.com/archive/2006/08/17/428703.aspx - Exchange 2003 SP2 Direct Push mit ISA Server 2004
http://blogs.technet.com/dmelanchthon/archive/2006/02/18/419897.aspx - Microsoft Exchange Server ActiveSync Certificate-Based Authentication
Tool
http://www.Microsoft.com/downloads/details.aspx?FamilyID=82510e18-7965-4883-a8c3-f73f1f4733ac&DisplayLang=en
RSA und Zertifikate - Hohe Sicherheitsanforderungen
Viele Firmen vertrauen nicht nur auf einen Benutzernamen und Kennwort für die Anmeldung. Diese beiden Daten sind zu leicht zu kopieren. Der Wunsch nach einer starken Authentifizierung (two factor authentication) ist der Auslöser, dass eine Firma für den Zugriff auf Ressourcen eine weiteres Kriterium erfordert. Neben dem "Wissen" um den Benutzernamen und das Kennwort kommt noch ein "Haben" dazu, d.h. ein Ding, was man nicht einfach kopieren oder erraten kann. Zwei Hilfsmittel sind hier gebräuchlich:
- Hardware oder Software-Token
Ein Stück Hardware könnte eingesetzt werden, welche dieses Endgerät oder den Benutzer eindeutig identifiziert. Solch ein Token sind z.B.: die RSA-Tokens, die alle 20 Sekunden eine neue 6-stellige Zahl erzeugen, die bei der Anmeldung mit eingegeben werden muss. Der RSA-Server kennt ebenfalls diese Zahl, die aber für Außenstehende nicht zu erraten ist. - Zertifikat
Die zweite Option sind Client Zertifikate, die ebenfalls nicht einfach gefälscht werden können und die Identität des Clients (Gerät oder Benutzer) sicherstellen.
Damit kann zumindest kein Zugriff von anderen Geräten oder anderen Personen ohne solch ein Token erfolgen. Es kann aber dennoch sein, dass solch ein Gerät gestohlen wird. Dann muss es möglich sein, dieses sehr schnell zu löschen. ActiveSync erlaubt dazu die Funktion "Remote Wipe" und LocalWipe"
- Exchange ActiveSync mit Zertifikaten
Zusätzliche Hinweise zur Arbeit mit Zertifikaten - Zertifikatsbasierenden Anmeldung
http://www.Microsoft.com/downloads/details.aspx?FamilyID=82510e18-7965-4883-a8c3-f73f1f4733ac&DisplayLang=en
Siehe auch MSFP - Local Wipe
http://blogs.technet.com/dmelanchthon/archive/2005/11/07/413849.aspx - Remote Wipe
http://blogs.technet.com/dmelanchthon/archive/2005/11/07/413851.aspx - RSA Authentication Agent 5.3 for Web for IIS
http://www.rsasecurity.com/node.asp?id=2807 - Direct Push und RSA SecurID kein Oxymoron mehr
http://blogs.technet.com/dmelanchthon/archive/2006/02/19/419931.aspx
Kilobytes oder Megabytes
Wie viel Daten bei einer Replikation mit Server ActiveSync letztlich übertragen wird, ist natürlich abhängig von der Anzahl der Mail, der Größe der Mails und letztlich der Einstellungen, die Sie bei Pocket Outlook eingestellt haben. Vielleicht helfen aber folgende Werte zur besseren Einschätzung:
Ich nutze seit Dezember 2004 einen MDA3 der Telekom mit Windows 2003, welcher sich mit ActiveSync über GRPS an einem Exchange 2003 Server repliziert. Repliziert wird die komplette Mail der letzten 2 Wochen ohne Anlagen. Mit dem Programm "Spb GPRS Monitor" sind die übertragenen Daten gut zu protokollieren:

Die Bilder zeigen einmal die komplette Ansicht des Dezember und dann den 20.12 und 21.12 in der Tagesüberblick.
Und es ist gut zu erkennen, dass bei normalem Gebrauch die Datenmenge sogar überschaubar ist. Obwohl GPRS ein "permanent on" erlauben würde, ist das mit dem MDA3 so nicht möglich. Eine Lange Laufzeit ist nur möglich, wenn das System bei Nichtbenutzung sich abschalten kann. Damit geht aber auch die GPRS-Verbindung verloren, obwohl das Mobilteil selbst natürlich eingeschaltet bleibt.
Eine einmalige Replikation benötigt ca. 30-150kByte, je nach Menge. Wenn ich damit am Tag ein paar Mal repliziere, dann kommen nicht mal 1 MByte pro Tag zusammen. Mit 20 Megabyte kann man damit schon hinkommen. Wobei hier jeder natürlich seine eigenen Erfahrungen machen wird. Wenn Sie hingegen "always on" sein wollen, dann sollten Sie sich auch einen BlackBerry Client anschauen.
Auswertungen mit Server ActiveSync
Für den Administrator stellt sich nun die Frage, wie Sie die Nutzung von ActiveSync auch in Zahlen umwandeln können. Und hier können die Protokolldateien des Webservers weiterhelfen. Die Logfiles erfüllen gleich drei Dinge:
- Funktionsweise
Zum einen belegen die IIS-Logdateien die Funktionsweise des Active-ServerSync. Man sieht genau den Zugriff durch den Client und dann die Folgezugriffe durch MOBSYNC.DLL auf das virtuelle Verzeichnis /exchange. - Fehlersuche
Wenn ActiveSync nicht funktioniert, dann ist der Blick in die Protokolldateien ein effektives Mittel, etwaige Fehler zu finden oder zumindest einzukreisen. - Nutzungsverhalten
Aber am wichtigsten sind die Daten für eine spätere Auswertung der Zugriffe. Der Webserver protokolliert Datum, Zeit, Benutzername und die übertragenen Bytes für spätere Analysen.
Hier eine verkürzte Protokolldatei:
09:57:27 POST /Microsoft-Server-ActiveSync User=fcarius&DeviceId=40279401003030&DeviceType=PocketPC&Cmd=FolderSync
443
09:57:31 GET /Exchange/fcarius/NON_IPM_SUBTREE/Microsoft-Server-ActiveSync/PocketPC/40279401/09df746fd78d
- 80 401
09:57:31 GET /Exchange/fcarius/NON_IPM_SUBTREE/Microsoft-Server-ActiveSync/PocketPC/40279401/09df746fd78d
- 80 200
09:57:31 SEARCH /Exchange/fcarius/ - 80 - 401 09:57:31 SEARCH /Exchange/fcarius/
- 80 NETATWORK\fcarius 07
09:57:31 POST /Microsoft-Server-ActiveSync User=fcarius&DeviceId=40279401003030&DeviceType=PocketPC&Cmd=GetItemEstimate
443 200
09:57:34 POST /Microsoft-Server-ActiveSync
User=fcarius&DeviceId=40279401003030&DeviceType=PocketPC&Cmd=Sync 443 200
09:57:38 X-MS-ENUMATTS /Exchange/fcarius/Posteingang/Betreff1.EML - 80
NETATWORK\fcarius 207 0
09:57:38 X-MS-ENUMATTS /Exchange/fcarius/Posteingang/Betreff2.EML - 80
NETATWORK\fcarius 207 0
09:57:38 PUT
/Exchange/fcarius/NON_IPM_SUBTREE/Microsoft-Server-ActiveSync/PocketPC/4027940100/f1a8177
- 80 - 1 401 1
09:57:38 PUT
/Exchange/fcarius/NON_IPM_SUBTREE/Microsoft-Server-ActiveSync/PocketPC/4027940100/f1a8177
- 80 NETATWORK\fcarius 200
09:57:38 POST /Microsoft-Server-ActiveSync
User=fcarius&DeviceId=4027940100&DeviceType=PocketPC&Cmd=Sync 443
netatwork\fcarius 200
Man sieht die Zugriffe per SSL (443) auf /Microsoft-Server-ActiveSync die dann zu einem Zugriff auf /exchange führen. Hierzu müssen Sie wissen, das OMA nichts anderes ist als OWA mit einer Filter-DLL. Der OMA-Client greift auf das virtuelle Verzeichnis Microsoft-Server-ActiveSync zu. Dort ist die MASSYNC.DLL eingebunden, die jede Anfrage quasi an OWA weiterleitet. MASSYNC.DLl nutzt den normalen OWA-Zugriff, um selbst an die Daten im Postfach zu kommen und Sie dem Client zuzuleiten. Insofern sehen Sie im IISLog sowohl die Zugriff auf Microsoft-Server-ActiveSync" als auch die Zugriffe auf /exchange.
Damit treffen natürlich auch alle Einschränkungen von OWA bezüglich der Nutzung von "/exchange" zu. Prüfen Sie auch hier die Empfängerrichtlinien und das die Benutzer eine Mailadresse der Domäne haben, die hinter "/exchange" verbunden ist. Alternativ kann OMA umkonfiguriert werden, dass ein anderes virtuelles Verzeichnis genutzt wird.
Für die Auswertung hingegen fände ich folgende Informationen sehr hilfreich:
- Wie oft..
.. nutzen die Anwender überhaupt Active ServerSync - Wie viel Bytes ..
.. werden pro Benutzer übertragen. So erhalten Sie eine Übersicht über die zu erwartenden Kosten - Verteilung der Benutzer
Wie ist das Verhalten der Anwender? ist der Server nicht überlastet oder sind genug Reserven - Woher ...
... kommen die Anfragen. Anhand der IP-Adresse kann in etwa der Ort und der Zugriffsweg ermittelt werden. Nutzen die Anwender GPRS oder auch öffentliche WIFI-Zugänge oder eine VPN-Verbindung. - Fehlermeldungen
Wie oft kommen Fehlermeldungen und wenn ja, welche ?.
Da es sich um einfache IIS-Logdateien handelt, können Sie jede beliebige Anwendung nutzen, die ihnen die Auswertung erlaubt. Sie müssen nur die URLs filtern, die ein "POST /Microsoft-Server-ActiveSync" enthalten.
-
EASLog
Auswertung von IISLog auf ActiveSync Zugriffe - Exchange 2003 - Active Sync Reporting
http://msexchangeteam.com/archive/2006/02/14/419562.aspx - More on Exchange ActiveSync Reporting with Log Parser - COM object
available
http://msexchangeteam.com//archive/2006/03/03/421149.aspx
Diesmal mit einem COM-Objekt, um das Parsen der IIS-URLs auszulagern
Detaillierte Auswertungen mit Server ActiveSync
Auf dem Blog
http://msexchangeteam.com//archive/2005/03/28/403047.aspx haben
Max Ciccotosto und Selva Nalliah mittlerweile noch weitere Details des
IISLogs beschrieben. Dort steht z.B., dass Exchange Server ActiveSync das
IISLog um weitere Felder erweitert. Ein normaler Eintrag sieht z.B.: wie
folgt aus:
2004-12-21 11:20:41 192.168.100.10 POST /Microsoft-Server-ActiveSync
User=fcarius&DeviceId=8097xxxx173&DeviceType=PocketPC&Cmd=FolderSync&
Log=V2TEmSSC:0A0C0D0FS:0A0C0D0SP:1C11I9318S138444R
443 netatwork\fcarius 192.168.100.12 Microsoft-PocketPC/3.0 200 0 0 496
495
Interessant an dieser Zeile ist der Bereich der hinter "&Log" steht. Diese Information enthält weitere Informationen zur Aktion. Die folgenden Informationen sind aus dem BLOG übernommen und übersetzt.
&Log=V[Protocol Version]T[Folder DataType]S[Sync Type]C:#A#C#D#FS:#A#C#DP:#C#I#S#R
| Kürzel | Funktion | Details |
|---|---|---|
| V | Version der Anforderung | 1 bedeutet Version 1.0 2 bedeutet Version 2.0 3 bedeutet Version 2.1 4 = Version 4.0 (Windows Mobile mit MSFP ?) NA bedeutet keine weitere Informationen |
| T | Typ der abzugleichenden Daten | Em = E-mail Co = Contacts Ca = Calendar Ta = Tasks (Seit Windows Mobile 5) NA for none |
| S | Typ der Aktion | F = Erstreplikation (First) (Tritt nur ganz am Anfang einmalig
auf) S = normale Synchronisation ( R = Recovery sync (Erneute Anforderung da Daten verloren wurden) N = kein Synchronisationsbefehl |
| C | Statistiken des Clients | A = Anzahl der Objekte, die ein Client hinzugefügt hat (Add) C = Anzahl der Objekte, die ein Client geändert hat (Change) D = Anzahl der Objekte, die ein Client gelöscht hat (Delete) F = Anzahl der Objekte, die ein Client geholt hat (Fetch) |
| S | Statistiken des Server | A = Anzahl der Objekte, die ein Server hinzugefügt hat (Add) C = Anzahl der Objekte, die ein Server geändert hat (Change) D = Anzahl der Objekte, die ein Server gelöscht hat (Delete) S = Anzahl der Objekte, die ein Server gelöscht hat (Softdelete) |
| P | Performance Counter | C = Anzahl der Verbindungen zum Exchange Server I = Anzahl der of I/Os zu Exchange S = Anzahl der an Exchange gesendeten Bytes R = Anzahl der von Exchange empfangenen Bytes |
Das Beispiel von meinem PocketPC bedeutet daher
Log=V2TEmSSC:0A0C0D0FS:0A0C0D0SP:1C11I9318S138444R
- Protokoll Version 2 wird genutzt.
- Mails (Em) werden im Rahmen einer normalen (S) Synchronisation geändert (C)
- Client Statistiken
0 Add
0 Change
0 Delete
0 Fetch - Server Statistiken
0 Add
0 Change
0 Delete
0 SoftDelete - Performance Counter
1 Connection zum Server
11 I/Os
9318 gesendete Bytes
38444 empfangene Bytes
Achtung: Seit Windows Mobile 5 und MSFP gibt es weitere
Counter. Hier ein Auszug alt und Neu
Log=V4TNASNC:0A0C0D0FS:0A0C0D0SP:2C16I20460S333274R
Log=V4TNASNC:0A0C0D0FS:0A0C0D0SP:2C16I20460S333274R0S0L480H0P
Was die zusätzlichen Werte S L H und P bedeuten, kann ich noch nicht
sagen.
Ich kann jetzt nur mal davon ausgehen, dass Exchange und mein PDA hier gewusst haben, was das soll. Ich tippe auf eine Fortsetzung einer bestehenden Kommunikation für eine größere Mail. Leider sind die beiden uns ein VB-Skript schuldig geblieben, was die Daten gleich entsprechend auswertet.
SMS Push Notification
Beim Einsatz von Exchange ActiveSync in Verbindung mit Windows 2003 Phone Edition oder SmartPhone gibt es auch die Option, dass der Exchange Server per SMS das Endgerät über eine neue Mail informiert. Details hierzu finden Sie auf Exchange 2003 - Outlook Mobile Access.
Mit dem Exchange 2003 SP2 in Verbindung mit Windows Mobile 5 gibt es durch die Funktion Always Up-to-date eine neue Möglichkeit, Clients aktuell mit Nachrichten zu versorgen, so dass die SMS-Funktion nicht mehr genutzt werden muss.
Troubleshooting EAS
Es gibt viele Gründe, warum OMA wider erwarte nicht funktioniert. Schon weiter oben habe ich ja einige Dinge aufgezählt, die so alle schief gehen können. Dann sollten Ihnen folgende Tipps weiter helfen:
- URL Erreichbar ?
Um ActiveSync zu nutzen, muss der Exchange Server natürlich per HTTP oder besser noch HTTPS erreichbar sein. Prüfen Sie daher die Erreichbarkeit ihres Exchange Servers aus dem Internet z.B.: über die Eingabe von https://servername.firma.de/Microsoft-Server-ActiveSync in einem Browser. - SSL in Ordnung =
ActiveSync erfordert SSL. Durch den Zugriff mit einem Browser können Sie auf jeden Fall erkennen, dass SSL funktioniert (Das Schloss in der Fußzeile muss geschlossen sein). Kommen hier Fehler (z.B.: nicht vertrauenswürdig, dann müssen Sie das Zertifikat der ausstellenden CA auf dem Client installiere. Machen Sie den Test auch mit dem Pocket Internet Explorer - Anmeldung
Zudem muss ihnen ein Benutzername und Kennwort abverlangt werden. Geben Sie einen gültigen Namen ein. - "HTTP/1.1 501 Not Implemented"
Diese Meldung ist ausnahmsweise in Ordnung, da ihre URL-Anforderung natürlich nicht einem PocketPC entspricht und MASSYNC.DLL damit nichts anfangen kann" - Kontrolle im IIS
Diese Schritte sollten Sie letztlich im IIS als Eintrag im IISLOG sehen (Protokolldatei). Interessant sind Einträge die mit ERR anfangen. So zeigt sich im Exchange ActiveSync Server genau die Fehlermeldung, wenn der Backend Server keine Integrierte Anmeldung unterstützt:
2008-08-16 15:43:22 W3SVC803421 10.0.1.180 POST
/Microsoft-Server-ActiveSync/default.eas User=fcarius&DeviceId=xxxx&DeviceType=yyy&
Cmd=Ping&Log=PrxTo:backend.msxfaq.local_Error:NTLM+not+on+the+destination+CAS_
443 msxfaq\fcarius 192.168.14.126 WinMobile/502.108 401 5 0
- PocketPC
Und nun das ganze noch mal mit dem PocketPC durchführen. Solange Sie keinen Zugriff im IIS-Log sehen, kommt der PocketPC noch gar nicht bei ihrem Server an - Virenscanner
Sehr viele Probleme machen tatsächlich Virenscanner auf dem Exchange Server. Einige Hersteller dokumentieren dies öffentlich. Es sind aber fast alle Hersteller in der ein oder anderen Weise betroffen:
Sophos: PureMessage for Windows/Exchange:
synchronization with PDAs fails when using ActiveSync
http://www.sophos.com/support/knowledgebase/article/13186.html
"When you synchronize your personal digital assistant (PDA) with your
computer, you are unable to download items that you can see in your Outlook
folder. This happens because synchronization with PDAs fails when 'Exchange
Information Store' scanning is enabled, but no private store scanning
options have been selected in the Databases page"
Zudem sollten Sie die Bedingungen für den Betrieb eines EAS-Servers am Anfang der Seite erneut kontrollieren. Sollte es dann noch nicht gehen, dann prüfen Sie folgende Schritte erneut:
Exchange System Manager (ESM)
Prüfen Sie, ob ActiveSync wirklich aktiviert ist. (Siehe auch Exchange 2003 - Outlook Mobile Access)
- Exchange System Manager starten
Globale Einstellungen ganz oben anwählen - Eigenschaften von "Mobile Geräte"
- Sicherstellen, dass die gewünschten Optionen aktiv sind
IIS Kontrolle
- IIS Dienstmanager starten (Computerverwaltung)
- Öffnen Sie den Kontainer für die Webseiten
- Öffnen Sie die "Default Webseite"
- Bearbeiten Sie die Eigenschaften des virtuelen Verzeichnis "Microsoft-Server-ActiveSync"
- Karteikarte: "Virtuelles Verzeichnis". Kontrollieren Sie unter Konfiguration in den Anwendungseinstellungen, dass das Mapping für alle Erweiterungen auf "C:\Program Files\Exchsrvr\bin\massync.dll" (mit den Anführungszeichen !) verweist und die Datei vorhanden ist. Fehlt dieser Link, dann fügen Sie diesen dazu und starten den Webservice neu.
- Karteikarte: Verzeichnissicherheit - Verschlüsselung
Kontrollieren Sie, dass SSL nicht erzwungen wird. Wenn es aktiv ist, dann bitte deaktivieren und den Webservice neu starten. Um sicher zu stellen, dass kein Zugriff von außen ohne SSL erfolgt, sollten Sie in ihrer Firewall den Zugriff blockieren. - Karteikarte: Verzeichnissicherheit - Autorisierung
Stellen Sie sicher, dass die "Integrierte Autorisierung" aktiviert ist. Eventuell müssen Sie dies auch anhand des KB-Artikels 215383 HOW TO: Configure IIS to Support Both Kerberos and NTLM direkt in der Metabase kontrollieren
Eventlog Kontrolle
Server ActiveSync schreibt ebenfalls Informationen in das Eventlog, die hinweise auf Fehler liefern können. Die Meldung 3002 zeigt, dass ActiveSync geladen wurde und muss erscheinen. Ansonsten ist MASSYNC nicht korrekt im IIS eingebunden.
Die zweite Meldung zeigt ein Verbindungsversuch als "Administrator" und MASSYNC hat beim Zugriff auf "OWA" eine 409 Fehlermeldung erhalten.

IIS-Protokoll
Zuletzt bleibt noch die Kontrolle das IIS-Logfile zu betrachten. Auch dort sind die verschiedenen Zugriffe problemlos zu sehen.
Im IIS-Log kann man zum einen die Anfrage des Clients sehen in der Form
09:57:31 POST /Microsoft-Server-ActiveSync User=fcarius&DeviceId=40279401003030&DeviceType=PocketPC&Cmd=GetItemEstimate 443 200
und danach die Anfrage der ISAPI-Flter DLL an OWA selbst.
09:57:38 X-MS-ENUMATTS /Exchange/fcarius/Posteingang/Betreff1.EML - 80 NETATWORK\fcarius 207 0
Fehlt der Eintrag zu"/Microsoft-Server-ActiveSync", dann kommt der Client vermutlich nicht an den IIS. Das kann nun IP-Routing, Firewall, Proxy, IP-Restrictions etc. sein
Fehlt hingegen der zweite Eintrag, dann hat die ISAPI-Filter DLL ein Problem. Sie sind sicher, dass die formbased Authentifizierung abgeschaltet ist oder Sie die Besonderheiten dabei beachtet haben und die DLL auch den IIS erreichen kann (127.0.0.1 bei den IP-Beschränkungen vergessen, wenn genutzt ?).
Beim Einsatz eines Frontend Server können Sie auch mit NETMON die Verbindung zwischen Frontend Server und Backend Server mitschneiden und so erkennen, warum der Zugriff des Frontend Server auf "/Exchange" des Backend Servers nicht funktioniert.
Wenn auch dann noch keine Lösung zu finden ist, dann könnte ein Neuaufbau der IIS-Verzeichnisse helfen. Siehe:
- 883380 How to reset the default virtual directories for Outlook Web Access in Exchange Server 2003
Exchange 2010 OWA
Seit Exchange 2010 können Sie auch über Outlook Web Access eine "Protokollfunktion" aktivieren

Diese Funktion kann jeder Anwender selbst aktivieren. er sieht dann eine kurze Bestätigungsmeldung

Der Knopf hat dann seine Beschriftung geändert:

Dann sollte der Anwender noch einmal mit dem Mobilgerät einen Abgleich versuchen und danach das Protokoll abrufen. Das Ergebnis findet er im Posteingang

Auch wenn der Anwender selbst mit der angehängten Textdatei nicht viel anfangen kann, so kann er diese doch an einen Support weiter leite, der dann vielleicht die Ergebnisse deuten kann. Sie sehen schon, dass auch hier vieles Richtung "Self-Service" geht, d.h. Anwender können viele Dinge selbst machen.
ActiveSync Tester
Die Firma "AccessMyLan" bietet in ihrem Tools-Bereich ein "ActiveSync Testtool" an, welches anscheinend ein ActiveSync Device simuliert und die verschiedenen Schritte durchgeht.
ActiveSync Tester (773kb)
https://store.accessmylan.com/main/diagnostic-tools?pos=nav
Lauffähig ohne Installation
Nach Eingabe der Anmeldedaten...

Werden eine Reihe von Tests durchgeführt und das Ergebnis angezeigt.

Allerdings kann es nicht mit Proxy-Servern umgehen, die man auf dem Mobilgerät noch einstellen könnte.
Was EAS nicht kann und welche Alternativen es gibt
EAS hat aber auch Grenzen und Probleme. daher gibt es einen Markt für Zusatzprodukte
-
http://www.leederbyshire.com/OWA-PDA.asp
Online Zugriff über einen OWA-Zugriff, der für kleine Displays optimiert ist. -
http://www.planet-outlook.de/olxmobileaccess.htm
http://www.gangl.de/Produkte/produkte.asp?prod=OLXAG_MobileAccess
Client-Server Anwendung, die auf dem PDA installiert wird und mit einem Serverprozess kommuniziert. Sehr umfangreiche Funktionen. -
http://www.gangl.de/Produkte/OLXMobileCA/produkt.asp
Zugriff auf Kontakte mit einem PDA über den Browser. -
BlackBerry und
MDA3 und BES oder
GoodLink
Alternativ kann auch ein BlackBerry Client auf dem PDA installiert werden und über diesen Weg eine Synchronisation statt finden.
Weitere Links
- Exchange ActiveSync mit Zertifikaten
Zusätzliche Hinweise zur Arbeit mit Zertifikaten -
EASLog
Auswertung von IISLog auf ActiveSync Zugriffe - Always Up-to-date (AUTD)
- EAS Authentifizierung
Bewertung verschiedener Optionen zur Absicherung von ActiveSync - MSFP
- Skalierbarkeit von Exchange ActiveSync
http://www.Microsoft.com/windowsmobile/business/whitepapers/scalability.mspx - Mobile Information Server
- Pushdienste
- Windows Mobile 5
- ActiveSync Fehlercodes
- Comparison of Exchange ActiveSync Clients
http://en.wikipedia.org/wiki/Comparison_of_Exchange_ActiveSync_Clients
http://social.technet.microsoft.com/wiki/contents/articles/exchange-activesync-client-comparison-table.aspx - Exchange ActiveSync and Exchange 2003
http://www.microsoft.com/technet/prodtechnol/exchange/guides/E2k3TechRef/cff3bad9-28ec-424a-b04d-d23826d5a227.mspx - A Comparison of RIM BlackBerry 4.0 and Microsoft Windows Mobile 5.0
Messaging and Security Feature Pack Enterprise Mobile Solutions
http://download.Microsoft.com/download/f/7/7/f77a4fb4-a617-481d-a1e5-ef321b621aaf/MobileDevicePlatforms-ComparisonofRIMandWindowsMobile.pdf - Testtool Exchange Server Stress and Performance 2003
http://www.Microsoft.com/downloads/details.aspx?FamilyId=773AE7FD-860F-4755-B04D-1972E38FA4DB&displaylang=en - Der offizielle Step-by-Step Guide für das Einrichten von mobilen Geräten mit Push-Mail, also ActiveSync mit Exchange Sp2 findet sich hier: http://www.Microsoft.com/technet/itsolutions/mobile/deploy/msfp_overview.mspx
- Dieser Technet Webcast bietet Ihnen alle Informationen beispielhaft vorgeführt (Level 300): http://msevents.Microsoft.com/cui/WebCastEventDetails.aspx?EventID=1032281774&EventCategory=5&culture=en-US&CountryCode=US
- Für Firewall-Konfiguration mit ActiveSync empfehlen sich diese Hinweise: http://support.Microsoft.com/Default.aspx?kbid=905013
- Die Positionierung der Messaging-Lösung „Exchange Server 2003 mit Windows Mobile 5.0“ in Hinblick auf den Mehrwert für Unternehmen wird in dem hier verlinkten Whitepaper beschrieben: http://download.Microsoft.com/download/2/7/5/27510341-414A-4DDB-9E65-1F7EE003FABB/sp2mobility.doc
- WebCast: Managing Windows Mobile-based Devices with the Messaging and
Security Feature Pack
http://msevents.Microsoft.com/CUI/WebCastEventDetails.aspx?culture=en-US&EventID=1032285689&CountryCode=US - Deep Dive into Windows Mobile 6.0 and Exchange Server 2007
http://msexchangeteam.com/archive/2007/05/28/439558.aspx
Vergleich von Windows Mobile 5 und Windows Mobile 6 mit Active Sync - Getting the Most Out of Your Microsoft Exchange Server 2007 Experience
with Mobile Devices
http://msexchangeteam.com/archive/2007/04/06/437572.aspx - Daniels Blogcast
Exchange ActiveSync mit Windows Mobile 5.0 und dem MSFP
http://blogs.technet.com/dmelanchthon/archive/2005/11/07/413844.aspx - Direct Push Email mit Windows Mobile 5.0 und dem MSFP
http://blogs.technet.com/dmelanchthon/archive/2005/11/07/413845.aspx - GAL Lookup mit Windows Mobile 5.0 und dem MSFP
http://blogs.technet.com/dmelanchthon/archive/2005/11/07/413847.aspx - Device Policy Enforcement mit Windows Mobile 5.0 und dem MSFP
http://blogs.technet.com/dmelanchthon/archive/2005/11/07/413848.aspx - Local Wipe mit Windows Mobile 5.0 und dem MSFP
http://blogs.technet.com/dmelanchthon/archive/2005/11/07/413849.aspx - Remote Wipe mit Windows Mobile 5.0 und dem MSFP
http://blogs.technet.com/dmelanchthon/archive/2005/11/07/413851.aspx - Blogcastreihe zum Thema E-Mail-Zugriff via Direct Push-Technologie und
höhere Gerätesicherheit durch MSFP
http://blogs.technet.com/dmelanchthon/archive/2005/11/16/413852.aspx - Einträge im Exchange Team Blog
http://blogs.msdn.com/exchange/archive/2004/12/13/282234.aspx
http://blogs.msdn.com/eileen_brown/archive/2004/12/14/300437.aspx - Serverseitige Probleme mit Exchange ActiveSync?
http://blogs.technet.com/dmelanchthon/archive/2005/06/23/Exchange_ActiveSync_AUTD_EAS.aspx - 215383 HOW TO: Configure IIS to Support Both Kerberos and NTLM
- Q308205 XCCC: Valid SSL Certificate Is Required When You Use Server ActiveSync
- Q318883 XCCC: "Synchronization failed" Error Message Occurs with an INTERNET_29 Error Code
- Q322956 Sample to Add Root Certificates to Pocket PC 2002
- Q330461 HOW TO: Troubleshoot Server ActiveSync
- Q330463 XCCC: How to Troubleshoot Server ActiveSync HTTP Error Codes
- Q330462 MMIS: How to Troubleshoot Server ActiveSync "MIS_errorcodes" Error Messages
- 817379 Exchange ActiveSync and Outlook Mobile Access errors occur when SSL or forms-based authentication is required for Exchange Server 2003
- 886346 You receive an HTTP_500 error message when you synchronize your mobile device with Microsoft Exchange Server 2003
- 842541 You receive a "SYNC_5" error message when you try to synchronize your Pocket PC or Smartphone calendar with your Exchange 2000 Server mailbox
- 906512 You receive an "HTTP_500" error message when you try to synchronize a mobile device with a server that is running Windows Small Business Server 2003
- 905013 Enterprise firewall configuration for Exchange ActiveSync Direct Push Technology
- AddRootCertificate und Disable Certificate Verification
http://www.Microsoft.com/exchange/downloads/2003.asp - Device Updates für Mobiles ASP
http://www.asp.net/mobile/deviceupdate.aspx?tabindex=6 - Mobile Device simulator
http://www.asp.net/mobile/DeviceSimulators.aspx?tabindex=6 - More on Exchange ActiveSync Reporting with Log Parser - COM object
available
http://msexchangeteam.com//archive/2006/03/03/421149.aspx - Emulator Images for Windows Mobile 2003 Second Edition software for
Smartphone
http://www.Microsoft.com/downloads/details.aspx?familyid=791BAE52-B057-4D72-B263-105534825CA5&displaylang=en
Für WAP Simulation - Microsoft’s Pocket PC Emulator
http://www.Microsoft.com/downloads/details.aspx?FamilyID=57265402-47a8-4ce4-9aa7-5fe85b95de72&DisplayLang=en - Managing Mobile Access with Exchange Server 2003
http://www.msexchange.org/pages/article.asp?id=657 - ActiveSync Troubleshooting
http://www.cewindows.net/faqs/activesync/mis.htm - Blog von Daniel Melanchton zu ActiveSync
http://blogs.technet.com/dmelanchthon/archive/2005/02/17/375541.aspx - Programm zum Import von PKCS#12 Zertifikaten
http://www.jacco2.dds.nl/networking/p12imprt.html - Mobile Geräte mit Exchange Server 2003 SP2 bereitstellen
http://go.Microsoft.com/?linkid=4848056
Das Service Pack 2 hat Exchange Server 2003 um eine mit Spannung erwartete Funktion erweitert: E-Mails können jetzt per Push-Technologie direkt auf Windows Mobile-Geräte übertragen werden, ohne Zusatzinstallationen in der IT-Infrastruktur. Nutzen Sie den Step-by-Step-Guide, um Ihre neue mobile Messaginglösung zu implementieren - mit Exchange Server 2003 SP2 und Windows Mobile 5.0. - A Comparison of RIM Blackberry 4.0 and Microsoft Windows Mobile 5.0 Messaging
and Security Feature Pack Enterprise Mobile Solutions
http://download.microsoft.com/download/f/7/7/f77a4fb4-a617-481d-a1e5-ef321b621aaf/MobileDevicePlatforms-ComparisonofRIMandWindowsMobile.pdf - EAS Bug: Outlook Kontakte: Änderung Vorname oder Nachname -> Feld "Speichern unter" und "Name" wird auch geändert PDA-Kontakte Änderung Vorname oder Nachname -> Feld "Speichern unter" wird geändert, "Name" NICHT !!
- Anleitung zum Abschalten der Zertifikatsprüfung
http://www.bitrace.net/index.php?menu=451&openkb=wm5cert - Exchange: IIS Authentifizierungseinstellungen (ExAdmin, ExchWeb,
Microsoft-Server-ActiveSync, OMA)
http://o-o-s.de/?p=452









