Client Access Rules in Exchange 2019 konfigurieren

Um die neuen Client Access Rules in Exchange 2019 zu nutzen, geht man wie folgt vor:


Exchange PS Snapin laden:
Add-PSSnapin microsoft.exchange.management.powershell.snapin

1. Regel anlegen die RemotePowerShell zulässt (empfohlen):
 New-ClientAccessRule -Name "Always Allow Remote PowerShell" -Action Allow -AnyOfProtocols RemotePowerShell -Priority 1

2. Regel anlegen die Powershell auf Netz (im Beispiel 19.0.0.0/24) beschränkt:
 New-ClientAccessRule -name "Restrict Powershell Access" -Action denyAccess -AnyOfProtocols RemotePowerShell -ExceptAnyOfClientIPAddressesOrRanges 19.0.0.0/24

3. Regel anlegen die EAC auf Netz (im Beispiel 19.0.0.0/24) beschränkt:
New-ClientAccessRule -name "Restrict EAC Access" -Action denyAccess -AnyOfProtocols ExchangeAdminCenter -ExceptAnyOfClientIPAddressesOrRanges 19.0.0.0/24

Testen:
Test-ClientAccessRule -User @ -AuthenticationType Basic -Protocol RemotePowerShell -RemoteAddress 19.0.0.1 -RemotePort 443


Fertig!

Update für vcredist_64 (Visual C Service Pack1) auf allen Exchange Servern dringend benötigt!

Das uralte Update MS11-025 (https://www.microsoft.com/en-us/download/details.aspx?id=26999) wird dringend auf allen Versionen von Exchange benötigt um eine Sicherheitslücke zu schließen. Details gibts hier:https://blogs.technet.microsoft.com/exchange/2018/10/09/ms11-025-required-on-exchange-server-versions-released-before-october-2018/

Verschiedene Versionen von Multifaktor Authentifizierung für Office 365 & Azure

Microsoft bietet verschiedene Modelle an, um den Zugriff auf Office 365 Apps abzusichern. Für die meisten Unternehmen reicht die kostenlose Variante aus. Unternehmen mit hohen Compliance und/oder Security Anforderungen sollten Azure Multi-Factor in Betracht ziehen.

Feature	Multi-Factor Authentication für Office 365 (kostenlos)	Multi-Factor Authentication für Azure AD-Administratoren (kostenlos)	Azure Multi-Factor Authentication (extra Gebühr)
Schutz von Azure AD-Administratorkonten mit MFA	●	● (Gilt nur für globale Azure AD-Administratorkonten)	●
Mobile App als zweiter Faktor	●	●	●
Telefonanruf als zweiter Faktor	●	●	●
SMS als zweiter Faktor	●	●	●
App-Kennwörter für Clients, die MFA nicht unterstützen	●	●	●
Administrative Kontrolle über Überprüfungsmethoden	●	●	●
Schutz von Nicht-Administrator-Konten mit MFA	● (Nur für Office 365-Anwendungen)		●
PIN-Modus			●
Betrugswarnung			●
MFA-Berichte			●
Einmalumgehung			●
Benutzerdefinierte Begrüßungen für Telefonanrufe			●
Benutzerdefinierte Anrufer-ID für Telefonanrufe			●
Vertrauenswürdige IP-Adressen			●
Speichern der MFA für vertrauenswürdige Geräte	●	●	●
MFA-SDK			● (veraltet)
MFA für lokale Anwendungen			●

Quelle: https://docs.microsoft.com/de-de/azure/active-directory/authentication/concept-mfa-licensing