Android - Traveler - Active Sync (und evtl. Mobile Iron)

[fsinani]

Hallo Kommunikationsfreunde,

Folgendes:
Wir hatten ein paar Android Smartphones mittels Active Sync an einen Traveler angebunden. Lief problemlos. Bis zu jenem unerwartet bösen und schwarzen Tag.
Ein Kalendereintrag wurde vom Initiiator verschoben und verschwand daraufhin sowohl vom Android als auch vom Kalender in Notes. Lediglich in "Allle Dokumente" ward er noch gesehen.
Anruf bei IBM:
"Tut uns Leid, aber Active Sync wird nicht auf Smartphones, die mit Android betrieben werden, unterstützt. Bitte verwenden SIe die App und das Protokoll http/https dafür".

Soweit so gut!

Heute:

Wir wollen nun MDM (Mobile Iron) einsetzen. Laut Mobile Iron Anleitung (MI) verbindet sich ein Smartphone dabei per Active Sync mit Sentry und Sentry verbindet sich dann mit Active Sync an Traveler sozusagen als "reverse proxy".

Nun sagte mir ein Kollege, dass IBM angeblich nicht nur keine Androids per Active Sync supported sondern alle "Nicht-Apple-Geräte". Somit wäre ja ein MDM von Mobile Iron von IBM nicht supported, richtig? Ich sage nicht, dass es nicht funktioniert, aber was tut man im Problemfall? An IBM wenden?

Es kann aber auch sein, dass IBM das SO nicht gesagt hat. Deshalb habe ich bereits eine Email an meinen Spezi bei IBM gesndet und warte noch auf Antwort.

Ich möchte lediglich von Euch wissen, wie Ihr damit umgeht?

Vielen Dank

[Driri]

Android = Traveler Client, iOS = ActiveSync


Wobei mich mal interessieren würde, wie Du das mit der Anbindung von Mobile Iron meinst. Was kann Mobile Iron denn da funktionell in Verbindung mit Traveler ?

[fsinani]

ZItat: "Android = Traveler Client, iOS = ActiveSync"

OK. Also doch definitiv KEIN Active Sync mit Android!!!


Anbindung Mobile Iron laut Schaubild von MI
                                                         DMZ                                           LAN
Smartphone ---> Active Sync --->| Firewall | ---> Mobile Iron ---> | Firewall |---> Active Sync ---> Traveler (im LAN)

Mobile Iron ist ein System für MDM. Es dient u.a. dazu, den Zugang zum dahinterliegenden Traveler nur dann zu ermöglichen, wenn das Smy<rtphone gewisse Kriterien erfüllt (z.B. kein Jailbreak).

[Tode]

Hier herrscht viel "Halbwissen" vor.

ALSO: Sowohl iOs als auch Android (als auch WinMo8, etc.) sprechen mit dem Traveler über das ActiveSync- Protokoll.

ABER: Android unterstützt NATIV das Active- Sync- Protokoll nicht (so richtig).
Das heisst: Die Firmen, die Android- Geräte verkaufen, bauen da einen eigenen ActiveSync- fähigen Client ein, um die Geräte als "Businesstauglich" verkaufen zu können.

Diesen "halb- nativen" Client (der nicht unbedingt alle ActiveSync- Befehle kann bzw. 100% sauber umsetzt) unterstützt Traveler nicht (auch wenn man Traveler damit ans laufen bringen kann) und bringt einen eigenen Client mit, der das volle Spektrum beherrscht und optimal mit dem Traveler- Server spricht.

Jetzt kommt MI ins Spiel:
MobileIron bringt mit der "SENTRY" eine Komponente mit, die sich in den ActiveSync- Verkehr zwischen Traveler und Endgerät setzt und diesen steuern kann.

MobileIron hat aber das selbe Problem: ActiveSync auf Android funktioniert nicht richtig... Deshalb unterstützt MobileIron für ALLE Androids nur die App "TouchDown", ein -na wer erräts?- ActiveSync- Client... Und dieser Client funktioniert auch im Zusammenspiel mit Traveler.
(Ausgeklammert ist jetzt mal die Tatsache, dass MI für verschiedene Hersteller bestimmte Versionen derer eigenen Mail- Apps unterstützt, aber das nachzulesen überlasse ich jedem selbst)...

ALSO:
OHNE MI: Nur Traveler Client
MIT MI: TouchDown (oder der Herstellereigene Mail- Client, wenn von MI explizit supported)

[fsinani]

Prima: Und Danke Tode

Das war ausführlich und für meine Wissenslücke genau ausreichend.

Kann denn der TouchDown CLient auch das Unternehmens Directory durchsuchen?

[Hartie]

Es bleibt zu ergänzen:

1. Der Touchdown-Client ist von IBM ebenfalls nicht supported. Dh. man kommt hinsichtlich des Supports vom Regen in die Traufe.

2. Auch auf iOS-Geräten gibt es mit der Companion- und der ToDo-App zwei Traveler-Komponenten, die NICHT über den Mobileiron-Activesync-Proxy (Sentry) geleitet werden können. Damit muss der Travelerserver weiterhin direkt vom Internet erreichbar sein.

Gruß Hartie

[fsinani]

Hallo Hartie,

und Danke auch Dir für den Hinweis.

zu 1: Ist das denn überhaupt relevant, da ich ja mit dem Client lediglich an MI andocke und MI wiederum an Traveler?

Vielen Dank

[Hartie]

zu 1:
Ich denke, dass ist sehr wohl relevant. Letztlich arbeitet MI Sentry nur als Proxy, dh. leitet die ActiveSync-"Kommandos" nur transparent vom Server zum Touchdown-Client durch und umgekehrt.

Wer wird Dich wohl supporten, wenn z.B. eine Einladung nicht angenommen werden kann oder verschwindet oder oder...

Gruß Hartie

[Driri]

Ich wurde glaube ich falsch verstanden, meine Aussage war allerdings auch extrem knapp ;-)

Android = Traveler Client, iOS = ActiveSync

Damit wollte ich nur sagen, daß wir das bei uns so einsetzen. Das ist IMO auch die einzig von IBM offiziell supportete Möglichkeit. Die Aussage bezog sich dabei auf die Frage des Threaderstellers, wie andere damit umgehen.

Wir setzen als MDM nicht MobileIron ein, sondern ein anderes Produkt (Sophos Mobile Control). Daher ist die Konstellation bei uns auch anders. Wobei man gewisse Sicherheitskriterien ja auch mit dem Traveler prüfen lassen kann. Wir haben z.B. als Vorgabe, daß ein Gerätekennwort gesetzt sein muß, ansonsten wird der Sync deaktiviert.

[fsinani]

Danke Hartie und Danke Driri.

Das bedeutet aber, dass man halt Android NUR unter Verwendung eines zusätzlichen Clients mit Traveler verbinden kann und support erhält, sofern es sich dabei explizit nur um den IBM; eigenen Traveler Client handelt

Den wiederum kann man aber nicht in Verbindung mit MobileIron verwenden.

Das bedeutet dann, dass man die Konstellation


Android + TouchDown und MobileIron + Traveler NICHT verwenden kann, da IBM das nicht supporten wird.
UND
Android +TavelerClient und MobileIron + Traveler auch NICHT, weil MobileIron auf TouchDown besteht!


Eine offizielle Aussage steht noch aus.

Insofern ich das richtig wiedergebe


Vielen Dank

[Hartie]

@fsinani:
Deine Zusammenfassung im letzten Post  ist m.E. korrekt.

Hartie

[Tode]

Ja, leider ist das so korrekt...
Ich bin mir aber nicht sicher, ob man den Traveler nicht manuell so konfigurieren kann, dass er mit der sentry spricht... Wollte ich schon lange mal ausprobieren... Nur Konfigurieren kann man einen solchen Traveler über MI dann nicht... Aber das wäre dann eine "Supportete" Umgebung...

[Euft]

Der Traveler ist nichts anderes als die Schnittstelle zum ActiveSync, die von u.a. MobileIron genutzt werden. MobileIron bietet über die VSP Komponente die Möglichkeit "label"-basiert Vorgaben zu machen, wer was nutzt - also welcher Emailclient, welche Konfiguration...

Heisst es wird festgelegt wie die Verbindung vom mobile Device über die Sentry zum Traveller genutzt wird. Ob dann am Device die kostenpflichtige EMailandwendung Touchdown, der kostenlose eigene EMail Client von MobileIron oder gar der native EMail Client eines Android Devices von HTC oder Samsung genutzt wird gibt der Admin vor.

Am besten mit dem Mobileiron partner euerer Wahl sprechen. Einmal konfiguriert läuft das von alleine, aber es muss eben korrekt eingestellt sein.
Falls Touchdown gesetzt ist, da gab es Anfang März eine Beta die einen Bug behoben hat

e.u.f.t.

[netzgoetter]

Um hier noch einmal ein wenig Klarheit in die Diskussion zu bringen:

1. MobileIron's sEntry Proxy ist ein reiner ActiveSync-Reverse Proxy

2. Für Android Devcies ist der einzige von der IBM supportete Zugriff, der Zugriff über den IBM Notes Traveler Client.

3. Traveler ist nicht eine "Traveler ist nichts anderes als eine Schnittstelle zum ActiveSync". Traveler verwendet neben ActiveSync auch das SyncML Protokoll. Der Traveler Client für Android & Symbian verwendet SyncML, welches übrigens auch die Companion & Todo App für iOS verwendet.

4. Der Zugriff per ActiveSync ist IBM seitig lediglich für iOS (ActiveSync v2.5), Windows Phone 7.5&8/ Surface, Blackberry 10 (ActiveSync v14) supportet. Aber nicht für Android. Ich möchte darauf hinweisen, das nicht supported nicht heisst: Es ist nicht supported und geht trotzdem, sondern nicht supported, heißt es gibt IBM-seitig bekannte Probleme.

4. Somit sind über den MobileIron sEntry Proxy die IBM Traveler Apps (Traveler Client, Compagnien, ToDo) nicht einsetzbar. Dies bedeutet: Keine verschlüsselten Mails, keine Todos über den sEntry Server

5. TouchDown stellt auf Ihrer Webseite heraus, das TouchDown Traveler supportet. Ich möchte hierzu nur zu bedenken geben, das IBM in keiner Variante Touchdown supported. Insbesondere im Kalender-Bereich gibt es immer wieder Probleme, die mit dem nativen IBM Traveler Client für Android nicht auftreten.

Die Verbindung über den MobileIron Proxy & den Einsatz von Touchdown scheint auf den ersten Blick zu funktionieren, aber sollen verschlüsselte Mails auf den Endgeräten gelesen & geschrieben werden, ist MobileIron & der sEntry nicht der Stein der Weisen.
Viele mir bekannte MobileIron Kunden sind dann gezwungen, den sEntry Proxy zu umgehen, womit ein großer Teil des MobileIron Mail-Sicherheitskonzeptes ausgehebelt wird.

[fsinani]

Vielen Dank.

Genau darum geht es mir aber - dass ich eine funktionsfähige (und im schlimmsten Fall mit Support garantierte) Umgebung schaffe.

Wenn also MobileIron gesetzt ist, genauso wie Traveler, dann muss ich auf Android verzichten und eines der anderen supporteten (und zwar von beiden) Varianten verwenden.

Vielen Dank für diese aufklärende Runde.

[netzgoetter]

Noch eine Bemerkung zu meinem Post:

Für Windows Phone 7.5 & 8/ Surface, Blackberry 10 (ActiveSync v14) wird Traveler 9.0 benötigt, der ja Mitte dieser Woche released wird.