鸿 网 互 联 www.68idc.cn

Exchange2007:边缘订阅和同步

来源:互联网 作者:佚名 时间:2015-06-02 23:57
在 Exchange 中 边缘传输服务器角色部署在组织的外围网络中 边缘传输服务器旨在最小化攻击面 并可处理所有面向 Internet 的邮件流 为 Exchange 组织提供简单邮件传输协议 (SMTP) 中继和智能主机服务 边缘传输服务器上运行的一系列代理提供更多的邮件保护层和

  在 Exchange 边缘传输服务器角色部署在组织的外围网络中边缘传输服务器旨在最小化攻击面并可处理所有面向 Internet 的邮件流为 Exchange 组织提供简单邮件传输协议 (SMTP) 中继和智能主机服务边缘传输服务器上运行的一系列代理提供更多的邮件保护层和安全层当邮件传输组件处理邮件时这一系列代理将作用于这些邮件这些代理支持的功能可抵御病毒和垃圾邮件并通过应用传输规则来控制邮件流

  一个边缘传输服务器能够被订阅到活动目录站点中订阅边缘传输服务器到活动目录站点可以将边缘传输服务器和Exchange 组织联系起来这个过程减少了您必须在外围网络上执行的管理任务通过在中心传输服务器上执行必要的配置可以将该信息写入到边缘传输服务器中在一个部署了不止一台边缘传输服务器的组织中通过边缘订阅能够维护一致的配置如果您想使用反垃圾邮件收件人查找或者安全列表聚合任务或者域安全特性的话您必须创建边缘订阅

  定义

  Exchange 边缘订阅特性使用了新的技术和功能熟悉边缘订阅术语将帮助您更好地理解该文档下面将具体解释这些术语的含义

  边缘订阅 边缘订阅是一个被订阅到Exchange 组织的边缘传输服务器的记录通过Microsoft Exchange EdgeSync 服务一个被订阅的边缘传输服务器中的ADAM目录服务被来自活动目录中的信息更新

  边缘订阅过程 边缘订阅过程是一个管理员用来为边缘传输服务器建立边缘订阅的步骤您订阅边缘传输服务器到活动目录站点可以将边缘传输服务器和Exchange 组织联系起来

  边缘订阅文件 边缘订阅文件是一个从边缘传输服务器导出的XML文件并被导入到中心传输服务器中用来建立边缘订阅边缘订阅文件包含边缘传输服务器的信息和用来建立初始同步的凭据的信息

  EdgeSync bootstrap 复制帐户 EdgeSync bootstrap 复制帐户(ESBRA) 是不管何时一个新的边缘订阅产生时边缘传输服务器产生的凭据的集合这些凭据被写入到边缘订阅文件中然后被传输到Exchange 组织中在初始同步数据的时候被中心传输服务器用来认证边缘传输服务器这些凭据只用来建立初始同步它们在边缘订阅文件被创建的分钟(小时)后过期

  边缘同步复制账号 一个边缘同步复制账号(ESRA)是用来认证和授权边缘传输服务器和中心传输服务器之间的安全的LDAP连接的凭据的集合在Exchange 组织中创建边缘订阅后每个中心传输服务器为每个订阅的边缘传输服务器生成一个唯一的ESRA凭据集合这些凭据被系统管理通过加密的方式被存储在Exchange 服务器活动目录配置对象中并被复制到ADAM中来创建一个相应的的ESRA

  边缘凭据服务 边缘凭据服务只运行在边缘传输服务器上在ADAM中创建相应的ESRA账号以便中心传输服务器能够认证边缘传输服务器在执行边缘同步执行同步过程的时候

  Microsoft Exchange EdgeSync 服务 Microsoft Exchange EdgeSync 服务是运行在中心传输服务器上的的数据同步服务 它是运行在向其周期订阅的边缘传输服务器并执行收件人和配置信息到ADAM的单方向复制的活动目录站点中的中心传输服务器上该服务仅拷贝那些边缘传输服务器需要用来执行反垃圾邮件配置任务或者使用域安全的信息 以及通过一个或者更多的边缘传输服务器用来配置Exchange 组织内部中心传输服务器和Internet之间邮件流的发送连接器信息该服务定期被更新以便保存在ADAM中的信息保持最新 

  EdgeSync同步过程 EdgeSync同步过程是Microsoft Exchange EdgeSync 服务执行将数据从活动目录中传送到订阅的边缘传输服务器中的任务或者过程配置数据每个小时同步一次收件人数据每个小时同步一次Microsoft Exchange EdgeSync 服务调用ESRA凭据并通过加密的通道传输数据当同步发生时新的对象被添加到ADAM中需要删除的对象被清除已存在的对象中的属性被修改在初始复制期间ADAM被填满在初始同步完成之后同步在固定的间隔内发生配置数据每个小时同步一次收件人数据每个小时同步一次您可以在Exchange Management Shell使用StartEdgeSynchronization cmdlet来立即启动同步

  操作的顺序

  通过导出边缘传输服务器上的边缘订阅XML文件来启动边缘订阅过程当在边缘传输服务器的Exchange Management Shell 中执行NewEdgeSubscription cmdlet的时候边缘订阅文件被创建将同时发生下面的动作

  一个ADAM账号被创建
     凭据被找回并被写入到边缘订阅XML文件中

  每个边缘传输服务器需要一个单独的边缘订阅用来写入到边缘订阅文件的凭据是特定于从其导出该文件的那台服务器

  接下来边缘订阅XML文件被传输到活动目录中从其您想订阅该边缘传输服务器的中心传输服务器上通过执行NewEdgeSubscription cmdlet或者Exchange 管理控制台中的New Edge Subscription向导将边缘订阅文件被导入到中心传输服务器该步骤完成了边缘订阅过程运行在活动目录站点中向其订阅边缘传输服务器的中心传输服务器上的Microsoft Exchange EdgeSync 服务将开始执行从活动目录到ADAM的单方向数据复制在边缘订阅过程中创建的ADAM凭据被用来认证在初始同步的时候产生的安全LDAP连接

  要部署一个边缘传输服务器并将其订阅到活动目录站点需要执行下面的步骤

   安装边缘传输服务器角色

   验证中心传输服务器和边缘传输服务器能够使用DNS来相互解析

   配置要复制到边缘传输服务器上的对象和设置

   在边缘传输服务器上运行NewEdgeSubscription cmdlet 来导出边缘订阅文件

   拷贝边缘订阅文件到中心传输服务器

   执行NewEdgeSubscription cmdlet或者使用Exchange 管理控制台中的New Edge Subscription向导将边缘订阅文件被导入到中心传输服务器

  注意

  ESBRA凭据是通过明文的方式被写入到边缘订阅文件中在边缘订阅的过程中您必须保护该文件这些凭据只用来建立初始同步它们在边缘订阅文件被创建的分钟(小时)后过期如果边缘订阅在这段时间被没有完成您必须在边缘传输服务器上再次运行NewEdgeSubscription cmdlet 来创建一个新的边缘订阅文件在边缘订阅文件被导入到中心传输服务器后您应该立即从边缘传输服务器中心传输服务器以及其他任何可移动的介质上删除边缘订阅文件

  下面的图描述了边缘订阅的过程
    
   

  

  要在一台安装了边缘传输服务器角色的计算机上执行边缘订阅您必须使用该计算机的本地管理员组中的成员账号来登录

  要在一台安装了中心传输服务器角色的计算机上执行边缘订阅您必须使用被委派了Exchange Organization Administrator 角色的账号 

  当在边缘传输服务器上运行NewEdgeSubscription 命令来导出边缘订阅文件的时候被Microsoft Exchange EdgeSync服务从活动目录复制到ADAM的任何对象将从边缘传输服务器上删除在您将边缘订阅文件导入到中心传输服务器上后收件人和配置数据从活动目录复制到ADAM因此您必须配置中心传输服务器上的设置来填写边缘传输服务器上的设置

  准备创建边缘订阅

  注意 在边缘传输服务器被订阅到Exchange 组织后边缘传输服务器上用来配置通过Microsoft Exchange EdgeSync 服务复制到边缘传输服务器上的对象的任务被禁用

  验证用来分离边缘传输服务器和exchange 组织的外围网络防火墙打开了正确的通信端口边缘传输服务器使用非标准的LDAP端口在缺省情况下这些端口在安装边缘传输服务器角色的时候被配置通过使用Exchange 提供的ConfigureAdamps脚本您可以修改被ADAM使用的端口然而不要在创建边缘订阅后修改这些端口如果您在创建边缘订阅后修改了的话您必须重新订阅边缘传输服务器在缺省情况下下面的LDAP端口在访问ADAM时被用到

  LDAP Port /TCP 被用来在本地绑定到ADAM实例该端口不需要在外围网络防火墙上打开

  Secure LDAP Port /TCP 用来从中心传输服务器到ADAM的目录同步该端口必须要打开才能使边缘同步成功

  验证从中心传输服务器到中心传输服务器和从中心传输服务器到中心传输服务器的DNS 主机名称解析成功

  许可边缘传输服务器 在边缘订阅被创建的时候边缘传输服务器的许可证信息被捕获并被显示在Exchange 组织的Exchange 管理控制台中对于订阅过的边缘传输服务器作为许可过的被显示出来在许可证密钥被应用到边缘传输服务器上后它们必须被订阅到Exchange 组织如果在执行边缘订阅后许可证密钥才被应用到边缘传输服务器上许可证的信息不会被更新到Exchange 组织当中您必须重新订阅边缘传输服务器

  配置传播到边缘传输服务器的设置您配置下面的设置用来被传播到边缘传输服务器角色

  内部SMTP服务器 使用SetTransportConfig cmdlet 配置InternalSMTPServers 的参数该参数指定一个应该被发件人ID和连接过滤忽略的内部SMTP 服务器的IP地址列表或者IP地址范围

  接受域 配置所有的权威域内部中继域和外部中继域

  远程域 配置远程域设置

  域安全列表 为Exchange 组织在TransportConfig对象上配置TLSReceiveDomainSecureList 和 TLSSendDomainSecureList 属性这些属性指定了配置为相互Transport Layer Security (TLS) 认证的远程域列表

  为边缘传输服务器订阅 Active Directory 站点通过为边缘传输服务器订阅 Active Directory 站点边缘传输服务器可以从 Active Directory 接收对 ADAM 的更新并在边缘传输服务器与该站点中部署的中心传输服务器之间建立同步关系边缘订阅进程还会为边缘传输服务器创建 Active Directory 站点成员身份关联站点关联使 Exchange 组织中的中心传输服务器可以将邮件中继到边缘传输服务器以传递到 Internet而不必配置显式发送连接器

  可以为一个或多个边缘传输服务器订阅单个 Active Directory 站点但是不能为一个边缘传输服务器订阅多个 Active Directory 站点如果部署了多个边缘传输服务器可以为每个服务器订阅不同的 Active Directory 站点每个边缘传输服务器需要各自的边缘订阅订阅了站点的边缘传输服务器只能支持一个 Exchange 组织

  当您在边缘传输服务器上运行NewEdgeSubscription cmdlet的时候会执行下面的操作

  创建 ADAM 帐户此帐户称为 EdgeSync bootstrap 复制帐户 (ESBRA)这些凭据用于验证与边缘传输服务器的初次 EdgeSync 连接该帐户配置为在创建后 分钟( 小时)过期因此必须在过期前完成订阅进程如果 ESBRA 在边缘订阅进程完成前已过期则必须在边缘传输服务器上再次运行 NewEdgeSubscription cmdlet来新建边缘订阅文件

  从 ADAM 中删除某个类中所有以前创建的现在将从 Active Directory 复制到 ADAM 的配置对象并禁用用于配置这些对象的 Exchange 命令行管理程序任务仍可以使用用于查看这些对象的任务运行 NewEdgeSubscription cmdlet 时边缘传输服务器上将禁用下列任务

  SetSendConnector

  NewSendConnector

  RemoveSendConnector

  NewAcceptedDomain

  SetAcceptedDomain

  RemoveAcceptedDomain

  NewMessageClassification

  SetMessageClassification

  RemoveMessageClassification

  NewRemoteDomain

  SetRemoteDomain

  RemoveRemoteDomain

  通过在 Exchange 命令行管理程序中运行 NewEdgeSubscription cmdlet 或使用 Exchange 管理控制台中的新建边缘订阅向导在中心传输服务器上导入边缘订阅文件时会执行下列操作

  创建边缘订阅为已加入 Exchange 组织并且 Microsoft Exchange EdgeSync 服务将向其传播配置数据的边缘传输服务器建立一条记录此步骤在 Active Directory 中创建边缘配置对象
     Active Directory 站点中的每个中心传输服务器从 Active Directory 收到已为新边缘传输服务器订阅的通知中心传输服务器从边缘订阅文件中检索 ESBRA然后中心传输服务器使用边缘传输服务器的自签名证书的公钥为 ESBRA 加密加密后的凭据将被写入边缘配置对象
     每个中心传输服务器还使用自己的公钥为 ESBRA 加密然后将凭据存储在自己的配置对象中
     在 Active Directory 中为每个边缘传输服务器/中心传输服务器对创建 EdgeSync 复制帐户 (ESRA)每个中心传输服务器将其 ESRA 凭据作为中心传输服务器配置对象的属性进行存储
     自动创建发送连接器以便将出站邮件从边缘传输服务器中继到 Internet并将入站邮件从边缘传输服务器中继到 Exchange 组织
     中心传输服务器上运行的 Microsoft Exchange EdgeSync 服务使用 ESBRA 凭据在中心传输服务器与边缘传输服务器之间建立安全的 LDAP 连接并执行初次数据复制下列数据将被复制到 ADAM
     拓扑数据
     配置数据
     收件人数据
     ESRA 凭据
     边缘传输服务器上运行的 Microsoft Exchange 凭据服务将安装 ESRA 凭据这些凭据用于验证并保护以后的同步连接
     制订 EdgeSync 同步计划

  在为边缘传输服务器订阅的 Active Directory 站点中中心传输服务器上运行的 Microsoft Exchange EdgeSync 服务现在将定期从 Active Directory 向 ADAM 单向复制数据

网友评论
<