Exchange_2007_Client_Access.doc

在Exchange 2007中进行客户端访问管理吴国治Exchange 2007要求所有的客户端通讯必须加密，因此，我们需要为POP3、SMTP、IIS等服务配置相应的证书，以进行加密。换句话说，在Exchange 2007的Client Access服务器上，必须为所有的客户端访问相关服务部署证书。最简单的情况下，我们可以使用同一个证书来实现所有网络的服务加密，即OWA、POP3、SMTP、IMAP4、Outlook Anywhere等服务使用相同的证书。为了体现区别，本案例中，使用了不同的证书来实现。案例场景：Exchange 2007服务器，同时负责Client Access、Hub Transport、Mailbox等服务器角色；同时也是域控制器、证书服务器、DNS服务器等。服务器的实际FQDN名称为GERODC.GEORGE.COM。为了区别各种协议，计划为不同的协议使用不同的服务器访问名称，具体如下：HTTPS/Outlook Anywhere: POP3: SMTP: 因此，在DNS中，添加了以上主机名称记录（A记录），记录的IP全部指向Exchange服务器的实际IP。（IMAP4的配置与POP3类似，不再赘述。）关键点：证书名称一定要于服务器被访问时的FQDN名称匹配。1. 为客户端访问协议配置专门的证书获取证书：访问http:/CertServer/certsrv，依次点击Request a certificate=advanced certificate request=Create and submit a request to this CA，进行证书的申请和安装。参考以下截图，在输入证书名称时，一定要注意，证书名必须与对应的服务器FQDN名向匹配：点击Submit后，在以下页面选择安装证书重复上面的步骤，申请4个证书，分别为;;;。2. 验证证书：a. 在Run中输入MMC，运行b. 点击File=Add/Remove Snap-inc. 从列表中，选中Certificates=Add=Local Computerd. 点击OK，回到MMC控制台e. 展开Console Root=Certificates (Local Computer) =Personal=Certificatesf. 在右边的列表中，检查证书是否正确：3. 利用Exchange Management Shell进行证书配置a. 打开Exchange Management Shellb. 运行命令Get-ExchangeCertificate该命令将列出本服务器上安装的所有证书c. 运行命令Enable-ExchangeCertificate thumbprint “5113ae0233a72fccb75b1d0198628675333d010e” Service SMTP该命令会将由Thumbprint指定的证书应用于SMTP服务，其中的Thumbprint参数，可以从Get命令获取。d. 重复上一步，将证书配置给对应的服务e. 再次运行Get-ExchangeCertificate命令，检查证书的配置情况重要：由于Exchange 2007中，Hub Transport服务器上，默认配置了两个Receive Connector，（相当于Exchange 2000/2003中的SMTP Virtual Server），分别对应于客户端服务器、服务器服务器的邮件传递。因此，需要为这两个Connector配置不同的证书。本例中，用于客户端访问的服务器，FQDN名为；默认的服务器，FQDN名为。因此，在证书列表中，会出现两个S。4. 修改Exchange服务器配置a. 打开Exchange Management Consoleb. 展开Server Configuration=Client Access=OWA=Properties，修改Internal URL 和 External URL，与IIS的证书名称匹配c. 如果要启用Outlook Anywhere，那么服务器的External host name也必须与应用在IIS服务上的证书名称一致。d. 展开Server Configuration=Hub Transport=Default SERVERNAME=Property，指定FQDN名称，与SMTP服务上使用的证书一致。e. 展开Server Configuration=Hub Transport=Client SERVERNAME=Property，指定FQDN名称，与SMTP服务上使用的证书一致。5. 利用Exchange Management Shell配置POP3服务a. 打开Exchange Management Shellb. 运行命令Set-PopSettings LoginType “PlainTextLogin” Pr