Exchange电子邮件系统解决方案(模版).docx

. Exchange电子邮件系统解决方案整体解决方案目录一、用户需求2二、名词解释2三、方案拓扑3四、方案推介4Microsoft Active Directory4地址分配4名称解析5DNS5域结构6组织单元结构7Microsoft Exchange 201011防火墙和边缘服务器11中心传输服务器12客户端访问服务器13邮箱服务器14Exchange Server 2010群集服务14可实现的功能：15Symantec Backup Exec For Windows Server16产品简介22Windows Server 2008简体中文标准版22Microsoft Exchange Server 201026Symantec Backup Exec 2010 For Windows33方案介绍37建议方案一37建议方案二38Exchange服务器角色简介391.客户端访问服务器角色：392.边缘传输服务器角色：393.中心传输服务器角色：404.邮箱服务器角色：43一、用户需求XXX原有WinMail邮件服务器，因业务需要和对邮件数据的要求提高，希望通过部署Microsoft Exchange Server来完成对现有邮件系统的升级，以此来满足需求。因XXXExchange属于全新架构，因此，我们针对其现有结构情况和需求制定本方案。本方案为前期方案，根据实际需求变化和最终确定需求详情，我们将制定详细的实施部署方案，以此作为项目过程的归档目录之一。二、名词解释Microsoft Exchange 2010：微软新一代电子邮件服务系统。Active Directory：Active Directory（活动目录）动目录（Active Directory）是面向Windows Standard Server、Windows Enterprise Server以及 Windows Datacenter Server的目录服务。（Active Directory不能运行在Windows Web Server上，但是可以通过它对运行Windows Web Server的计算机进行管理。）Active Directory存储了有关网络对象的信息，并且让管理员和用户能够轻松地查找和使用这些信息。Active Directory使用了一种结构化的数据存储方式，并以此作为基础对目录信息进行合乎逻辑的分层组织。反垃圾邮件网关：用于针对已有垃圾邮件进行过滤和阻断的设备。备份系统：传统机制的备份系统无法对现在使用的应用平台做完整细粒度备份，一旦应用发生灾难性损坏，后果将不堪设想，我们利用专业备份系统来弥补这个问题的空白。三、方案拓扑建议方案1建议方案2四、方案推介Microsoft Active Directory方案规划XXX采用单林单域方式，组织单元规划根据企业实际行政规划来设计。AD明细如下：地址分配地址分配即IP地址的分配和管理。我们可以根据实际情况来确定IP的获取方式，根据部门来划分静态IP和DHCP的数量级和安全级别。名称解析名称解析是指在访问网络资源（包括文件服务器和打印机）时，如何将资源的名称转换成对应的IP地址的服务。目前公司的内部用户在访问网络资源时通过直接的IP地址来定位资源，这样带来的问题时每个用户必须记住要访问资源的IP地址，使用效率不高而且管理成本较高。通过DNS和WINS的服务，相关的服务器会自动将某个名称转换成实际的IP地址，用户只需记住容易辨识的资源名称即可进行相应的访问。这样网络资源的共享和使用效率将得到很大程度的提高。DNS我们将在公司的DC01、DC02两台DNS服务器。该服务器同时也是域控制器。公司内部网络的域名为： 或 baiyyy.localDNS服务器包含两个区域，以下是它们的技术参数：Name: _.Type: Active Directory-IntegratedReplication: To All DNS servers in the Active Directory forest Dynamic updates: Nonsecure and secureName: .Type: Active Directory-IntegratedReplication: To All DNS servers in the Active Directory domain Dynamic updates: Nonsecure and secureDNS服务器都将DNS数据放在本地的AD数据库中，但是作为独立的Application Partition来参与域控制器之间的目录复制(Directory Replication)从而同步DNS数据库。所有域控制器都将主域控设为首选的DNS服务器外部(Internet)名称解析在DC01，将本地ISP的DNS服务器设为转发器。将所有非内部网的域名解析请求转发至Internet上所有公司内的客户端都将通过DNS来进行名称解析。包括登入域和访问文件服务器或其他客户端。每一个加入域的客户端都通过动态注册在DNS服务器上注册自己的主机纪录(A)和指针纪录(PTR)。管理员在服务器上可以轻松的了解所有客户端的注册情况。此外，在DC01的DNS服务出现暂时不可用的情况时，可以依靠其它额外DC (DNS服务器)来进行必要的名称解析。域结构域结构设计是活动目录中最重要，也是最基础的工作，是多种因素权衡的结果，它既要尽可能贴近用户的管理模式和组织结构，也要考虑网络情况及今后的各种变化。以下是单域结构相对于其他结构的优缺点：优点 集中管理整个集团的安全策略; 集中管理整个集团的组策略; 完全利用组织单元反映集团的管理结构; 当公司机构重组时可以非常灵活的进行调整; 当资源和用户需要在组织机构内迁移时可以非常灵活的调整; 不需要GC服务器 因为所有的DC都拥有AD的全备份; 相对其它方案，可以使用较少的域控制器; 简单的名字空间设计 只需要1个DNS名字后缀; 用户在查找AD内的信息时相对简单; 单一的组策略更容易实施。缺点 在IT系统管理权限相对分散的组织结构中，难以区分“管理权”。 整个公司集团只能实行一种安全策略，例如统一的口令策略。.所有的域控制器(DC)都拥有整个AD的数据的备份，AD的任何更改也要反映到域内的所有DC上，这对每台DC的硬件配置要提出更高的要求，同时对那些广域网带宽有限的区域会带来效率上的问题。对于DC服务器本身的安全也提出更高的要求。组织单元结构组织单元的设计将遵循两点原则： 反映企业内部的组织结构 有利于通过组策略进行细化的终端管理目前公司的组织结构需根据XXX的实际人事组织拓扑制定，会在制定项目实施方案时提供。由于用户帐号（在这里包括用户组账号）和计算机账号分数两种不同的资源类型，所以也需要分开管理。因此，我们将组织单元设计成以下结构： 第一级：资源类型 第二级：地理位置 第三级：事业部名称 第四级：部门名称请参考下图以了解这个结构的模型： 账号和口令管理账号管理可以分为个人账号管理、组账号管理和机器账号管理。个人账号可以分为两类： 第一类为普通账号，采用一人一号的方式，为每一位员工建立自己的账号。当员工加入或者离开时，按照一定的规则增加或者删除用户的账号。 第二类为特殊账号，通常不属于某一位员工，而是为了满足某些特殊的功能，比如系统管理、匿名访问等等。特殊账号有以下几个： Administrator，系统管理员账号，具有最高的权限，可以进行任何管理操作，该账号不能被删除，只能更改用户名。为了提高系统的安全性，建议将管理员账号的用户名更改，比如hqadmin（仅仅是建议，系统管理员可以自行决定）。 Guest，匿名登录的账号，为了提高系统的安全性，建议将Guest账号禁止。 服务的账号，在Windows 2008中，每一个服务都需要一个账号，通常这些账号采用系统账号，我们无须关心，但有一些服务需要特殊的用户账号。 每个个人账号都有一个口令来保护，为了防止口令被盗用和攻击，我们将在整个域中启用相应的密码策略以保证每个密码都符合一定的复杂度，具体要求如下： 长度不得小于8个字符 必须包含大写和小写字母 必须包含特殊字符（例如：!#$%&*()_+） 密码有效期=3个月 个人账号的命名规则用户名称将使用中文名，帐号名称为: 采用姓名的拼音全称，如有重复则在末尾加用户所在部门名称的首字母，若仍有重复则在末尾加数字以示区别。 例如：姓名姓名拼音 帐户名张刚(工程实际部)Gang.ZhangGang.Zhang.SJ张钢(财务部) Gang.ZhangGang.Zhang.CW计算机账号管理所有加入到域中的计算机都需要一个计算机账号，通过该帐号，我们可以对计算机的各种配置进行管理。公司目前的计算机命名规则为：事业部+部门+序号。例如：SJ-BMB-001（设计保密部第一台计算机）。组账号管理分组管理是重要而有效的管理策略。在Windows 2008中有三种组帐户：通用组（Universal Group）、全局组（global group）和域本地组（Domain local group），全局组可以包括本域的用户帐户（user account），域本地组可以包括本域和资源域的用户帐户和全局组帐户，通用组的使用则没有任何限制。(公司如采用单域结构，则没有使用Universal组的必要)良好的分组策略可以降低管理的复杂性，避免安全上的漏洞，大大提高管理的可靠性。我们采用这样的分组策略：1. 按照职位分组。2. 按职能分组，例如所有的财务人员，所有的科技人员，所有的系统管理员等等。3. 对员工分类，比如普通员工，临时员工等等。4. 按照部门分组.由于维护用户和组账号是一项日常的工作，这项工作将由公司的人员，依据管理的需求来创建。此次项目中，将为每一个部门创建一个管理员组，用来进行一些日常的管理工作，包括安装额外的硬件，共享文件和打印机，等等。目前，公司的所有用户都已被分到各个不同的组织单元(OU)下面。每个组织单元下还包含一个用户组，该用户组的成员即是该组织单元内的所有用户，这样可以较为轻松的管理用户资源。Microsoft Exchange 2010防火墙和边缘服务器防火墙实现机构局域网与广域网之间的隔离，是实现安全性的保障。首先系统和Internet公网之间设立一台硬件防火墙，为系统提供第一层安全防护。然后停火区建立Exchange 边缘服务器，负责对外的邮件往来。外部的邮件首先到达边缘服务器，经过反垃圾、防病毒系统的检查，确定安全后再转发给内网的中心传输服务器。边缘服务器将内外的邮件系统隔离开来，使得这些不得不和外界连通的服务器即使被黑客攻击，也不会影响防火墙后面内部网络内的服务器，它提高了安全性和设计灵活性。因为前端服务器不存放邮件存储系统或 Active Directory 数据库，所以它们成为“黑客”攻击对象的价值就会降低。边缘传输服务器角色上可管理：Internet邮件流 运行边缘传输服务器角色的服务器接受通过 Internet 进入 Exchange 2010 组织的邮件。边缘传输服务器对邮件进行处理之后，会将它们路由到组织内部的中心传输服务器。边缘传输规则 用于控制发送到 Internet 或从其接收的邮件流。边缘传输规则通过将操作应用于满足指定条件的邮件帮助保护企业网络资源和数据。边缘传输规则条件以数据为基础，例如，邮件主题、正文、标题或发件人地址中的特定字词或文本模式，垃圾邮件信任级别 (SCL) 或附件类型。当指定条件为真时，这些操作可确定处理邮件的方式。可能的操作包括隔离邮件、丢弃或拒绝邮件、附加其他收件人或记录事件。有例外情况（可选）可以不对特定邮件执行操作。反垃圾邮件和防病毒保护 在 Exchange 2010 中，可以阻止网络外围的病毒和垃圾邮件或未经请求的商业电子邮件。边缘传输服务器角色的服务器通过提供一组协同工作以提供不同垃圾邮件筛选层和保护层的代理，以帮助防止组织中的用户接收垃圾邮件。地址重写 可以为来自您的 Exchange 2010 组织的邮件的外部收件人提供一致的外观。针对边缘传输服务器角色配置地址重写代理，可以修改进站和出站邮件的 SMTP 地址。当具有多个域的新合并组织希望为外部收件人提供一致的电子邮件地址时，地址重写尤为有用。中心传输服务器每个Exchange2010 站点必需要有一台中心传输服务器。负责内部邮件路由，提供规则引擎，实现对邮件的控制和过滤。中心传输服务器角色部署在 Active Directory 目录服务林内部，用于处理组织内的所有邮件流、应用传输规则、应用日记策略以及向收件人的邮箱传递邮件。发送到 Internet 的邮件由中心传输服务器中继到部署在外围网络中的边缘传输服务器角色。从 Internet 接收的邮件在中继到中心传输服务器之前，由边缘传输服务器进行处理。如果不具有边缘传输服务器，则可以将中心传输服务器配置为直接中继 Internet 邮件。还可以在中心传输服务器上安装和配置边缘传输服务器代理，以便在组织内部提供反垃圾邮件和防病毒保护。中心传输服务器角色将其所有配置信息都存储在 Active Directory 中。这些信息包括传输规则设置、日记规则设置和连接器配置。由于此信息存储在 Active Directory 中，因此可以一次性配置设置，然后由组织中的每个中心传输服务器应用这些设置。中心传输服务器角色上可管理：内部邮件流 在将邮件传递到收件人的收件箱或路由到组织外部的用户之前，中心传输服务器角色将处理在 Exchange 2010 组织内部发送的所有邮件。此行为没有例外情况；邮件始终通过运行中心传输服务器角色的服务器进行传递。邮件策略 传输代理集合使您能配置当邮件进入和离开邮件流组件时应用的规则和设置。可以创建为符合不同的规范而设计的邮件策略和规则设置，并可针对组织要求较容易地更改这些策略和设置。反垃圾邮件和防病毒保护 Exchange 2010 内置保护功能为邮件提供了反垃圾邮件和防病毒保护。尽管这些内置保护功能设计为在外围网络中的边缘传输服务器角色上使用，但也可以在中心传输服务器上配置边缘传输代理。客户端访问服务器在 Exchange Server 2010 中将协议处理和存储服务分开，将处理HTTP、SMTP、EAS、POP及IMAP（Internet消息访问协议）请求的一组IP服务器划分为客户端访问服务器，可以容留在独立于全部数据存储的服务器上，并且无需RAID（容错磁盘阵列）控制器。这就减少了服务器成本，同时也可以防止SMTP故障和意外的服务拒绝事件影响到通信存储或目录。客户端访问服务器还专门负责和Internet进行外部邮件收发和数据加密/解密，活动目录查询等任务。客户端访问服务器角色支持各种不同客户端与 Exchange 2010 服务器连接。Microsoft Outlook Express 和 Eudora 等软件客户端使用 POP3 或 IMAP4 连接与 Exchange 服务器进行通信。移动设备等硬件客户端使用 ActiveSync、POP3 或 IMAP4 与 Exchange 服务器进行通信。如果用户使用任何非 Microsoft Outlook 客户端访问其收件箱，则必须在 Exchange 组织中安装客户端访问服务器角色。邮箱服务器邮箱服务器角色与 Active Directory 目录服务集成，提供更丰富的日历功能、资源管理以及脱机通讯簿下载，改善信息工作人员的体验。可通过 OUTLOOK客户端直接访问Exchange邮箱服务器。邮箱服务器则专门管理邮箱。而为了提高系统的稳定性和可用性，后端邮件服务器将采用Cluster群集结构，就是两台服务器相互备份和同步，当其中一台服务器意外崩溃以后，另外一台会马上接替工作，不会引起服务中止。Exchange Server 2010群集服务Exchange Server 2010和Windows Server 2010支持群集。一个群集由两台以上计算机或节点组成，这些计算机或节点不仅彼此相联，并且均与一部共享存储设备连接。群集中存在一个或多个Exchange虚拟服务器，而每个虚拟服务器均运行在群集中的一个节点上。Exchange Server 2010在Windows Server 2010上能最多支持8节点的群集。Exchange群集技术为通信提供了高度的可用性。群集服务对群集中的虚拟服务器进行监视，在发生故障的情况下，群集服务会重新引导系统或将受到影响的虚拟服务器转移到处于正常状态的节点上。为执行计划内停机，你可以将虚拟服务器以手工方式转移到其它节点上。而无论在意外故障还是计划停机情况下，客户都将经历一个短暂的服务中断期，而该中断期也只有在虚拟服务器处于在线或脱机挂起的状态下才会发生。使用多个服务器能在提高可靠性的同时降低系统成本，这是因为，你无须设置专门用于排除故障的服务器。本地不间断复制和集群不间断复制除了支持群集技术外，Exchange2010 还提供两种新的备份手段：本地不间断复制和集群不间断复制。通过日志的复制技术，实时的将数据从工作卷复制到备卷，备份可以跨地域以很小的代价实现异地容灾。通过不间断复制技术，系统对全备份的要求也由以前的每天下降到每星期。并且备份可针对备份卷操作，不影响生产系统性能。可实现的功能： 配置Exchange2010的OWA功能，使之能够让用户采用WEB方式访问企业邮箱，以此我们可以通过HTTP方式来访问邮件服务器收发邮件并处理相关信息； 配置开放Exchange2010的POP3的协议解析功能，使之实现对Outlook 和其它第三方邮件收发软件的支持； 配置Exchange 2010 Outlook Anywhere功能，确保我们可以使用Outlook、Foxmail以及智能移动终端来及时收发邮件。 定制防火墙对邮件系统的发布策略； 发布邮件系统到INTERNET网络； 定制邮件系统的反垃圾邮件的策略（反垃圾邮件网关策略）； 定制邮件系统的反攻击安全策略（反垃圾邮件网关策略）； 根据企业需要，定制邮箱大小策略，邮件大小策略，邮件发送策略等一系列邮箱设置策略； 根据企业需要，定制全球通讯录，部门通讯录等各种脱机通讯录； 配置邮件系统，为邮件进行128位的SSL加密，保证邮件传输安全； 迁移现有WinWebmail邮箱的账号到Exchange环境中，并保留邮箱地址与原系统地址一致；Symantec Backup Exec For Windows Server备份过程中要用到大量的存储介质，随着时间的推移，介质上备份数据的作用会越来越小，除非要特意恢复到某一历史时刻的状态，都会用最新的备份数据来进行恢复。所以在制定备份策略时，要根据数据的运作和使用情况，来确定数据的最长有效期、可容忍的数据丢失时间，从而确定执行备份的时间、每次备份的种类、使用空介质和重用老介质的方法。AD服务器作为重要的运营系统和宝贵的信息库，承担着日常的网络与数据中枢的角色，其长期运行过程中积累下来的数据具有重要的价值。基于此，对于这些服务器的备份，应从整体、系统、长期的角度来制定备份策略，做到既能快速的进行日常备份，又能完备的保留一定历史时期内的数据。备份策略对数据进行备份，是出于保证数据的安全性、对系统信息做历史记录、在灾难发生时恢复系统等多方面考虑的。若要详细、历史的记录数据，并在特定情况下恢复特定时期的数据，就要保证数据备份的频率、以及备份介质上数据的保存时间符合预期设计的目标。目前，国内外大型企业对资源数据的备份都是每天进行一次的，并且采用完全备份和差量备份结合的方式，给数恢复带来便利。由于采用了先进的软、硬件配置，这种日常备份操作都可以在晚间系统负载较轻时定时、自动、快速进行，对系统日间使用不会造成任何影响。考虑到本系统的具体情况，我们认为做每日备份是极为合理的方案。由于系统中的每台服务器数据交换和信息更新都极为频繁，每天都有大量的信息数据、那么做每日备份，记录每日系统的最新信息是极为必要的。对系统做完全备份是出于恢复方便考虑，系统管理员不必使用任何其它历史资料，就可以对系统进行完全恢复，简单便捷。若是只对应用数据进行备份，那么一但系统崩溃，需要使用最近一次完全备份恢复系统，再使用最近一次应用备份恢复具体应用，操作及为不便。如果应用在系统配置文件中的一些信息较最近一次完全备份时有所不同，那么即使恢复了系统也难以正常运行，或者造成不可见的故障隐患备份策略的定义定义好备份资源以后，我们必须根据实际需要配置备份策略。定义备份策略，涉及到以下内容：a) 在什么时间（备份时间，如下午6:00）、b) 将什么数据（备份内容，数据库数据）、c) 以什么方式（备份方式，如全备份或增量备份）、d) 通过哪组磁盘驱动器、e) 备份到磁盘哪一个位置在我们对每一组数据、数据库都根据需要定义好备份策略后，系统就会自动的按照我们定义的时间、方式、将需要备份的数据备份到我们指定的磁盘中去。而备份的方式可以分为三种：全备份、增量备份、累计增量备份。u 全备份每次备份定义的所有数据，优点是恢复快，缺点是备份数据量大，数据多时可能做一次全备份需很长时间u 增量备份备份自上一次备份以来更新的所有数据，其优点是每次备份的数据量少，缺点是恢复时需要全备份及多份增量备份u 差分备份备份自上一次全备份以来更新的所有数据。我们可以结合这三种方式，灵活应用。比如：数据量少时，我们可以每次都用全备份备份数据，这样，恢复时，只需要指定一个数据源即可。数据量大时，如果每天作全备份，效率会很低。我们可以结合全备份和增量备份方式。比如每星期作一次全备份（如星期天），其它时间，每天作一个增量备份（如:星期一到星期六）。恢复时，只要依次恢复最多七个备份介质即可。（如：上周日、星期一、星期二 .，直到出事前一天的数据。）数据量特别大时，每星期作全备份对系统的压力也会很大。这时，我们可以结合全备份、累计增量备份、增量备份三种方式，提供相对效率高，恢复有快的备份手段。比如每个月作一次全备份（如每月初），然后每星期日作一次累计增量备份，其它时间，每天作一次增量备份。恢复时，先恢复月初的全备份，再恢复上周日的累计增量备份，在依次恢复以后每一天的增量备份，如星期一、星期二 .，直到出事前一天的数据。（最多恢复8份数据，相对的如果不采用累计增量备份方式，恢复时最多可能需要恢复31份数据，恢复速度和复杂程度都会不理想）。由此我们认为，对系统进行每日备份是必要的，可以更好的提高系统的安全性和可靠性。灾难恢复的备份策略安装完所有服务器的VERITAS及其选件和代理后，对所有要进行灾难恢复的服务器进行一次全备份。当Windows NT系统出现依靠启动软盘无法恢复的系统损毁时，依靠系统全备份文件恢复整个系统，然后用最新的内容更新系统的内容。介质使用及命名规则为了更好的管理介质，我们对所有磁盘按统一的规则来命名：备份类型 集合名 日期备份类型： F完全备份 A部分备份集合名： 使用者指定的唯一性名字日期： 使用该介质进行备份的时间 MM/DD/YY格式如：某一磁带可以命名为：F-ICBCOA-2/1/99产品推荐服务器产品用途产品编号产品数量产品描述电子邮件服务器HP DL 388 G7（E5620*1,32G内存，300GB*3 RAID5）12颗物理CPU+16GB内存AD服务器HP DL 160 G6(E5506*1,2GB内存，146GB*2 RAID1)21颗物理CPU+2GB内存备份服务器HP DL 160 G6(E5506*1,2GB内存，146GB*2 RAID1)11颗物理CPU+2GB内存软件产品类别产品名称产品数量产品描述ServerWindows Server 2008简体中文标准版3服务器操作系统ServerExchange Server 2010简体中文标准版1电子邮件系统CALExchange Server CAL待定电子邮件系统访问许可RecoverySymantec Backup Exec 2010 For Windows主模块1数据备份RecoverySymantec Backup Exec 2010 Agent For Exchange Server1数据备份RecoverySymantec Backup Exec 2010 Agent For Microsoft Active Directory2数据备份其他产品类别产品名词产品数量产品描述Gateway梭子鱼邮件防火墙Model 3001网关硬件设备产品简介Windows Server 2008简体中文标准版Windows Server 2008是微软最新一个服务器操作系统的名称，它继承Windows Server 2008。Windows Server 2008在进行开发及测试时的代号为Windows Server Longhorn。 Windows Server 2008是一套相等于Windows Vista(代号为Longhorn)的服务器系统，两者很可能将会拥有很多相同功能；Vista及Server2008与XP及Server2008间存在相似的关系。（XP和Server 2008的代号分别为Whistler及Whistler Server） Microsoft Windows Server 2008代表了下一代Windows Server。使用Windows Server 2008，IT专业人员对其服务器和网络基础结构的控制能力更强，从而可重点关注关键业务需求。Windows Server 2008通过加强操作系统和保护网络环境提高了安全性。通过加快IT系统的部署与维护、使服务器和应用程序的合并与虚拟化更加简单、提供直观管理工具，Windows Server2008还为IT专业人员提供了灵活性。Windows Server 2008为任何组织的服务器和网络基础结构奠定了最好的基础。 Microsoft Windows Server2008用于在虚拟化工作负载、支持应用程序和保护网络方面向组织提供最高效的平台。它为开发和可靠地承载Web应用程序和服务提供了一个安全、易于管理的平台。从工作组到数据中心，Windows Server2008都提供了令人兴奋且很有价值的新功能，对基本操作系统做出了重大改进。 更强的控制能力使用Windows Server 2008，IT专业人员能够更好地控制服务器和网络基础结构，从而可以将精力集中在处理关键业务需求上。增强的脚本编写功能和任务自动化功能（例如，WindowsPowerShell）可帮助IT专业人员自动执行常见IT任务。通过服务器管理器进行的基于角色的安装和管理简化了在企业中管理与保护多个服务器角色的任务。服务器的配置和系统信息是从新的服务器管理器控制台这一集中位置来管理的。IT人员可以仅安装需要的角色和功能，向导会自动完成许多费时的系统部署任务。增强的系统管理工具（例如，性能和可靠性监视器）提供有关系统的信息，在潜在问题发生之前向IT人员发出警告。 增强的保护WindowsServer2008提供了一系列新的和改进的安全技术，这些技术增强了对操作系统的保护，为企业 的运营和发展奠定了坚实的基础。WindowsServer2008提供了减小内核攻击面的安全创新（例如PatchGuard），因而使服务器环境更安全、更稳定。通过保护关键服务器服务使之免受文件系统、注册表或网络中异常活动的影响，Windows服务强化有助于提高系统的安全性。借助网络访问保护(NAP)、只读域控制器(RODC)、公钥基础结构(PKI)增强功能、Windows服务强化、新的双向Windows防火墙和新一代加密支持，WindowsServer2008操作系统中的安全性也得到了增强。 Network Access Protection (NAP)：这是一个新的框架，允许 IT 管理员为网络定义健康要求，并限制不符合这些要求的计算机与网络的通信。NAP 强制执行管理员定义的、用于描述特定组织健康要求的策略。例如，健康要求可以定义为安装操作系统的所有更新，或者安装或更新反病毒或反间谍软件。以这种方式，网络管理员可以定义连接到网络时计算机应具备的基准保护级别。 Microsoft BitLocker 在多个驱动器上进行完整卷加密，为您的数据提供额外的安全保护，甚至当系统处于未经授权操作或运行不同的操作系统时间、数据和控制时也能提供安全保护。 Read-Only Domain Controller (RODC)：这是 Windows Server 2008 操作系统中的一种新型域控制器配置，使组织能够在域控制器安全性无法保证的位置轻松部署域控制器。RODC 维护给定域中 Active Directory 目录服务数据库的只读副本。在此版本之前，当用户必须使用域控制器进行身份验证，但其所在的分支办公室无法为域控制器提供足够物理安全性时，必须通过广域网 (WAN) 进行身份验证。在很多情况下，这不是一个有效的解决方案。通过将只读 Active Directory 数据库副本放置在更接近分支办公室用户的地方，这些用户可以更快地登录，并能更有效地访问网络上的身份验证资源，即使身处没有足够物理安全性来部署传统域控制器的环境。 Failover Clustering：这些改进旨在更轻松地配置服务器群集，同时对数据和应用程序提供保护并保证其可用性。通过在故障转移群集中使用新的验证工具，您可以测试系统、存储和网络配置是否适用于群集。凭借 Windows Server 2008 中的故障转移群集，管理员可以更轻松地执行安装和迁移任务，以及管理和操作任务。群集基础结构的改进可帮助管理员最大限度地提高提供给用户的服务的可用性，可获得更好的存储和网络性能，并能提高安全性。 更大的灵活性WindowsServer2008的设计允许管理员修改其基础结构来适应不断变化的业务需求，同时保持了此操作的灵活性。它允许用户从远程位置（如远程应用程序和终端服务网关）执行程序，这一技术为移动工作人员增强了灵活性。Windows Server 2008使用Windows部署服务(WDS)加速对IT系统的部署和维护，使用WindowsServer虚拟化(WSv)帮助合并服务器。对于需要在分支机构中使用域控制器的组织，Windows Server 2008提供了一个新配置选项：只读域控制器(RODC)，它可以防止在域控制器出现安全问题时暴露用户帐户。 自修复NTFS文件系统从DOS时代开始，文件系统出错就意味着相应的卷必须下线修复，而在WS2K8中，一个新的系统服务会 在后台默默工作，检测文件系统错误，并且可以在无需关闭服务器的状态下自动将其修复。 有了这一新服务，在文件系统发生错误的时候，服务器只会暂时停止无法访问的部分数据，整体运行基本不受影响，所以CHKDSK基本就可以退休了。 快速关机服务Windows的一大历史问题就是关机过程缓慢。在Windows XP里，一旦关机开始，系统就会开始一个20秒钟的计时，之后提醒用户是否需要手动关闭程序，而在Windows Server里，这一问题的影响会更加明显。 到了Windows Server 2008，20秒钟的倒计时被一种新服务取代，可以在应用程序需要被关闭的时候随时、一直发出信号。开发人员开始怀疑这种新方法会不会过多地剥夺应用程序的权利，但现在他们已经接受了它，认为这是值得的。 Windows硬件错误架构(WHEA)最终，微软决定将错误规范化，确切地说是应用程序向系统汇报发现错误的协议要实现标准化了。 目前错误报告的一大问题就是设备报错的方式多种多样，各种硬件系统之间没有一种标准，因此编写应用程序的时候很难集合所有的错误资源，并统一呈现，这就意味着要编写许多特定代码，针对各种特定情况。 而在Windows Server 2008里，所有的硬件相关错误都使用同样的界面汇报给系统，第三方软件就能轻松管理、消除错误，管理工具的发展也会更轻松。Microsoft Exchange Server 20101. 为法规遵循和邮件保留所提供的邮件记录功能安全，法规遵循和邮件保留是邮件系统规则管理的核心。邮件记录是法规遵循的一个重要组成部分。某些管理规则需要具备对邮件组用户所收到的邮件进行审计的功能，该功能对于组织的内部策略或审计非常有用。Exchange Server 2010记录的邮件可以保存在Exchange数据库中，SharePoint站点或者可以发送到任何由第三方邮件记录公司使用的外部SMTP地址。在Exchange Server 2010中，可以通过设定记录范围来决定记录哪些邮件。设定的范围可以是单个邮箱、一个邮件分发组，一个数据库或者整个组织。语音邮件信息和未接来电提醒可以排除在记录之外。而且一份邮件记录的详细报告包括了诸如收件栏，发件栏，抄送栏，密送栏的信息和邮件组信息，以及其它元数据。2. 最佳的可用性提高Exchange邮箱服务器可用性的一个方法（不再是唯一方法了）是使用Exchange群集技术。使用两个或多个节点组成一个Windows群集，由Exchange提供冗余服务器，这样如果一个节点或一个节点上的服务出现故障，其它节点可以进行接管并继续提供Exchange服务。Exchange群集技术中Exchange服务是冗余的，但Exchange邮箱数据库却不是。因此，Exchange群集技术是通过对Exchange服务增加冗余来提高可用性；到目前为止，数据库的冗余只能使用第三方的硬件或软件解决方案。Exchange Server 2010提供了新的群集选项，它允许服务和数据库在出现故障时都转移到某个被动节点，因而同时提供了对服务和数据库的备份。Exchange Server 2010使用了相同的群集技术在多个节点间复制数据库，它也允许一台单独的服务器在本地复制其数据库，提供了本地信息存储的最新副本，如果主数据库宕掉，可以用该副本进行安装。3. 内置多引擎的防病毒系统 对于用户自行管理和维护的病毒防护，反病毒软件提供商和客户可以从Exchange Server 2010提供的新的传输代理API中获益。通过该API，软件提供商可以编写反病毒代理来与Exchange内建的传输代理直接交互。因为信息是通过边缘传输服务器或中心传输服务器进入组织的，传输服务器可以调用反病毒代理来检查信息并过滤那些包含病毒的信息。 Exchange Server 2010还提供了一个全面的反病毒解决方案。Exchange Server的Forefront Security 为Exchange边缘传输角色、中心传输角色和邮箱角色提供了全面的病毒保护功能。Exchange Server的Forefront Security使用带有内容过滤功能的多重扫描引擎，提供了层次化的保护来抵御带有病毒的信息。4. 内置豪华垃圾邮件过滤组件Exchange Server 2010扩展了早先版本Exchange的反垃圾邮件功能提供了多层保护措施，以多种不同的方式来阻止垃圾邮件。 安全发件人集合：为了减少将合法邮件误判为垃圾邮件的概率，Outlook用户创建的安全发件人列表会传送到中心传输服务器，然后再传送到边缘传输服务器（在DMZ区中），来自这些用户的消息将会被直接路由进入组织。 Outlook电子邮戳：Outlook 2007可以为每一封邮件创建一个问题和答案，这称为邮戳，它被附加到每一封要发出的邮件中。邮戳的创建和解密需要花费一定的CPU周期。垃圾邮件发送者通常没有时间或计算资源来把每一个复杂的问题和答案附加到数千封要发出的邮件中，所以他们不会使用问题和答案。因此，当Exchange接收到一封带有邮戳的邮件时，Exchange会通过验证它的问题和答案来判断邮件是否是垃圾邮件。邮戳越复杂，邮件是垃圾邮件的可能性就越小。 垃圾邮件隔离：除了Outlook和OWA客户端带的Outlook垃圾邮件隔离功能外，现在管理员可以复查并隔离可疑的垃圾邮件。然后从隔离的邮件中删除或释放用户的邮件。 发件人的信誉：发件人的信誉是动态分析并更新的。当边缘服务器侦测到来自某一域的相应趋势时，它会采取具体的行动来处理，包括隔离信息或拒绝信息进入企业内网。 边缘服务器上的内容过滤：当垃圾邮件发送者改变策略并使用新的方法来避免被检测时，这时垃圾邮件内容过滤器会自动更新来保持对垃圾邮件的控制，因此它可以保护用户的组织，而不会增加用户的工作量。 Microsoft Forefront for Exchange：除了提供下述的全面的病毒保护功能，该服务每天都会会对病毒代码，IP信誉服务和反垃圾过滤器进行数次更新。5. 多种访问方式，一致的使用体验（可选择开放）在Exchange Server 2010强大的移动特性的支持下，用户可以通过Outlook客户端、Web浏览器、手机、普通电话、POP3或者IMAP4客户端来访问和管理自己的邮件、日程安排、任务和联系人。所有这些客户端，无论从用户界面、操作方式还是从提供的功能来看都和Outlook非常接近，这不仅为用户提供了良好的使用体验，同时也减轻了企业的系统维护和管理人员的培训工作量。 Outlook：使用Outlook可以获得最为强大和丰富的功能，包括本地缓存模式、本地的全球地址簿、共享日历、联系人等。无论在线还是脱机都可以正常工作。当用户在外出差时，还可使用Outlook无处不在功能在局域网外安全地连接Exchange服务器。 Web 浏览器（Outlook Web Access）：通过Web浏览器（如IE）就可以直接访问Exchange，Outlook Web Access提供了Outlook客户端的98的功能，如收件人地址的自动完成功能、日程安排通过鼠标拖拽就可更改日程时间等。 智能掌上设备： 普通电话：通过Exchange Server 2010新增的强大的统一消息功能，用户既可以在邮箱中接收到自己的语音留言和传真，还可以通过普通电话来访问自己的邮箱，让Exchange Server 2010为用户读出你的新邮件、语音留言和日程安排，并可以用声音控制Exchange Server 2010发语音留言、变更日程安排和拨打联系人电话。 POP3和IMAP4客户端：Exchange Server 2010支持传统的POP3和IMAP4客户端访问方式。6. 保证复杂网络环境下用户的使用体验优化的握手协议和数据压缩能够减小网络数据流量，给窄带环境下的用户更流畅的使用体验；Outlook的Exchange缓存模式能够自动在离线/在线状态间切换，减少对用户工作的打断；Exchange Server 2010独有的Outlook无处不在功能使得企业不必部署VPN/RAS也能让外网（例如在家或出差）的用户能够使用Outlook安全地连接到位于企业内网的Exchange邮件服务器，而开放的端口仅仅是80/443（HTTP/HTTPS）。7. 强大的日程管理功能用户可以通过日程管理功能简化并自动化对人员与资源的日程安排。 日程助手：日程助手根据与会人员和资源的日程安排分析他们的忙闲状态，以颜色编码的用户界面显示全自动的为会议发起人建议举行会议的日期和时间。 日历助手运行在Exchange 2010服务器上，不需要任何最终用户的交互，它将收件人日历中的会议请求标记为临时请求，一直到用户提交该请求为止。同时，日历助手会删除同一个会议请求的历史版本，确保了用户邮箱中的日历请求是最新版本的。 资源预定助手 也运行在Exchange 2010服务器上，不需要任何最终用户的交换，它管理着资源的可用性并允许使用资源策略，如可用的小时数和日程权限。8. Web方式查看文档包含在 Outlook Web App 2010中，它能把多种文档格式包括Microsoft Word，Microsoft Excel，Microsoft PowerPoint以及PDF文件从它们原来的格式转换为HTML格式，这样即使客户端没有安装创建文档的应用软件，也可以在客户端浏览器中查看它们。这一功能使用户可以在几乎任何一台机器上获得高效的生产力并保证所查看文档的安全性，甚至是在公共计算机上，因为Outlook Web Access会在用户退出或会话超时时删除HTML文档。9. 在垃圾邮件和病毒到达用户的组织之前进行防护 微软还可以通过微软Exchange Hosted Filtering服务为用户的组织提供反垃圾和反电子邮件病毒保护。该服务是微软Exchange Hosted Services服务套件的一部分，通过Exchange Hosted Filtering服务，用户可以获得与使用了带有Forefront Security的边缘服务器同样的效益，但是对这些服务的管理是由微软来完成的。在信息到达用户的组织之前会对它们进行垃圾邮件和病毒的清理。Exchange Hosted Filtering使用多重过滤为用户的企业提供主动保护，使企业远离垃圾邮件、病毒、仿冒和违规的电子邮件的影响。10. 消息传输和认证的安全性 Exchange Server 2010使用SMTP在组织内部的Exchange服务