如何部署Exchange 2000 和ISA 2000构建应用

1、务实技术讲座系列务实技术讲座系列 如何部署如何部署Exchange 2000 和和 ISA 2000构建应用构建应用 内容安排内容安排 AD 和 exchange 2000 网络设计 连接Internet 安全 Active Directory 在企业中在企业中 域和 OUs 组成层次 化管理结构 多个域可以组成 树-Trees 森林-Forests Forest Objects DomainDomain Domain Tree Domain Domain Tree Domain OUOU OU Active Directory Schema Printers Computers Users

2、accountExpires department distinguishedName middleName accountExpires department distinguishedName directReports dNSHostName operatingSystem repsFrom repsTo middleName Active Directory Schema Is: n动态可用的 n动态可更新的 n由 DACLs 保护 域域-Domains 一个域是个安全边界 一个域的管理员只能管理本域内的资源, 除非明确被 其他域授权 一个域是一个复制的单元 一个域的域控制器参与复制并

3、包含这个域的完整的 目录信息 Windows 2000 Domain User1 User2 User1 User2 Global Catalog Global Catalog Server Subset of the Attributes of All Objects DomainDomain Domain DomainDomain Domain 站点结构站点结构 Sites: l优化复制通信量 l让用户能够通过一个稳定的，高速的连接登录到一个域控制 器 Site Los Angeles Seattle Chicago New York 站点拓扑结构举例站点拓扑结构举例 Domain ADo

4、main B Site 1 Site 2 Site Link Domain ADomain B Site 2 Site 1 Site Link 12 34 Active Directory 森林森林 Exchange 2000 组织 contoso.msft nwtraders.msft samerica.nwtraders.msft Exchange 2000 组织 Exchange 2000 组织 nwtraders.msft samerica.nwtraders.msftnamerica.nwtraders.msft Northwind Traders 多个森林 一个森林 存放存放 Ex

5、change 2000 Data数据数据 UsersComputersGroups Domain Partition Configuration Partition Exchange ConfigurationSites Replication Topology Schema Partition CN=Schema, CN=Configuration, DC=nwtraders, DC=msft Active Directory 数据库大小数据库大小 Active Directory 425 MB Active Directory 345 MB Active Directory 110 MB

6、Active Directory 27 MB Active Directory 13 MB User Principle Names Tree nwtraders.msft namerica.nwtraders.msftsamerica.nwtraders.msft UPN=Joebnwtraders.msft SMTP=Joebnwtraders.msft UPN=Jameswnwtraders.msft SMTP=Jameswnwtraders.msft UPN=Miyokoynwtraders.msft SMTP=Miyokoynwtraders.msft Exchange 2000 G

7、lobal Catalog Domain Controller Global Catalog Windows 2000 Site 2 Domain Controller Windows 2000 Site 1 Global Catalog 访问 Exchange 2000 访问访问 Active Directory Windows 2000 Site 1 Exchange 2000 Global Catalog Windows 2000 Site 2 Global Catalog DS Access Domain Controller 访问 DNS 发现和定义发现和定义Directory Se

8、rvice Servers Cache List 1. Domain Controller 1 2. Domain Controller 2 3. Domain Controller 3 . . . 10. Exchange 2000 LDAP DNS Cache List 1. Domain Controller 1 2. Domain Controller 2 3. Domain Controller 3 . . . 10. Exchange 2000 LDAP Domain Controller Exchange 2000 和和 AD 站点设站点设 计计 Windows 2000 站点不

9、影响 Exchange 2000 Exchange 信息路由基于路由组 路由组设计决定与 Active Directory 站点 非常相似 每个站点只能由一个活动的数据会议的会 议管理器 服务定位服务定位 用户端需要下列服务 DNS Domain Controller Global Catalog DNS 和和 Active Directory 用户端使用 DNS 定位Active Directory services Active Directory DNS RFC 要求 必须支持 SRV 记录, RFC 2052 应该支持 DHCP 动态更新, RFC 2136 应该支持 Incremen

10、tal Zone Transfer, RFC 1995 Exchange servers 使用 DNS 定位其他 Exchange servers Exchange 用户使用 DNS 定位 Exchange servers 考虑 DNS 与 AD 集成 Domain Controller 放置放置 Windows 2000 用户访问基于 Active Directory 站点 每个站点放置多个域控制器提供冗余 Global Catalog Server 放置放置 Exchange 用户端使用 GC 定位 Exchange Directory Services Exchange 5.0 用户端,

11、 Outlook 97/98 由 Exchange server 代理 Outlook 2000 直接访问 Exchange directory services 网络设计网络设计 网络状况网络状况 远程用户 本地网 分公司 范围 典型网络分布典型网络分布 部署部署AD-多域多域 域 成都 服务器放置服务器放置 服务器配置服务器配置 域控制器 P3 500, 1G 内存 磁盘 1 个 18G 系统 邮件服务器 磁盘 1 个 18G 系统，3 个80G 邮件数据库 如果可能可采用AA集群北京 网络连接网络连接 AD Site link 站点连接 BJ - SH BJ - GZ SH - GZ B

12、J - CD Exchange 2000 路由组 与AD Site Link 匹配 管理组 与路由组匹配 Internet 出口-北京，成都 系统安装系统安装 1、 北京安装AD 2、 上海广州 ,建立站点连接 3、 e2k 4、 北京成都建立VPN 5、 成都安装AD ，建立站点连接 6、成都安装 e2k First server in the forest Forest Setup /forestprep Windows 2000 Setup /forestprep Windows 2000 Domain Controller Group User Forest Group User Ex

13、change 2000 通过通过VPN建立请求拨号连接建立请求拨号连接 Calling RouterVPN Router Internet IntranetHQ ISPISP VPN Tunnel 成都北京 请求拨号路由请求拨号路由 请求拨号路由请求拨号路由 请求拨号路由请求拨号路由 请求拨号路由请求拨号路由 请求拨号路由请求拨号路由 请求拨号路由请求拨号路由 请求拨号路由请求拨号路由 服务器必须属于同一个 Active Directory directory service forest 服务器彼此之间必须永久连接 路由组内的所有服务器必须能够连接到 routing group master

14、 Cost = 10 Cost = 30 Cost = 10 User C User C User C User C 创建和配置存储组创建和配置存储组 ESE Transaction Log Store Reserved Store Store Store Store Storage Group AStorage Group B Transaction Log Store Reserved Store Store Store Store ESE 文件放置文件放置 系统分区和启动分区 Mirror Set C: Storage Group 1 Transaction Logs Mirror Se

15、t E: Storage Group 2 Transaction Logs Mirror Set F: Page File D: All Database Files For Both Storage Groups Stripe Set with Parity G: 备份恢复备份恢复 http:/ change/techinfo/deployment /2000/E2Krecovery.asp Connect Exchange 2000 to Internet DNS .msft nwtraders MX 10SMTP1.nwtraders.msft MX 20SMTP2.nwtraders.

16、msft MX 30SMTP3.nwtraders.msft DNS .msft nwtraders MX 10SMTP1.nwtraders.msft MX 20SMTP2.nwtraders.msft MX 30SMTP3.nwtraders.msft DNS .msft nwtraders MX 10SMTP1.nwtraders.msft MX 20SMTP2.nwtraders.msft MX 30SMTP3.nwtraders.msft Locating MX Records in DNS DNS 和和 SMTP Internet Sending SMTP Server DNS A

17、 SMTP1.nwtraders.msft 00 nwtraders MX 10SMTP1.nwtraders.msft MX 20SMTP2.nwtraders.msft MX 30SMTP3.nwtraders.msft .msft 部署防火墙部署防火墙- 小型网络或分公司的配置小型网络或分公司的配置 访问策略规则 - IP封包, 应用程式, 使用者, 群组等的存取规则 带宽规则 - 不同Internet request所分配不同带宽的规则 发布规则 - 将Internet服务(如web,ftp,mail)透过防火墙 的保护公布給外界大众 入侵检测 - 防火墙入侵监测

18、与警示 监视和日志 进出流量分析与报表 Web 缓存-所有放火墙的安全策存内容略会被自动应用到缓存内容之上 蜂巢式安全防护体系蜂巢式安全防护体系 配置内部邮件路由到配置内部邮件路由到internet 制定北京的一台服务器作为SMTP桥头堡连接 到防火墙的内部IP 地址 上海、广州和北京的另一台服务器设定 Smart Host，指到 SMTP 桥头堡服务器 成都exchange 可以直接指到本地防火墙 Secure SMTP Server Secure relay settings Best Practice: Default settings! ISA Server 配置配置 HTTPS (S

19、SL) 映射的协议: “HTTPS server” ISA Server listens on 443/tcp 接受入站通信 重新产生新的包转发给 OWA server 保留原地址和端口 ISA Server 配置配置 HTTPS (SSL) Security 如果要求监测? 使用 Web 发布 ISA Server 需要更高的能力-考虑使用硬件加密卡 SSL 终止点 SSL stops at ISA Server Certificate per ISA Server IP address SSL 桥 SSL from Client to ISA Server; new SSL from IS

20、A Server to OWA server 需要证书从 ISA 到 OWA servers ISA Server 配置配置 SMTP 映射的协议: “SMTP Server” 典型 ISA Server 反向代理方式 SMTP filter 提供保护 附件部署 拒绝的发送者和域 SMTP 命令确认和限制 关键词过滤 保证保证 Exchange Server安全安全 Exchange Server Front end/Back End Internet 使用使用 DMZ Internet 保证服务器之间安全保证服务器之间安全-验证验证 服务器和服务器自动使用X-EXPS验证 Kerberos/NTLM 缺省 SMTP 协议扩充与Exchange 2000 一 起安装 允许服务器通过其他服务器中继 (需要验证) SMTP AUTH (RFC 2554) 主要是连接外部系统 配置 SMTP connector 保证服务器之间安全保证服务器之间安全- 加密加密 IPSec 定义不同的 IPSec filters 最简单的配置 使用组策略可以使所有的 E