Брандмауэры (файрволлы) для почтовых серверов (Exchange Server), порты почтовых серверов, front-end и back-end почтовые серверы, виртуальные серверы SMTP, POP3, IMAP4
Как и любой компьютер, подключенный к Интернету, компьютер, на котором стоит почтовый сервер, необходимо защищать при помощи брандмауэра. При этом варианты установки почтового сервера с точки зрения конфигурации сети могут быть очень разными:
· самый простой вариант - установить почтовый сервер на компьютер, который одновременно является прокси-сервером/брандмауэром, а затем на том интерфейсе, который обращен к Интернету, открыть необходимые порты. Обычно такая схема применяется в небольших организациях;
· еще один вариант - установить почтовый сервер в локальной сети и настроить его работу через прокси-сервер. Для этого можно привязать к почтовому серверу public ip и пропускать его через прокси или воспользоваться средствами типа port mapping на прокси-сервере. На многих прокси-серверах есть специальные мастеры или заранее заготовленные правила для организации такого решения (например, в ISA Server). Такой вариант используется в большинстве организаций.
· еще одна принципиальная возможность - создать DMZ и поместить в нее front -end Exchange Server (такая возможность появилась, начиная с версии 2000) или SMTP Relay на основе другого Exchange Server или, например, sendmail на *nix. Обычно применяется в сетях крупных организаций.
В любом случае для почтового сервера необходимо обеспечить взаимодействие, как минимум, на порту TCP 25 (SMTP ) и UDP 53 (DNS ). Другие порты, которые могут потребоваться Exchange Server в зависимости от конфигурации вашей сети (все - TCP):
· 80 HTTP - для доступа на Web -интерфейс (OWA )
· 88 Kerberos authentication protocol - если используется аутентификация Kerberos (редко);
· 102 MTA .X .400 connector over TCP /IP (если используется коннектор X .400 для связи между группами маршрутизации);
· 110 Post Office Protocol 3 (POP 3) - для доступа клиентов;
· 119 Network News Transfer Protocol (NNTP ) - если используются группы новостей;
· 135 Client /server communication RPC Exchange administration - стандартный порт RPC для удаленного администрирования Exchange стандартными средствами System Manager;
· 143 Internet Message Access Protocol (IMAP) - для доступа клиентов;
· 389 LDAP - для обращения к службе каталогов;
· 443 HTTP (Secure Sockets Layer (SSL )) (и ниже) - те же самые протоколы, защищенные по SSL .
· 563 NNTP (SSL)
· 636 LDAP (SSL)
· 993 IMAP4 (SSL)
· 995 POP3 (SSL)
· 3268 and 3269 - запросы к серверу глобального каталога (поиск по Active Directory и проверка членства в universal groups).
Интерфейс Exchange Server, обращенный внутрь организации, закрывать брандмауэром не имеет смысла - по нему будет происходить взаимодействие с контроллерами домена, утилитами администрирования, системами резервного копирования и т.п. Для интерфейса, открытого в Интернет, рекомендуется оставить порты 53 (если Exchange будет разрешать имена хостов сам, а не перенаправлять запросы на локальный сервер DNS) и 25. Очень часто клиентам необходимо обращаться к своим почтовым ящикам извне (из дома, во время командировки и т.п.). Лучшее решение в этой ситуации - настроить OWA (Web-интерфейс для доступа на Exchange Server, который устанавливается по умолчанию, доступен по адресу http://имя_сервера/exchange) для работы по SSL и открыть доступ только по порту 443. Помимо решений вопросов с безопасной аутентификацией и шифрованием сообщений автоматически решается вопрос с SMTP Relay (об этом позже) и с ситуацией, когда пользователь нечаянно скачивает рабочую электронную почту в папки почтового клиента на домашний компьютер, а потом на работе не может эти сообщения найти (не говоря уже о том, что хранить рабочую почту дома - нарушение безопасности).
Новая возможность, которая появилась в Exchange Server . начиная с версии 2000, возможность использования нескольких виртуальных SMTP и POP3-серверов с разными настройками безопасности. Например, тот SMTP-сервер, который взаимодействует с Интернетом, можно настроить на повышенный режим безопасности и строгие ограничения по доставке, а для SMTP-сервера, с которым работают пользователи внутри организации, использовать максимально производительные и удобные для пользователей настройки.
Необходимо также сказать об определенной путанице в терминологии - очень часто брандмауэрами для Exchange называют системы фильтрации сообщений, которые будут рассмотрены ниже.
Применимо к: Exchange Server 2010 SP1
Последнее изменение раздела: 2011-04-22
В этом разделе приведены сведения о портах, проверке подлинности и шифровании для всех путей к данным, используемых в системе Microsoft Exchange Server 2010. Раздел «Примечания» после каждой таблицы уточняет или определяет нестандартные способы проверки подлинности или шифрования.
Транспортные серверыВ системе Exchange 2010 существует две роли сервера, которые выполняют функции транспортировки сообщений: транспортный сервер-концентратор и пограничный транспортный сервер.
В следующей таблице приведены сведения о портах, проверке подлинности и шифровании путей к данным между этими транспортными серверами и другими серверами и службами Exchange 2010.
Пути данных для транспортных серверов|
Между двумя транспортными серверами-концентраторами |
Да, с помощью TLS (Transport Layer Security) |
||||
|
С транспортного сервера-концентратора на пограничный транспортный сервер |
Прямое доверие |
Прямое доверие |
Да, с использованием TLS |
||
|
С пограничного транспортного сервера на транспортный сервер-концентратор |
Прямое доверие |
Прямое доверие |
Да, с использованием TLS |
||
|
Между двумя пограничными транспортными серверами |
Анонимно, проверка подлинности с помощью сертификата |
Анонимно, с помощью сертификата |
Да, с использованием TLS |
||
|
С сервера почтовых ящиков на через службу отправки почты Microsoft Exchange |
NTLM. Если роль транспортного сервера-концентратора и роль сервера почтовых ящиков выполняются на одном сервере, используется протокол Kerberos. |
Да, с помощью шифрования RPC |
|||
|
С транспортного сервера-концентратора на сервер почтовых ящиков через MAPI |
NTLM. Если роль транспортного сервера-концентратора и роль сервера почтовых ящиков установлены на одном сервере, используется протокол Kerberos. |
Да, с помощью шифрования RPC |
|||
|
Да, с использованием TLS |
|||||
|
Служба Microsoft Exchange EdgeSync с транспортного сервера-концентратора на пограничный транспортный сервер |
Да, с помощью LDAP через SSL (LDAPS) |
||||
|
Доступ Служба каталогов Active Directory из транспортного сервера-концентратора |
|||||
|
Доступ к службе управления правами Служба каталогов Active Directory (AD RMS) с транспортного сервера-концентратора |
Да, с помощью SSL |
||||
|
Клиенты SMTP на транспортный сервер-концентратор (например, конечные пользователи с помощью почты Windows Live) |
Да, с использованием TLS |
- Весь трафик между транспортными серверами-концентраторами шифруется с помощью протокола TLS и самозаверяющих сертификатов, установленных программой установки Exchange 2010.
- Весь трафик между пограничными транспортными серверами и транспортными серверами-концентраторами проходит проверку подлинности и шифруется. В качестве механизма проверки подлинности и шифрования используется Mutual TLS. Вместо проверки X.509 в Exchange 2010 для проверки подлинности сертификатов используется прямое доверие . Прямое доверие означает, что наличие сертификата в службах Служба каталогов Active Directory или в службах Active Directory облегченного доступа к каталогам (AD LDS) подтверждает подлинность сертификата. Служба каталогов Active Directory считается доверенным механизмом хранения. Когда используется прямое доверие, не имеет значения, применяется ли самозаверяющий сертификат или же сертификат, подписанный центром сертификации. При подписке пограничного транспортного сервера на организацию Exchange пограничная подписка публикует сертификат пограничного транспортного сервера в Служба каталогов Active Directory, чтобы транспортные серверы-концентраторы могли его проверять. Служба Microsoft Exchange EdgeSync добавляет в службы Active Directory облегченного доступа к каталогам (AD LDS) набор сертификатов транспортного сервера-концентратора, чтобы пограничный транспортный сервер проверил их.
- EdgeSync использует безопасное подключение LDAP транспортного сервера-концентратора к подписанным пограничным транспортным серверам через порт TCP 50636. Службы Active Directory облегченного доступа к каталогам также осуществляют прослушивание порта TCP 50389. Подключение к этому порту не использует протокол SSL. Для подключения к этому порту и проверки данных служб Active Directory облегченного доступа к каталогам можно использовать служебные программы LDAP.
- По умолчанию трафик между пограничными транспортными серверами, расположенными в двух различных организациях, шифруется. Программа установки Exchange 2010 создает самозаверяющий сертификат и по умолчанию включает TLS. Это позволяет любой отправляющей системе шифровать входящий в Exchange сеанс SMTP. По умолчанию сервер Exchange 2010 также пытается использовать протокол TLS для всех удаленных подключений.
- Способы проверки подлинности для трафика между транспортными серверами-концентраторами и серверами почтовых ящиков отличаются, если роли транспортного сервера-концентратора и сервера почтовых ящиков установлены на одном компьютере. При локальной передаче почты используется проверка подлинности Kerberos. При удаленной передаче почты используется проверка подлинности NTLM.
- Exchange 2010 также поддерживает безопасность домена. Безопасность домена - это набор функций Exchange 2010 и Microsoft Outlook 2010, которые являются недорогой альтернативой S/MIME и другим решениям для обеспечения безопасности передачи сообщений через Интернет. Безопасность домена обеспечивает способ управления безопасными путями передачи сообщений между доменами в Интернете. После настройки таких безопасных путей успешно переданные по ним сообщения от прошедшего проверку подлинности отправителя отображаются для пользователей Outlook и Outlook Web Access как сообщения, «защищенные на уровне домена». Дополнительные сведения см. в разделе Общие сведения о безопасности домена .
- Многие агенты могут выполняться как на транспортных серверах-концентраторах, так и на пограничных транспортных серверах. Как правило, агенты защиты от нежелательной почты используют сведения локального компьютера, на котором они выполняются. Таким образом, практически не требуется взаимодействие с удаленными компьютерами. Исключением является фильтрация получателей. Для фильтрации получателей необходим вызов AD LDS или Служба каталогов Active Directory. Фильтрацию получателей рекомендуется выполнять на пограничном транспортном сервере. В этом случае каталог AD LDS находится на том же компьютере, на котором установлена роль пограничного транспортного сервера, поэтому удаленное подключение не требуется. Если функция фильтрации получателей установлена и настроена на транспортном сервере-концентраторе, необходим доступ к Служба каталогов Active Directory.
- Агент анализа протокола используется функцией репутации отправителя в Exchange 2010. Этот агент также подключается к различным внешним прокси-серверам, чтобы определить пути входящих сообщений для подозрительных подключений.
- Все остальные функции защиты от нежелательной почты используют данные, которые собираются, хранятся и доступны только на локальном компьютере. Обычно такие данные, как объединенный список надежных отправителей или данные получателей для фильтрации получателей, принудительно отправляются в локальный каталог AD LDS с помощью службы Microsoft Exchange EdgeSync.
- Агенты управления правами на доступ к данным (IRM) на транспортных серверах-концентраторах выполняют подключение к серверам служб управления правами Active Directory (AD RMS) в организации. Служба управления правами Active Directory (AD RMS) - это веб-служба, которую рекомендуется защищать с помощью SSL. Подключение к серверам служб управления правами Active Directory выполняется с помощью HTTPS, а для проверки подлинности используется Kerberos или NTLM в зависимости от конфигурации сервера служб управления правами Active Directory.
- Правила журналов, правила транспорта и классификации сообщений
хранятся в службах Служба каталогов Active Directory, и доступ к
ним осуществляет агент ведения журнала и агент правил транспорта на
транспортных серверах-концентраторах.
Серверы почтовых ящиков
На серверах почтовых ящиков использование проверки подлинности NTLM или Kerberos зависит от контекста пользователя или процесса, в рамках которого работает потребитель уровня бизнес-логики Exchange. В таком контексте потребителями являются любые приложения или процессы, использующие уровень бизнес-логики Exchange. В результате в столбце Проверка подлинности по умолчанию таблицы Пути к данным для серверов почтовых ящиков для многих строк указано значение NTLM/Kerberos .
Уровень бизнес-логики Exchange используется для доступа к хранилищу Exchange и взаимодействия с ним. Уровень бизнес-логики Exchange также вызывается из хранилища Exchange для взаимодействия с внешними приложениями и процессами.
Если потребитель уровня бизнес-логики Exchange выполняется в контексте локальной системы, способом проверки подлинности при доступе потребителя к хранилищу Exchange всегда является Kerberos. Способ проверки подлинности Kerberos используется из-за того, что подлинность получателя необходимо проверять с использованием учетной записи компьютера "Локальная система", а также требуется двустороннее доверие с проверкой подлинности.
Если получатель уровня бизнес-логики Exchange выполняется не в контексте локальной системы, способом проверки подлинности является NTLM. Например, когда администратор запускает командлет командной консоли Exchange, использующий уровень бизнес-логики Exchange, применяется проверка подлинности NTLM.
Трафик RPC всегда шифруется.
В следующей таблице приведены сведения о портах, проверке подлинности и шифровании путей данных для серверов почтовых ящиков.
Пути данных для серверов почтовых ящиков
Примечания для серверов клиентского доступа Серверы единой системы обмена сообщениямиПуть к данным Требуемые порты Проверка подлинности по умолчанию Поддерживаемый способ проверки подлинности Поддержка шифрования Шифрование данных по умолчанию 389/TCP/UDP (LDAP), 3268/TCP (LDAP GC), 88/TCP/UDP (Kerberos), 53/TCP/UDP (DNS), 135/TCP (сетевой вход в систему RPC)
Да, с помощью шифрования Kerberos
Административный удаленный доступ (удаленный реестр)
Да, с помощью IPsec
Административный удаленный доступ (SMB, файлы)
Да, с помощью IPsec
Веб-служба доступности (клиентский доступ к почтовому ящику)
Да, с помощью шифрования RPC
Кластеризация
Да, с помощью шифрования RPC
Между серверами клиентского доступа (Exchange ActiveSync)
80/TCP, 443/TCP (SSL)
Kerberos, проверка подлинности с помощью сертификата
Да, с помощью HTTPS
Да, с использованием самозаверяющего сертификата
Между серверами клиентского доступа (Outlook Web Access)
80/TCP, 443/TCP (HTTPS)
Да, с помощью SSL
Сервер клиентского доступа к серверу клиентского доступа (веб-службы Exchange)
Да, с помощью SSL
Сервер клиентского доступа к серверу клиентского доступа (POP3)
Да, с помощью SSL
Сервер клиентского доступа к серверу клиентского доступа (IMAP4)
Да, с помощью SSL
Сервер Office Communications Server к серверу клиентского доступа (когда включена интеграция Office Communications Server и Outlook Web App)
5075-5077/TCP (ВХОД), 5061/TCP (ВЫХОД)
mTLS (обязательно)
mTLS (обязательно)
Да, с помощью SSL
Шлюзы IP и УАТС, работающие по протоколу IP, поддерживают только проверку подлинности с помощью сертификата, при которой используется проверка подлинности Mutual TLS для шифрования трафика SIP и проверка подлинности на основе IP-адреса для подключений по протоколам SIP или TCP. Шлюзы IP не поддерживают проверку подлинности NTLM и Kerberos. Таким образом, при использовании проверки подлинности на основе IP-адреса в качестве механизма проверки подлинности для незашифрованных подключений (TCP) используются IP-адреса подключений. При использовании в единой системе обмена сообщениями проверки подлинности на основе IP-адресов проверяет, разрешено ли данному IP-адресу подключаться. IP-адрес настраивается на шлюзе IP или IP PBX.
Шлюзы IP и УАТС, работающие по протоколу IP, поддерживают Mutual TLS для шифрования трафика SIP. После успешного импорта и экспорта необходимых доверенных сертификатов шлюз IP или УАТС, работающая по протоколу IP, будет запрашивать сертификат у сервера единой системы обмена сообщениями, а затем запрашивать сертификат у шлюза IP или УАТС, работающей по протоколу IP. Обмен доверенными сертификатами между шлюзом IP или УАТС, работающей по протоколу IP, и сервером единой системы обмена сообщениями позволяет обоим устройствам взаимодействовать по безопасному каналу с помощью Mutual TLS.
В следующей таблице приведены сведения о портах, проверке подлинности и шифровании для путей данных между серверами единой системы обмена сообщениями и другими серверами.
Пути данных для серверов единой системы обмена сообщениями
Примечания для серверов единой системы обмена сообщениямиПуть к данным Требуемые порты Проверка подлинности по умолчанию Поддерживаемый способ проверки подлинности Поддержка шифрования Шифрование данных по умолчанию Доступ к Служба каталогов Active Directory
389/TCP/UDP (LDAP), 3268/TCP (LDAP GC), 88/TCP/UDP (Kerberos), 53/TCP/UDP (DNS), 135/TCP (сетевой вход в систему RPC)
Да, с помощью шифрования Kerberos
Телефонное взаимодействие единой системы обмена сообщениями (шлюз IP PBX/VoIP)
5060/TCP , 5065/TCP, 5067/TCP (в незащищенном режиме), 5061/TCP, 5066/TCP, 5068/TCP (в защищенном режиме), динамический порт из диапазона 16000-17000/TCP (управление), динамические порты UDP из диапазона 1024-65535/UDP (RTP)
По IP-адресу
По IP-адресу, MTLS
Да, с помощью SIP/TLS, SRTP
Веб-служба единой системы обмена сообщениями
80/TCP, 443/TCP (SSL)
Интегрированная проверка подлинности Windows (Negotiate)
Да, с помощью SSL
С сервера единой системы обмена сообщениями на сервер клиентского доступа
5075, 5076, 5077 (TCP)
Встроенная проверка подлинности Windows (согласование)
Обычная, дайджест-проверка подлинности, NTLM, согласование (Kerberos)
Да, с помощью SSL
С сервера единой системы обмена сообщениями на сервер клиентского доступа (воспроизведение на телефоне)
Динамический RPC
Да, с помощью шифрования RPC
С сервера единой системы обмена сообщениями на транспортный сервер-концентратор
Да, с использованием TLS
С сервера единой системы обмена сообщениями на сервер почтовых ящиков
Да, с помощью шифрования RPC
- При создании в Служба каталогов Active Directory объекта шлюза IP единой системы обмена сообщениями необходимо определить IP-адрес физического шлюза IP или УАТС, работающей по протоколу IP. При определении IP-адреса объекта шлюза IP единой системы обмена сообщениями IP-адрес добавляется в список допустимых шлюзов IP или УАТС, работающих по протоколу IP (также называемых участниками SIP-сеанса), с которыми разрешено взаимодействовать серверу единой системы обмена сообщениями. После создания шлюза IP единой системы обмена сообщениями можно связать его с абонентской группой этой системы. Сопоставление шлюза IP единой системы обмена сообщениями с абонентской группой позволяет серверам единой системы обмена сообщениями, сопоставленным с абонентской группой, использовать проверку подлинности на основе IP-адреса для взаимодействия со шлюзом IP. Если шлюз IP единой системы обмена сообщениями не был создан или не был настроен на использование правильного IP-адреса, то произойдет сбой проверки подлинности, и серверы единой системы обмена сообщениями не будут принимать подключения с IP-адреса данного шлюза IP. Кроме того, при реализации Mutual TLS, шлюза IP или УАТС, работающей по протоколу IP, и серверов единой системы обмена сообщениями шлюз IP единой системы обмена сообщениями необходимо настроить на использование полного доменного имени (FQDN). После настройки шлюза IP единой системы обмена сообщениями с использованием полного доменного имени необходимо также добавить в зону прямого поиска DNS запись узла для этого шлюза.
- В версии Exchange 2010 сервер единой системы обмена сообщениями может взаимодействовать через порт 5060/TCP (незащищенный) или через порт 5061/TCP (защищенный), и его можно настроить для использования обоих портов.
Дополнительные сведения см. в разделах Общие сведения о безопасности VoIP единой системы обмена сообщениями и Общие сведения о протоколах, портах и службах в единой системе обмена сообщениями .
Правила брандмауэра Windows, созданные программой установки Exchange 2010Брандмауэр Windows в режиме повышенной безопасности - это брандмауэр с отслеживанием состояния на основе компьютера, который осуществляет фильтрацию входящего и исходящего трафиков на основе правил брандмауэра. Программа установки Exchange 2010 создает правила брандмауэра Windows для открытия портов, необходимых для взаимодействия сервера и клиента, в каждой роли сервера. Таким образом, больше не требуется использовать мастер настройки безопасности для настройки этих параметров. Дополнительные сведения о брандмауэре Windows в режиме повышенной безопасности см. в статье Брандмауэр Windows в режиме повышенной безопасности и IPsec (страница может быть на английском языке).
В следующей таблице приведены правила брандмауэра Windows, создаваемые программой установки Exchange, включая порты, открытые в каждой роли сервера. Эти правила можно просмотреть с помощью оснастки консоли MMC брандмауэра Windows в режиме повышенной безопасности.
Примечания к правилам брандмауэра Windows, созданным программой установки Exchange 2010Имя правила Роли сервера Порт Программа MSExchangeADTopology - RPC (TCP-входящий)
Динамический RPC
Bin\MSExchangeADTopologyService.exe
MSExchangeMonitoring - RPC (TCP-входящий)
Сервер клиентского доступа, транспортный сервер-концентратор, пограничный транспортный сервер, сервер единой системы обмена сообщениями
Динамический RPC
Bin\Microsoft.Exchange.Management.Monitoring.exe
MSExchangeServiceHost - RPC (TCP-входящий)
Динамический RPC
Bin\Microsoft.Exchange.ServiceHost.exe
MSExchangeServiceHost - RPCEPMap (TCP-входящий)
Bin\Microsoft.Exchange.Service.Host
MSExchangeRPCEPMap (GFW) (TCP-входящий)
MSExchangeRPC (GFW) (TCP-входящий)
Сервер клиентского доступа, транспортный сервер-концентратор, сервер почтовых ящиков, сервер единой системы обмена сообщениями
Динамический RPC
MSExchange - IMAP4 (GFW) (TCP-входящий)
Сервер клиентского доступа
MSExchangeIMAP4 (TCP-входящий)
Сервер клиентского доступа
ClientAccess\PopImap\Microsoft.Exchange.Imap4Service.exe
MSExchange - POP3 (FGW) (TCP-входящий)
Сервер клиентского доступа
MSExchange - POP3 (TCP-входящий)
Сервер клиентского доступа
ClientAccess\PopImap\Microsoft.Exchange.Pop3Service.exe
MSExchange - OWA (GFW) (TCP-входящий)
Сервер клиентского доступа
5075, 5076, 5077 (TCP)
MSExchangeOWAAppPool (TCP-входящий)
Сервер клиентского доступа
5075, 5076, 5077 (TCP)
Inetsrv\w3wp.exe
MSExchangeAB RPC (TCP-входящий)
Сервер клиентского доступа
Динамический RPC
MSExchangeAB-RPCEPMap (TCP-входящий)
Сервер клиентского доступа
Bin\Microsoft.Exchange.AddressBook.Service.exe
MSExchangeAB-RpcHttp (TCP-входящий)
Сервер клиентского доступа
6002, 6004 (TCP)
Bin\Microsoft.Exchange.AddressBook.Service.exe
RpcHttpLBS (TCP-входящий)
Сервер клиентского доступа
Динамический RPC
System32\Svchost.exe
MSExchangeRPC - RPC (TCP-входящий)
Динамический RPC
MSExchangeRPC - PRCEPMap (TCP-входящий)
Сервер клиентского доступа, сервер почтовых ящиков
Bing\Microsoft.Exchange.RpcClientAccess.Service.exe
MSExchangeRPC (TCP-входящий)
Сервер клиентского доступа, сервер почтовых ящиков
Bing\Microsoft.Exchange.RpcClientAccess.Service.exe
MSExchangeMailboxReplication (GFW) (TCP-входящий)
Сервер клиентского доступа
MSExchangeMailboxReplication (TCP-входящий)
Сервер клиентского доступа
Bin\MSExchangeMailboxReplication.exe
MSExchangeIS - RPC (TCP-входящий)
Сервер почтовых ящиков
Динамический RPC
MSExchangeIS RPCEPMap (TCP-входящий)
Сервер почтовых ящиков
MSExchangeIS (GFW) (TCP-входящий)
Сервер почтовых ящиков
6001, 6002, 6003, 6004 (TCP)
MSExchangeIS (TCP-входящий)
Сервер почтовых ящиков
MSExchangeMailboxAssistants - RPC (TCP-входящий)
Сервер почтовых ящиков
Динамический RPC
MSExchangeMailboxAssistants - RPCEPMap (TCP-входящий)
Сервер почтовых ящиков
Bin\MSExchangeMailboxAssistants.exe
MSExchangeMailSubmission - RPC (TCP-входящий)
Сервер почтовых ящиков
Динамический RPC
MSExchangeMailSubmission - RPCEPMap (TCP-входящий)
Сервер почтовых ящиков
Bin\MSExchangeMailSubmission.exe
MSExchangeMigration - RPC (TCP-входящий)
Сервер почтовых ящиков
Динамический RPC
Bin\MSExchangeMigration.exe
MSExchangeMigration - RPCEPMap (TCP-входящий)
Сервер почтовых ящиков
Bin\MSExchangeMigration.exe
MSExchangerepl - Log Copier (TCP-входящий)
Сервер почтовых ящиков
Bin\MSExchangeRepl.exe
MSExchangerepl - RPC (TCP-входящий)
Сервер почтовых ящиков
Динамический RPC
Bin\MSExchangeRepl.exe
MSExchangerepl - RPC-EPMap (TCP-входящий)
Сервер почтовых ящиков
Bin\MSExchangeRepl.exe
MSExchangeSearch - RPC (TCP-входящий)
Сервер почтовых ящиков
Динамический RPC
Bin\Microsoft.Exchange.Search.ExSearch.exe
MSExchangeThrottling - RPC (TCP-входящий)
Сервер почтовых ящиков
Динамический RPC
Bin\MSExchangeThrottling.exe
MSExchangeThrottling - RPCEPMap (TCP-входящий)
Сервер почтовых ящиков
Bin\MSExchangeThrottling.exe
MSFTED - RPC (TCP-входящий)
Сервер почтовых ящиков
Динамический RPC
MSFTED - RPCEPMap (TCP-входящий)
Сервер почтовых ящиков
MSExchangeEdgeSync - RPC (TCP-входящий)
Транспортный сервер-концентратор
Динамический RPC
MSExchangeEdgeSync RPCEPMap (TCP-входящий)
Транспортный сервер-концентратор
Bin\Microsoft.Exchange.EdgeSyncSvc.exe
MSExchangeTransportWorker - RPC (TCP-входящий)
Транспортный сервер-концентратор
Динамический RPC
Bin\edgetransport.exe
MSExchangeTransportWorker - RPCEPMap (TCP-входящий)
Транспортный сервер-концентратор
Bin\edgetransport.exe
MSExchangeTransportWorker (GFW) (TCP-входящий)
Транспортный сервер-концентратор
MSExchangeTransportWorker (TCP-входящий)
Транспортный сервер-концентратор
Bin\edgetransport.exe
MSExchangeTransportLogSearch - RPC (TCP-входящий)
Динамический RPC
MSExchangeTransportLogSearch - RPCEPMap (TCP-входящий)
Транспортный сервер-концентратор, пограничный транспортный сервер, сервер почтовых ящиков
Bin\MSExchangeTransportLogSearch.exe
SESWorker (GFW) (TCP-входящий)
Сервер единой системы обмена сообщениями
SESWorker (TCP-входящий)
Сервер единой системы обмена сообщениями
UnifiedMessaging\SESWorker.exe
UMService (GFW) (TCP-входящий)
Сервер единой системы обмена сообщениями
UMService (TCP-входящий)
Сервер единой системы обмена сообщениями
Bin\UMService.exe
UMWorkerProcess (GFW) (TCP-входящий)
Сервер единой системы обмена сообщениями
5065, 5066, 5067, 5068
UMWorkerProcess (TCP-входящий)
Сервер единой системы обмена сообщениями
5065, 5066, 5067, 5068
Bin\UMWorkerProcess.exe
UMWorkerProcess - RPC (TCP-входящий)
Сервер единой системы обмена сообщениями
Динамический RPC
Bin\UMWorkerProcess.exe
- На серверах с установленными службами IIS Windows открывает порты HTTP (порт 80, TCP) и HTTPS (порт 443, TCP). Программа установки Exchange 2010 не открывает эти порты. Следовательно, эти порты не приведены в предыдущей таблице.
- В Windows Server 2008 и Windows Server 2008 R2 брандмауэр Windows в режиме повышенной безопасности позволяет указать процесс или службу, для которых открыт порт. Это более безопасно, поскольку в таком случае порт может использоваться только процессом или службой, указанной в правиле. Программа установки Exchange создает правила брандмауэра с указанным именем процесса. В некоторых случаях в целях совместимости также создается дополнительное правило, не ограниченное этим процессом. Можно отключить или удалить правила, не ограниченные процессами, и сохранить соответствующие правила, ограниченные процессами, если текущая среда развертывания поддерживает их. Правила, не ограниченные процессами, можно отличить по слову (GFW) в имени правила.
- Множество служб Exchange используют для взаимодействия
удаленные вызовы процедур (RPC). Серверные процессы, использующие
удаленные вызовы процедур, подключаются к сопоставителю конечных
точек RPC для получения динамических конечных точек и регистрации
их в базе данных сопоставителя конечных точек. Клиенты RPC
взаимодействуют с сопоставителем конечных точек RPC для определения
конечных точек, используемых серверным процессом. По умолчанию
сопоставитель конечных точек RPC прослушивает порт 135 (TCP). При
настройке брандмауэра Windows для процесса, использующего удаленные
вызовы процедур, программа установки Exchange 2010 создает для
этого процесса два правила брандмауэра. Одно правило разрешает
взаимодействие с сопоставителем конечных точек RPC, а второе
разрешает взаимодействие с динамически назначенной конечной точкой.
Дополнительные сведения об удаленных вызовах процедур см. в статье
. Дополнительные сведения о создании правил брандмауэра
Windows для динамического удаленного вызова процедур см. в статье
.
Дополнительные сведения см. в статье 179442 базы знаний Microsoft
Недавно пришлось пилить сервер Microsoft Exchange, а затем прописывать правила на фаерволле для его портов. Так вот перед этим долго пришлось выяснять — какие порты использует Microsoft Exchange для работы. Что-то удалось узнать на форумах, а что-то пришлось проверять и выяснять самому, так что если какой-то используемый порт эксчендж я упустил — пишите в комментариях.
SMTP TCP: 25
The SMTP service uses TCP port 25.
DNS TCP/UDP: 53
DNS listens on port 53. Domain controllers use this port.
HTTP TCP: 80
HTTP Server Port.
POP3 TCP: 110
Post Office Protocol version 3 (POP3).
NNTP TCP: 119
Network News Transfer Protocol (NNTP).
MSRPC TCP/UDP: 135
Microsoft RPC and Locator service — LOC-SRV
IMAP4 TCP: 143
Internet Message Access Protocol (IMAP).
LDAP TCP/UDP: 379
The Site Replication Service (SRS).
LDAP TCP/UPD: 389
Lightweight directory access protocol (LDAP) used by Microsoft Active Directory® directory service, Active Directory Connector, and the Microsoft Exchange Server 5.5 directory.
LDAP TCP/UDP: 390
This is the recommended alternate port to configure the Exchange Server 5.5 LDAP protocol when Exchange Server 5.5 is running on an Active Directory domain controller.
HTTP/SSL TCP: 443
HTTP over SSL.
SMTP/SSL:465
SMTP over SSL. TCP port 465 is reserved by common industry practice for secure SMTP communication using the SSL protocol.
NNTP/SSL TCP: 563
NNTP over SSL.
LDAP/SSL TCP/UDP: 636
LDAP over Secure Sockets Layer (SSL).
LSA TCP: 691
The Microsoft Exchange Routing Engine service (RESvc) listens for routing link state information on this port.
IMAP4/SSL TCP: 993
IMAP4 over SSL.
POP3/SSL TCP: 995
POP3 over SSL.
LDAP TCP: 3268
Global catalog. The Windows 2000 and Windows Server 2003 Active Directory global catalog (a domain controller «role») listens on TCP port 3268.
LDAP/SSLPort TCP: 3269
Global catalog over SSL. Applications that connect to TCP port 3269 of a global catalog server can transmit and receive SSL encrypted data.
[Данная статья представляет собой предварительный документ и может быть изменена в будущих выпусках. Пустые разделы включены в качестве заполнителей. Если вы хотите написать отзыв, мы будем рады получить его. Отправьте его нам на электронный адрес [email protected].]
Применимо к: Exchange Server 2016
Сведения о сетевых портах, которые Exchange 2016 использует для клиентского доступа и потока обработки почты.
В этом разделе приведены сведения о сетевых портах, используемых МайкрософтExchange Server 2016 для связи с почтовыми клиентами, почтовыми серверами в Интернете и другими службами, которые расположены вне вашей локальной организации Exchange. Прежде чем начать, обдумайте следующие основные правила.
Мы не поддерживаем ограничение или изменение сетевого трафика между внутренними серверами Exchange Server, между внутренними серверами Exchange Server и внутренними серверами Lync либо Skype для бизнеса или между внутренними серверами Exchange Server и внутренними контроллерами домена Active Directory ни в одном из типов топологий. Если вы используете брандмауэры или сетевые устройства, которые могут ограничить или изменить этот сетевой трафик, необходимо настроить правила, обеспечивающие свободную и неограниченную связь между этими серверами (правила, допускающие входящий и исходящий сетевой трафик на любой порт, включая случайные порты RPC, и любой протокол, который не меняет ни единого бита).
Пограничные транспортные серверы почти всегда находятся в сети периметра, поэтому ожидается, что сетевой трафик между пограничным транспортным сервером и Интернетом, а также между пограничным транспортным сервером и внутренней организацией Exchange будет ограничен. Эти сетевые порты описаны в данном разделе.
Ожидается, что вы ограничите сетевой трафик между внешними клиентами и службами и внутренней организацией Exchange. Также можно ограничить трафик между внутренними клиентами и внутренними серверами Exchange. Эти сетевые порты описаны в данном разделе.
Содержание
Network ports required for clients and services
Network ports required for mail flow (no Edge Transport servers)
Network ports required for mail flow with Edge Transport servers
Network ports required for hybrid deployments
Network ports required for Unified Messaging
Сетевые порты, которые необходимы почтовым клиентам для доступа к почтовым ящикам и другим службам в организации Exchange, описаны на следующей диаграмме и в таблице.
Примечания.
Пунктом назначения для этих клиентов и служб являются службы клиентского доступа на сервере почтовых ящиков. В Exchange 2016 службы клиентского доступа (внешние) и внутренние службы устанавливаются вместе на одном сервере почтовых ящиков. Дополнительные сведения см. в разделе .
Хотя на диаграмме показаны клиенты и службы из Интернета, концепции одинаковы и для внутренних клиентов (например, клиентов в лесу учетных записей, обращающихся к серверам Exchange в лесу ресурсов). Аналогично в таблице нет столбца "Источник", поскольку источником может быть любое внешнее по отношению к организации Exchange местоположение (например, Интернет или лес учетных записей).
Пограничные транспортные серверы не участвуют в сетевом трафике, связанном с этими клиентами и службами.
Зашифрованные веб-подключения используются следующими клиентами и службами. Служба автообнаружения Exchange ActiveSync Веб-службы Exchange (EWS) Распространение автономных адресных книг Мобильный Outlook (протокол RPC через HTTP) MAPI Outlook через HTTP Outlook в Интернете | 443/TCP (HTTPS) | Справочник по EWS для Exchange |
Незашифрованные веб-подключения используются следующими клиентами и службами. Публикация календаря в Интернете Outlook в Интернете (перенаправление на порт 443/TCP) Автообнаружение (откат, когда порт 443/TCP недоступен) | 80/TCP (HTTP) | По возможности рекомендуем использовать зашифрованные веб-подключения через порт 443/TCP для защиты учетных и других данных. Однако некоторые службы необходимо настроить на использование незашифрованных веб-подключений через порт 80/TCP к службам клиентского доступа на серверах почтовых ящиков. Дополнительные сведения об этих клиентах и службах см. в следующих статьях. |
Клиенты IMAP4 | 143/TCP (IMAP), 993/TCP (безопасный IMAP) | По умолчанию IMAP4 отключен. Дополнительные сведения см. в разделе . Служба IMAP4 в службах клиентского доступа на сервере почтовых ящиков проксирует подключения к внутренней службе IMAP4 на сервере почтовых ящиков. |
Клиенты POP3 | 110/TCP (POP3), 995/TCP (безопасный POP3) | По умолчанию протокол POP3 отключен. Дополнительные сведения см. в разделе . Служба POP3 в службах клиентского доступа на сервере почтовых ящиков проксирует подключения ко внутренней службе POP3 на сервере почтовых ящиков. |
Клиенты SMTP (с проверкой подлинности) | 587/TCP (SMTP с проверкой подлинности) | Соединитель получения по умолчанию "Client Frontend " во внешней транспортной службе прослушивает сообщения от прошедших проверку подлинности клиентов SMTP на порту 587. Примечание. Если у вас есть почтовые клиенты, которые могут отправлять сообщения по протоколу SMTP с проверкой подлинности только через порт 25, то вы можете изменить значение привязки этого соединителя получения, чтобы он также отслеживал отправку сообщений по протоколу SMTP с проверкой подлинности через порт 25. |
В начало
Сетевые порты, необходимые для потока обработки почтыИсходящая почта
25/TCP (SMTP)
Сервер почтовых ящиков
Интернет (все)
По умолчанию Exchange не создает соединители отправки, которые позволяют отправлять почту в Интернет. Необходимо создать соединители отправки вручную. Дополнительные сведения см. в разделе .
Исходящая почта (если она передается через внешнюю службу транспорта)
25/TCP (SMTP)
Сервер почтовых ящиков
Интернет (все)
Исходящая почта передается через внешнюю службу транспорта, только если для соединителя отправки включен параметр Прокси через сервер клиентского доступа в Центре администрирования Exchange или параметр -FrontEndProxyEnabled $true в командной консоли Exchange.
В этом случае соединитель получения по умолчанию "Outbound Proxy Frontend " во внешней службе транспорта прослушивает исходящую почту из службы транспорта на сервере почтовых ящиков. Дополнительные сведения см. в статье .
DNS-сервер для разрешения имен следующего перехода почты (не показан на рисунке)
53/UDP, 53/TCP (DNS)
Сервер почтовых ящиков
DNS-сервер
В начало
Подписанный пограничный транспортный сервер, установленный в сети периметра, влияет на поток обработки почты следующим образом:
Почта с пограничного транспортного сервера Exchange 2016 или Exchange 2013 сначала поступает во внешнюю службу транспорта, а затем перенаправляется в службу транспорта на сервере почтовых ящиков Exchange 2016.
Почта с пограничного транспортного сервера Exchange 2010 всегда поступает непосредственно в службу транспорта на сервере почтовых ящиков Exchange 2016.
Исходящая почта из организации Exchange никогда не проходит через внешнюю службу транспорта на серверах почтовых ящиков. Она всегда перенаправляется из службы транспорта на сервере почтовых ящиков подписанного сайта Active Directory на пограничный транспортный сервер (независимо от версии Exchange на пограничном транспортном сервере).
Входящая почта перенаправляется с пограничного транспортного сервера на сервер почтовых ящиков подписанного сайта Active Directory. Это означает следующее:
Сетевые порты, необходимые для потока обработки почты в организациях Exchange с пограничными транспортными серверами, описываются на приведенной ниже диаграмме и в таблице.
Входящая почта - из Интернета на пограничный транспортный сервер | 25/TCP (SMTP) | Интернет (все) | Соединитель приема по умолчанию с именем "Внутренний соединитель получения по умолчанию " на пограничном транспортном сервере прослушивает анонимную почту SMTP на порту 25. |
|
Входящая почта - от пограничного транспортного сервера во внутреннюю организацию Exchange | 25/TCP (SMTP) | Пограничный транспортный сервер | Соединитель отправки по умолчанию с именем "EdgeSync - Inbound to " ретранслирует входящую почту с порта 25 на любой сервер почтовых ящиков подписанного сайта Active Directory. Дополнительные сведения см. в разделе . Соединитель получения по умолчанию "Default Frontend " во внешней службе транспорта на сервере почтовых ящиков прослушивает всю входящую почту (включая почту с пограничных транспортных серверов Exchange 2016 и Exchange 2013) на порту 25. |
|
Исходящая почта - от внутренней организации Exchange на пограничный транспортный сервера | 25/TCP (SMTP) | Серверы почтовых ящиков на подписанном сайте Active Directory | Исходящая почта всегда обходит внешнюю службу транспорта на серверах почтовых ящиков. Почта ретранслируется из службы транспорта на любом сервере почтовых ящиков подписанного сайта Active Directory на пограничный транспортный сервер с помощью неявного и невидимого внутриорганизационного соединителя отправки, который автоматически перенаправляет почту между серверами Exchange Server в одной организации. Соединитель получения по умолчанию "Default internal Receive connector " на пограничном транспортном сервере прослушивает почту по протоколу SMTP на порту 25 из службы транспорта на любом сервере почтовых ящиков подписанного сайта Active Directory. |
|
Исходящая почта - с пограничного транспортного сервера в Интернет | 25/TCP (SMTP) | Пограничный транспортный сервер | Интернет (все) | Соединитель отправки по умолчанию с именем "EdgeSync - с в Интернет" ретранслирует исходящую почту на порту 25 с пограничного транспортного сервера в Интернет. |
Синхронизация EdgeSync | 50636/TCP (безопасный LDAP) | Серверы почтовых ящиков на подписанном сайте Active Directory, которые участвуют в синхронизации EdgeSync | Пограничные транспортные серверы | Если пограничный транспортный сервер подписан на сайт Active Directory, все серверы почтовых ящиков, которые существуют на сайте в текущий момент, участвуют в синхронизации EdgeSync. Но если добавить другие серверы почтовых ящиков позднее, они не будут автоматически участвовать в синхронизации EdgeSync. |
DNS-сервер для разрешения имен следующего транзитного участка (не показан на рисунке) | 53/UDP, 53/TCP (DNS) | Пограничный транспортный сервер | DNS-сервер | См. раздел Разрешение имен. |
Обнаружение открытого прокси-сервера в службе репутации отправителей (не показано на рисунке) | См. примечания | Пограничный транспортный сервер | Интернет | По умолчанию агент анализа протокола использует обнаружение открытого прокси-сервера как одно из условий для вычисления уровня репутации исходного сервера обмена сообщениями. Дополнительные сведения см. в статье . Для проверки исходных серверов обмена сообщениями на наличие открытого прокси-сервера используются следующие TCP-порты: Кроме того, если в вашей организации для контроля исходящего интернет-трафика используется прокси-сервер, необходимо определить имя, тип и TCP-порт прокси-сервера, необходимые для доступа к Интернету и обнаружения открытого прокси-сервера. Вы также можете отключить обнаружение открытого прокси-сервера. Дополнительные сведения см. в разделе . |
В начало
Разрешение именРазрешение имен
Разрешение DNS следующего перехода почты является фундаментальной составляющей потока обработки почты в любой организации Exchange. Серверы Exchange, ответственные за получение входящей почты или доставку исходящей, должны иметь возможность разрешать как внутренние, так и внешние имена узлов для правильной маршрутизации почты. Все внутренние серверы Exchange должны иметь возможность разрешать внутренние имена узлов для правильной маршрутизации почты. Существует множество различных способов разработки инфраструктуры DNS, но важный результат - обеспечение правильного разрешения имен для следующего перехода на всех серверах Exchange.
В данной статье мы разберемся с тем, как настроить статические RPC порты для служб RPC Client Access, Exchange Address Book и службы доступа к общим папкам в Exchange 2010.
Представим, что у нас имеется сложная организация с Exchange Server 2010 SP1 (или выше), в которой в том числе имеется . Сервера CAS обычно располагаются в сети, отделенной межсетевыми экранами от сетей, из которых предполагается доступ пользователей (сети Outlook). Подключение клиента Outlook к серверу CAS происходит по RPC, а это значит на сетевом уровне может быть задействован любой порт из свободного диапазона портов. Не секрет, что в Windows Server 2008 и 2008 R2 в качестве динамического диапазона портов для RPC подключений используется диапазон 49152-65535 (в предыдущих версиях Windows Server использовались RPC порты в диапазоне 1025-65535).
Чтобы не превращать брандмауэры в «решето», желательно сузить диапазон используемых RPC портов, в идеале, сделав их статическими на каждом сервере Client Access Server в массиве Client Access. Кроме того использование статических RPC портов позволяет снизить потребления памяти на устройствах балансировки нагрузки (особенно HLB) и упростить их конфигурирование (не нужно указывать большие диапазоны портов).
В Exchange 2010 для службы RPC Client Access, а также для службы адресной книги Exchange можно задать статические порты. Outlook взаимодействует с данными службами через интерфейс MAPI.
Статический порт для службы Exchange 2010 RPC Client AccessВиртуальная служба Exchange 2010 RPC Client Access связана со службой доступа клиентов RPC Client, к которой в Exchange 2010 подключаются клиенты Outlook MAPI. Когда клиент Outlook подключается к Exchange, на сервере Exchange 2010 Client Access службой RPC Client Access для входящих подключений используется порт TCP End Point Mapper (TCP/135) и случайный порт из динамического диапазона портов RPC (6005-59530)
Чтобы в Exchange 2010 для службы RPC Client Access задать статический порт, необходимо в редакторе реестра открыть раздел:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\MSExchangeRPC
Создайте новый ключ с именем ParametersSystem , внутри которого создайте параметр типа REG_DWORD с именем TCP/IP Port . В параметре TCP/IP Port задается статический порт для службы RPC Client Access. В документации Microsoft рекомендуется выбрать порт в диапазоне 59531 — 60554 , и использовать данное значение на всех серверах CAS (мы указали порт 59532, естественно, он не должен использоваться никаким другим ПО).
После заданий статического порта, чтобы изменения вступили в силу, нужно перезапустить службу Microsoft Exchange RPC Client Access.
Restart-Service MSExchangeRPC
Статический порт для службы Exchange 2010 Address BookВ Exchange 2010 до выхода SP1 для задания статического порта службы Exchange 2010 Address Book использовался специальный конфигурационный файл Microsoft.exchange.addressbook.service.exe.config . После релиза Exchange 2010 SP1 задать статический порт данной службы можно через реестр. Для этого откройте редактор реестра и перейдите в ветку:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\MSExchangeAB\Parameters
Создайте новый параметр RpcTcpPort (типа REG_SZ) и задайте ему номер порта, который необходимо зафиксировать для службы Exchange Address Book service. Рекомендуется использовать любой свободный порт в диапазоне 59531-60554 и в дальнейшем использовать его на всех серверах Exchange 2010 Client Access в домене. Мы зададим RpcTcpPort=59533
После этого необходимо перезапустить службу Microsoft Exchange Address Book
Restart-Service MSExchangeAB
Важно: При переходе с Exchange 2010 RTM на SP1 этот ключ нужно задавать вручную, автоматически он не наследуется.
Настройка статического порта для подключения к общим папкамДоступ к общим папкам из клиента Outlook осуществляется напрямую через службу RPC Client Access на сервере с ролью Mailbox. Данную настройку необходимо провести на всех серверах с ролью Mailbox, которые содержат базу общих папок (аналогично серверам CAS). Откройте редактор реестра и перейдите в ветку
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\ MSExchangeRPC
Создайте новый ключ с именем ParametersSystem , внутри которого создайте параметр типа REG_DWORD с именем TCP/IP Port . Задайте его значение: TCP/IP Port = 59532.
Задав статически порт для общих папок, нужно перезапустить службу Microsoft Exchange RPC Client Access service на каждом mailbox сервере.
Проверка использования статических портов между Outlook и Exchange 2010После внесенных изменений проверим, что Outlook подключается к заданным нами статическим RPC портам. Для этого на клиентской машине перезапустите Outlook, а затем в командной строке выполните команду:
Netstat -na
