Kiến trúc Exchange và cài đặt TLS cơ hội mặc định |Phần 3#12

Trong bài viết sau, chúng tôi sẽ xem xét chi tiết hơn việc triển khai TLS cơ hội trên môi trường dựa trên Exchange tại chỗ cũng như trong môi trường dựa trên Exchange Online.

Như đã đề cập, trong môi trường dựa trên Exchange, trình kết nối thư Exchange được tự động định cấu hình để sử dụng tùy chọn TLS cơ hội .

Cấu hình của TLS cơ hội được định cấu hình tự động trên trình kết nối thư đến mặc định và trên trình kết nối thư đi mặc định đầu nối thư.

Trao đổi cơ sở hạ tầng tại chỗ | cài đặt TLS cơ hội

Trong phần sau, chúng ta sẽ xem xét cài đặt mặc định của TLS cơ hội trong máy chủ Exchange on-Premises môi trường.

Cài đặt TLS cơ hội được định cấu hình tự động trên Gửi trình kết nối và Nhận trình kết nối .

Trao đổi tại chỗ | Gửi kết nối | cài đặt TLS cơ hội

Trong Exchange 2010 và Exchange 2013, thông tin về cài đặt mặc định của TLS cơ hội được sử dụng bởi Trình kết nối gửi chỉ có thể được hiển thị bằng cách sử dụng PowerShell.

Để có thể nhận thông tin về cài đặt Gửi trình kết nối, chúng ta có thể sử dụng lệnh PowerShell sau:

Get-SendConnector -Identity "<name of the send connector>" |FL

Tham số liên quan đến cài đặt của TLS cơ hội được mô tả là Bỏ quaSTARTTLS

Trong ảnh chụp màn hình sau, chúng ta có thể thấy giá trị của IgnoreSTARTTLS là Sai

Ý nghĩa là theo mặc định, Trình kết nối gửi của Exchange tại chỗ hỗ trợ tùy chọn TLS cơ hội.

Vô hiệu hóa tùy chọn TLS cơ hội

Tôi không thể nghĩ đến một tình huống trong đó chúng ta sẽ cần phải vô hiệu hóa tùy chọn TLS cơ hội, nhưng chỉ để hiểu biết chung, trong trường hợp vì lý do nào đó, chúng ta cần hủy tùy chọn TLS cơ hội, chúng ta có thể sử dụng PowerShell yêu cầu:

Set-SendConnector -Identity "<name>" -IgnoreSTARTTLS $true

Trao đổi tại chỗ | Nhận kết nối | cài đặt TLS cơ hội

Trong phiên bản máy chủ Exchange 2010 và Exchange 2013, một số thông tin về cài đặt mặc định của Receive Connector đề cập đến tùy chọn TLS cơ hội, có thể được hiển thị trong giao diện đồ họa và, một số thông tin chỉ có thể được hiển thị bằng cách sử dụng PowerShell.

Xem cài đặt Exchange tại chỗ Nhận trình kết nối bằng PowerShell

Để có thể nhận thông tin về cài đặt Nhận trình kết nối, chúng ta có thể sử dụng lệnh PowerShell sau:

Get-ReceiveConnector -Identity "<name of the receive connector>" |FL

Thông tin về “cài đặt TLS ” của Trình kết nối nhận, xuất hiện trong phần có tên - Cơ chế xác thực

Tham số AuthMechanism có thể chứa nhiều giá trị, nghĩa là Exchange Receive Connector có thể hỗ trợ nhiều loại giao thức xác thực.

Trong ảnh chụp màn hình sau, chúng ta có thể xem ví dụ về cài đặt mặc định của máy chủ Exchange tại chỗ tiêu chuẩn Trình kết nối nhận

Chúng ta có thể thấy giá trị của AuthMechanism bao gồm nhiều loại giao thức xác thực.

Cài đặt Cơ chế xác thực

Chúng ta có thể thấy rằng Exchange Trình kết nối nhận hỗ trợ loại giao thức xác thực khác nhau.

Về chủ đề TLS, chúng ta có thể thấy hai tham số liên quan

1. Xin chào

Đây là tham số “kích hoạt” tùy chọn của TLS cơ hội

Ý nghĩa là, trong trường hợp máy chủ thư khác cố gắng liên lạc với máy chủ Exchange, máy chủ Exchange sẽ đề xuất sử dụng TLS.
Nếu “máy chủ thư khác” không hỗ trợ TLS, máy chủ Exchange sẽ “đồng ý” sử dụng giao thức SMTP thay thế.

2. BasicAuthRequireTLS

Tùy chọn này phù hợp, chủ yếu dành cho trường hợp trong đó ứng dụng thư khách (chẳng hạn như ứng dụng thư khách POP3 hoặc IMAP4) xử lý Exchange tại chỗ, yêu cầu "truy xuất" các mục thư.

Trong trường hợp này, ứng dụng thư khách sẽ cần xác định bằng cách cung cấp thông tin xác thực của người dùng.

Hầu hết ứng dụng thư khách sẽ “cung cấp” thông tin xác thực của người dùng bằng cách sử dụng xác thực cơ bản (BasicAuth) trong đó thông tin xác thực của người dùng sẽ không được mã hóa.

Tùy chọn - BasicAuthRequireTLS hướng dẫn ứng dụng thư khách gửi thông tin xác thực của người dùng qua kênh liên lạc an toàn (TLS) chứ không phải bằng cách sử dụng kênh liên lạc tiêu chuẩn (kênh liên lạc không được mã hóa).

3. Yêu cầu TLS

Tham số thứ hai trong Exchange tại chỗ Trình kết nối nhận bao gồm tham số bổ sung liên quan đến cấu hình của Buộc TLS được đặt tên - Yêu cầu TLS

Chúng tôi sẽ thảo luận ngắn gọn về tùy chọn này trong bài viết.

Xem Exchange tại chỗ Nhận cài đặt trình kết nối bằng giao diện Exchange Graphic

Khi chúng tôi sử dụng giao diện Exchange Graphic, để xem các cài đặt liên quan đến tùy chọn TLS cơ hội , điều quan trọng cần nhấn mạnh là chỉ có một tham số có liên quan trực tiếp đến TLS cơ hội.

Trong ảnh chụp màn hình sau, chúng ta có thể thấy rằng chúng ta có thể chọn một trong các tùy chọn sau:

1. Bảo mật lớp vận chuyển (TLS)

Việc chọn tùy chọn này sẽ “kích hoạt ” tùy chọn TLS cơ hội trong Exchange tại chỗ Đầu nối nhận .

Đây là tùy chọn duy nhất có liên quan đến chủ đề giao tiếp “máy chủ với máy chủ ” và tính năng của TLS cơ hội .

2. Bật bảo mật miền (TLS xác thực lẫn nhau).

Tùy chọn này liên quan đến một cấu hình rất cụ thể có tên - bảo mật miền.

Theo tôi hiểu, tùy chọn bảo mật tên miền chỉ phù hợp với tình huống trong đó hai bên liên quan là máy chủ dựa trên Exchange tại chỗ.

3. Xác thực cơ bản

Tùy chọn - Chỉ cung cấp xác thực cơ bản sau khi khởi động TLS có liên quan đến kịch bản “máy khách đến máy chủ”, trong đó ứng dụng thư khách sử dụng POP3/IMAP4 cần kết nối Exchange trên - Đặt máy chủ bằng cách sử dụng giao thức TLS. Thông tin đăng nhập của người dùng cần được “gửi” đến máy chủ thư (Exchange on-Premises trong trường hợp của chúng tôi) sẽ được chuyển qua đường dây liên lạc an toàn TLS.

Làm cách nào tôi có thể biết rằng Exchange tại chỗ của tôi hỗ trợ TLS cơ hội?

Trong trường hợp chúng tôi muốn xác minh xem một máy chủ thư cụ thể có hỗ trợ tùy chọn liên lạc bằng giao thức TLS hay không, chúng tôi có thể Telnet máy chủ cụ thể đó và sử dụng lệnh EHLO để lấy danh sách các tùy chọn có thể hỗ trợ tồn tại trên “máy chủ đích”.

Ví dụ: chúng tôi sẽ telnet máy chủ thư đại diện cho tên miền - o365info.com bằng cách sử dụng cú pháp Telnet sau:

Trong ảnh chụp màn hình sau, chúng ta có thể thấy kết quả:

Một trong những lệnh xuất hiện trong danh sách là - 250-STARTTLS

Nếu “250-STARTTLS ” được liệt kê trong phản hồi thì TLS cơ hội sẽ được cung cấp.

Trao đổi trực tuyến | trình kết nối thư đi và thư đến

Trong phần hiện tại và phần tiếp theo, chúng ta sẽ xem xét chủ đề về TLS cơ hội trong Exchange Môi trường dựa trên trực tuyến.

Như đã đề cập, trong môi trường dựa trên Exchange Online, chúng tôi sử dụng các thuật ngữ khác nhau để mô tả trình kết nối thư.

• Trình kết nối thư đi được gọi là - trình kết nối thư đi
• Trình kết nối thư đến được gọi là - trình kết nối thư đến

Được rồi, bây giờ đến một sự thật thú vị - theo mặc định, Exchange Online không bao gồm bất kỳ trình kết nối thư mặc định nào xuất hiện trong giao diện quản lý quản trị viên Exchange Online!

Môi trường Exchange Online được coi là SaaS (Phần mềm dưới dạng dịch vụ).

Trong môi trường Office 365 và Exchange Online, không có máy chủ thư "chuyên dụng" cho một đối tượng thuê Office 365 cụ thể mà thay vào đó là một loạt máy chủ thư phục vụ và đại diện cho tất cả đối tượng thuê Office 365.

Trình kết nối gửi đến Exchange Online

Exchange Online, sử dụng “trình kết nối gửi đến ” chuyên dụng cho từng đối tượng thuê miền Office 365. đã đăng ký tại Office 365 và được định cấu hình để sử dụng thư nhưng cài đặt của trình kết nối gửi đến này không xuất hiện trong giao diện quản lý quản trị Exchange Online.

Trình kết nối bên ngoài Exchange Online

Tất cả những gì chúng tôi biết là liên quan đến cơ sở hạ tầng thư Đi, Exchange Online sử dụng EOP (Exchange Online Protection) làm cơ sở hạ tầng cho Thư đi + thư đến.

Thư “gửi đi” dành cho tất cả người thuê Office 365, được gửi qua dãy máy chủ EOP (Exchange Online Protection).

Một câu hỏi rõ ràng có thể xuất hiện là:

Hỏi: Tôi có thể tạo trình kết nối gửi đi + tùy chỉnh không Trình kết nối gửi đếnr trong môi trường Exchange Online cho đối tượng thuê của tôi?

Đáp: Câu trả lời là “Có”, chúng ta có thể tạo một trình kết nối gửi đi< tùy chỉnh /span> + trình kết nối gửi đến sẽ phục vụ cho - triển khai kịch bản định tuyến cụ thể, kịch bản xác thực cụ thể hoặc để định cấu hình kênh liên lạc an toàn bằng TLS.

Ở phần sau của bài viết xx, chúng ta sẽ xem xét chủ đề tạo và định cấu hình trình kết nối gửi đi tùy chỉnh + trình kết nối gửi đến trong môi trường dựa trên Exchange Online.

Cơ sở hạ tầng trao đổi trực tuyến | trình kết nối thư đến |Hai thực thể của TLS cơ hội và TLS bắt buộc

Trong phần trước, chúng tôi đã khai báo rằng theo mặc định, Exchange Online không bao gồm bất kỳ trình kết nối nào xuất hiện trong giao diện quản lý quản trị Exchange Online nhưng Exchange Online bao gồm:

1. Một trình kết nối gửi đến được “gắn liền” với một tên miền của đối tượng thuê Office 365 cụ thể.
2. “Trình kết nối gửi đến chung ” không được đính kèm với một tên miền cụ thể. Trình kết nối gửi đến chung này được “đính kèm ” với tên máy chủ công cộng - office365.com

Về mặt kỹ thuật, một máy chủ thư bên ngoài cần xác định địa chỉ của máy chủ Exchange Online đại diện cho một tên miền cụ thể (người thuê Office 365 đăng ký tên miền công cộng của mình tại Office 365), có thể xử lý cơ sở hạ tầng Exchange Online bằng cách sử dụng hai phương pháp:

1. Địa chỉ tên máy chủ xuất hiện trong bản ghi MX
2. Đánh địa chỉ “tên máy chủ chung” - smtp.office365.com

Sự khác biệt chính giữa hai “thực thể” Exchange Online là cài đặt TLS.

• Thực thể Exchange Online xuất hiện trong bản ghi MX được định cấu hình để sử dụng TLS cơ hội.
• Thực thể Exchange Online được đại diện bởi tên máy chủ - office365.com được định cấu hình để sử dụng tùy chọn <Bắt buộc TLS

Nói cách khác, khi máy chủ thư đánh địa chỉ tên máy chủ - smtp.office365.com, Exchange Online “yêu cầu” rằng giao tiếp sẽ được triển khai như một kênh liên lạc an toàn bằng cách sử dụng Giao thức TLS.

Đánh địa chỉ Exchange Online bằng cách sử dụng tên máy chủ xuất hiện trong bản ghi MX

“Giao tiếp thư tiêu chuẩn”, trong đó máy chủ thư bên ngoài cố gắng xử lý máy chủ Exchange Online đại diện cho một miền cụ thể, sẽ được triển khai bằng cách tìm kiếm bản ghi MX đại diện cho một miền cụ thể.

Trong môi trường Office 365 và Exchange Online, chúng tôi xuất bản bản ghi MX bằng tên máy chủ được đại diện bởi cơ sở hạ tầng Exchange Online.

Ví dụ: tên miền o365pilot.com đã được đăng ký với Office 365 và cơ sở hạ tầng thư được lưu trữ tại Exchange Online.

Tên máy chủ xuất hiện trong bản ghi MX “chỉ ra” máy chủ thư đại diện cho miền này dựa trên quy ước đặt tên sau.

Trong trường hợp cụ thể của chúng tôi, tên máy chủ sẽ là - o365pilot-com.mail.protection.outlook.com

Tên máy chủ Exchange Online xuất hiện trong bản ghi MX được “liên kết ” với Exchange Trình kết nối nhận hỗ trợ tùy chọn TLS cơ hội.

Trong trường hợp, trong đó máy chủ thư bên ngoài xử lý tên máy chủ Exchange Online chiếm một đối tượng thuê Office 365 cụ thể bằng giao thức SMTP, Exchange Online sẽ cố gắng cung cấp việc sử dụng giao thức TLS thay thế.

• Trong trường hợp máy chủ thư bên ngoài (máy chủ nguồn) cũng hỗ trợ tùy chọn TLS, kênh liên lạc sẽ được triển khai bằng cách sử dụng TLS.
• Trong trường hợp máy chủ thư bên ngoài (máy chủ nguồn) không hỗ trợ, tùy chọn TLS, kênh liên lạc sẽ được triển khai bằng cách sử dụng SMTP.

Trong sơ đồ sau, chúng ta có thể xem ví dụ về kịch bản luồng thư trong đó máy chủ thư bên ngoài có địa chỉ máy chủ Exchange Online, bằng cách sử dụng Tên máy chủ xuất hiện trong bản ghi MX.

Máy chủ thư bên ngoài có thể “chọn” giữa việc sử dụng Giao thức thư không được mã hóa - SMTP hoặc giao thức thư được mã hóa - TLS.

Hỏi: Làm sao tôi biết rằng tên máy chủ Exchange Online đại diện cho miền của tôi hỗ trợ TLS cơ hội?

Đáp: Chúng tôi sẽ cố gắng tạo phiên telnet SMTP với tên máy chủ Exchange Online đại diện cho đối tượng thuê Office 365.

Trong ví dụ của chúng tôi, tên miền công cộng của tôi đã được đăng ký tại Office 365 là - o365info.com

Tên máy chủ xuất hiện trong bản ghi MX cho tên miền - o365info.com là:
o365info-com.mail. bảo vệ.outlook.com

Khi nào sẽ cố gắng telnet tên máy chủ này bằng cách sử dụng lệnh

Telnet o365info-com.mail.protection.outlook.com 25

Trong ảnh chụp màn hình sau, chúng ta có thể thấy rằng sau khi nhập lệnh EHLO, máy chủ Exchange Online sẽ trả lời bằng danh sách “tùy chọn được hỗ trợ”. Một trong những tùy chọn này là lệnh - 250-STARTTLS

Trong giai đoạn này, chúng tôi không thể chắc chắn về sự hỗ trợ của máy chủ Bắt buộc TLS hoặc TLS cơ hội

Để có thể xác minh xem máy chủ (Exchange Online) có hỗ trợ phiên “SMTP tiêu chuẩn” hay không, chúng tôi sẽ cố gắng tạo phiên SMTP tiêu chuẩn bằng cách sử dụng lệnh sau:

Thư từ:

Trong ảnh chụp màn hình sau, chúng ta có thể thấy máy chủ Exchange Online trả lời bằng “câu trả lời”: 250 2.1.0 Người gửi OK

Ý nghĩa là chúng ta có thể sử dụng phiên “SMTP tiêu chuẩn”

Đánh địa chỉ Exchange Online bằng cách sử dụng tên máy chủ smtp.office365.com

Thực thể Exchange Online bổ sung được thể hiện bằng tên máy chủ smtp.office365.com

Về mặt kỹ thuật, “smtp.office365.com thực thể Exchange Online " có thể đại diện cho tất cả nguyên lý Office 365 được lưu trữ tại cơ sở hạ tầng Exchange Online.

Nói cách khác, trong trường hợp máy chủ thư cần đánh địa chỉ máy chủ thư Exchange Online đại diện cho đối tượng thuê Office 365 cụ thể (tên miền công cộng cụ thể), máy chủ thư bên ngoài có thể đánh địa chỉ máy chủ smtp.office365 .com, thay vì tìm kiếm bản ghi MX đại diện cho các miền Office 365 cụ thể.

Mục đích chính của thực thể “Exchange Online smtp.office365.com ” là chỉ cho phép liên lạc qua thư an toàn, nghĩa là Bắt buộc TLS.

Nói cách khác, cách duy nhất để giải quyết thực thể Exchange Online smtp.office365.com là sử dụng TLS.

Một ví dụ về tình huống trong đó chúng ta cần giải quyết thực thể Exchange Online smtp.office365.com là một tình huống; trong đó chúng tôi có ứng dụng hỗ trợ thư hoặc thiết bị hỗ trợ thư cần “sử dụng” máy chủ Exchange Online để gửi thư.

Trước đây, cách khả thi duy nhất để triển khai loại kịch bản này là định cấu hình ứng dụng\thiết bị hỗ trợ thư để xử lý tên máy chủ -
smtp.office365.com

Trở ngại lớn nhất của yêu cầu này là hầu hết các thiết bị hỗ trợ thư đều không hỗ trợ TLS.

Ngày nay, giải pháp đơn giản hơn vì chúng ta có thể định cấu hình thiết bị hỗ trợ thư để sử dụng tên máy chủ Exchange Online “tiêu chuẩn” mà không cần yêu cầu bắt buộc phải sử dụng TLS.

Trong sơ đồ sau, chúng ta có thể xem ví dụ về luồng thư thường được triển khai khi thiết bị hoặc ứng dụng hỗ trợ thư gửi địa chỉ đến máy chủ Exchange Online bằng cách sử dụng Tên máy chủ được xác định trước smtp.office365.com

Hỏi: Làm sao tôi biết rằng tên máy chủ Exchange Online smtp.office365.com chỉ hỗ trợ < mạnh>Bắt buộc TLS?

Đáp: Chúng tôi sẽ cố gắng tạo phiên telnet SMTP bằng tên máy chủ Exchange Online smtp.office365.com

Khi nào sẽ cố gắng telnet tên máy chủ này bằng cách sử dụng lệnh

Telnet smtp.office365.com 25

Trong ảnh chụp màn hình sau, chúng ta có thể thấy rằng sau khi nhập lệnh EHLO, máy chủ Exchange Online sẽ trả lời bằng danh sách “tùy chọn được hỗ trợ”. Một trong những tùy chọn này là lệnh - 250-STARTTLS

Trong giai đoạn này, chúng tôi không thể chắc chắn về sự hỗ trợ của máy chủ Bắt buộc TLS hoặc TLS cơ hội

Để có thể xác minh xem máy chủ (Exchange Online) có hỗ trợ phiên “SMTP tiêu chuẩn” hay không, chúng tôi sẽ sử dụng lệnh:

Thư từ:

Trong ảnh chụp màn hình sau, chúng ta có thể thấy máy chủ Exchange Online trả lời bằng “câu trả lời”:

530 5.7.57 SMTP; Khách hàng không được xác thực để gửi thư ẩn danh trong MAIL FROM

Ý nghĩa là chúng tôi không thể sử dụng phiên “SMTP tiêu chuẩn ”

Bài viết tiếp theo

Bài viết tiếp theo (Cấu hình tùy chọn Force TLS trong môi trường Exchange on-Premises | Phần 4#12) trong loạt bài viết về TLS, dành riêng cho chủ đề - Định cấu hình tùy chọn Force TLS trên môi trường Exchange on-Premises.