Exchange Şirket İçi Ortamında TLS'yi Zorunlu Yapılandırma |Gönderme bağlayıcısının ayarları | Bölüm 8#12

Mevcut makalede, Exchange Şirket İçi tabanlı ortamda Force TLS'yi uygulamak için gerekli yapılandırma ayarlarını inceleyeceğiz. Özel senaryomuzda, "Giden posta akışı" için TLS'yi Zorla seçeneğini yapılandırmamız gerekir.
Anlamı, Exchange şirket içi sunucusu tarafından belirli bir harici sunucuya gönderilen postadır. etki alanı adı (harici posta sunucusu tarafından temsil edilir).
Force TLS yapılandırma ayarı Gönderme bağlayıcısına uygulanacaktır.

Şirket İçi Değişim | giden posta | Senaryo gereksinimleri.

Senaryo açıklamasının tamamı önceki makalede yer almaktadır

Bu yazıda tam senaryodan aşağıdaki kısmı uygulayacağız:

Şirket İçi Exchange'in o365pilot.com (Exchange Online'da barındırılan bir alıcı) alan adına sahip bir alıcıya E-posta göndermesi gerektiğinde, Şirket İçi Exchange Sunucu, yalnızca aşağıdaki şartlar yerine getirildiğinde posta akışını oluşturmayı "kabul edecektir":

Posta iletişiminin şifreli iletişim hattı (TLS) kullanılarak gerçekleştirilmesi gerekecektir.
“Harici sunucunun” (Exchange Online) TLS'yi desteklemesi gerekir.
“Harici sunucunun” (Exchange Online) kendisini güvenilir bir genel sertifika kullanarak tanımlaması gerekir.
"Harici sunucunun" genel sertifikası, posta sunucusunun kimliğini onaylayacak belirli bir ana bilgisayar adını içermelidir - *.outlook.com

Aşağıdaki diyagramda, TLS'yi Zorla Şirket içi Exchange'den harici bir posta sunucusunda (senaryomuzda Exchange Online) barındırılan o365pilot.com etki alanına gönderilen postalar için.

Şirket İçi Exchange |TLS'yi zorlamak için gerekli yapılandırmayı oluşturma | Bağlayıcı gönder

Exchange on-Premises tarafından harici posta sunucusuna (senaryomuzda Exchange Online) gönderilen her E-posta iletisinin etki alanı adını temsil etmesi gereksinimini yerine getirebilmek için - o365pilot. com şifrelenecek, yeni bir Posta bağlayıcı gönder oluşturacağız.

Aşama 1#2 - Exchange yönetim arayüzünü kullanarak bağlayıcı göndermek için oluşturma

Aşağıdaki gösterim Exchange 2010 sunucu sürümü kullanılarak uygulanmıştır.

Exchange yönetim konsolunu açın. Kuruluş yapılandırması'nı, Hub Transport'u seçin.

Üst çubukta - Bağlayıcıları Gönder'i seçin.

Boş alana sağ tıklayın ve - Yeni Gönderme Bağlayıcısı… seçeneğini seçin.

Ad metin kutusuna ihtiyaçlarınıza uygun adı yazın.

Benim tavsiyem açıklayıcı bir ad kullanmanızdır, böylece gelecekte sorun giderme sürecinde belirli bir posta bağlayıcının amacını anlamak kolay olacaktır.

Seçenek kutusunda - bu Gönderme bağlayıcısı için kullanım amacını seçin, özel'i seçin

Artı işaretini tıklayarak gerekli adres alanını ekleyin

“Adres alanı”nın amacı “ya şöyle olursa” mantığını yapılandırmaktır.
Senaryomuzda gönder komutunu etkinleştirmek istiyoruz. bağlayıcı, alan adına sahip hedef alıcıya her posta gönderildiğinde - o365pilot.com

Bir sonraki ekranda hedef posta sunucusunu nasıl “bulacağımıza” karar vermemiz gerekecek.

İki seçenek arasında seçim yapabiliriz:

MX kaydı - posta sunucusunun, belirli bir hedef alan adı için bir MX kaydı arayarak DNS sunucusunu sorgulayacağı bir yöntemdir.
Akıllı ana bilgisayar - posta sunucumuzu belirli bir IP adresini veya belirli bir ana bilgisayar adını adreslemeye “zorladığımız” bir yöntemdir.

Senaryomuzda MX kaydı seçeneğini seçeceğiz - Postaları otomatik olarak yönlendirmek için alan adı sistemi (DNS) “MX ” kaydını kullan.

Bir sonraki ekranda Exchange şirket içi sunucusunu seçmemiz gerekecek, yeni Bağlayıcıyı gönder<'i "eklemek" istiyoruz..

Özel senaryomuzda, yeni Bağlayıcıyı gönder'i EX01 adlı Exchange şirket içi sunucusuna ekliyoruz.

Bir sonraki ekranda konfigürasyon ayarlarının bir özetini görebiliriz.

Bir sonraki ekranda gerekli konfigürasyon ayarlarını oluşturmak için kullanılan PowerShell komutlarını görebiliriz.

Aşağıdaki ekran görüntüsünde sonucu görebiliriz. Yeni bir Bağlayıcı gönder oluşturuldu.

Aşama 2#2 - PowerShell kullanarak TLS'yi zorlamak için gerekli yapılandırma ayarını yapın

Şu anki aşamada, yeni bir Bağlayıcı gönder oluşturuldu, ancak yeninin şunu vurgulamak önemlidir: Bağlayıcı gönder, senaryomuzda uygulamamız gereken tüm gerekli yapılandırmaları içermiyor .

Kısa bir hatırlatma: Exchange on-Premises'in, belirli bir ana bilgisayar adını içerecek bir sunucu sertifikası talep ederek "hedef posta sunucusunu" tanımlayacağı bir yapılandırma uygulamamız gerekiyor.

Çevrimiçi ve sunucu tarafı sertifikasını değiştirin

Özel senaryomuzda hedef posta sunucusu bir Exchange Online sunucusu olduğundan, Exchange Online sunucusunun alan adını (o365pilot.com) temsil etmesine rağmen şunu bilmemiz gerekir: Exchange Online sunucu sertifikası bu özel alan adıyla ilgili herhangi bir bilgi içermeyecektir.

Exchange Online altyapısı, mevcut tüm Office 365 kiracıları için kullanılan bir “genel sunucu sertifikası” kullanır.

Genel olarak konuşursak, Exchange Online sunucu sertifikası mail.protection.outlook.com ana bilgisayar adını içerir ancak güvenli tarafta olmak istiyorsak, hedeften talepte bulunacağız sunucusunun (senaryomuzda Exchange Online) belirli bir ana bilgisayar adı yerine *.outlook.com etki alanı adına sahip olmasını sağlar.

PowerShell kullanarak Şirket içi Exchange gönderme bağlayıcısı için gerekli ayarı yapılandırma

Aşağıdaki bölümde, "hedefi" tanımlamak için Şirket İçi Exchange Bağlayıcı gönder'i yapılandıracağız. posta sunucusu ” (senaryomuzda Exchange Online) üç parametre kullanarak:

RequireTls - bu parametre, gönderme bağlayıcısını TLS'yi Zorla seçeneğini kullanacak şekilde yapılandırmak için kullanılır , TLS için zorunlu bir gereksinim anlamına gelir (varsayılan olarak Bağlayıcı gönder ) , fırsatçı TLS'yi kullanacak şekilde yapılandırılmıştır.
TlsAuthLevel - varsayılan olarak Bağlayıcı gönder, hedef sunucudan kimliğini kanıtlamak için "talep edecek" şekilde yapılandırılmamıştır. Senaryomuzda varsayılan ayarı değiştirip Exchange on-Premises'in hedef sunucudan geçerli sunucu sertifikası sağlayarak kendisini tanımlamasını isteyeceği seçeneği "etkinleştirmemiz" gerekiyor ve buna ek olarak; sertifikanın belirli bir alan adını içermesi gerekecektir.
xx makalesinde belirtildiği gibi, üç doğrulama türü seçebiliriz. Özel senaryomuzda etki alanı doğrulamasına ihtiyacımız var. Kullanılacak spesifik parametre DomainValidation'dur.
TlsDomain - hedef posta sunucusu sertifikasına dahil edilmesi gereken alan adının adı. Bizim senaryomuzda, sertifika alan adını içermelidir: *.outlook.com

Önceki aşamada oluşturulan yeni Bağlayıcı gönder'in ayarlarını görüntüleyebilmek için aşağıdaki PowerShell komutunu kullanacağız:

Get-SendConnector “EX01\Mail o365pilot.com'a gönderildi - TLS'yi zorunlu kıl” |FL

Aşağıdaki ekran görüntüsünde Bağlayıcı gönder ayarlarını görebiliriz.

TLS ile ilgili aşağıdaki parametrelerin değerinin varsayılan olarak boş olduğuna dikkat edin

Şartları Gerektir
TlsAuthLevel (DomainValidation seçeneğini kullanarak)
TlsDomain

Şirket içi Exchange Bağlayıcı gönder'i gerekli zorunlu TLS ayarıyla yapılandırabilmek için aşağıdaki PowerShell komutunu kullanacağız

Set-SendConnector -Identity "Mail sent to o365pilot.com - Enforce TLS" -RequireTls $true -TlsAuthLevel DomainValidation -TlsDomain *.outlook.com

- TlsDomain değeri için outlook.com alan adını kullandığımıza dikkat edin.

Aşağıdaki ekran görüntüsünde sonuçları görebiliriz:

RequireTls - değer True olarak ayarlandı (TLS'yi Zorla).
TlsAuthLevel - ayarladığımız değer: DomainValidation
TlsDomain - alan adı *.outlook.com

Bahsetmek istediğim ek bir husus ise Ağ sekmesindeki yeni Gönder bağlayıcının özelliklerine baktığımızda - Etki Alanı Güvenliğini Etkinleştir (Karşılıklı Kimlik Doğrulama TLS) değerini görebiliyoruz. seçili değil.

Kafan karışmasın; bu “doğru” konfigürasyondur. Etki Alanı Güvenliğini Etkinleştir (Karşılıklı Kimlik Doğrulama TLS) seçeneği yalnızca "hedef posta sunucusunun" Şirket içi Exchange sunucusu olduğu belirli bir senaryo için uygundur.

Özet ve sonraki makale

Mevcut makalede, Force TLS için uygulanması gereken gerekli yapılandırma ayarını inceledik. "Giden posta akışı", Şirket içi Exchange tarafından belirli bir hedef alan adına (o365pilot.com) gönderilen posta anlamına gelir.

TLS'yi Zorla ayarları, Şirket İçi Exchange Bağlayıcıyı Gönder

Senaryomuzda, TLS'yi Zorla ayarı her E- posta iletisi alan adını kullanan hedef alıcıya gönderilir - o365pilot.com