Исследуем границу пограничного транспортного сервера
Представьте себе мир будущего, в котором информация передается почти мгновенно, жизненно важные сообщения гарантированно доставляются адресату, подмененные сообщения моментально блокируются, а троянские кони так и остаются стоять за городской стеной. Что если я скажу вам, что это будущее уже наступило? Я хочу рассказать историю об отважном администраторе почтового сервера, открывшем для себя преимущества пограничного транспортного сервера Microsoft Exchange Server 2007.
Дневник администратора Exchange 2007
Сегодня я развернул решение для обмена данными, которое наконец то удовлетворило бесчисленным требованиям руководства корпорации и позволило повысить производительность систем. Я думаю, это достижение еще больше приблизит меня к должности старшего администратора всего леса компании Northwind Traders.
Все началось этим утром. Я еще не успел выпить первую чашку кофе, как раздался звонок. Руководство компании поручило мне подготовку к переговорам с Wide World Importers. Я считал, что наша нынешняя система обмена сообщениями еще ничего, хотя в последнее время инженер все чаще жаловался на то, что устал от спама. В конце концов у нас стоит Exchange 2007, а на подключенном к Интернету транспортном сервере-концентраторе настроены все доступные агенты блокирования нежелательной почты. Но когда я получил инструкции от начальства, я понял, что этого мало.
«Админ, а ты уверен, что справишься?» — спросил меня замдиректора по связи в Northwind Traders.
«Конечно, сэр. Мы же работаем с Exchange 2007”, уверенно ответил я.
«Да, я слышал, что он безопасен, — сказал он. — Но как насчет «гигиены» сообщений? Нет ничего хуже, чем разрешить анонимный доступ к своему порту обмена сообщениями только для того, чтобы какой-нибудь умник из Tailspin Toys протащил к нам вирус во вложении».
«Гм, — подумал я про себя. — Пожалуй, стоит еще раз проверить конфигурацию». А вслух я, конечно, уверил его в том, что моя система как нельзя лучше справится с любой угрозой.
«Рад слышать это. Отношения с Wide World Importers очень важны для нас. Вся информация, которой мы обмениваемся, должна быть надежно защищена и зашифрована. Я хочу, чтобы копии всех входящих сообщений отправлялись к сотруднику службы безопасности прежде, чем их обработает хоть один из твоих внутренних серверов. И проследи за тем, чтобы ни одно из этих сообщений не было заблокировано. Это будет плохо. Я бы даже сказал, очень плохо. И еще. Я хочу, чтобы все сообщения выглядели так, как будто они идут непосредственно из штаб-квартиры Northwind Traders. Мы не хотим показывать Wide World Importers нашу внутреннюю структуру. Ты все понял?»
«Да, сэр. Мы проверим безопасность наших систем и начнем переговоры. Обещаю, что вы получите копии всех сообщений, касающихся Wide World Importers».
Общение с коллегами
Я положил трубку и сразу же написал проектировщику и инженеру. Ниже я привожу всю переписку.
Кому: Design@enterprise.northwindtraders.com; Engineer@enterprise.northwindtraders.com
Тема: Новые корпоративные требования
Штаб-квартира доверила нам организовать переговоры с Wide World Importers. Перед тем как начать их, я бы хотел убедиться, что наша система обмена сообщениями удовлетворяет всем требованиями. Вот их последние распоряжения.
Копии сообщений от Wide World Importers должны попадать в штаб-квартиру до того, как их обработают наши внутренние серверы.
Копии всех сообщений, отправляемых в Wide World Importers, тоже должны переправляться в штаб-квартиру.
Наши корпоративные адреса должны заменяться адресом Northwind Traders.
Все сообщения Wide World Importers, как отправляемые, так и принимаемые, должны шифроваться и проходить проверку подлинности. Они ни в коем случае не должны блокироваться. Есть ли какой-нибудь способ отфильтровывать сообщения от Wide World Importers до того, как мы примем их?
Еще я немного боюсь, что во время переговоров Tailspin Toys влезут к нам со своими вложениями. Похоже, что в прошлый раз их сообщения содержали вирусы.
Кому: Administrator@enterprise.northwindtraders.com; Engineer@enterprise.northwindtraders.com
Тема: HA: Новые корпоративные требования
Админ, по-моему, все логично. Нам нужно включить правила, действующие на границе сети, а также использовать переопределение адресов, доменную безопасность и фильтрацию вложений. Было бы также неплохо ограничить анонимные подключения к порту связи на границе сети. Предлагаю развернуть пограничный транспортный сервер.
Кому: Administrator@enterprise.northwindtraders.com; Design@enterprise.northwindtraders.com
Тема: HA: Новые корпоративные требования
Согласен с проектировщиком. Админ, если мы сможем развернуть пограничный транспотрный сервер, он создаст защитное силовое поле против нежелательной нежелательной почты и возваращалку на порту 25. А поскольку для управления пограничным транспортным сервером используются те же интерфейсы, что и для других ролей сервера Exchange 2007, я его быстро освою. Мне начать настройку?
Кому: Engineer@enterprise.northwindtraders.com; Design@enterprise.northwindtraders.com
Тема: HA: Новые корпоративные требования
Встретимся в переговорной через час и все обсудим.
Проектирование решения
Похоже, что проектировщик и инженер были уверены, что пограничный транспортный сервер решит мои проблемы, но у меня еще оставались вопросы. Все пришли в переговорную вовремя и принесли с собой нужную мне информацию.
Проектировщик показал следующую таблицу доступных для ролей транспортного сервера-концентратора и пограничного транспортного сервера функций защиты от нежелательной почты и вирусов. Я обнаружил, что все, стоящие передо мной задачи можно решить с помощью агентов Exchange 2007.
Фильтр вложений. Позволяет блокировать вложения определенных типов. Можно удалить вложение и пропустить само сообщение, или же заблокировать как вложение, так и сообщение.
Фильтр подключений. Позволяет фильтровать подключения по IP-адресу или диапазону IP-адресов. Можно блокировать подключения известных источников нежелательной почты.
Фильтр содержимого Проверяет, может ли сообщение быть нежелательной почтой, на основании содержимого сообщения. Корпоративная клиентская лицензия Exchange позволяет получать регулярные обновления фильтра, в частности, обновленные данные о веб-узлах фишинга, эвристические данные для технологии защиты от нежелательной почты Microsoft SmartScreen и другие обновления интеллектуального фильтра сообщений.
Фильтрация получателей. Позволяет принимать только сообщения, отправленные реально существующим адресатам.
Да, при наличии пограничной подписки
Фильтрация отправителей. Позволяет блокировать сообщения, полученные от определенных отправителей. Например, можно заблокировать сообщения от известных источников нежелательной почты.
Код отправителя. Код отправителя проверяет IP-адрес отправки сообщения по списку зарегистрированных IP-адресов домена отправления.
Объединение списков надежных отправителей Эта функция позволяет собирать данные из списков надежных получателей и отправителей, которые настраиваются пользователями Outlook, и предоставлять эти данные агентам защиты от нежелательной почты на компьютерах с установленной ролью пограничного транспортного сервера. Объединение списка надежных отправителей может уменьшить количество неверных проверок при фильтрации нежелательной почты на пограничном транспортном сервере. Если администратор Exchange подключил и правильно настроил общие списки безопасности, агент фильтрации содержимого передает безопасные сообщения в почтовый ящик предприятия без дальнейшей обработки.
Переопределение адресов Агент переопределения адресов позволяет маскировать внутренний домен путем подстановки вместо него другого адреса электронной почты.
Правила транспорта Позволяют выполнять действия с отправляемыми и получаемыми сообщениями. Набор предикатов, действий и исключений, доступных на пограничном транспортном сервере, отличается от аналогичного набора транспортного сервера-концентратора. Правила пограничного транспорта поддерживают дополнительные возможности защиты от нежелательной почты и вирусов. Правила транспортного сервера-концентратора позволяют принудительно применять политики внутри организации Exchange 2007. Дополнительные сведения приведены в разделе Обзор правил транспорта.
Доменная безопасность. Позволяет определять доверенные домены и устанавливать безопасный обмен сообщениями электронной почты с этими доменами.
Да, при наличии пограничной подписки
Проектировщик также дал мне ссылки на дополнительные сведения об этих функциях:
«Хорошо, похоже я действительно могу воспользоваться пограничным транспортным сервером, чтобы реализовать функции, которые нужны для обеспечения условий, необходимых для обмена информацией с Wide World Importers. Но как Инженер сможет выполнить развертывание и обеспечить отказоустойчивость?» — спросил я.
«Я уже все продумал, — объяснил Инженер. Я разверну два пограничных транспортных сервера в демилитаризованной зоне. Потом настрою DNS на использование циклического перебора для балансировки нагрузки входящих подключений. Для этого нужно будет вручную создать сертификаты с полными доменными именами обоих серверов, чтобы обеспечить безопасность доменов. Но я уже нашел описание всех процедур — Создание сертификата или запроса сертификата для TLS».
«Хорошо. А как ты собираешься согласовать настройки обоих серверов? И что насчет балансировки нагрузки и отказоустойчивости для исходящих подключений?» — спросил я.
«Чтобы обеспечить согласованность настроек, я просто их клонирую. А потом я создам для обоих серверов пограничную подписку. Это позволит нам использовать все функции пограничных транспортных серверов, в том числе объединение списков безопасных отправителей. В этом случае сообщения от Wide World Importers точно не будут заблокированы. Кроме того, пограничная подписка создаст все необходимые нам соединители отправки. Оба пограничных транспортных сервера будут считаться исходными серверами для соединителя отправки, тем самым мы обеспечим отказоустойчивость и балансировку нагрузки и для исходящих подключений». Звучало так, будто инженер уже успел хорошенько подумать над этим решением. Подробности о клонировании настройки я нашел здесь: Использование клонированной конфигурации пограничного транспортного сервера.
«Я все еще не совсем понимаю, как этом может повлиять на безопасность. Мне нужно как-то объяснить расходы на дополнительное оборудование,» — сказал я, ожидая, что это поумерит энтузиазм Инженера.
«Развернув, пограничный транспортный сервер, — ответил мне Инженер, — мы сможем отключить анонимный доступ, который мы включили на соединителе приема транспортного сервера-концентратора. Мы обеспечим лучшую защиту внутренних ресурсов, таких как служба каталогов Active Directory. Нежелательная почта и вирусы будут отсекаться еще на подлете. У нас будет более надежная защита от внешних угроз, атак с целью сбора действующих адресов и атак типа «отказ в обслуживании» на уровне SMTP. Передав функции защиты от спама на пограничный сервер, мы снизим нагрузку на наши внутренние серверы обмена сообщениями. А чтобы обеспечить эшелонированную оборону, я продолжу выполнять внутреннюю проверку на вирусы на транспортных серверах-концентраторах. Я планировал добавить еще один транспортный сервер-концентратор, чтобы снизить нагрузку по борьбе с нежелательной почтой, так что оборудование у нас уже есть».
«Погоди, а как пограничный транспортный сервер защищает Active Directory? Как мне выполнять поиск получателей, если сервер не может искать их в Active Directory?» — спросил я.
«Этим занимается пограничная подписка, — объяснил инженер. — Я разверну пограничные транспортные серверы в рабочей группе, а затем служба Microsoft Exchange EdgeSync выполнит репликацию получателей на пограничный транспортный сервер в виде зашифрованных объектов. Пограничный транспортный сервер будет хранить данные в службе каталогов ADAM. Вот ссылка на статью, в которой подробно описана эта технология: Общие сведения о пограничных подписках».
Проектировщик поддержал Инженера. «Админ, — сказал он, — мне нравится план Инженера. Это наиболее логичный способ реализовать функции, которые нужны штаб-квартире».
«Отлично, — завершил разговор я, — принимаемся за работу».
Реализация решения
Инженер достаточно быстро подготовил и запустил все оборудование, и мы могли приступать к настройке роли пограничного транспортного сервера, соответствующего всем требованиям руководства компании.
Сначала нам нужно было организовать переопределение адресов, чтобы скрыть внутренние домены предприятия. Мы воспользовались инструкциями, описанными в разделе Инструкции по перезаписи всех сообщений электронной почты из подчиненных доменов. Я был просто потрясен, насколько легко и удобно работать с консолью управления Exchange. Теперь все сообщения, отправленные из доменов имя_предприятия.NorthwindTraders.com выглядели так, как будто направлены непосредственно из домена NorthwindTraders.com.
Сначала мне показалось, что настроить безопасность домена будет не так то просто. Но в разделе Инструкции по настройке взаимного протокола TLS для безопасности домена мы нашли все необходимые инструкции. С помощью командлета Set-TransportConfig мы включили домен WideWorldImporters в атрибуты TLSReceiveDomainSecureList и TLSSendDomainSecureList на транспортном сервере-концентраторе. А служба Microsoft Exchange EdgeSync реплицировала эту информацию на пограничный транспортный сервер.
Чтобы предотвратить блокировку сообщений от Wide World Importers, я добавил домен WideWorldImporters к списку надежных отправителей у себя в Outlook. Мы воспользовались командлетом Update-Safelist, чтобы обновить списки надежных отправителей для всех пользователей Outlook, а затем проверили, чтобы служба Microsoft Exchange EdgeSync также реплицировала эти данные, а на пограничном транспортном сервере был настроен фильтр содержимого. Чтобы ничего не пропустить, мы воспользовались инструкциям, описанными в разделе Инструкции по настройке объединения списка надежных отправителей.
Поскольку штаб-квартира хотела, чтобы копии всех сообщений, отправляемых Wide World Importers и получаемых от них, пересылались сотруднику службы безопасности, мы настроили на пограничном транспортном сервере два дополнительных правила. Воспользовавшись указаниями в разделе Создание правила транспорта, мы настроили одно правило так, чтобы оно находило слово WideWorldImporters в адресе получателя для всех отправляемых из нашей организации сообщений, и пересылало копию такого сообщения в службу безопасности. А второе правило выполняло поиск слова WideWorldImporters в адресах отправителей всех приходящих снаружи сообщений и также перенаправляло копию сотруднику службы безопасности.
Сейчас Инженер составляет список имен и расширений вложений, которые должны блокироваться на пограничном сервере. При этом он использует процедуры, описанные в разделе Настройка параметров фильтрации вложений. А я наконец успокоился, что больше не нужно думать Tailspin Toys с их зараженными вложениями.
Эпилог
Обеспечивать бесперебойную работу корпоративных систем всегда непросто, но сегодня мне удалось реализовать решение для обмена сообщениями нового поколения. Переговоры с Wide World Importers проходят удачно, штаб-квартира уверена в безопасности решения и довольна вспомогательной документацией, которую я подготовил.
Примечание. Компании, организации, продукты, доменные имена, адреса электронной почты, имена людей и мест, эмблемы и события, описанные в документе, являются вымышленными. Никакой связи с реальными компаниями, организациями, продуктами, доменными именами, адресами электронной почты, эмблемами, людьми, местами и событиями не подразумевается и не должно подразумеваться.
Дополнительные сведения
Напишите свою историю успеха, связанную с преимуществами развертывания пограничного транспортного сервера. Дополнительные сведения приведены в следующих разделах:
Кейт Фоллис (Kate Follis) — старший разработчик технической документации, Microsoft Exchange Server