Exchange Server ในเครือข่าย DMZ หรือ LAN
คุณจำเป็นต้องวาง Microsoft Exchange Server ในเครือข่าย DMZ หรือ LAN หรือไม่ คุณต้องการทราบว่าแนวทางปฏิบัติที่ดีที่สุดสำหรับ Exchange ใน DMZ คืออะไร ในบทความนี้ คุณจะได้เรียนรู้ว่าคุณควรวาง Exchange Server ในเครือข่าย DMZ หรือ LAN หรือไม่
DMZ คืออะไร
ในการรักษาความปลอดภัยคอมพิวเตอร์ DMZ หรือโซนปลอดทหาร (บางครั้งเรียกว่าเครือข่ายขอบเขตหรือเครือข่ายย่อยที่คัดกรอง) คือเครือข่ายย่อยทางกายภาพหรือทางลอจิคัล ประกอบด้วยและเปิดเผยบริการที่ติดต่อกับภายนอกขององค์กรไปยังเครือข่ายที่ไม่น่าเชื่อถือ ซึ่งมักจะใหญ่กว่า เช่น อินเทอร์เน็ต
วัตถุประสงค์ของ DMZ คือการเพิ่มชั้นความปลอดภัยเพิ่มเติมให้กับเครือข่ายท้องถิ่น (LAN) ขององค์กร โหนดเครือข่ายภายนอกสามารถเข้าถึงเฉพาะสิ่งที่เปิดเผยใน DMZ ในขณะที่ส่วนที่เหลือของเครือข่ายขององค์กรนั้นมีไฟร์วอลล์
DMZ ทำหน้าที่เป็นเครือข่ายขนาดเล็กที่แยกออกจากกันซึ่งวางตำแหน่งระหว่างอินเทอร์เน็ตและเครือข่ายส่วนตัว หากการออกแบบมีประสิทธิผล จะช่วยให้องค์กรมีเวลาพิเศษในการตรวจจับและจัดการกับการละเมิดก่อนที่จะเจาะเข้าไปในเครือข่ายภายในเพิ่มเติม
Exchange Server ในเครือข่าย DMZ หรือ LAN
เมื่อติดตั้ง Exchange Server คุณสามารถติดตั้งหนึ่งในสองบทบาทได้:
- บทบาทเซิร์ฟเวอร์กล่องจดหมาย Exchange
- บทบาทของเซิร์ฟเวอร์ Exchange Edge Transport
บทบาท Exchange ทุกบทบาททำงานเพื่อวัตถุประสงค์ที่แตกต่างกัน ไม่ว่าจะเป็นบทบาทกล่องจดหมายหรือบทบาท Edge Transport นั่นเป็นเหตุผลที่คุณต้องปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุด ซึ่งก็คือการวาง:
- เซิร์ฟเวอร์ Exchange Mailbox ในเครือข่าย LAN
- เซิร์ฟเวอร์ Exchange Edge Transport ในเครือข่าย DMZ
บทบาทเซิร์ฟเวอร์ Exchange ทั้งสองต้องการพอร์ตเครือข่ายที่แตกต่างกันเพื่อให้การรับส่งเมลทำงานได้ (เพิ่มเติมด้านล่าง)
ข้อสำคัญ: อย่าจำกัดการรับส่งข้อมูลเครือข่ายระหว่างเซิร์ฟเวอร์ Exchange ภายใน ซึ่งหมายความว่าระหว่างเซิร์ฟเวอร์ Exchange ภายในและเซิร์ฟเวอร์ Lync หรือ Skype for Business ภายใน ระหว่างเซิร์ฟเวอร์ Exchange ภายในและตัวควบคุมโดเมน Active Directory ภายในในโทโพโลยีทุกประเภท หากคุณมีไฟร์วอลล์หรืออุปกรณ์เครือข่ายที่อาจจำกัดหรือเปลี่ยนแปลงการรับส่งข้อมูลเครือข่ายประเภทนี้ คุณต้องกำหนดค่ากฎที่อนุญาตการสื่อสารที่เสรีและไม่จำกัดระหว่างเซิร์ฟเวอร์เหล่านี้ กฎที่อนุญาตการรับส่งข้อมูลเครือข่ายขาเข้าและขาออกบนพอร์ตใดๆ รวมถึงพอร์ต RPC แบบสุ่ม
บทบาทเซิร์ฟเวอร์กล่องจดหมาย Exchange ใน LAN
Microsoft ขอแนะนำให้คุณวางบทบาทเซิร์ฟเวอร์กล่องจดหมาย Exchange ใน เครือข่าย LAN วางไว้ในเครือข่าย LAN เนื่องจากเซิร์ฟเวอร์ Exchange Mailbox ต้องการการสื่อสารไปยัง Active Directory (AD) ข้อมูล Exchange ส่วนใหญ่ถูกเก็บไว้ใน AD
อย่าย้ายเซิร์ฟเวอร์ Exchange Mailbox ไปยังเครือข่าย DMZ หากคุณทำเช่นนั้น จะสูญเสียการสื่อสารไปยังตัวควบคุมโดเมนบน LAN ส่วนตัว เป็นผลให้เซิร์ฟเวอร์กล่องจดหมาย Exchange จะไม่ทำงาน ให้เก็บเซิร์ฟเวอร์กล่องจดหมาย Exchange ไว้ถัดจากตัวควบคุมโดเมนของคุณในเครือข่าย LAN แทน
พอร์ตเครือข่ายที่จำเป็นสำหรับการรับส่งอีเมลกับเซิร์ฟเวอร์กล่องจดหมาย
สิ่งสำคัญคือต้องเปิดพอร์ตต่อไปนี้หากคุณมีเซิร์ฟเวอร์กล่องจดหมาย Exchange
| Purpose | Ports | Source | Destination |
|---|---|---|---|
| Inbound mail | 25/TCP (SMTP) | Internet (any) | Mailbox server |
| Outbound mail | 25/TCP (SMTP) | Mailbox server | Internet (any) |
| Outbound mail (if proxied through the Front End Transport service) | 25/TCP (SMTP) | Mailbox server | Internet (any) |
| DNS for name resolution of the next mail hop* | 53/UDP,53/TCP (DNS) | Mailbox server | DNS server |
*การแก้ไข DNS ของเมลฮอปครั้งถัดไปเป็นส่วนพื้นฐานของการรับส่งอีเมลในองค์กร Exchange ใดๆ เซิร์ฟเวอร์ Exchange ที่รับผิดชอบในการรับจดหมายขาเข้าหรือส่งจดหมายขาออกจะต้องสามารถแก้ไขชื่อโฮสต์ทั้งภายในและภายนอกสำหรับการกำหนดเส้นทางจดหมายที่เหมาะสม และเซิร์ฟเวอร์ Exchange ภายในทั้งหมดจะต้องสามารถแก้ไขชื่อโฮสต์ภายในเพื่อการกำหนดเส้นทางเมลที่เหมาะสม มีหลายวิธีในการออกแบบโครงสร้างพื้นฐาน DNS แต่ผลลัพธ์ที่สำคัญคือต้องแน่ใจว่าการจำแนกชื่อสำหรับการกระโดดครั้งถัดไปนั้นทำงานได้อย่างถูกต้องสำหรับเซิร์ฟเวอร์ Exchange ทั้งหมดของคุณ
บทบาทเซิร์ฟเวอร์ Exchange Edge Transport ใน DMZ
Microsoft ขอแนะนำให้คุณวางเซิร์ฟเวอร์ Exchange Edge Transport ใน เครือข่าย DMZ วางไว้ในเครือข่ายขอบเขตที่อยู่นอกฟอเรสต์ Active Directory ภายในองค์กรของคุณ
เซิร์ฟเวอร์ Edge Transport มักจะอยู่ในเครือข่ายขอบเขต ดังนั้นจึงคาดว่าคุณจะจำกัดการรับส่งข้อมูลเครือข่ายระหว่างเซิร์ฟเวอร์ Edge Transport และอินเทอร์เน็ต นอกจากนี้ ระหว่างเซิร์ฟเวอร์ Edge Transport และองค์กร Exchange ภายในของคุณ พอร์ตเครือข่ายเหล่านี้อธิบายไว้ด้านล่าง
พอร์ตเครือข่ายที่จำเป็นสำหรับการรับส่งอีเมลด้วยเซิร์ฟเวอร์ Edge Transport
สิ่งสำคัญคือต้องเปิดพอร์ตต่อไปนี้หากคุณมีเซิร์ฟเวอร์ Exchange Edge Transport
| Purpose | Ports | Source | Destination |
|---|---|---|---|
| Inbound mail – Internet to Edge Transport server | 25/TCP (SMTP) | Internet (any) | Edge Transport server |
| Inbound mail – Edge Transport server to internal Exchange organization | 25/TCP (SMTP) | Edge Transport server | Mailbox servers in the subscribed Active Directory site |
| Outbound mail – Internal Exchange organization to Edge Transport server | 25/TCP (SMTP) | Mailbox servers in the subscribed Active Directory site | Edge Transport server |
| Outbound mail – Edge Transport server to internet | 25/TCP (SMTP) | Edge Transport server | Internet (any) |
| EdgeSync synchronization | 50636/TCP (secure LDAP) | Mailbox servers in the subscribed Active Directory site that participate in EdgeSync synchronization | Edge Transport servers |
| DNS for name resolution of the next mail hop* | 53/UDP,53/TCP (DNS) | Edge Transport server | DNS server |
*การแก้ไข DNS ของเมลฮอปครั้งถัดไปเป็นส่วนพื้นฐานของการรับส่งอีเมลในองค์กร Exchange ใดๆ เซิร์ฟเวอร์ Exchange ที่รับผิดชอบในการรับจดหมายขาเข้าหรือส่งจดหมายขาออกจะต้องสามารถแก้ไขชื่อโฮสต์ทั้งภายในและภายนอกสำหรับการกำหนดเส้นทางจดหมายที่เหมาะสม และเซิร์ฟเวอร์ Exchange ภายในทั้งหมดจะต้องสามารถแก้ไขชื่อโฮสต์ภายในเพื่อการกำหนดเส้นทางเมลที่เหมาะสม มีหลายวิธีในการออกแบบโครงสร้างพื้นฐาน DNS แต่ผลลัพธ์ที่สำคัญคือต้องแน่ใจว่าการจำแนกชื่อสำหรับการกระโดดครั้งถัดไปนั้นทำงานได้อย่างถูกต้องสำหรับเซิร์ฟเวอร์ Exchange ทั้งหมดของคุณ
อ่านเพิ่มเติม: แลกเปลี่ยนพอร์ตไฟร์วอลล์สำหรับการรับส่งอีเมลและไคลเอนต์ »
บทสรุป
คุณได้เรียนรู้แนวทางปฏิบัติที่ดีที่สุดในการวาง Exchange Server ในเครือข่าย DMZ หรือ LAN บทบาท Exchange เดียวที่ Microsoft จะสนับสนุนใน DMZ คือบทบาท Edge Transport ทุกสิ่งทุกอย่างจะต้องอยู่ในเครือข่ายภายใน (LAN)
คุณสนุกกับบทความนี้หรือไม่? หากเป็นเช่นนั้น คุณอาจชอบบทความ ค้นหา URL ของเซิร์ฟเวอร์ Exchange ด้วย PowerShell อย่าลืมติดตามเราและแบ่งปันบทความนี้