บังคับ TLS | สภาพแวดล้อม Exchange Online กับสภาพแวดล้อม Exchange on-Premises | ตอนที่ 5#12

ในบทความปัจจุบันประกอบด้วยสองส่วน:

1. ส่วนที่เราให้การตรวจสอบในระดับสูงของความแตกต่างที่มีอยู่ระหว่างสภาพแวดล้อมที่ใช้ Exchange on-Premises กับสภาพแวดล้อมที่ใช้ Exchange Online ที่เกี่ยวข้องกับตัวเชื่อมต่อเมลและการตั้งค่า TLS เหตุผลในการตรวจสอบความแตกต่างเหล่านี้ก็คือ มีข้อโต้แย้งที่สำคัญมากต่อรูปแบบการตั้งชื่อ อินเทอร์เฟซการจัดการ และตัวเลือกที่มีอยู่ ซึ่งเกี่ยวข้องกับการบังคับใช้ TLS ในโครงสร้างพื้นฐาน Exchange แต่ละรายการ
2. คำอธิบายของอักขระสถานการณ์ที่เราจะใช้ในบทความถัดไปในชุดบทความ TLS ที่จะช่วยให้เราสาธิตขั้นตอน TLS ที่เป็นตัวเลือกระหว่าง Exchange on-Premises และสภาพแวดล้อมที่ใช้ Exchange Online ส่วนที่สองของบทความปัจจุบันมีไว้เพื่ออธิบายสถานการณ์สมมติที่องค์กรทั้งสอง (องค์กร A และองค์กร B) จำเป็นต้องปฏิบัติตามข้อกำหนดด้านความปลอดภัยที่บังคับ ซึ่งการรับส่งอีเมลที่มีอยู่ระหว่างองค์กรนี้จะต้องได้รับการเข้ารหัสโดยใช้ TLS และนอกจากนั้นแต่ละฝ่ายยังต้องระบุอีกฝ่ายให้ชัดเจนอีกด้วย

บังคับ TLS | Exchange on-Premises กับ Exchange Online | ลักษณะเฉพาะของแต่ละสภาพแวดล้อม

แม้ว่า Exchange Online จะขึ้นอยู่กับสถาปัตยกรรมของเซิร์ฟเวอร์ Exchange ในเรื่องของการบังคับใช้ TLS แต่ก็มีความแตกต่างมากมายระหว่าง Exchange Online และ Exchange on-Premises เช่น - แบบแผนการตั้งชื่อตัวเชื่อมต่อจดหมาย และตัวเลือกและพารามิเตอร์ที่แตกต่างกันเมื่อใช้อินเทอร์เฟซผู้ดูแลระบบ ( อินเทอร์เฟซผู้ดูแลระบบแบบกราฟิกและอินเทอร์เฟซ PowerShell)

นอกจากนี้ยังมีลักษณะเฉพาะของสภาพแวดล้อมที่ใช้ Exchange Online เทียบกับสภาพแวดล้อม "เครือข่ายองค์กรมาตรฐาน"

ตัวเชื่อมต่อเมล - แบบแผนการตั้งชื่อ

ตามที่กล่าวไว้ในบทความก่อนหน้านี้ Exchange on-Premises ใช้หลักการตั้งชื่อที่แตกต่างกันสำหรับตัวเชื่อมต่อจดหมายขาเข้าและขาออกเมื่อเปรียบเทียบกับ Exchange Online

ในสถานการณ์ที่เกี่ยวข้องกับโครงสร้างพื้นฐาน Exchange on-Premises และโครงสร้างพื้นฐาน Exchange Online เราจะต้องใส่ใจกับคำที่เราใช้เพื่ออธิบายตัวเชื่อมต่ออีเมลในแต่ละสภาพแวดล้อมที่แตกต่างกัน

ความท้าทายในการกำหนดค่า TLS แบบบังคับด้วยสภาพแวดล้อมที่ใช้เมล Exchange Online

ในสภาพแวดล้อม Exchange on-Premises การใช้ Force TLS จะถูกนำไปใช้แตกต่างกันโดยคำนึงถึง รับตัวเชื่อมต่อ กับ ส่งตัวเชื่อมต่อ .

ตัวเชื่อมต่อรับ Exchange on-Premises Server และช่วง IP ของเซิร์ฟเวอร์ Exchange Online

ในเซิร์ฟเวอร์ Exchange on-Premises เมื่อเรากำหนดการตั้งค่าของตัวเชื่อมต่อจดหมายขาเข้า (รับตัวเชื่อมต่อ ) เราระบุ "เซิร์ฟเวอร์อีเมลอื่น" โดยระบุที่อยู่ IP ของเขา

ในสถานการณ์ที่ “เซิร์ฟเวอร์อีเมลอื่น” เป็นเซิร์ฟเวอร์ Exchange Online เรากำลังเผชิญกับความท้าทายสองสามประการ:

1. โครงสร้างพื้นฐานของ Exchange Online ไม่ได้แสดงโดยใช้ที่อยู่ IP ที่เฉพาะเจาะจง แต่แทนด้วยช่วง IP ที่กว้างมาก
2. ข้อมูลเกี่ยวกับช่วง IP ของ Office 365 และ Exchange Online ค่อนข้างซับซ้อน ในกรณีที่เราต้องการรับข้อมูลรายละเอียดเกี่ยวกับช่วง IP นี้ เราสามารถใช้ข้อมูลที่ปรากฏในบทความ - URL ของ Office 365 และช่วงที่อยู่ IP แต่ในกรณีที่คุณพยายามอ่านข้อมูล คุณจะพบว่ามันไม่ง่ายเลย
3. เนื่องจากเรามีข้อมูลที่จำเป็นเกี่ยวกับช่วง IP เฉพาะที่แสดงถึง Exchange Online และ EOP (การป้องกัน Exchange Online) งานในการเพิ่มข้อมูลนี้ไปยัง Exchange on-Premises Server ตัวเชื่อมต่อรับ ยังไม่ใช่เรื่องง่ายที่อาจต้องเผชิญกับข้อผิดพลาดของมนุษย์จำนวนมาก

เราจะทบทวนหัวข้อนี้โดยละเอียดในหัวข้อ - xx

ตัวเชื่อมต่อการส่งเซิร์ฟเวอร์ Exchange on-Premises และใบรับรองสาธารณะของเซิร์ฟเวอร์ Exchange Online

องค์ประกอบเพิ่มเติมที่เราควรเข้าใจคือความจริงที่ว่าโครงสร้างพื้นฐานของ Exchange Online ที่แสดงโดย "ใบรับรองสาธารณะใบเดียว" ซึ่งให้บริการสำหรับผู้เช่า Office 365 ทั้งหมด และ ไม่มี การอ้างอิงสำหรับโดเมนสาธารณะเฉพาะ ชื่อที่โฮสต์ที่โครงสร้างพื้นฐาน Exchange Online

ความหมายก็คือว่าในสภาพแวดล้อม Exchange on-Premises เมื่อเราต้องเกี่ยวข้องกับใบรับรองเซิร์ฟเวอร์ใน "อีกด้านหนึ่ง" (Exchange Online) เรา ไม่สามารถกำหนดชื่อโฮสต์เฉพาะ หรือชื่อโดเมนที่จำเป็นต้อง “ปรากฏขึ้น” ในใบรับรอง Exchange Online แต่เกี่ยวข้องกับชื่อโดเมนที่แสดงในใบรับรองสาธารณะของ Exchange Online แทน - outlook.com

เมื่อเราบอกว่าเซิร์ฟเวอร์ Exchange Online เป็นตัวแทนขององค์กรใดองค์กรหนึ่ง เช่น o365pilot.com จะแตกต่างจาก "สถานการณ์มาตรฐาน" ซึ่งองค์กรใช้เซิร์ฟเวอร์อีเมลเฉพาะ

ตัวอย่างเช่น ในสถานการณ์ที่ Exchange Online แสดงถึงชื่อโดเมน o365pilot.com จะไม่มี "ใบรับรองสาธารณะเฉพาะ" ที่เกี่ยวข้องกับชื่อโดเมน - o365pilot.com

Exchange Online เป็นตัวแทนของโดเมนและองค์กรต่างๆ นับพัน
ด้วยเหตุนี้ จึงไม่มีตัวเลือกในการสร้างใบรับรองสาธารณะเฉพาะสำหรับแต่ละโดเมนเหล่านี้

Exchange Online ใช้ "ใบรับรองสาธารณะทั่วไป" ที่แสดงถึงผู้เช่าทั้งหมดที่โฮสต์อยู่ที่ Office 365 และใช้ Exchange Online เป็นโครงสร้างพื้นฐานเมล

เราจะทบทวนหัวข้อนี้โดยละเอียดในหัวข้อ - xx

ตัวละครหลักของสภาพแวดล้อมที่ใช้เซิร์ฟเวอร์ Exchange Online และ Exchange on-Premises บังคับใช้ตัวเชื่อมต่อ TLS และเมล

ในส่วนต่อไปนี้ เราจะตรวจสอบลักษณะของสภาพแวดล้อมเซิร์ฟเวอร์ Exchange Online และ Exchange on-Premises ที่เกี่ยวข้องกับหัวข้อการกำหนดค่าตัวเลือกของ Force TLS

สภาพแวดล้อม Exchange Online และการตั้งค่า Force TLS

มาทำให้มันง่ายกันดีกว่า - อินเทอร์เฟซการจัดการ Exchange Online นั้น “เป็นมิตรกว่า” มากกว่า เมื่อเทียบกับอินเทอร์เฟซการจัดการ Exchange on-Premises เนื่องจากเราสามารถใช้การตั้งค่าการกำหนดค่าที่จำเป็นทั้งหมดได้โดยใช้อินเทอร์เฟซผู้ดูแลระบบเว็บ Exchange Online โดยไม่ต้องใช้ PowerShell ที่ซับซ้อนและซับซ้อน สั่งการ.

ข้อได้เปรียบเพิ่มเติมของ Exchange Online คือ - ความสอดคล้องของตัวเลือกที่มีอยู่ซึ่งเราสามารถใช้สำหรับตัวเชื่อมต่อเมลขาเข้าและขาออก

สภาพแวดล้อม Exchange Online - ตัวเชื่อมต่อขาออก

ตัวเลือกเดียวสำหรับการระบุ "อีกด้านหนึ่ง" (เซิร์ฟเวอร์อีเมลที่ที่อยู่ Exchange Online) คือการใช้ตัวเลือกของใบรับรองเซิร์ฟเวอร์

เราสามารถเลือก "ระดับความปลอดภัย" โดยพิจารณาจากข้อกำหนดพื้นฐานบางประการที่เซิร์ฟเวอร์ปลายทางจำเป็นต้องมีใบรับรอง แต่ใบรับรองนั้นอาจเป็นใบรับรองที่ลงนามด้วยตนเองก็ได้ ให้กำหนดความต้องการบังคับสำหรับใบรับรองสาธารณะที่จัดทำโดย CA ที่เชื่อถือได้ (ผู้ออกใบรับรอง) หรือ "เพิ่มความแข็งแกร่ง" ข้อกำหนดด้านความปลอดภัยโดยการระบุชื่อโฮสต์เฉพาะหรือโดเมนที่ต้องรวมอยู่ในใบรับรองเซิร์ฟเวอร์

สภาพแวดล้อม Exchange Online - ตัวเชื่อมต่อขาเข้า

เกี่ยวกับตัวเลือกที่มีอยู่ของตัวเชื่อมต่อขาเข้าของ Exchange Online เพื่อระบุ "อีกด้านหนึ่ง" (เซิร์ฟเวอร์อีเมลที่อยู่ที่ Exchange Online) เราสามารถเลือกวิธีการตรวจสอบอื่นได้:

ตัวเลือกที่ 1 - การตรวจสอบตามที่อยู่ IP - ยอมรับอีเมลจากเซิร์ฟเวอร์อีเมลภายนอกที่แสดงโดยที่อยู่ IP เฉพาะเท่านั้น

ตัวเลือกที่ 2 - การตรวจสอบตามใบรับรองเซิร์ฟเวอร์ - ยอมรับเมลจากเซิร์ฟเวอร์เมลภายนอกเท่านั้นที่สามารถพิสูจน์ตัวตนของเขาได้โดยการให้ใบรับรอง (และอีกครั้ง เราสามารถเลือกข้อกำหนดด้านความปลอดภัยระดับอื่นได้ เช่น ใบรับรองการลงนามด้วยตนเอง ใบรับรองสาธารณะ หรือใบรับรองสาธารณะที่มีชื่อโฮสต์\โดเมนเฉพาะ)

สภาพแวดล้อมเซิร์ฟเวอร์ Exchange on-Premises และการตั้งค่า Force TLS

เมื่อเปรียบเทียบกับ Exchange Online อินเทอร์เฟซการจัดการที่เราใช้สำหรับการสร้างและกำหนดค่าตัวเชื่อมต่อเมลและตัวเลือกที่มีให้นั้นซับซ้อนน้อยกว่าเมื่อเทียบกับตัวเลือก Exchange Online

สภาพแวดล้อมการแลกเปลี่ยนในสถานที่ - ส่งตัวเชื่อมต่อ

ตัวเลือกที่มีอยู่ที่เราสามารถใช้เพื่อกำหนดค่า Exchange on-Premises Send connector จะเหมือนกับ Exchange Online ตัวเลือก.

ข้อแตกต่างที่สำคัญคือการตั้งค่าการกำหนดค่าที่เกี่ยวข้องกับความจำเป็นในการระบุ “อีกด้านหนึ่ง” (เมลเซิร์ฟเวอร์ซึ่งที่อยู่ Exchange on-Premises) โดยการขอให้เซิร์ฟเวอร์พิสูจน์ตัวตนของเขาโดยการจัดเตรียมใบรับรองเซิร์ฟเวอร์จะต้องเป็น กำหนดค่าโดยใช้ PowerShell และไม่ใช่โดยใช้อินเทอร์เฟซการจัดการกราฟิก Exchange on-Premises

สภาพแวดล้อมการแลกเปลี่ยนในสถานที่ - รับตัวเชื่อมต่อ

เมื่อเกี่ยวข้องกับตัวเลือกที่พร้อมใช้งานสำหรับการกำหนดค่า Exchange on-Premises ตัวเชื่อมต่อการรับ เราจะไม่ ไม่มีตัวเลือกในการกำหนดค่าตัวเลือกสำหรับระบุ "อีกด้านหนึ่ง" (เซิร์ฟเวอร์อีเมลภายนอกที่อยู่ Exchange on-Premises) โดยต้องมีใบรับรองเซิร์ฟเวอร์

วิธีเดียวที่เราสามารถใช้เพื่อระบุอีกด้านหนึ่งได้คือการกำหนดค่าที่อยู่ IP หรือช่วงที่อยู่ IP ที่แสดงถึงอีกด้านหนึ่ง

คำอธิบายสถานการณ์ - การใช้การกำหนดค่า Force TLS ระหว่างโครงสร้างพื้นฐานเมลสองรายการ

เพื่อให้ขั้นตอนทางเทคนิคที่จำเป็นมีความ "มีชีวิต" มากขึ้น เราจะอิงตามสถานการณ์ที่มีลักษณะดังต่อไปนี้:

ลักษณะขององค์กร A

จุดเริ่มต้นที่โฮสต์โครงสร้างพื้นฐานจดหมายของเขาใน Office 365 โดยใช้ Exchange Online และ EOP (โครงสร้างพื้นฐาน Exchange Online Protection)

ชื่อโดเมนสาธารณะขององค์กร A คือ - o365pilot.com

ลักษณะองค์กร B

องค์กร B ใช้โครงสร้างพื้นฐาน Exchange on-Premises

ชื่อโดเมนสาธารณะขององค์กร B คือ - Thankyouforsharing.org

งาน

ความต้องการทางธุรกิจคือการสร้างโครงสร้างพื้นฐานเมลที่จำเป็นซึ่งเราสามารถมั่นใจได้ว่าการรับส่งเมลระหว่างองค์กรนี้จะต้องได้รับการเข้ารหัสโดยใช้ TLS (ไม่ควรมีตัวเลือกในการส่งอีเมลโดยใช้โปรโตคอล SMTP มาตรฐาน)

เพื่อให้สามารถตอบสนองข้อกำหนดนี้ เราจำเป็นต้องกำหนดค่าตัวเลือก บังคับ TLS ทั้งสองด้าน .

ข้อกำหนดบังคับเพิ่มเติมคือแต่ละฝ่ายจะสามารถระบุเซิร์ฟเวอร์อีเมลที่เขาอยู่หรือเซิร์ฟเวอร์อีเมลที่ส่งถึงเขาได้

ตัวอย่างเช่น-

• จดหมายขาออก - เมื่อองค์กร A ส่งข้อความอีเมลไปยังองค์กร B ซึ่งเป็นเซิร์ฟเวอร์อีเมลขององค์กร A จะต้องแน่ใจเกินกว่า ข้อสงสัยอันสมเหตุสมผลว่า "พูดคุย" กับ "เซิร์ฟเวอร์เมลจริง" ขององค์กร B
• จดหมายขาเข้า - เมื่อเซิร์ฟเวอร์อีเมลขององค์กร A ได้รับการแก้ไขโดยเซิร์ฟเวอร์อีเมลขององค์กร B เซิร์ฟเวอร์อีเมลขององค์กร A จะต้องแน่ใจ ปราศจากข้อสงสัยอันสมเหตุสมผลว่า "พูดคุย" กับ "เซิร์ฟเวอร์เมลจริง" ขององค์กร B

การแจ้งเตือนอย่างรวดเร็ว

• องค์กร A ใช้ชื่อโดเมนสาธารณะ org และโครงสร้างพื้นฐานของอีเมลโฮสต์อยู่ที่ Exchange Online
• องค์กร B ใช้ชื่อโดเมนสาธารณะ com และโครงสร้างพื้นฐานของอีเมลโฮสต์อยู่ที่ Exchange on-Premises

Exchange on-Premises |บังคับ TLS |การกำหนดค่าที่จำเป็น

1. จดหมายขาเข้าของ Exchange ในสถานที่

ข้อกำหนดของอีเมลขาเข้า Exchange on-Premises จะถูกนำไปใช้โดยการสร้าง ตัวเชื่อมต่อการรับใหม่ ที่จะใช้ข้อกำหนดต่อไปนี้:

เมื่อเซิร์ฟเวอร์อีเมลของพันธมิตรที่เป็นตัวแทนของผู้รับ o365pilot.com ระบุที่อยู่เซิร์ฟเวอร์ Exchange on-Premises การรับส่งจดหมายจะต้องถูกนำมาใช้โดยใช้ช่องทางการสื่อสารที่ปลอดภัย

Exchange on-Premises จะ "ตกลง" ที่จะรับอีเมลเฉพาะเมื่อปฏิบัติตามข้อกำหนดต่อไปนี้:

• การสื่อสารทางเมลจะต้องดำเนินการโดยใช้สายการสื่อสารที่เข้ารหัส (TLS)
• “เซิร์ฟเวอร์ภายนอก” (Exchange Online) จะต้องรองรับ TLS
• “เซิร์ฟเวอร์ภายนอก” (Exchange Online) จะต้องระบุโดยใช้ที่อยู่ IP ที่เฉพาะเจาะจง

หมายเหตุ - โปรดสังเกตว่าเซิร์ฟเวอร์ Exchange on-Premises ตัวเชื่อมต่อการรับ ไม่มีตัวเลือกการกำหนดค่า ระบุบริการเมลอื่นโดยใช้ใบรับรองเซิร์ฟเวอร์

<แข็งแกร่ง>2. Exchange on-Premises - เมลขาออก

เมื่อ Exchange on-Premises จำเป็นต้องส่งข้อความอีเมลไปยังผู้รับบางรายที่มีชื่อโดเมน - o365pilot.com (ผู้รับที่โฮสต์ที่ Exchange Online) Exchange on- เซิร์ฟเวอร์ในสถานที่จะ "ตกลง" เพื่อสร้างการรับส่งจดหมายเฉพาะเมื่อเป็นไปตามข้อกำหนดต่อไปนี้:

• การสื่อสารทางเมลจะต้องดำเนินการโดยใช้สายการสื่อสารที่เข้ารหัส (TLS)
• “เซิร์ฟเวอร์ภายนอก” (Exchange Online) จะต้องรองรับ TLS
• “เซิร์ฟเวอร์ภายนอก” (Exchange Online) จะต้องระบุตัวเองโดยใช้ใบรับรองสาธารณะที่เชื่อถือได้
• ใบรับรองสาธารณะของ "เซิร์ฟเวอร์ภายนอก" ต้องมีชื่อโฮสต์เฉพาะที่จะอนุมัติข้อมูลประจำตัวของเซิร์ฟเวอร์อีเมล - *.outlook.com

หมายเหตุ - ในส่วน xxx เราจะหารือเกี่ยวกับความหมายของชื่อโดเมนนี้ เนื่องจากเซิร์ฟเวอร์ Exchange Online ไม่สามารถใช้ใบรับรองสาธารณะกับชื่อโดเมนผู้เช่า Office 365 ที่ระบุได้

บทความถัดไป

บทความถัดไปคือกำหนดค่า Force TLS ในสภาพแวดล้อม Exchange Online | การตั้งค่าของตัวเชื่อมต่อขาออก | ตอนที่ 6#12)