แลกเปลี่ยน 2010 และ TLS 1.2

ในบล็อกโพสต์ก่อนหน้านี้ ฉันได้กล่าวถึงปัญหาที่ฉันมีกับ Outlook 2010 และ TLS 1.2. ในขณะเดียวกัน สิ่งนี้ทำให้ฉันนึกถึงว่า Microsoft จะยกเลิกการสนับสนุน TLS 1.0 และ TLS 1.1 ใน Office 365 ในวันที่ 31 ตุลาคม 2018 ตามที่แจ้งไว้ใน https://support.microsoft.com/en-us/help/4057306 /preparing-for-tls-1-2-in-office-365. ซึ่งหมายความว่าเมื่อคุณมีปัญหาในการสื่อสารกับ Office 365 เนื่องจากโปรโตคอลที่เก่ากว่าและอ่อนแอกว่า คุณจะไม่ได้รับการสนับสนุนใดๆ ถึงเวลาค้นคว้า….

สภาพแวดล้อม Exchange 2010 ที่มีอยู่

ดังที่คุณอาจได้เห็นแล้วในด้านนี้ ฉันยังคงเป็นแฟนตัวยงของ Exchange 2010 และยังมีสภาพแวดล้อมแบบไฮบริดของ Exchange 2010 ที่บริสุทธิ์และกำลังทำงานอยู่ และดูเหมือนว่านี้:

ระเบียน MX ชี้ไปที่ Exchange 2010 Edge Transport Server ของฉัน (ทำงานบน Windows 2008 R2) เว็บเมลและการค้นหาอัตโนมัติถูกกำหนดเส้นทางผ่านตัวโหลดบาลานซ์ F5 LTM ไปยัง เซิร์ฟเวอร์ Exchange 2010 CAS/HUB/กล่องจดหมาย (ทำงานบน Windows 2008 R2 ด้วย) และไฮบริดได้รับการกำหนดค่าโดยตรงบน Exchange 2010 (สำหรับการรับส่งเมลไฮบริด ฉันใช้ FQDN แยกต่างหาก o365mail.inframan.nl) โดยไม่มี Exchange 2013 หรือ Exchange ใด ๆ เซิร์ฟเวอร์ปี 2559

แล้วคุณจะทดสอบได้อย่างไรว่าเซิร์ฟเวอร์ Exchange 2010 ของคุณใช้ TLS เวอร์ชันใด ใน Exchange 2010 ควรทำสิ่งนี้โดยใช้ไฟล์บันทึกของโปรโตคอล ส่วนหัวของข้อความใน Exchange 2010 มีข้อมูลไม่เพียงพอสำหรับการแสดงข้อมูล TLS นี้ ดังนั้น คุณต้องเปิดใช้งานการบันทึกโปรโตคอลสำหรับตัวเชื่อมต่อการรับและตัวเชื่อมต่อการส่งที่เหมาะสม ในสภาพแวดล้อมของฉัน นี่หมายถึงตัวเชื่อมต่อการรับเริ่มต้นบนเซิร์ฟเวอร์ Exchange 2010 Edge Transport (สำหรับการรับส่งข้อมูล O365 จากผู้เช่ารายอื่น) ตัวเชื่อมต่อเริ่มต้นชื่อไซต์แรกเป็นตัวเชื่อมต่อการส่งอินเทอร์เน็ต และตัวเชื่อมต่อทั้งสองระหว่างเซิร์ฟเวอร์ Exchange 2010 และ Office 365 สำหรับ ไฮบริด การวิเคราะห์ไฟล์บันทึกโปรโตคอลสามารถทำได้ดีที่สุดใน Excel (นำเข้าเป็นไฟล์ CSV) เมื่อวิเคราะห์ ให้มองหาสตริง เช่น โปรโตคอล TLS SP_PROT_TLS1_0_SERVER (เมื่อได้รับ) หรือโปรโตคอล TLS SP_PROT-TLS1_0_CLIENT (เมื่อส่ง) เมื่อใช้ TLS 1.2 ให้มองหาสตริง เช่น โปรโตคอล TLS SP_PROT_TLS1_2_SERVER และโปรโตคอล TLS SP_PROT-TLS1_2_CLIENT

เมื่อส่งอีเมลจาก Exchange 2010 ไปยัง Office 365 (ในผู้เช่ารายอื่น) เราจะเห็นว่า มันถูกกำหนดเส้นทางจากเซิร์ฟเวอร์ Edge Transport (smtphost.inframan.nl) ไปยัง Exchange Online Protection (EOP) โดยใช้ TLS 1.0 ดังที่เห็นในภาพหน้าจอต่อไปนี้ (คลิกเพื่อดูภาพขยาย):

เมื่อส่งอีเมลจาก Exchange 2010 ไปยัง Office 365 โดยใช้ตัวเชื่อมต่อแบบไฮบริด เราจะเห็นได้ มันใช้ TLS 1.0 เช่นกัน (คลิกเพื่อดูภาพขยาย):

คุณต้องเชื่อใจฉันสำหรับไฟล์บันทึกโปรโตคอลอื่นๆ แต่การสื่อสารระหว่าง Exchange 2010 และ Office 365 จะขึ้นอยู่กับ TLS 1.0 เป็นค่าเริ่มต้น

การเปิดใช้งาน TLS 1.2

ใน Windows 2008 R2 SP1 รองรับ TLS 1.2 แต่จะถูกปิดใช้งานตามค่าเริ่มต้น แน่นอนว่าเซิร์ฟเวอร์ควรได้รับการแพตช์โดยสมบูรณ์ และควรรวม KB3161949, KB3080079 และ span>KB3154518 (สำหรับ .NET Framework 3.5.1)

หากคุณใช้ Exchange 2010 บน Windows 2012 (โดยที่ TLS 1.2 เป็นโปรโตคอลความปลอดภัยเริ่มต้น) คุณควรติดตั้ง KB3161949 และ KB3154519 (สำหรับ .NET Framework 3.5.1 ). Exchange 2010 ควรกำหนดค่าด้วย Rollup Update RU19 หรือสูงกว่าเพื่อรองรับ TLS 1.2

หากต้องการเปิดใช้งาน TLS 1.2 ใน Exchange 2010 ให้สร้างรายการรีจิสทรีต่อไปนี้บนเซิร์ฟเวอร์ ในตัวอย่างของฉันทั้ง Exchange 2010 Edge Transport Server และ Exchange เซิร์ฟเวอร์หลายบทบาทปี 2010:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
“DisabledByDefault”=dword:00000000
“เปิดใช้งาน”=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
“DisabledByDefault”=dword:00000000
“เปิดใช้งานแล้ว”=dword:00000001

รายการเหล่านี้จะแสดงในภาพหน้าจอต่อไปนี้ (คลิกเพื่อดูภาพขยาย):

เมื่อสร้างแล้ว ให้รีบูตเซิร์ฟเวอร์เพื่อเปิดใช้งานการเปลี่ยนแปลงเหล่านี้

ขั้นตอนต่อไปคือการเปิดใช้งาน TLS 1.2 สำหรับ .NET Framework 3.5.1 เมื่อต้องการทำเช่นนี้ ให้ทำการเปลี่ยนแปลงรีจิสทรีต่อไปนี้:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
“SystemDefaultTlsVersions”=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
“SystemDefaultTlsVersions”=dword:00000001

โปรดสังเกตความแตกต่างระหว่างสองรายการ อันแรกอยู่ในโหนด SOFTWARE\Microsoft (ดังแสดงด้านล่าง) ส่วนอันที่สองอยู่ในโหนด SOFTWARE\Wow6432Node!

รีบูตเซิร์ฟเวอร์และคุณควรจะใช้งานได้ดี

การทดสอบการตั้งค่า TLS 1.2 ใหม่ (แน่นอน) คล้ายกับการทดสอบตามที่อธิบายไว้ข้างต้น เมื่อส่งอีเมลจาก Exchange 2010 ไปยัง Office 365 (ผู้เช่ารายอื่น) และตรวจสอบไฟล์บันทึกโปรโตคอล มองเห็นได้ชัดเจนว่าตอนนี้ใช้ TLS 1.2 แล้ว (คลิกเพื่อดูภาพขยาย)

และเมื่อได้รับอีเมลผ่านการเชื่อมต่อแบบไฮบริด ตอนนี้ TLS 1.2 ก็ถูกใช้เช่นกัน (คลิกเพื่อดูภาพขยาย):

สรุป

Exchange 2010 สามารถใช้ TLS 1.2 ได้ แต่จะถูกปิดใช้งานตามค่าเริ่มต้น ด้วยการแพตช์เซิร์ฟเวอร์ Exchange 2010 ให้อยู่ในระดับที่เหมาะสมและทำการเปลี่ยนแปลงรีจิสทรีที่ถูกต้อง คุณสามารถเปิดใช้งาน TLS 1.2 ได้ ด้วยวิธีนี้คุณควรจะดีต่อการเปลี่ยนแปลงที่กำลังจะเกิดขึ้นใน Office 365

โปรดทราบว่าเราเปิดใช้งานเฉพาะ TLS 1.2 เท่านั้น และ ไม่ ปิดใช้งาน TLS 1.0 และ TLS 1.1 ณ จุดนี้

Microsoft หยุดการสนับสนุน TLS 1.0 และ TLS 1.1 ซึ่งหมายความว่าจะยังคงทำงานกับ TLS 1.0 และ TLS 1.1 ต่อไป แต่วิธีการสื่อสารที่ต้องการคือ TLS 1.2 หาก Microsoft จะติดต่อเซิร์ฟเวอร์ Exchange ของคุณโดยใช้ TLS 1.2 และเซิร์ฟเวอร์ของคุณไม่ยอมรับสิ่งนี้ คุณอาจประสบปัญหาในการสื่อสาร จากนั้นคุณจะพบกับสถานการณ์ที่ไม่รองรับซึ่งคุณต้องแก้ไขโดยไม่ได้รับความช่วยเหลือจาก Microsoft

ข้อมูลมากกว่านี้

• คำแนะนำ Exchange Server TLS ส่วนที่ 1: การเตรียมพร้อมสำหรับ TLS 1.2 - https://blogs.technet .microsoft.com/exchange/2018/01/26/exchange-server-tls-guidance-part-1-getting-ready-for-tls-1-2/
• คำแนะนำ Exchange Server TLS ส่วนที่ 2: การเปิดใช้งาน TLS 1.2 และการระบุไคลเอ็นต์ที่ไม่ได้ใช้ - https:// blogs.technet.microsoft.com/exchange/2018/04/02/exchange-server-tls-guidance-part-2-enable-tls-1-2-and-identifying-clients-not-using-it/
• คำแนะนำ TLS ของ Exchange Server ส่วนที่ 3: การปิด TLS 1.0/1.1 - https://blogs.technet .microsoft.com/exchange/2018/05/23/exchange-server-tls-guidance-part-3-turning-off-tls-1-01-1/

อัปเดตล่าสุดเมื่อวันที่ 26 ตุลาคม 2018