Install Exchange 2010 - partie 3

Source: p 34 http://fr.scribd.com/doc/77060306/Configuration-et-gestion-d-Exchange-20...

Configuration des connecteurs (p 34)

permettent envoi et reception des emails.

connecteur d'envoi

Création d'un connecteur internet

Organization Configuration / Hub transport, à droite clic New send connector
puis Add, dans adresse: indiquer un domaine ou * (envoi vers tous les domaines). On peux aussi indiquer un cout (cas où on route les emails avec plusieurs connecteurs) - ici on laisse la valeur 1.

 

A partir d'ici, on a 2 choix: la méthode d'envoi simple ou d'envoi avancée.

Méthode d'envoi simple (pas d'authentification)

pour un envoi sans les faire transiter par un srv SMTP en particulier, prendre l'option Use domaine name system (DNS) "MX"
Mais votre IP peux etre vue comme source de spam => plutot utiliser la méthode d'envoi avancée.
Pour la case "Use the external DNS lookup" -> voir plus bas.

Méthode d'envoi avancée (avec authentification)

Les FAI oblient leurs clients à s'authentifier pour limiter les spams.
Prendre ici l'option "Route mail throught" et Add pour indiquer le nom du srv de mails FQDN (smtp.ovh.net, smtp.free.fr...)
Enfin on configure selon les données FAI (si TLS ouvrir port 587).

A l'étape 4, ajout des srv hub de transport permettant l'envoi des emails, avec Add
Valider la création du connecteur, puis vérifier dans l'onglet Send connector sa présence.

Plus à http://technet.microsoft.com/fr-FR/library/aa998662

Notes important (concernant envoi)

SMTP de free: 200 mails maxi et connexions par jour. La freebox bloque par défaut le port 25 (à désactiver dans l'interface).
Si l'on a un email chez free, on peux utiliser l'authentification SMTP de free: se loguer avec ce compte email pour activer "gesion du SMTP authentifié" - mais optionnel pour prendre ses emails chez Free.

connecteurs de réception

Voir les 2 connecteurs créés par défaut: Server configuration / Hub transport

• Client (port 587 pour client non MAPI (ie POP et IMAP)) et
• Default (port 25).

Réception des emails extérieurs

Il faut créer un nouveau connecteur: Server configuration / Hub transport et clic New receive connector
Name: reception mails internet et use: Internet, puis indiquer port (en général 25) et indiquer l'IP du srv Exchange dans local IP address.

Une fois l'assistant terminé, ouvrir les perm du connecteur, onglet permission group: cocher Anonymous et décocher les autres cases.

ajout d'un connecteur pour équipements spécifiques

pour srv, switchs... dont on souhaite qu'ils envoient des emails via Exchange avec
new-ReceiveConnector -Name '<nom connecteur>' -Usage 'Client' -RemoteIPRanges '192.168.0.1/32','192.168.0.2/32' -Server '<nom serveur>'
Vers la syntaxe de new-ReceiverConnector http://technet.microsoft.com/fr-fr/library/bb125139%28v=exchg.80%29

Un fois créé, penser à vérifier que l'équipement supporte l'envoi d'email sur le port 587. Dans le cas contraire, il faudra modifier graphiquement votre connecteur (et spécifier port 25). Penser au parefeu.
De plus, il faudra autoriser pour ce connecteur les users anonymes.

Plus sur les connecteurs de réception à http://technet.microsoft.com/fr-fr/library/aa996395.aspx

Création et assignation d'un certificat (p 42)

A l'install, Exchange crée un certificat auto signé (OWA et d'autres services le signale) et donc non approuvé par une autorité de certification. => Soit acheter un certificat, soit créer sa propre autorité de certification (gratuit et ce que l'on va faire).

Génération d'une demande de certificat

Server configuration / SRV-MAIL / New exchange Certificate / New Exchange certificate: indiquer un nom, puis remplir les noms à certifier

- client access server (owa)
 OWA on intranet:
    MAIL.domain-registrar.com
    DomainAD (englobe MAIL.dom-registrar.com et FQDN interne serveur-mail)
    MAIL (si CName créé sur DNS interne)
 OWA on internet:
     MAIL.domain-registrar.com

- CAS (active sync)
     MAIL.domain-registrar.com (accès mobile uniquement par internet)

- CAS (Web services, OutLook Anywhere, Autodiscover)
     MAIL.domain-registrar.com

- Autodiscover
      Autodiscover.domain-registrar.com
      Autodiscover.domainAD.com

Ensuite, indiquer le nom de domaine à utiliser par défaut (qui sert aussi à identifier vos certificats dans les magasins: Add pour remplir Orga, pays... Browse pour indiquer l'emplacement du fichier de requète.
On  obtient un fichier *.req.

Installation d'une autorité de certification (CA) - p 45

Installer le role ADCS (AD Certification Service)

Gestionnaire de serveur / add role : ADCS puis cocher Certification Authority et Certification Authority Web Enrolment.
Dans setup: choisir Enterprise, puis Boot CA, create a new private key

création d'un modèle de certificat

Ouvrir le Gestionnaire de serveur où se trouve installé le role ADCS: sous AD Certificates, clic droit sur Certificate Template : Web Server / Duplicate template / Win Srv 32003 Enterprise puis OK.
Indiquer nom du modèle et la période de validité (50 ans). Puis clic droit sur le nouveau modèle Reenroll all certificate holders. Dérouler le menu portant le nom de son CA, clic droit sur Certificate template / New certificate to issue et indiquer le modèle qu'on vient de créer.

génération du certificat

Aller effectuer la demande via http://SRV-ADCS/certsrv/en-us en bas choisir Request a certificate / Advanced certificate request / Submit a certificate: coller le contenu du .req et indiquer dans la liste "certificate template" le modèle de certif qu'on vient de créer, bouton Submit. Télecharger le certificat.

importation du certificat

Server configuration / SRV-MAIL on y trouve un certificat avec le statut "This is a pending certificate request". Faire un clic droit dessus: Complete pendinf request.

Affectation des services au certificat

pour indiquer par quels services d'Exchange le certificat sera utilisé. Sur le certificat clic droit / Assign services to certificate: cocher IMAP et IIS (SMTP sera ajouté).

Création d'une GPO pour délivrer le certificat (sur les clients)

Ouvrir la console Group Policy Management, créer une GPO à appliquer à l'ensemble du domaine. L'éditer et aller dans Computer configuration / Windows settings / Security settings / Public key policies / Trusted root

Clic droit / import (indiquer l'emplacement du certificat Exchange).
Faire un gpupdate /force ou rebooter les PC pour prendre en compte la GPO.

Plus sur GPUpdate sur http://technet.microsoft.com/fr-fr/library/jj134201.aspx
              gpupdate 2008 à http://technet.microsoft.com/fr-fr/library/hh852337%28v=ws.10%29.aspx
La commande gpupdate est disponible dans Win Server 2008 et 2008 R2, Win 7 Intégrale et Pro, Vista intégrale, Enterprise et Pro.

Vérif et test

avec owa https://mail/owa -> plus de message

---

Optimisation (p 49)

1. Déplacer la db et logs de transaction sur partition dédiée : Organization Configuration / Mailbox, clic droit sur bd / Move Database Path

2. Déplacer les files d'attente: Plus à http://technet.microsoft.com/en-us/library/bb125177.aspx
a. modif droits NTFS : créer un dossier y ajouter les users en Full control : Network Service + System + Administrators
b. avec notepad, ouvrir C:\Program Files\Microsoft\Exchange Server\V14\Bin\EdgeTransport.exe.config pour y chercher " <add key="QueueDatabaseLoggingPath" value= " et y indiquer le nouveau chemin
Arréter le service MS Exchange Transport, copier les fichiers Trn.log Trnres00001.jrs  Trnres00002.jrs et Trntmp.log dans le nouvel emplacement puis redémarrer MS Exchange Transport, et vérifier que tmp.edb a bien été créé. Enfin, supprimer le contenu de l'ancien répertoire.
Quand on arrete MS Exchange Transport, le fichier tmp.edb disparait.

3. Déplacer les logs (suivi mess, connectivité, envoi et réception): Server configuration / Hub Transport / clic droit sur son srv / log settings

4. Spécification des srv AD et GC (Global Catalog)

Via GUI: Server configuration / Hub Transport / clic droit sur son srv / System settings

Via PowerShell:
pour modifier Set-ExchangeServer -Identity <server_name> -StaticDomainControllers DC1.local,DC2.local Set-ExchangeServer -Identity <server_name> -StaticGlobalCatalogs DC1.local,DC2.local
pour afficher  Get-ExchangeServer –Identity <server_name> -Status | FL

5. Résolution externe des noms

Use external DNS lookup   permet d’indiquer que vous souhaitez utiliser des DNS différents de ceux indiqués dans votre carte réseau pour effectuer la résolution de noms. En général, cette configuration est nécessaire quand votre fournisseur de mail requiert que vous passiez obligatoirement par ses DNS (ce qui est le cas d’Orange par exemple).

Via GUI: Server configuration / Hub Transport / clic droit sur son srv / System settings onglet "External DNS Lookup"

Via PowerShell : Set-TransportServer -ExternalDNSServers '80.10.242.2' -ExternalDNSAdapterEnabled $false -Identity 'server_name'

Sécurité et conclusion (p 53)

Activer SSL sur le dossier virtuel d'Outlook Anywhere : http://technet.microsoft.com/en-us/library/aa995982.aspx