Exchange 2007：边缘订阅和同步

　　在 Exchange 2007 中，边缘传输服务器角色部署在组织的外围网络中。边缘传输服务器旨在最小化攻击面，并可处理所有面向 Internet 的邮件流，为 Exchange 组织提供简单邮件传输协议 (SMTP) 中继和智能主机服务。边缘传输服务器上运行的一系列代理提供更多的邮件保护层和安全层，当邮件传输组件处理邮件时，这一系列代理将作用于这些邮件。这些代理支持的功能可抵御病毒和垃圾邮件，并通过应用传输规则来控制邮件流。

　　一个边缘传输服务器能够被订阅到活动目录站点中，订阅边缘传输服务器到活动目录站点可以将边缘传输服务器和Exchange 组织联系起来。这个过程减少了您必须在外围网络上执行的管理任务，通过在中心传输服务器上执行必要的配置，可以将该信息写入到边缘传输服务器中。在一个部署了不止一台边缘传输服务器的组织中，通过边缘订阅，能够维护一致的配置。如果您想使用反垃圾邮件、收件人查找、或者安全列表聚合任务，或者域安全特性的话，您必须创建边缘订阅。

　　定义

　　Exchange 2007边缘订阅特性使用了新的技术和功能。熟悉边缘订阅术语将帮助您更好地理解该文档。下面将具体解释这些术语的含义：

　　边缘订阅边缘订阅是一个被订阅到Exchange 组织的边缘传输服务器的记录。通过Microsoft Exchange EdgeSync 服务，一个被订阅的边缘传输服务器中的ADAM目录服务被来自活动目录中的信息更新。 BBS.bitsCN.com网管论坛

　　边缘订阅过程边缘订阅过程是一个管理员用来为边缘传输服务器建立边缘订阅的步骤，您订阅边缘传输服务器到活动目录站点可以将边缘传输服务器和Exchange 组织联系起来。 bbs.bitsCN.com

　　边缘订阅文件边缘订阅文件是一个从边缘传输服务器导出的XML文件，并被导入到中心传输服务器中用来建立边缘订阅。边缘订阅文件包含边缘传输服务器的信息和用来建立初始同步的凭据的信息。

　　EdgeSync bootstrap 复制帐户EdgeSync bootstrap 复制帐户(ESBRA) 是不管何时一个新的边缘订阅产生时，边缘传输服务器产生的凭据的集合。这些凭据被写入到边缘订阅文件中，然后被传输到Exchange 组织中，在初始同步数据的时候被中心传输服务器用来认证边缘传输服务器，这些凭据只用来建立初始同步，它们在边缘订阅文件被创建的1440分钟（24小时）后过期。

　　边缘同步复制账号一个边缘同步复制账号（ESRA）是用来认证和授权边缘传输服务器和中心传输服务器之间的安全的LDAP连接的凭据的集合。在Exchange 组织中创建边缘订阅后，每个中心传输服务器为每个订阅的边缘传输服务器生成一个唯一的ESRA凭据集合。这些凭据被系统管理，通过加密的方式被存储在Exchange 服务器活动目录配置对象中，并被复制到ADAM中来创建一个相应的的ESRA。

务边缘凭据服务只运行在边缘传输服务器上，在ADAM中创建相应的ESRA账号，以便中心传输服务器能够认证边缘传输服务器在执行边缘同步执行同步过程的时候。 中国网管论坛

　　Microsoft Exchange EdgeSync 服务Microsoft Exchange EdgeSync 服务是运行在中心传输服务器上的的数据同步服务。 它是运行在向其周期订阅的边缘传输服务器并执行收件人和配置信息到ADAM的单方向复制的活动目录站点中的中心传输服务器上，该服务仅拷贝那些边缘传输服务器需要用来执行反垃圾邮件配置任务或者使用域安全的信息 ，以及通过一个或者更多的边缘传输服务器用来配置Exchange 2007组织内部中心传输服务器和Internet之间邮件流的发送连接器信息。该服务定期被更新，以便保存在ADAM中的信息保持最新。

　　EdgeSync同步过程EdgeSync同步过程是Microsoft Exchange EdgeSync 服务执行将数据从活动目录中传送到订阅的边缘传输服务器中的任务或者过程。配置数据每1个小时同步一次。收件人数据每4个小时同步一次。Microsoft Exchange EdgeSync 服务调用ESRA凭据并通过加密的通道传输数据。当同步发生时，新的对象被添加到ADAM中，需要删除的对象被清除，已存在的对象中的属性被修改。在初始复制期间，ADAM被填满。在初始同步完成之后，同步在固定的间隔内发生。配置数据每1个小时同步一次。收件人数据每4个小时同步一次。您可以在Exchange Management Shell使用Start-EdgeSynchronization cmdlet来立即启动同步。

　　操作的顺序

　　通过导出边缘传输服务器上的边缘订阅XML文件来启动边缘订阅过程，当在边缘传输服务器的Exchange Management Shell 中执行New-EdgeSubscription cmdlet的时候，边缘订阅文件被创建，将同时发生下面的动作： bitsCN.Com

　　一个ADAM账号被创建

　　凭据被找回并被写入到边缘订阅XML文件中

　　每个边缘传输服务器需要一个单独的边缘订阅，用来写入到边缘订阅文件的凭据是特定于从其导出该文件的那台服务器。 中国网管联盟

　　接下来，边缘订阅XML文件被传输到活动目录中从其您想订阅该边缘传输服务器的中心传输服务器上。通过执行New-EdgeSubscription cmdlet或者Exchange 管理控制台中的New Edge Subscription向导，将边缘订阅文件被导入到中心传输服务器。该步骤完成了边缘订阅过程。运行在活动目录站点中向其订阅边缘传输服务器的中心传输服务器上的Microsoft Exchange EdgeSync 服务，将开始执行从活动目录到ADAM的单方向数据复制，在边缘订阅过程中创建的ADAM凭据被用来认证在初始同步的时候产生的安全LDAP连接。 中国.网管联盟

　　要部署一个边缘传输服务器，并将其订阅到活动目录站点，需要执行下面的步骤：

　　1. 安装边缘传输服务器角色。

　　2. 验证中心传输服务器和边缘传输服务器能够使用DNS来相互解析。 中国.网管联盟

　　3. 配置要复制到边缘传输服务器上的对象和设置。

　　4. 在边缘传输服务器上运行New-EdgeSubscription cmdlet 来导出边缘订阅文件。 DL.bitsCN.com网管软件下载

　　5. 拷贝边缘订阅文件到中心传输服务器。

　　6. 执行New-EdgeSubscription cmdlet或者使用Exchange 管理控制台中的New Edge Subscription向导，将边缘订阅文件被导入到中心传输服务器。

　　ESBRA凭据是通过明文的方式被写入到边缘订阅文件中。在边缘订阅的过程中您必须保护该文件。这些凭据只用来建立初始同步，它们在边缘订阅文件被创建的1440分钟（24小时）后过期。如果边缘订阅在这段时间被没有完成，您必须在边缘传输服务器上再次运行New-EdgeSubscription cmdlet 来创建一个新的边缘订阅文件。在边缘订阅文件被导入到中心传输服务器后，您应该立即从边缘传输服务器、中心传输服务器、以及其他任何可移动的介质上删除边缘订阅文件。 bitsCN.Com

　　下面的图1描述了边缘订阅的过程：

　　要在一台安装了中心传输服务器角色的计算机上执行边缘订阅，您必须使用被委派了Exchange Organization Administrator 角色的账号。

　　当在边缘传输服务器上运行New-EdgeSubscription 命令来导出边缘订阅文件的时候，被Microsoft Exchange EdgeSync服务从活动目录复制到ADAM的任何对象将从边缘传输服务器上删除。在您将边缘订阅文件导入到中心传输服务器上后，收件人和配置数据从活动目录复制到ADAM，因此，您必须配置中心传输服务器上的设置来填写边缘传输服务器上的设置。

　　准备创建边缘订阅

　　注意： 在边缘传输服务器被订阅到Exchange 组织后，边缘传输服务器上用来配置通过Microsoft Exchange EdgeSync 服务复制到边缘传输服务器上的对象的任务被禁用。 bbs.bitsCN.com

　　验证用来分离边缘传输服务器和exchange 组织的外围网络防火墙打开了正确的通信端口。边缘传输服务器使用非标准的LDAP端口，在缺省情况下，这些端口在安装边缘传输服务器角色的时候被配置。通过使用Exchange 2007提供的ConfigureAdam.ps1脚本，您可以修改被ADAM使用的端口。然而，不要在创建边缘订阅后修改这些端口。如果您在创建边缘订阅后修改了的话，您必须重新订阅边缘传输服务器。在缺省情况下，下面的LDAP端口在访问ADAM时被用到： 中国.网管联盟

　　LDAP Port 50389/TCP 被用来在本地绑定到ADAM实例，该端口不需要在外围网络防火墙上打开。

　　Secure LDAP Port 50636/TCP 用来从中心传输服务器到ADAM的目录同步，该端口必须要打开才能使边缘同步成功。 bitscn.com

　　验证从中心传输服务器到中心传输服务器和从中心传输服务器到中心传输服务器的DNS 主机名称解析成功。

　　许可边缘传输服务器 。在边缘订阅被创建的时候，边缘传输服务器的许可证信息被捕获并被显示在Exchange 组织的Exchange 管理控制台中。对于订阅过的边缘传输服务器作为许可过的被显示出来，在许可证密钥被应用到边缘传输服务器上后它们必须被订阅到Exchange 组织。如果在执行边缘订阅后许可证密钥才被应用到边缘传输服务器上，许可证的信息不会被更新到Exchange 组织当中。您必须重新订阅边缘传输服务器。 bitscn.com

　　配置传播到边缘传输服务器的设置，您配置下面的设置用来被传播到边缘传输服务器角色：

　　内部SMTP服务器 使用Set-TransportConfig cmdlet 配置InternalSMTPServers 的参数，该参数指定一个应该被发件人ID和连接过滤忽略的内部SMTP 服务器的IP地址列表或者IP地址范围 。 bitsCN_com

　　接受域 配置所有的权威域，内部中继域、和外部中继域。

　　远程域 配置远程域设置

　　域安全列表 为Exchange 组织在TransportConfig对象上配置TLSReceiveDomainSecureList 和 TLSSendDomainSecureList 属性。这些属性指定了配置为相互Transport Layer Security (TLS) 认证的远程域列表。

　　为边缘传输服务器订阅 Active Directory 站点。通过为边缘传输服务器订阅 Active Directory 站点，边缘传输服务器可以从 Active Directory 接收对 ADAM 的更新，并在边缘传输服务器与该站点中部署的中心传输服务器之间建立同步关系。边缘订阅进程还会为边缘传输服务器创建 Active Directory 站点成员身份关联。站点关联使 Exchange 组织中的中心传输服务器可以将邮件中继到边缘传输服务器，以传递到 Internet，而不必配置显式发送连接器。

　　可以为一个或多个边缘传输服务器订阅单个 Active Directory 站点。但是，不能为一个边缘传输服务器订阅多个 Active Directory 站点。如果部署了多个边缘传输服务器，可以为每个服务器订阅不同的 Active Directory 站点。每个边缘传输服务器需要各自的边缘订阅。订阅了站点的边缘传输服务器只能支持一个 Exchange 组织。

　　当您在边缘传输服务器上运行New-EdgeSubscription cmdlet的时候，会执行下面的操作： bitsCN.nET中国网管博客

　　创建 ADAM 帐户。此帐户称为 EdgeSync bootstrap 复制帐户 (ESBRA)。这些凭据用于验证与边缘传输服务器的初次 EdgeSync 连接。该帐户配置为在创建后 1,440 分钟（24 小时）过期。因此，必须在过期前完成订阅进程。如果 ESBRA 在边缘订阅进程完成前已过期，则必须在边缘传输服务器上再次运行 New-EdgeSubscription cmdlet，来新建边缘订阅文件。 bitsCN.nET中国网管博客

　　从 ADAM 中删除某个类中所有以前创建的、现在将从 Active Directory 复制到 ADAM 的配置对象，并禁用用于配置这些对象的 Exchange 命令行管理程序任务。仍可以使用用于查看这些对象的任务。运行 New-EdgeSubscription cmdlet 时，边缘传输服务器上将禁用下列任务： 中国.网管联盟

　　Set-SendConnector

　　New-SendConnector

　　Remove-SendConnector

　　Set-AcceptedDomain DL.bitsCN.com网管软件下载

　　New-MessageClassification

　　Set-MessageClassification

　　bitscn.com

　　Remove-MessageClassification bitscn.com

　　Set-RemoteDomain

　　Remove-RemoteDomain bitsCN.nET中国网管博客

　　通过在 Exchange 命令行管理程序中运行 New-EdgeSubscription cmdlet 或使用 Exchange 管理控制台中的“新建边缘订阅”向导在中心传输服务器上导入边缘订阅文件时，会执行下列操作： 中国网管联盟

　　创建边缘订阅，为已加入 Exchange 组织并且 Microsoft Exchange EdgeSync 服务将向其传播配置数据的边缘传输服务器建立一条记录。此步骤在 Active Directory 中创建边缘配置对象。

　　Active Directory 站点中的每个中心传输服务器从 Active Directory 收到已为新边缘传输服务器订阅的通知。中心传输服务器从边缘订阅文件中检索 ESBRA。然后，中心传输服务器使用边缘传输服务器的自签名证书的公钥为 ESBRA 加密。加密后的凭据将被写入边缘配置对象。

　　每个中心传输服务器还使用自己的公钥为 ESBRA 加密，然后将凭据存储在自己的配置对象中。

　　在 Active Directory 中为每个边缘传输服务器/中心传输服务器对创建 EdgeSync 复制帐户 (ESRA)。每个中心传输服务器将其 ESRA 凭据作为中心传输服务器配置对象的属性进行存储。

　　自动创建发送连接器，以便将出站邮件从边缘传输服务器中继到 Internet，并将入站邮件从边缘传输服务器中继到 Exchange 组织。

　　中心传输服务器上运行的 Microsoft Exchange EdgeSync 服务使用 ESBRA 凭据在中心传输服务器与边缘传输服务器之间建立安全的 LDAP 连接并执行初次数据复制。下列数据将被复制到 ADAM：

　　拓扑数据

　　配置数据

　　收件人数据

　　ESRA 凭据

　　边缘传输服务器上运行的 Microsoft Exchange 凭据服务将安装 ESRA 凭据。这些凭据用于验证并保护以后的同步连接。

　　制订 EdgeSync 同步计划。 DL.bitsCN.com网管软件下载

　　在为边缘传输服务器订阅的 Active Directory 站点中，中心传输服务器上运行的 Microsoft Exchange EdgeSync 服务现在将定期从 Active Directory 向 ADAM 单向复制数据。 bbs.bitsCN.com