确保 Exchange 通信的安全一

本模块内容

本模块讲述了如何使 Microsoft? Exchange 服务器和客户端之间的通信更加安全。本模块还说明了如何在 Microsoft Outlook? 消息传递和协作客户端和服务器之间启用加密的远程过程调用 (RPC) 通讯。本模块提供了有关使用 Microsoft Internet Security and Acceleration (ISA) 服务器来确保从 Web 客户端到 Exchange 服务器之间的通讯安全的详细指导。本模块还解释了 Exchange 前端/后端拓扑结构，以及如何使用这种拓扑结构来进一步确保客户端/服务器通讯的安全。最后，讲述了一些确保简单邮件传输协议 (SMTP) 通讯安全的方法。

目标

使用本模块可以：

对 Outlook 2002 和 Exchange 之间的 RPC 通信进行加密。
使用 Outlook 2002 对邮件进行数字签名和加密。
使用带有安全套接字层 (SSL) 和不带安全套接字层 (SSL) 的 ISA 服务器确保 Web 浏览器与 Exchange 服务器之间的通信安全。
使用 SSL 对 ISA 服务器和 Outlook Web Access (OWA) 前端服务器之间的通信进行加密。
使用 Internet 协议安全性 (IPSec) 对 OWA 前端服务器和后端 Exchange 服务器之间的通信进行加密。
通过使用带有 Message Screener 的 ISA 服务器，或者通过使用单独的 SMTP 网关来确保 SMTP 通讯的安全。
阻止不需要的 SMTP 中继。

适用范围

本模块适用于下列产品和技术：

Microsoft Exchange Server 2000
Microsoft Outlook 2002
Microsoft Windows? 2000 操作系统 Active Directory? 目录服务
Microsoft Internet Security and Acceleration (ISA) 服务器

如何使用本模块

本模块是作为对《Security Operations for Microsoft? Windows? 2000 Server》（Microsoft Press，ISBN: 0-7356-1823-2）（英文）一书的补充而编写的。强烈建议您在阅读本模块之前，完整阅读此指南。本模块的内容与《Microsoft Windows 2000 安全操作》中的内容直接相关，这将在本文中适当地方注明。还建议您阅读《Microsoft Exchange 2000 Server Operations》（Microsoft Press，ISBN: 0-7356-1831-3）（英文），该书提供了有关 Exchange 2000 一般操作的详细信息。

本模块的目标是帮助您在不影响 Exchange 的核心功能的情况下尽可能多地确保 Exchange 2000 环境的安全。本模块主要关注在运行 Exchange 2000 的服务器上创建和维护一个安全环境所需的操作。您应当将本指南用作 Exchange 的整体安全策略的一部分，而不是用作涵盖创建和维护安全环境的所有方面的完整参考。本模块应与模块确保 Exchange 环境的安全和模块基于角色确保 Exchange 2000 服务器的安全一起使用。

本模块提供了使用加密的 RPC、ISA 服务器、SSL 和 IPSec 确保 Exchange 前端和后端服务器安全的详细方法，还提供了如何确保 SMTP 传输安全的详细方法。这些步骤都是模块化的，清楚地说明了如何使用这些设置配置服务器。您可以将这些步骤应用于一个新的 Exchange 环境，也可以应用到现有的 Exchange 环境。

简介

要提高任何网络的安全性，不能只研究计算机本身的安全性，还应研究在这些计算机之间所传输的数据的安全性。对于任何系统，最好的方法都是了解可用的功能、研究所需要的功能，同时考虑任何一项功能所带来的危险。

在本指南中，我们假设您需要的功能为：能够通过 Internet 发送和接收电子邮件，并且能够使用 Outlook Web Access 通过 Internet 访问 Exchange。如果您不需要该功能，则能够更加完全地锁定您的系统。另一方面，如果您需要 POP3 和 IMAP4 功能，则需要使环境更开放些以便容纳这些功能。

本指南建议的前端/后端环境使您能够向 Internet 发送邮件以及从 Internet 接收邮件，并且能够通过 Internet 提供 Exchange 访问。本模块讲述了如何确保这种通信的安全，还详细讲述了如何确保客户端上通信的安全。

注意：通过使用 ISA 服务器提供的 Exchange 远程过程调用 (RPC) 应用程序筛选器，可以通过 Internet 访问 Outlook。这种访问 Exchange 的方法不属于本指南的讨论范围。请参阅“更多信息”部分中列出的“Configuring and Securing Microsoft Exchange 2000 Server and Clients”白皮书（英文），以及《Microsoft Exchange 2000 Server Hosting Series》（Microsoft Press，ISBN: 0-7356-1829-1 和 0-7356-1830-5）（英文）。

Windows 2000 具有一个内置的安全功能，可允许对 RPC 通信进行 128 位加密。MAPI 连接是通过 RPC 进行的，因此您可以利用此功能来提高从 Outlook 2002 客户端到 Exchange 服务器之间的连接的安全性。

对Outlook 2002 和 Exchange 服务器之间的 MAPI 连接启用 RPC 加密

1.在 Outlook 2002 中，单击“工具”，然后单击“电子邮件帐户”。
2.单击“下一步”。
3.确保选择了该 Exchange 服务器，然后单击“更改”。
4.单击“其他设置”。
5.单击“高级”选项卡。
6.选中“使用网络时”。
7.单击“确定”。
8.单击“下一步”。
9.单击“完成”。

注意：在 Outlook 2002 中设置“用户”配置文件时，您也可以指定此设置。

RPC 加密只会对从 MAPI 客户端到该 Exchange 服务器的数据进行加密。它不会对这些邮件本身进行加密。

对邮件进行签名和加密

Outlook 2002 具有将传递到内部或外部收件人的邮件进行签名和加密的功能。对于这种加密，您需要一个证书。如果您想对传递到 Internet 收件人的电子邮件进行签名和/或加密，则需要使用一个来自第三方供应商的可识别证书（称为数字标识）。

在客户端上安装了证书之后，就可以开始使用 S/MIME 发送经过签名和加密的邮件了。仅当具有对其他用户的公钥的访问权限时，才可以向这些用户发送加密的邮件。这是通过让其他用户向您发送一封经过签名的邮件，然后将该用户添加到您的联系人中来实现的。您现在就得到了他们的密钥。注意：有关对邮件进行签名和加密的详细信息，请参阅知识库文章 Q286159，“Encryption and Message Security Overview”（英文）。

密钥管理服务

如果您想定期在您的 Exchange 组织内部用户之间发送经过签名和加密的邮件，应考虑使用 Exchange 2000 提供的密钥管理服务。此服务使用 Windows 2000 证书服务，并提供对公钥的访问，以及对私钥的安全、集中式的访问。这就使得客户端能够无缝地访问经过签名和加密的邮件，并能够向全球通讯簿 (GAL) 中的所有其他启用了安全性的收件人发送这些邮件。注意：如果您与一个从属于第三方证书颁发机构 (CA) 的 CA 一起使用密钥管理服务器，则可以将密钥管理服务与 Internet 上的其他服务进行集成。

确保 OWA 通信的安全

乍一看，使用 OWA 进行通信非常简单。Web 浏览器与 OWA 服务器进行通信，以获取电子邮件。这些操作发生在端口 80 上，如果该通信是安全的，则在端口 443 进行。但是，当客户端通过端口 80 或端口 443 与前端服务器进行连接时，这些前端服务器需要与它们所在域中的域控制器进行通信，以验证这些用户的身份。它们还需要与 Exchange 后端服务器进行通信，以实际访问相应邮箱或公用文件夹中的信息。

通过将 OWA 前端服务器放置在外围网络（也称为隔离区域，即 DMZ）内部，将后端服务器放在内部防火墙内部，可以确保 OWA 前端服务器的安全。然而，要使这种配置能够工作，内部防火墙上必须打开大量的端口。