Раньше обмен информацией был прост. Сообщения посылались по электронной почте с помощью протоколов POP3 и SMTP. Довольно просто. Конечно, теперь требования изменились. Сегодня организациям нужно предоставить работникам возможность работать когда и как им удобно, причем сделать это на должном уровне безопасности. Сервер Microsoft® Exchange Server 2007 обладает встроенными функциями, поддерживающими эти требования, такими как веб-клиент Microsoft Office Outlook® и единая система обмена сообщениями. Рассмотрим два этих ключевых компонента Exchange Server 2007 и то, в чем они превосходят предыдущие версии, позволяя создавать более мощные коммуникационные платформы для современного предприятия.
Веб-клиент Outlook входит в сервер Exchange, начиная с версии 5.5. Честно говоря, первые версии были несколько громоздкими. Веб-клиент Outlook являлся решением проблемы доступа к почтовому ящику Exchange посредством веб-обозревателя, но не обеспечивал всех функций Outlook.
Положение конечных пользователей начало улучшаться с усовершенствованием веб-клиента Outlook в версии сервера Exchange 2003. Работа с почтой через веб-обозреватель стала намного более естественной, почти такой, как при использовании обычного почтового клиента. Разработчики веб-клиента Outlook, применяющегося в Exchange Server 2007, пошли даже дальше и, полностью переписав код предыдущих версий, использовали последние технические новинки, такие как RPC через HTTP и ASP.NET 2.0.
Например, рассмотрим, как работает веб-клиент Outlook. Предыдущие версии веб-клиента Outlook работали на почтовом сервере параллельно с процессом хранения. Это создавало дополнительную нагрузку на сервер почтовых ящиков и могло приводить к снижению эффективности системы. А веб-клиент Outlook 2007 обрабатывает данные посредством ASP.NET на серверах клиентского доступа. Это позволяет убрать обработку страниц с почтового сервера и улучшить производительность.
Задачи, выполняемые сервером переднего плана, тоже изменились. В предыдущей версии Exchange HTTP-запросы веб-клиента Outlook перенаправлялись на соответствующий почтовый сервер. Exchange Server 2007 уменьшает поток данных веб-клиента Outlook, получая данные напрямую от соответствующего почтового сервера через RPC. Это примерно тот же способ, который позволяет использовать Outlook на клиентском компьютере, не подключенном через виртуальную частную сеть к сети предприятия. Затем информация из почтового ящика воспроизводится при помощи веб-клиента Outlook. Exchange Server 2007 также может переадресовывать запросы веб-клиента Outlook, но направляет их на серверы клиентского доступа, а не почтовые серверы.
На рис. 1 показана архитектура веб-клиента Outlook, применяемая в Exchange Server 2007.
Рис. 1 Доступ веб-клиента Outlook к ресурсам сервера Exchange
Администрирование
Обновленная архитектура сервера Exchange Server 2007 поддерживает расширенные возможности администрирования веб-клиента Outlook. Можно использовать как консоль управления Exchange, так и среду управления Exchange. Параметры конфигурации хранятся в нескольких местах.
Консоль управления Exchange предоставляет доступ к большинству параметров конфигурации, таких как включение и отключение функций, использующих сегментацию, блокировку вложений, проверку подлинности, а также доступ к календарю, списку задач и проверке орфографии. Все, что может быть сделано при помощи консоли управления Exchange, может также быть выполнено и с использованием среды управления Exchange.
В дополнение к этому, среда управления Exchange позволяет создавать и удалять новые виртуальные каталоги для веб-клиента Outlook. Помимо этого, можно получить улучшенный контроль над параметрами сегментации для отдельных пользователей и изменить язык, использующийся по умолчанию.
Интервалы проверки подлинности на основе форм хранятся по умолчанию в реестре Windows (эти параметры недоступны из консоли управления Exchange или среды управления Exchange). Такие параметры веб-клиента Outlook, как блокирование вложений и сегментация, доступны через службу каталогов Active Directory®. Параметры, влияющие на поведение сервера IIS (проверка подлинности, поддержка алгоритма GZIP), хранятся в метабазе IIS. Параметры ASP.NET, отвечающие за загрузку вложений для почтовых сообщений веб-клиента Outlook, такие как «maxuploadsize» (максимальный размер загрузки на сервер), хранятся в файле web.config.
Проверка подлинности
Веб-клиент Outlook предоставляет несколько способов проверки подлинности на сервере. После установки по умолчанию предлагается проверка подлинности на основе форм. При этом она может быть усилена несколькими способами в соответствии с требованиями предприятия. Чтобы убедиться в том, что подключающийся пользователь имеет соответствующие доменные права, IIS-сервер может производить проверку подлинности с помощью Active Directory. Также для доступа к сообщениям электронной почты можно использовать основную проверку подлинности, дайджест-проверку подлинности, технологию RSA SecurID или даже смарт-карты.
Наивысший уровень безопасности для веб-клиента Outlook – это встроенная проверка подлинности Windows, сочетающая протоколы Kerberos и NTLM. На самом деле встроенная проверка Windows требуется для доступа к веб-части веб-клиента Outlook 2007, а также для перенаправления запросов между серверами клиентского доступа в разных сайтах Active Directory. Она также дает дополнительное преимущество пользователям в интрасети, обращающимся к веб-клиенту Outlook, поддерживая единый вход при проверке подлинности клиента Windows, при этом доверенному пользователю входить в веб-клиент Outlook не нужно.
Если используется проверка подлинности на основе форм, то по умолчанию веб-клиент Outlook будет автоматически отключать пользователя после определенного периода бездействия. В зависимости от того, какой тип компьютера выбран пользователем при входе в систему (общедоступный или личный), период бездействия может быть от 15 минут (для общедоступного) до 8 часов (для личного). Выбор между общедоступным и личным компьютером важен для пользователя, поскольку в зависимости от этого и другие параметры безопасности также могут быть настроены по-разному. Можно, например, блокировать вложения для пользователей общедоступных компьютеров или изменить интервалы проверки подлинности. Проверка подлинности на основе форм обычно состоит из четырех этапов, как показано на рис. 2.
- Клиент посылает незашифрованный запрос на сервер.
- Сервер посылает клиенту зашифрованный файл «cookie».
- Сервер продолжает отвергать и создавать новые ключи шифрования, сохраняя в памяти три последних ключа.
- Клиент, посылающий запрос с устаревшим ключом шифрования, еще находящимся в памяти, получает новый файл «cookie», зашифрованный новым ключом.
—или—
Клиент, посылающий запрос с устаревшим ключом шифрования, который был отклонен и время ожидания для которого истекло, должен войти в систему заново
Рис. 2 Процесс проверки подлинности
msExchQueryBaseDN – это механизм, используемый для ограничения прав определенных пользователей веб-клиента Outlook и позволяющий им видеть только часть записей адресной книги. Отметка msExchQueryBaseDN добавляется к объектам пользователей Active Directory и указывает на список адресов или подразделение. Этот список адресов будет использован в качестве глобального списка адресов пользователя, причем в этом глобальном списке адресов пользователю будут доступны только учетные записи пользователей данного подразделения. msExchQueryBaseDN может быть установлен посредством протокола LDAP.
Совместимость с предыдущими версиями
Ядром веб-клиента Outlook в сервере Exchange Server 2007 является сервер клиентского доступа, причем модель серверов клиентского доступа построена так, чтобы обеспечить наилучшую совместимость с серверами, использующими предыдущие версии Exchange. Для обеспечения такой работы необходимо всегда устанавливать или обновлять серверы клиентского доступа перед обновлением связанных с ними почтовых серверов.
Сервер Exchange 2007 с установленной ролью сервера клиентского доступа может использоваться для подключения к почтовым ящикам серверов Exchange 2000 и Exchange 2003. Службы по протоколам RPC через HTTP и Exchange ActiveSync® продолжат работу и при частичном обновлении серверов. Веб-клиент Outlook и протокол WebDAV также будут работать, если доступ к ним осуществляется посредством виртуальных каталогов /exchange, /public или /exchweb. При помощи Exchange Server 2007 можно также создавать пользовательские виртуальные каталоги веб-клиента Outlook для этих более ранних версий.
Преимущества ISA Server 2006
Веб-клиент Outlook в Exchange Server 2007 представляет собой значительный шаг вперед, но он может работать еще эффективнее, если будет использоваться совместно с сервером Internet Security and Acceleration (ISA) Server 2006.
Сервер ISA Server 2006 является интегрированным шлюзом обеспечения безопасности. Одновременно с защитой узла от угроз из Интернета он также обеспечивает безопасный удаленный доступ к приложениям и данным. Поскольку веб-клиент Outlook служит для той же цели, совмещение их возможностей дает наилучший результат. (Подробные сведения о сервере ISA Server см. на веб-странице microsoft.com/isaserver/2006 (на английском языке)).
Сервер ISA Server 2006 приносит существенную пользу занятому администратору сервера Exchange. Например, функция Web Publishing Load Balancing (WPLB, балансировка нагрузки для веб-публикаций) позволяет выравнивать нагрузку, используя файлы «cookie», применяемые для протокола HTTP. Она обеспечивает привязку клиента к серверу даже при смене клиентом IP-адреса. Также сервер ISA Server 2006 поддерживает сжатие и распаковку по алгоритму GZIP, что позволяет анализировать поток данных или снимать с веб-серверов нагрузку по сжатию. При использовании сервера ISA Server 2004 необходимо было делать выбор – использовать HTTP-сжатие в веб-клиенте Outlook или использовать проверку подлинности на основе форм на сервере ISA Server. Сервер ISA Server 2006 поддерживает данные функции одновременно.
Кроме того, сервер ISA Server может выполнять преобразование ссылок веб-клиента Outlook. Если кто-то в сообщениях электронной почты использует ссылки для интрасети, ISA-сервер может преобразовать их в точную веб-ссылку. Это может быть довольно полезным, однако нужно помнить, что в этом случае ссылки для интрасети должны публиковаться на том же массиве серверов ISA, который обеспечивает доступ через веб-клиент Outlook.
Пожалуй, даже более важно то, что сервер ISA Server 2006 производит предварительную проверку подлинности, помогая защитить периметр сети. Предварительная проверка подлинности предназначена для предотвращения попадания злонамеренного HTTP-трафика на серверы. Если трафик, направленный на сервер клиентского доступа, действительно допустим, сервер ISA пропустит его в домен с периметра сети. (Серверы на периметре сети расположены вне домена интрасети, блокируя трафик, который не должен попадать внутрь. Серверы клиентского доступа не должны быть установлены на периметре сети, они должны находиться в домене интрасети, чтобы иметь доступ к учетным записям службы каталогов Active Directory.)
Устранение неполадок веб-клиента Outlook
Новые средства веб-клиента Outlook 2007 позволяют улучшить наблюдение и устранение неполадок. Задача слежения запускается на сервере клиентского доступа автоматически. Она проверяет подключение к каждому почтовому серверу, а также вход пользователей в веб-клиент Outlook. Exchange Server 2007 также предоставляет намного более подробные записи журнала событий и показатели счетчиков производительности.
Усовершенствованный анализатор соответствия рекомендациям для Exchange Server (Exchange Server Best Practices Analyzer) (см. описание на веб-странице microsoft.com/technet/technetmag/issues/2006/01/TuneUpExchange, на английском языке) был усовершенствован таким образом, чтобы сообщать администраторам о соответствующих предупреждениях и ошибках в случае неправильной настройки веб-клиента Outlook. Можно также составлять отчеты по использованию веб-клиента Outlook на основе журналов сервера IIS при помощи инструмента LogParser (описан в октябрьском номере журнала, см. веб-страницу microsoft.com/technet/technetmag/issues/2006/10/LogParser (на английском языке)).
Единая система обмена сообщениями
Веб-клиент Outlook отвечает нуждам мобильного офиса, в то время как единая система обмена сообщениями предназначена для объединения сообщений различных форм в одном месте (отсюда и "умное" название). Сейчас сообщения электронной почты находятся на сервере Exchange. Голосовые сообщения (телефонные звонки и голосовая почта) доступны на сервере телефонии. Сообщения электронной почты приходят на компьютер, а голосовая почта – по телефону. А о факсах лучше вообще не говорить!
Единая система обмена сообщениями сервера Exchange Server 2007 позволяет свести сообщения электронной почты, голосовые сообщения и факсы в единую папку «Входящие», где все они будут доступны пользователям посредством почтовой службы Outlook и веб-клиента Outlook. Единая система обмена сообщениями идет также и в другом направлении – голосовая почта, сообщения электронной почты, контакты и календарь становятся доступными пользователям по телефону при помощи голосового доступа к Outlook.
Для системного администратора применение единой системы обмена сообщениями упрощает обмен сообщениями, позволяя совместить инфраструктуру сервера Exchange и телефонной сети, предоставляя единое решение для хранения данных, единый каталог и единый транспорт. Общий уровень сложности уменьшается, поскольку каждый человек обладает одним почтовым ящиком.
В чем же главное достоинство? Все это может быть сделано с использованием уже существующих серверов, и для тех, кто знаком с Exchange Server 2007 и телефонной связью, обучение будет весьма простым. Единая система обмена сообщениями интегрирована с сервером Exchange, то есть используется та же модель безопасности и те же папки «Входящие». Даже голосовая почта и факсы доступны через веб-клиент Outlook.
На рис. 3 показана архитектура единой системы обмена сообщениями сервера Exchange Server 2007, на котором установлена роль сервера единой системы обмена сообщениями. Внимательно посмотрите на рисунок (потом может быть экзамен), а затем рассмотрим архитектуру единой системы обмена сообщениями более подробно.
Рис. 3 Единая система обмена сообщениями объединяет голосовую почту, факсы и обмен сообщениями При установке единой системы обмена сообщениями на предприятии необходимо обратить внимание на множество тонкостей. Сервер Exchange содержит объекты, соответствующие аппаратуре телефонии. Эти объекты могут иметь взаимные связи, заданные в среде сервера Exchange. Системные объекты единой системы обмена сообщениями сервера Exchange включают cервер единой системы обмена сообщениями, телефонную группу единой системы обмена сообщениями, шлюз IP единой системы обмена сообщениями и группу слежения единой системы обмена сообщениями, а также политику почтовых ящиков единой системы обмена сообщениями и автосекретарь единой системы обмена сообщениями. Взгляните, чем каждый объект оправдывает свое существование.
Объект UM Server создается в службе каталогов Active Directory, где установлена роль сервера единой системы обмена сообщениями. Он позволяет администратору управлять установкой и свойствами единой системы обмена сообщениями сервера Exchange Server 2007. Объект UM Dial Plan является основным модулем администрирования единой системы обмена сообщениями и отражает использование внутренних номеров. Все пользователи, внесенные в телефонную группу службы универсальной обработки сообщений, могут связаться с остальными, просто набрав их внутренний номер. При установлении связи между несколькими пунктами следует иметь в виду, что каждый из них обычно имеет собственную телефонную группу.
Объект «Шлюз IP единой системы обмена сообщениями» представляет собой физический шлюз, работающий по протоколу VoIP, или IP-PBX c поддержкой протокола SIP. Сервер единой системы обмена сообщениями может принимать вызовы со шлюзов IP/VoIP. Объект UM Hunt Group связывает объект IP Gateway с объектом UM Dial Plan. После того как на PBX настроена группа слежения, в службе каталогов Active Directory создается соответствующий ей объект "Группа слежения единой системы обмена сообщениями". Группу слежения можно настроить на обеспечение балансировки нагрузки между шлюзами IP. Данные шлюзы в свою очередь могут обеспечивать балансировку нагрузки путем сопоставления нескольких шлюзов c одним объектом "Группа слежения единой системы обмена сообщениями". Объекты UM Mailbox Policies аналогичны классам обслуживания Classes of Service голосовой почты. Они включают телефонную группу и свойства, устанавливающие действующие политики для пользователей и групп.
Объект UM Auto Attendant может быть сопоставлен одному объекту UM Dial Plan. Он может быть индивидуально настроен для выполнения нескольких задач, таких как запись пользовательского приветствия и назначение задач на конкретную дату и время. Область применения автосекретарей может устанавливаться с помощью списков адресов.
На рис. 4 показано, как взаимодействуют эти шесть объектов единой системы обмена сообщениями.
Рис. 4 Взаимодействие объектов телефонии единой системы обмена сообщениями
Настройка
Имеющийся у пользователя почтовый ящик Exchange Server 2007 администратор должен подключить к единой системе обмена сообщениями. Чтобы это сделать, необходимо сопоставить почтовому ящику объект UM Mailbox Policy и внутренний номер в рамках телефонной группы. АТС также должна быть настроена на переадресацию вызова к единой системе обмена сообщениями в случае отсутствия ответа (состояние RNA – ring, no answer). Сначала телефонная станция направляет вызов на внутренний номер пользователя. При отсутствии ответа вызов перенаправляется на VoIP-шлюз, а оттуда — на сервер единой системы обмена сообщениями.
Единая система обмена сообщениями поддерживает масштабирование. Для достижения требуемой емкости можно добавить любое количество коммутируемых телефонных линий и серверов единой системы обмена сообщениями. При использовании VoIP-шлюзов IP-вызовы будут направлены на серверы Exchange, поддерживающие единую систему обмена сообщениями. Поскольку такие функции для многих предприятий являются новыми, необходимо провести подробный анализ сети и убедиться, что она имеет пропускную способность, достаточную для данных и голоса.
Типовой сервер единой системы обмена сообщениями на основе сервера Exchange Server 2007 способен обслуживать от 50 до 200 одновременных IP-вызовов и до 200 входящих голосовых или факсимильных вызовов (по умолчанию это значение установлено равным 100). Если необходима емкость, превышающая данную, или нужно повысить отказоустойчивость, можно подключить дополнительные серверы единой системы обмена сообщениями.
Заключение
Подведем итоги. Сервер Exchange Server 2007 обеспечивает две возможности – веб-клиент Outlook и единую систему обмена сообщениями, которые при совместном использовании предоставляют организации огромные преимущества. Веб-клиент Outlook обеспечивает безопасный доступ к сообщениям электронной почты из любой точки, а единая система обмена сообщениями предоставляет пользователям доступ к электронной и голосовой почте, факсимильным сообщениям и прочим данным, которые могут поступать в один почтовый ящик на сервере Exchange 2007.
