Configurar Forzar TLS en el entorno local de Exchange | Configuración del conector de recepción | Parte 9#12
En el artículo actual, revisaremos los ajustes de configuración necesarios para implementar Force TLS en un entorno local de Exchange. En nuestro escenario específico, necesitamos configurar la opción Forzar TLS para el "flujo de correo entrante".
El significado es: correo que se envió desde un servidor de correo externo al servidor local de Exchange que representa un nombre de dominio particular.
La configuración de Forzar TLS se aplicará al conector de recepción.
Forzar TLS en el conector entrante | Descripción del escenario
La descripción completa del escenario aparece en el artículo anterior.
En este artículo, implementaremos la siguiente parte del escenario completo:
Este escenario es la cuarta parte de nuestro escenario completo, en el que necesitamos implementar la configuración de <Forzar TLS en dos organizaciones asociadas diferentes.
Un recordatorio rápido para nuestro escenario:
- Tenemos una relación comercial con otra organización (socio).
- Nuestra organización utiliza la infraestructura de correo local de Exchange.
- La infraestructura de correo del socio está alojada en Exchange Online.
- El dominio público del socio es: o365pilot.com
Queremos asegurarnos de que cada correo que nuestro socio comercial envíe a nuestros destinatarios esté encriptado y, además, queremos poder identificar el "servidor de correo asociado" para que podamos saber si el servidor de correo está Legítimo y confiable.
Caracteres específicos del conector entrante local de Exchange
vs. el otro escenario que hemos revisado en los artículos anteriores, que se relaciona con la infraestructura de Exchange Online y el Conector de envío local , la principal desventaja del conector de recepción de correo local de Exchange es que No podemos elegir el método de verificación específico del "otro servidor de correo".
Por ejemplo, no podemos utilizar la opción de identificar el servidor externo solicitando un certificado de servidor.
La única forma que podemos utilizar para la identificación del servidor de correo externo es mediante dirección IP.
El método en el que identificamos el “otro servidor de correo” por dirección IP, puede volverse complicado, en un escenario en el que el servidor de correo externo utiliza un amplio rango de direcciones IP y además, un entorno dinámico en el que la dirección IP del servidor de correo externo El servidor de correo se puede actualizar con frecuencia.
Este es el escenario exacto de "problema" que tenemos cuando nuestro socio comercial aloja su infraestructura de correo en el entorno basado en Exchange Online.
En esta situación, necesitaremos encontrar un método para "saber" cuál es la dirección IP particular o el rango de direcciones IP del servidor Exchange Online que representa el servidor de correo de nuestro socio.
En el siguiente diagrama, podemos ver una ilustración del requisito empresarial: utilizando la opción de Forzar TLS para el correo entrante, que se envió desde un “servidor de correo externo”.
¿Cómo identificar el servidor de correo externo?
Para poder cumplir con el requisito de que cada mensaje de correo electrónico enviado por un servidor de correo externo (Exchange Online en nuestro escenario) a nuestros destinatarios estará cifrado, crearemos un nuevo Conector de recepción de correo.
La forma que utilizamos para identificar el servidor de correo externo es: agregando la dirección IP o el rango de IP del "servidor de correo externo" (Exchange Online en nuestro escenario) al Exchange local Conector de recepción de correo
Exchange local |Creación de la configuración requerida para Force TLS | Conector de recepción
Fase 1#2: creación de un conector de recepción mediante la interfaz de administración de Exchange
La siguiente demostración se implementa utilizando la versión del servidor Exchange 2010.
Abra la consola de administración de Exchange. Elija Configuración del servidor, Transporte del concentrador.
Haga clic derecho en el espacio vacío y elija - Nuevo conector de recepción…
En el cuadro de texto Nombre, escriba el nombre que se ajuste a sus necesidades.
Mi recomendación es utilizar un nombre descriptivo para que en el futuro, en el caso de un proceso de resolución de problemas, sea fácil comprender el propósito de un conector de correo en particular.
En el cuadro de opción: seleccione el uso previsto para este conector de recepción, elija personalizado
La siguiente pantalla presenta información sobre el número de puerto que Exchange local utiliza para "enumerar" las comunicaciones entrantes (puerto 25 de forma predeterminada) y la dirección IP de Exchange local que está "adjunta" al Conector de recepción.
Deje las configuraciones predeterminadas y pase a la siguiente pantalla.
En la siguiente captura de pantalla, podemos ver que de forma predeterminada, el conector de recepción aplicará nuestra configuración específica. a cada servidor de correo externo que intenta dirigirse a Exchange local.
Necesitaremos eliminar esta configuración predeterminada porque, en nuestro escenario, queremos “activar” el Conector de recepción solo en un escenario en el que un servidor de correo específico intenta dirigirse al servidor local de Exchange (nuestro servidor de correo asociado).
Haga clic en el signo X para eliminar el rango de IP predeterminado
El principal desafío en nuestro escenario es cómo obtener la dirección IP que representa la infraestructura de Exchange Online.
Técnicamente, podemos utilizar una operación simple, como usar la herramienta de comando nslookup para obtener el registro MX y el nombre de host de Exchange Online que representa a nuestra organización asociada.
Sin embargo, es importante enfatizar que esta "solución" no es una solución completa porque el entorno de Exchange Online está representado por muchas direcciones IP, e incluso si "buscamos" una dirección IP específica, la dirección IP se puede cambiar o actualizar.
Comencemos con el proceso más simple en el que “llevamos” la dirección IP del servidor Exchange Online que representa el nombre de dominio - o365pilot.com y más adelante; Revisaremos un paso más avanzado, que nos ayudará a definir todos los rangos de IP que utiliza la infraestructura de Exchange Online.
Obteniendo la dirección IP del servidor Exchange Online
En nuestro escenario, el nombre de dominio público de nuestro socio comercial es: o365pilot.com
En el primer paso, usaremos la herramienta nslookup para obtener el nombre de host del servidor Exchange Online que representa o365pilot.com
- Abra el símbolo del sistema y escriba - Nslookup
- Tipo de conjunto tipo=mx
- En nuestro escenario específico, nos gustaría saber cuál es el MX para el dominio: o365pilot.com
- Escriba el nombre de dominio
En la siguiente captura de pantalla, podemos ver que el nombre de host del servidor de correo (Exchange Online) que representa el nombre de dominio - o365pilot.com es: o365pilot-com.mail.protection.outlook.com
Para poder obtener la dirección IP de este nombre de host, abriremos un nuevo símbolo del sistema y haremos ping usando el nombre de host: o365pilot-com.mail.protection.outlook.com
En la siguiente captura de pantalla, podemos ver el resultado, la dirección IP del nombre de host
- o365pilot-com.mail.protection.outlook.com es - 213.199.154.87
En la pantalla Configuración de red remota, agregue la dirección IP: 213.199.154.87
En la siguiente pantalla, podemos ver un resumen de los ajustes de configuración.
En la siguiente pantalla, podemos ver los comandos de PowerShell que se utilizaron para crear los ajustes de configuración requeridos.
En la fase actual, se creó un nuevo Conector de recepción pero es importante enfatizar que el nuevo Exchange local Conector de recepción no incluye todas las configuraciones requeridas, que debemos implementar en nuestro escenario.
En nuestro escenario, necesitaremos “activar” la opción de forzar TLS que no está activada por defecto.
Para poder mostrar la configuración del nuevo Conector de recepción que se creó en la fase anterior, Usaremos el siguiente comando de PowerShell:
Get-ReceiveConnector "EX01\Force TLS - Mail sent from o365pilot.com must be encrypted"En la siguiente captura de pantalla, podemos ver la configuración del conector de recepción.
El AuthMechanism está configurado para TLS
El valor de RemoteIPRanges incluye la dirección IP que se configuró en la fase anterior (la dirección IP de Exchange Online)
Observe que el valor de - RequireTLS es False. El significado es que la opción de Forzar TLS no está activada.
Necesitaremos actualizar dos configuraciones adicionales para el conector de recepción local de Exchange.
- PermissionGroups: actualice el parámetro de permisosGroups para permitir el acceso anónimo (acceso mediante un servidor de correo no autenticado) que se establecerá utilizando el valor AnonymousUsers
- RequireTLS: establezca el valor de RequireTLS en verdadero
Para poder implementar estas configuraciones usaremos el siguiente comando de PowerShell:
Set-ReceiveConnector "EX01\Force TLS - Mail sent from o365pilot.com must be encrypted" -RequireTLS $true -permissionGroups AnonymousUsers
En la siguiente captura de pantalla, podemos ver que el valor se actualizó.
- PermissionGroups : el valor de PermissionGroups se actualizó a AnonymousUsers
- RequireTLS : el valor de RequireTLS se estableció en verdadero
El parámetro RequireTLS especifica que todos los mensajes recibidos por este conector requieren transmisión TLS. Los valores válidos para este parámetro son $true o $false. El valor predeterminado es $falso. Cuando el parámetro RequireTLS se establece en $true, todos los mensajes recibidos por este conector requieren transmisión TLS.
El parámetro PermissionGroups especifica los grupos o roles que pueden enviar mensajes al conector de recepción y los permisos asignados a esos grupos. Un grupo de permisos es un conjunto predefinido de permisos otorgados a entidades principales de seguridad conocidas.
Los valores válidos para este parámetro son los siguientes: Ninguno, Usuarios anónimos, Usuarios de Exchange, Servidores de Exchange, Socios de ExchangeLegacyServers y Personalizado. Los grupos de permisos predeterminados asignados a un conector de recepción dependen del tipo de uso del conector especificado por el parámetro Uso cuando se creó el conector de recepción.
Obteniendo el rango de direcciones IP de la infraestructura de Exchange Online
Como se mencionó, la tarea de configurar la dirección IP específica que utiliza el servidor Exchange Online es un poco complicada porque no tenemos una información clara sobre esta dirección IP.
La buena noticia es que Exchange Online nos permite obtener esta información requerida mediante el uso de una sesión remota de PowerShell para conectarnos a la infraestructura de Exchange Online y utiliza un comando de PowerShell particular llamado Get-HybridMailflowDatacenterIPs, que nos ayudará a "obtener" la lista completa. de rangos de IP de Exchange Online.
Para poder finalizar la tarea de obtener los rangos de IP requeridos, utilizaremos un proceso de tres pasos.
Paso 1#3: Crear una sesión remota de PowerShell para Exchange Online
En el primer paso, usaremos la consola PowerShell local de Exchange para crear la sesión remota de PowerShell requerida para Exchange Online.
Tenga en cuenta que para poder completar la sesión remota de PowerShell; debe proporcionar las credenciales de administrador global de Office 365.
Si necesita más información sobre cómo crear un PowerShell remoto para Exchange Online, lea el siguiente artículo: Conéctese a Exchange Online usando PowerShell
En el caso de que no tengas cuentas de Office 365, indica a tu socio cómo implementar este procedimiento.
Paso 2#3: obtener la lista de rangos de IP de Exchange Online
Cuando utilizamos el comando de PowerShell Get-HybridMailflowDatacenterIPs la información se muestra en una presentación poco clara.
Para poder optimizar la salida del comando PowerShell del comando >Get-HybridMailflowDatacenterIPs, usaremos el parámetro adicional de PowerShell
$FormatEnumerationLimit =-1
La combinación se verá así.
C:\scripts>$FormatEnumerationLimit =-1
C:\scripts>Get-HybridMailflowDatacenterIPsEn la siguiente captura de pantalla, podemos ver el resultado del comando PowerShell
Get-HybridMailflowDatacenterIPs, que utilizamos para "obtener" todos los rangos de direcciones IP disponibles de Exchange Online.
Para poder guardar esta información sobre una variable, definiremos una variable llamada - $ip
Ejecute el siguiente comando de PowerShell:
C:\scripts>$FormatEnumerationLimit =-1
C:\scripts>$ip = Get-HybridMailflowDatacenterIPs
Sólo por curiosidad, si quieres ver el contenido de la variable $ip, todo lo que necesitas hacer es escribir $ip
C:\scripts>$ip
Paso 3#3: importar el rango de IP de Exchange Online al conector de recepción
En nuestro escenario específico, el nuevo nombre del Conector de recepción es "EX01\Force TLS: el correo enviado desde o365pilot.com debe estar cifrado".
Para poder importar el contenido de la variable $ip al Conector de recepción configuración, usaremos el siguiente comando de PowerShell
Get-ReceiveConnector "EX01\Force TLS - Mail sent from o365pilot.com must be encrypted" | Set-ReceiveConnector -RemoteIPRanges $ip.DatacenterIPsEn la siguiente captura de pantalla podemos ver el resultado.
El conector de recepción local de Exchange se completó con los rangos de IP de Exchange Online.
Resumen y el próximo artículo.
En el artículo actual, hemos revisado la configuración requerida para Forzar TLS que debe implementarse para el "flujo de correo entrante", es decir, el correo que se envía a Exchange en Instalaciones de un servidor de correo externo que representa un nombre de dominio específico (o365pilot.com).
La configuración de Forzar TLS se configuró mediante Exchange local Conector de recepción
En nuestro escenario, la configuración Forzar TLS se “activará” cada vez que se envíe un correo electrónico. El mensaje se envía desde un destinatario que utiliza el nombre de dominio: o365pilot.com.
En el próximo artículo (Implementación de Force TLS mediante el uso de la regla de transporte | Exchange en línea | Parte 10#12), revisaremos cómo implementar Force TLS en el entorno de Exchange Online usando la regla de transporte.