Coexistencia de Exchange 2013 e infraestructura de Outlook | Parte 2/2 | 14#23

En el artículo actual, continuaremos revisando el tema del flujo de conectividad del protocolo del cliente Outlook en un entorno de coexistencia de Exchange 2013. En este artículo, veremos más de cerca los estatutos específicos que construyen la relación entre Outlook y Exchange en este entorno.

Las partes que revisaremos son:

1. Las relaciones entre Exchange 2013 CAS y los servidores Exchange CAS heredados en el entorno de coexistencia de Exchange 2013
2. Las relaciones entre Exchange 2013 CAS y los clientes heredados de Outlook Exchange en el entorno de coexistencia de Exchange 2013
3. El ajuste de configuración requerido para la “comunicación CAS a CAS”, es decir:
   1. Compatibilidad y configuración de Outlook Anywhere (RPC\HTTP) en los servidores Exchange CAS heredados: el requisito de habilitar la opción de Outlook Anywhere (RPC\HTTP) en los servidores Exchange CAS heredados
   2. La configuración del protocolo de autenticación.

La configuración requerida del protocolo de autenticación que participa en el flujo de conectividad del protocolo del cliente de Outlook:

• El protocolo de autenticación que utiliza el cliente Outlook cuando necesita proporcionar su identidad al servidor CAS de Exchange.
• El protocolo de autenticación que utiliza Exchange 2013 CAS cuando envía las credenciales de usuario de Outlook a la infraestructura heredada del servidor Exchange CAS.

En la última parte del artículo, proporcionaremos un breve ejemplo de la implementación de las configuraciones requeridas usando PowerShell.

Entorno de coexistencia de Exchange 2013 y cliente Outlook | Los ajustes de configuración necesarios

Para poder demostrar el flujo en un entorno de coexistencia de Exchange 2013, usemos el siguiente escenario:

Sitio de Exchange, que incluye el servidor Exchange CAS 2013 + la infraestructura de Exchange 2010 (servidor Exchange 2010 CAS + servidor de buzones de correo de Exchange 2010).
Un cliente de Exchange y Outlook cuyo buzón esté alojado en el servidor de buzones de Exchange 2010, necesita acceso a su buzón.

El flujo de conectividad del protocolo del cliente Outlook se implementará de la siguiente manera:

1. Las solicitudes de comunicación del cliente Outlook "dirigidas" al servidor CAS de Exchange 2013.
2. El canal de comunicación entre el cliente de correo Outlook y el servidor CAS de Exchange 2013 debe implementarse como "Outlook Anywhere" (RPC/HTTP/S).
   RPC sobre HTTP/s es el método predeterminado para las conexiones del cliente Outlook; no hay más. Conexiones RPC directas a los servidores para clientes Outlook.
3. El cliente Outlook proporcionará las credenciales del usuario utilizando un protocolo de autenticación compatible con el "lado del servidor". Las opciones disponibles son: Básico, NTLM o negociación.
4. Debido a que el buzón de correo del usuario alojado en una "infraestructura de Exchange heredada" (servidor CAS de Exchange 2010), el servidor CAS de Exchange 2013 enviará la solicitud de comunicación de Outlook al servidor CAS de Exchange heredado adecuado.
5. En el proceso de "transmitir" la solicitud a la "infraestructura de Exchange heredada" (servidor CAS de Exchange 2010), el servidor de Exchange CAS 2013 "reenviará" las credenciales del usuario al servidor CAS de Exchange 2010 heredado de "destino".
6. Para poder "reenviar" las credenciales de usuario a la "infraestructura antigua de Exchange" (servidor CAS de Exchange 2010), la configuración del protocolo de autenticación para el servidor CAS de Exchange 2013 + la "infraestructura antigua de Exchange" (servidor CAS de Exchange 2010) debe ser configurado en NTLM.

Nombre del punto final RPC versus nombre de host de Exchange

El flujo del cliente Exchange heredado de Outlook en un entorno de coexistencia de Exchange 2013 puede resultar confuso en ocasiones.

El concepto general de este flujo es que los clientes Outlook de Exchange heredados deberán dirigirse al CAS de Exchange 2013 como su servidor "RPC Endpoint" y, a su vez, el CAS de Exchange 2013 deberá enviar su solicitud al CAS de Exchange heredado apropiado. servidor.

Hemos mencionado antes que en un entorno de coexistencia de Exchange 2013; Necesitaremos habilitar Outlook Anywhere (RPC\HTTP) en cada uno de los servidores Exchange CAS heredados.

El parámetro de configuración principal que al habilitar Outlook Anywhere (RPC\HTTP) en el servidor CAS de Exchange es: el “nombre de host externo. "

El nombre de host externo es el nombre del punto final RPC que "representa" el servidor Exchange CAS que proporciona los servicios Outlook Anywhere (RPC\HTTP).

Cuando el cliente Outlook se dirige al servidor CAS de Exchange y busca información de detección automática, parte de la información de detección automática que proporcionará el servidor CAS de Exchange incluye una "referencia" al "servidor CAS de Exchange" que está dedicado a servir al cliente Outlook en cualquier lugar o, en otras palabras, , puede actuar como servidor RPC Endpoint.

En la siguiente captura de pantalla, podemos ver un ejemplo de una "respuesta de detección automática" enviada al cliente Outlook por el servidor CAS de Exchange.

En nuestro ejemplo, el servidor CAS de Exchange "le dice" al cliente Outlook que el nombre del servidor RPC Endpoint es: europe.mail.o365info.com

La información sobre el servidor RPC Endpoint aparece en la sección:

Protocolo: Exchange HTTP bajo el parámetro servidor.

En el entorno de coexistencia de Exchange 2013, debemos cambiar el flujo de conectividad predeterminado del protocolo del cliente Outlook.

En lugar de la configuración en la que el cliente Outlook heredado se conectará a un servidor Exchange CAS heredado que sirve como punto final RPC, en el entorno de coexistencia de Exchange 2013, necesitamos implementar una nueva configuración en la que el cliente Outlook nativo y el cliente Outlook heredado abordarán solo el Exchange 2013 CAS como servidor RPC Endpoint.

Además, debemos habilitar el servicio Outlook Anywhere en cada uno de los servidores CAS de Exchange heredados.

En nuestro escenario, queremos utilizar el siguiente espacio de nombres: mail.o365info.com como nombre del punto final RPC que se "publicará" para todos los clientes de Outlook (exchange nativo Cliente de 2013 y clientes de Exchange heredados, como 2007/2010).

Cuando un cliente Exchange Outlook heredado aborda el CAS de Exchange 2013 como: "Punto final RPC", el CAS de Exchange 2013 sabrá cómo enviar la solicitud del cliente Exchange Outlook heredado al servidor Exchange CAS heredado adecuado.

Por este motivo, cuando habilitamos el servicio Outlook en cualquier lugar desde un servidor Exchange CAS heredado, como Exchange 2007/2010 CAS, necesitaremos establecer el valor de “nombre de host externo” usando el “ espacio de nombres principal "como: mail.o365info.com

El espacio de nombres (mail.o365info.com en nuestro escenario) apuntará al CAS de Exchange 2013.

El cliente Outlook se referirá al CAS de Exchange 2013 como un punto final RPC usando el nombre: mail.o365info.com

Cuando el CAS de Exchange 2013 necesita enviar por proxy la solicitud para el servidor CAS de Exchange heredado, se dirigirá a los servidores CAS de Exchange heredado utilizando el “nombre de host estándar” del servidor. "

En el siguiente diagrama, podemos ver un ejemplo de un flujo de conectividad del protocolo del cliente Outlook de Exchange 2010.

El cliente de Exchange 2010 dirige la CAS de Exchange 2013 utilizando el nombre de host: mail.o365info.com

Exchange 2013 CAS enviará la solicitud del cliente Outlook a Exchange 2010 CAS y abordará Exchange 2010 CAS utilizando el nombre del servidor: Exc2010.o365info.com

En la siguiente captura de pantalla, podemos ver un ejemplo de la configuración relacionada con el “nombre de host externo” en Exchange 2010 CAS.

En nuestro ejemplo, habilitamos Outlook en cualquier lugar en Exchange 2010 CAS + configuramos el valor del “nombre de host externo” en: mail.o365info.com

En caso de que se esté preguntando: ¿qué pasará si uso un “nombre de host externo” diferente para cada uno de los servidores Exchange CAS existentes, la respuesta es que Exchange 2013 CAS proporcionará un nombre de punto final RPC diferente al cliente Outlook según su “Versión de intercambio. "

Flujo de conectividad del protocolo del cliente Outlook | Las dos interfaces

En el entorno de coexistencia de Exchange 2013, el flujo de conectividad del protocolo del cliente Outlook consta de dos partes:

• Comunicación CAS de Outlook Exchange 2013
• Comunicación heredada de Exchange 2013 CAS y del servidor Exchange CAS.

Al observar el siguiente diagrama, podemos ver el concepto de "dos interfaces" o "dos partes" que construyen el flujo de conectividad del protocolo del cliente Outlook.

1. La "Parte A" es el área que describe las relaciones entre el servidor CAS de Exchange 2013 y su cliente Outlook.
2. La “Parte B” es el área que describe las relaciones entre el servidor CAS de Exchange 2013 y la infraestructura del servidor CAS de Exchange heredado.

PARTE A| Cliente Outlook y las “credenciales de usuario”

La "parte A" del flujo de conectividad del protocolo del cliente Outlook es el "círculo" que existe entre el cliente Outlook y el servidor CAS de Exchange 2013.

La primera parte del flujo de conectividad del protocolo del cliente Outlook comienza con la "autenticación" en la que el cliente Outlook deberá proporcionar las credenciales de usuario al servidor Exchange CAS.

En un entorno Exchange, el cliente Outlook puede proporcionar las credenciales de usuario mediante uno de los siguientes protocolos de autenticación:

1. NTLM
2. Básico
3. Negociar

Solo para hacerlo más complicado, el servidor CAS de Exchange 2013 admite la interfaz Outlook Anywhere: interfaz interna Outlook Anywhere + interfaz externa Outlook Anywhere.

Cada una de estas "interfaces" se puede configurar utilizando una configuración diferente, como una configuración de autenticación diferente.

En el entorno de Exchange 2013, el "resultado" es que técnicamente podemos establecer dos "conjuntos" de ajustes de configuración de Outlook Anywhere:
Un conjunto de cliente Outlook Anywhere interno y otro conjunto para el cliente Outlook Anywhere externo mientras cada uno de estos "conjuntos" ”utiliza el protocolo de autenticación diferente.

Para la configuración requerida de Outlook en cualquier lugar implementada mediante una de las siguientes opciones:

1. Exchange 2013: interfaz de administración basada en web
2. Exchange 2013: interfaz de PowerShell

La interfaz gráfica (web) del servidor CAS de Exchange 2013 nos permite elegir el protocolo de autenticación requerido. El protocolo de autenticación que elegiremos se aplicará al stand de las interfaces CAS de Exchange 2013”: interfaz interna Outlook Anywhere + interfaz externa Outlook Anywhere.

La desventaja de la interfaz de administración basada en web de Exchange 2013 es que, cuando seleccionamos un protocolo de autenticación particular, la configuración se aplicará a la cabina de la interfaz Outlook Anywhere: la interfaz interna Outlook Anywhere + la interfaz externa Outlook Anywhere.

En otras palabras, la interfaz gráfica (web) del servidor CAS de Exchange 2013 no incluye una opción para seleccionar un protocolo de autenticación diferente para la interfaz interna de Outlook Anywhere frente a la interfaz externa de Outlook Anywhere.

En la siguiente captura de pantalla, podemos ver que la interfaz de administración del servidor CAS de Exchange 2013 nos permite configurar el protocolo de autenticación requerido, pero la configuración aplicada a la cabina, del “cliente Outlook Anywhere” (el Outlook Anywhere interno + externo).

P1: ¿Cuál es el protocolo de autenticación recomendado?

R1: La forma más sencilla y, si se me permite decir, recomendada, es elegir el mismo protocolo de autenticación para el cliente Outlook Anywhere interno y externo.

Tenga en cuenta que un cliente externo de Outlook Anywhere solo admite la opción de autenticación básica.

Técnicamente, podemos configurar un método de autenticación diferente para el cliente Outlook Anywhere interno frente a un cliente Outlook Anywhere externo. Mi mantra es: KIS - mantener es el significado simple, me gusta mantenerlo simple y usar el mismo protocolo de autenticación (Básico) para ambos clientes Outlook Anywhere (interno + externo).

PARTE B | Proceso de proxy del cliente Outlook y las “credenciales de usuario”

La "segunda parte" del flujo de conectividad del protocolo del cliente Outlook se relaciona con la parte que puede describirse como: comunicación CAS a CAS. En esta parte, el CAS de Exchange 2013 “reenvía” (Proxy) que el cliente Outlook solicita al servidor CAS de Exchange heredado.

Para poder completar el canal de comunicación con éxito será necesario que se cumplan dos condiciones:

1. El servidor Exchange CAS heredado debe configurarse para admitir Outlook en cualquier lugar.
2. Exchange 2013 CAS + el servidor Exchange CAS heredado deben configurarse para admitir el método de autenticación IIS mediante NTLM ( IISAuthenticationMethods: {Basic, Ntlm})

Exchange 2013 CAS y el proceso de proxy de las credenciales de usuario de Outlook

No olvide el simple hecho: cuando un "servidor Exchange heredado", como el servidor CAS de Exchange 2010, recibe la "solicitud de proxy" del servidor Exchange CAS 2013, no "ve" al usuario de Outlook ni se comunica directamente con el Cliente Outlook.

Este es un escenario clásico del “hombre en el medio”. El "servidor Exchange heredado" no puede "confiar" en el usuario de Outlook ni "comprender" cómo enrutar la solicitud de comunicación hasta que obtenga las credenciales de usuario requeridas.

La solución a este problema de "confianza" se implementa mediante el uso de un "mecanismo de proxy de autenticación" en el que el servidor CAS de Exchange 2013 "reenvía" (Proxy) las credenciales del usuario al servidor CAS de Exchange heredado requerido.

En teoría, el proceso de "reenviar" las credenciales del usuario se puede implementar mediante una variedad de protocolos de autenticación, pero en realidad, el único protocolo de autenticación compatible que podría usarse para "reenviar las credenciales del usuario" es el protocolo NTLM.

En palabras simples: para poder implementar el canal de comunicación entre el servidor Exchange CAS 2013 y los servidores Exchange CAS heredados, necesitaremos verificar que ambas partes admitan el uso del protocolo de autenticación: NTLM.

En el siguiente diagrama, podemos ver el flujo de conectividad del protocolo del cliente Outlook que se relaciona con el tema de las credenciales de usuario.

• El protocolo de autenticación del cliente Outlook es: Básico
• Cuando Exchange 2013 CAS envía las credenciales de usuario a Exchange 2010 CAS, el protocolo de autenticación es: NTLM

Entorno de convivencia de Exchange 2013 | Cliente Outlook | Lista de verificación de preparativos requeridos

Ok, me agoto con las aburridas charlas sobre Exchange, protocolo de autenticación y más. Así que... sólo un breve resumen:

Administrar la configuración de Exchange Outlook en cualquier lugar

En la siguiente sección, revisaremos la forma en que usamos los comandos de PowerShell para crear la configuración requerida del entorno de coexistencia de Exchange 2013 y la infraestructura de Outlook Anywhere.

1. Ver una configuración existente

El primer paso es ver la configuración existente y, según la información, crear las actualizaciones de configuración necesarias.

Ejemplo 1 : obtener información sobre la configuración de Outlook en cualquier lugar de un servidor Exchange CAS en particular

Para poder ver la configuración de Outlook Anywhere en el servidor CAS de Exchange 2013, podemos usar el comando de PowerShell:

Get-OutlookAnywhere -Server <Exchange CAS server>

Nota: utilice el siguiente comando desde la consola PowerShell del servidor CAS de Exchange 2013.

En la siguiente captura de pantalla, podemos ver la información sobre la configuración de Outlook en cualquier lugar del servidor CAS de Exchange 2013 llamado: STS

Los siguientes valores se relacionan con el protocolo de autenticación que utilizará el cliente Outlook Anywhere cuando proporcione las credenciales de usuario al servidor CAS de Exchange 2013.

En nuestro escenario, la configuración del servidor se configuró de la siguiente manera:

• Se indica a Outlook Anywhere externo que utilice el protocolo de autenticación básico: ExternalClientAuthenticationMethod: Basic
• A los clientes internos de Outlook Anywhere se les indica que utilicen el protocolo de autenticación NTLM: InternalClientAuthenticationMethod: NTLM
• El componente IIS del servidor CAS de Exchange 2013 admite los siguientes protocolos de autenticación: básico, NTLM y Negotiate: IISAuthenticationMethods: {Basic, Ntlm, Negotiate}

Ejemplo 2: obtenga una lista de todos los servidores CAS de Exchange 2010 disponibles y muestre la información sobre la configuración de Outlook en cualquier lugar.

Get-ExchangeServer | Where {$_.AdminDisplayVersion -like "*14.*" -and $_.IsClientAccessServer} | Get-OutlookAnywhere | fl servername,externalhostname,*auth*

2. Configurar los ajustes de Outlook en cualquier lugar del servidor Exchange CAS

La siguiente sintaxis del comando de PowerShell es un ejemplo de "todas las configuraciones disponibles", que se relacionan con la configuración de Outlook Anywhere del servidor CAS de Exchange 2013:

Get-OutlookAnywhere -Server <Exchange 2013 CAS server>| Set-OutlookAnywhere
-InternalHostname <Domain name> -InternalClientAuthenticationMethod NTLM
-InternalClientsRequireSsl $true -ExternalHostname <Domain name>
-ExternalClientAuthenticationMethod Basic -ExternalClientsRequireSsl $true
-IISAuthenticationMethods NTLM,Basic -ssloffloading:$false

3. Habilite NTLM en el directorio IIS /RPC de sus servidores Exchange 2007/2010

Ejemplo 1: obtenga una lista de todos los servidores CAS de Exchange disponibles además de los servidores CAS de Exchange 2013, habilite (establezca) la opción Outlook en cualquier lugar y configure el protocolo de autenticación IIS requerido

Get-OutlookAnywhere | ?{ $_.AdminDisplayVersion -notlike "Version 15.*"} | Set-OutlookAnywhere -IISAuthenticationMethods NTLM,Basic

Ejemplo 2: configure los ajustes de autenticación de Outlook en cualquier lugar de un servidor Exchange CAS específico (configure el protocolo de autenticación IIS requerido + el método de autenticación del cliente).

Set-OutlookAnywhere -Identity '<ServerName>\Rpc (Default Web Site)' -ClientAuthenticationMethod Basic -IISAuthenticationMethods NTLM, Basic

Ejemplo 3: habilite Outlook Anywhere de un servidor Exchange CAS específico + configure la configuración de autenticación de Outlook Anywhere de un servidor Exchange CAS específico (configure el protocolo de autenticación IIS requerido + el método de autenticación del cliente).

Set-OutlookAnywhere -Identity '<ServerName>\Rpc (Default Web Site)' -ClientAuthenticationMethod Basic -SSLOffloading $False -ExternalHostName <Exchange 2013 CAS server> -IISAuthenticationMethods NTLM, Basic