Búsqueda de sitios web

Retransmisión SMTP de Exchange 2016 y Exchange 2019

Los últimos días he estado trabajando con varios clientes en la retransmisión SMTP en Exchange 2016 durante una migración de Exchange 2010 a Exchange 2016. La última vez que lo hice fue con Exchange 2010, hace casi 9 años https://jaapwesselius.com /2012/05/25/smtp-relay-in-exchange-2010/ y las cosas han cambiado a lo largo de los años. Los cambios en Exchange 2016 se trasladan a Exchange 2019…. Ah, y esto también se aplica a Exchange 2013, pero como Exchange 2013 ya no tiene soporte y ninguno de mis clientes está usando Exchange 2013, me saltaré esto….

Exchange 2010 tiene el servicio Hub Transport para SMTP, que utiliza el puerto 25 para comunicarse con otros hosts SMTP. Exchange 2016 y Exchange 2019 tienen dos servicios para el transporte SMTP:

  • El servicio de transporte front-end (FETS) escucha en el puerto 25. Aquí es donde se conectan otros hosts SMTP. En el Centro de administración de Exchange 2016, el conector de recepción FETS se identifica como frontend predeterminado . En Exchange 2013, este servicio se ejecutaba en el servidor de acceso de cliente.
  • Servicio de transporte de concentradores que escucha en el puerto 2525. Este es un servicio de back-end utilizado por FETS y otros servicios de back-end de Exchange Hub Transport. No se espera que los clientes utilicen el servicio Hub Transport en el puerto 2525. En el Centro de administración de Exchange, este conector de recepción se identifica como Predeterminado . En Exchange 2013, este servicio se ejecutaba en el servidor de buzones de correo.

Estos conectores se muestran en la siguiente captura de pantalla. Se selecciona el conector de recepción frontal predeterminado (en el puerto 25), la flecha roja apunta al conector de recepción de transporte del concentrador en el puerto 2525.

Nota. El conector de recepción del frontend del cliente en la captura de pantalla escucha en el puerto 587 y se usa para clientes SMTP autenticados como Mozilla Thunderbird.

Retransmisión SMTP en Exchange 2016 y 2019

El conector de recepción frontal predeterminado permite que todos los clientes SMTP se conecten a él y envíen mensajes de correo electrónico para su entrega local. No desea configurar este conector para transmitir mensajes SMTP a dominios externos, esto se conoce como "retransmisión abierta" y esta es la razón número uno para estar en todas las listas negras disponibles en Internet. Puede hacer esto y restringir el acceso según las direcciones IP, pero recomiendo encarecidamente no cambiar los conectores predeterminados. Deje que el tráfico SMTP entrante termine en el conector de recepción frontal predeterminado y cree un conector dedicado para el tráfico de retransmisión SMTP.

Hay dos formas de crear un conector de relé de este tipo:

  • Cree un conector de recepción dedicado (en el transporte frontend, no en el servicio de transporte), restrinja por dirección IP y agregue el permiso Ms-Exch-SMTP-Accept-Any-Recipient en NT AUTHORITY\ Inicio de sesión anónimo principio de seguridad. Esto es lo que he mostrado en el blog mencionado anteriormente, y esto sólo es posible usando Exchange PowerShell. Los hosts de envío se consideran anónimos y se aplican límites de tamaño de mensajes y antispam.
  • Cree un conector de recepción dedicado (nuevamente en el transporte frontend), restrinja por dirección IP y agregue los servidores Exchange y el mecanismo de autenticación protegido externamente al conector. En este escenario, los hosts de envío se consideran remitentes autenticados y los mensajes de correo electrónico eluden los límites de tamaño de mensaje y antispam. Y es fácil de configurar usando la Consola de administración de Exchange.

Como la primera opción ya está documentada, continuaré con la segunda opción. Personalmente, me gusta hacer esto con PowerShell y el comando para crear dicho conector y configurarlo son como estos:

[PS] C:\>New-ReceiveConnector -Name "SMTP Relay EXCH01" 
-Server EXCH01 -TransportRole FrontendTransport -Custom 
-Bindings 0.0.0.0:25 -RemoteIpRanges 10.38.96.15

Identity                 Bindings     Enabled
--------                 --------     -------
EXCH01\SMTP Relay EXCH01 {0.0.0.0:25} True


[PS] C:\>Set-ReceiveConnector "EXCH01\SMTP Relay EXCH01" 
-AuthMechanism ExternalAuthoritative 
-PermissionGroups ExchangeServers

[PS] C:\>

Cuando verifica el conector mediante el Centro de administración de Exchange, puede ver que el mecanismo de autenticación está configurado correctamente, como se muestra en la siguiente captura de pantalla:

También es posible crear un nuevo conector utilizando el Centro de administración de Exchange. En el EAC, navegue hasta flujo de correo, seleccione la pestaña conectores de recepción y haga clic en el icono +. Siga el asistente, asigne un nombre adecuado al nuevo conector, seleccione Transporte frontend y personalizado y restrinja por dirección IP como se muestra en las siguientes capturas de pantalla:

Cuando se cree, abra el nuevo conector de recepción, seleccione seguridad y configure el mecanismo de autenticación en servidores exchange y protegidos externamente como se muestra en una captura de pantalla anterior.

Ahora es posible transmitir mensajes SMTP desde el servidor con la dirección IP 10.38.96.15. Usando Telnet en el puerto 25, verá algo como esto:

Al intentar retransmitir desde otro servidor (que no figura en la Configuración de red remota), fallará con el 550 5.7.54 SMTP; No se puede transmitir el destinatario en un dominio no aceptado error como se muestra en la siguiente captura de pantalla:

Resumen

En resumen, no configure el conector de recepción predeterminado de tal manera que transmita mensajes fuera del servidor Exchange. Cuando necesite utilizar la retransmisión SMTP, cree un conector dedicado.

La primera y más segura opción es crear un nuevo conector de recepción, restringirlo por dirección IP y configurar el permiso Ms-Exch-SMTP-Accept-Any-Recipient. Se aplican límites de tamaño de mensajes y antispam, pero solo se puede configurar mediante PowerShell (y, por lo tanto, es más complejo).

La segunda es crear un nuevo conector de recepción, restringir por dirección IP y configurar los mecanismos de autenticación. Más fácil de configurar (usando EAC) pero menos seguro: no se aplican límites de mensajes y antispam.

Depende de usted cuál usar.

Artículos relacionados