Publikacja usług Exchange 2013 w internecie. Co dalej bez TMG?
-
Upload
konrad-sagala -
Category
Technology
-
view
480 -
download
0
description
Transcript of Publikacja usług Exchange 2013 w internecie. Co dalej bez TMG?
Publikacja usług Exchange 2013 w internecie. Co dalej bez TMG?
Konrad Sagała, Architekt Systemów IT | Trener | Exchange MVPAPN Promise S.A.
Promise | www.promise.pl
Agenda
Wprowadzenie
Różne sposoby publikacji usług Exchange
Dwa składniki wewnętrzne1. Client Access
Ewolucja Exchange 2010 CAS Array i SMTP Front End
2. Database Availability Group
Ewolucja Exchange 2010 DAG
Zawiera wszystkie podstawowe protokoły
Architektura ról Exchange Server 2013
Enterprise Network
External SMTP
servers
Phone System
(PBX or VOIP)
Web
browser
Outlook
(remote user)
Mobile
phone
Line of Business
ApplicationOutlook (local user)
AD
DAG
MBX
MBX
MBX
MBX
MBX
Layer
4 L
B
CAS
ArrayCAS
CAS
CAS
CAS
CAS
Exchange Online
Protection
Edge Transport
Routing and
AV/AS
HTTS
POP/IMAPDwie ścieżki komunikacji1. SMTP – serwery/internet
2. HTTPS – klienci (opcjonalnie POP/IMAP)
Promise | www.promise.pl
Jak publikować Exchange – przez Reverse Proxy czy bezpośrednio?
Promise | www.promise.pl
Cechy Reverse proxy:
Promise | www.promise.pl
Możliwości publikacji usług Exchange
Forefront TMG 2010
Forefront UAG 2010
Metody natywne - ARR!
HLB na przykładzie Kemp Load Master
Promise | www.promise.pl
Forefront TMG
Promise | www.promise.pl
TMG 2010 wycofany • Forefront TMG od grudnia 2012 wycofany ze
sprzedaży, nadal dostępny dla klientów EA, którzy go już mieli.
• Wsparcie do końca grudnia 2015, rozszerzone do 2020, ale nie będzie modyfikacji i Service Packów.
• Jedyny dokument o publikacji to wpis na blogu.
Promise | www.promise.pl
Forefront UAG 2010
Forefront Unified Access Gateway (UAG) 2010• Inteligentny portal dostępowy
– SSL VPN web portal– Reverse proxy– Client access VPN– DirectAccess gateway (funkcjonalność nie rozwijana)
• Następca IAG 2007• Oparty na TMG 2010
Promise | www.promise.pl
UAG – nowości w SP3• Wsparcie dla Exchange 2013 i kreatory dla tej
wersji produktu.
• Wspiera również Lync 2013 i Sharepoint 2013.
• Dla dużej organizacji duuuże koszty (licencjonowanie per user).
• Brak długotrwałej roadmapy
Promise | www.promise.pl
UAG – kreator dodawania aplikacji
Promise | www.promise.pl
Exchange 2013 - Health Test URL: https://FQDN/ProtocolName/HealthCheck.htmServer Farm Health Test URL
autodiscover.lab.pepug.org https://autodiscover.lab.pepug.org/Autodiscover/HealthCheck.htm
OA.lab.pepug.org https://OA.lab.pepug.org/RPC/HealthCheck.htm
mail.lab.pepug.org https://mail.lab.pepug.org/OWA/HealthCheck.htm
ECP.lab.pepug.org https://ECP.lab.pepug.org/ECP/HealthCheck.htm
EWS.lab.pepug.org https://EWS.lab.pepug.org/EWS/HealthCheck.htm
OAB.lab.pepug.org https://OAB.lab.pepug.org/OAB/HealthCheck.htm
EAS.lab.pepug.org https://EAS.lab.pepug.org/Microsoft-Server-ActiveSync/HealthCheck.htm
Promise | www.promise.pl
Mechanizmy systemowe Load Balancingu
• Network Load Balancing – wbudowany w system, w warstwie sieciowej. Problematyczny w środowisku wirtualnym, nie zapewnia ochrony przy dostępie z zewnątrz. Nie zalecany przez Microsoft dla Exchange
• ARR – dodatek do IIS do pobrania ze strony Microsoftu. Może być wykorzystany zarówno do Load Balancingu i jako Reverse Proxy.
Promise | www.promise.pl
Application Request Routing - ARR
Promise | www.promise.pl
ARR 2.5 dla IIS• Od niedawna posiada wsparcie dla Exchangehttp://blogs.technet.com/b/exchange/archive/2013/07/19/reverse-proxy-for-exchange-server-2013-using-iis-arr-part-1.aspx• Jako reverse proxy zalecany również dla Lynca i innych
aplikacji webowychhttp://blogs.technet.com/b/nexthop/archive/2013/02/19/using-iis-arr-as-a-reverse-proxy-for-lync-server-2013.aspx• Bezpłatny (ale trzeba mieć maszynę w DMZ)• Szerokie spektrum systemów od Windows 2008 do 2012
(również odpowiedniki desktopowe).
Promise | www.promise.pl
ARR 2.5 dla IIS – definicja reguł
Promise | www.promise.pl
Windows 2012R2 – Web Application Proxy
Backend ServerBackend Server
AD FS
Backend Server
Config. Store
Web Application Proxy
DMZ
AD FS Proxy
Fire
wal
l
Load
Bal
ance
r
Load
Bal
ance
r
Fire
wal
l
Active Directory Domain
Controller
Client (browser,
Office client or modern
app)
Corporate NetworkInternet
HTTP/S
HTTP/S
AuthN
Config. API over HTTPS
AuthN Web UI
Claims, IWA or pass-through AuthN
Obtain KCD ticket for IWA AuthN
Promise | www.promise.pl
Kemp LoadMaster• Load Master – rozwijany od 2004.• Load Balancery KEMP (sprzętowe i programowe) mają status Certified for
Microsoft Exchange 2010/2013 oraz Microsoft Lync 2010/2013.• Jedyny appliance typu Virtual load balancing dostępny dla Microsoft
Hyper-V.• Optymalizowany również dla usług MS Sharepoint oraz Terminal Services.• Do pobrania szablony konfiguracji MS Exchange 2013 i 2010.
Promise | www.promise.pl
Możliwości publikacj i różnych apl ikacj i
Web Servers & Intranet Apps,w tym Sharepoint
MS Terminal,Citrix Servers
Mail & Messaging Servers – w tymExchange & Lync/OCS
Inne, takie jak ERP, CRM, Aplikacje LOB
Virtualized Servers
Internet
Active / Hot Standby
Promise | www.promise.pl
Cechy i zalety load balancerów KEMP LoadMaster
Cecha Zaleta
Rozkłada zapytania klientów na najmniej obciążony serwer
Zadowolenie z wydajnego użycia aplikacji
Możliwa konfiguracja Active/Hot-Standby z automatycznym przełączeniem
Zapewnia HA na poziomie 99.999% i eliminuje SLB jako pojedynczy punkt awarii
Weryfikacja „stanu zdrowia” sprzętu i aplikacji dovelowej
Zapytanie klienta jest kierowane wyłącznie do działającego serwera i dostępnej instancji aplikacji “available” severs AND “available” applications.
Layer 4/7 Persistence Zapewnia stałe połączenie z aplikacją, nawet po zmianie serwera i adresu IP
Layer 7 Content SwitchingOptymalizacja ruchu do serwerów w zależności od rodzaju zawartości(images, multi-media, apps)
SSL Acceleration/Offload in ASIC Poprawa wydajności dzięki sprzętowym rozwiązaniom szyfrującym
Compression, Cache Optymalizuje ruch replikacyjny
Intrusion Prevention Systems (IPS) Ochrona przed zagrożeniami na poziomie aplikacji (mechanizmy Snorta)
Support for Edge Security Pack* Logowanie i raportowanie, Single Sign On, Uwierzytelnianie , Pre-Auth
GSLB Feature Pack ** Przekierowywanie ruchu do innego DataCenter w przypadku awarii
Promise | www.promise.pl
GEO LoadMaster/GSLB Feature Pack - Multi-Site Global Load
Balancers
Failover and failback to the best performing and geographically closest datacenter
Availability and continuity for multi-site application deployments
Datacenter resiliency by distributing user traffic
Dynamic DNS Global Load Balancing
KEMP LoadMaster™ Hardware Load Balancers
LoadMaster LM-2200 LM-2600 LM-3600 LM-5300 LM R-320
Max Balancer Throughput 950 Mbit 1,7 G 3,4 G 8,8 G 7 G
SSL Transactions Per/Second (TPS) 200 2 000 5 000 9 300 8 000
Integrated SSL ASIC N/A ✓ ✓ ✓ ✓
Requests per second (HTTP) 25 000 69,00 73 000 110 000 96 000
Layer 4 concurrent connections 4,300,000 8,600,00 12,800,00 25,600,000 25,600,000
Max Servers Supported / Virtual Clusters 1 000/500 1 000/500 1 000/1 000 1 000/1 000 1 000/1 000
Network ports 4 xGbE 4 x GbE 8 x GbE 8 x GbE и 2 x 10Gb (SFP+)
Rack-mountable 1U 1U 1U 1U 1U
Storage Disk ✓ ✓ ✓ ✓ ✓
Power Supply (Watts) 180 350 350 2x200 hot swap 2x200 hot swap
Key Features
Layer 4/7 Load Balancing ✓ ✓ ✓ ✓ ✓
Content Switching ✓ ✓ ✓ ✓ ✓
Caching, Compression Engine ✓ ✓ ✓ ✓ ✓
IPS (SNORT-Rules compatible) ✓ ✓ ✓ ✓ ✓
MS Exchange 2010/2013 Optimized ✓ ✓ ✓ ✓ ✓
Active/Hot-standby Redundant Operation ✓ ✓ ✓ ✓ ✓
Support for Edge Security Pack** ✓ ✓ ✓ ✓
Bonding/Teaming Ports (802.3ad/LACP) ✓ ✓ ✓ ✓ ✓
VLAN Trunking (802.1Q) ✓ ✓ ✓ ✓ ✓
Promise | www.promise.pl
KEMP Virtual LoadMaster™ Virtual Load Balancers & Application Delivery Controllers
Model Number VLM-100 VLM-200 VLM-1000 LM-2000 VLM -5000
Max Balancer Throughput (Mbps) 100 (Mbps) 200 (Mbps) Unrestricted 1 2000 (Mbps) 5000 (Mbps)
SSL Transactions Per/Second (TPS) 100 200 249 1000 5000
Max Servers Supported / Virtual Clusters 1 000/500 1 000/1000 1 000/1 000 1 000/1 000 1 000/1 000
Key Features
Layer 4/7 Load Balancing ✓ ✓ ✓ ✓ ✓
Content Switching ✓ ✓ ✓ ✓ ✓
Application Health Checking ✓ ✓ ✓ ✓ ✓
Caching, Compression Engine ✓ ✓ ✓ ✓ ✓
IPS (SNORT-Rules compatible) ✓ ✓ ✓ ✓ ✓
L7 Persistence Options ✓ ✓ ✓ ✓ ✓
MS Exchange 2010 / 2013 Optimized ✓ ✓ ✓ ✓ ✓
Bonding/Teaming Ports (802.3ad/LACP) ✓ ✓ ✓ ✓ ✓
VLAN Trunking (802.1Q) ✓ ✓ ✓ ✓ ✓
Support for Edge Security Pack
- Pre-Authentication
- Single Sign On
- Persistent Logging
✓ ✓ ✓ ✓
Promise | www.promise.pl
Scenariusz wykorzystania KEMP LoadMaster
Promise | www.promise.pl
Dlaczego warto użyć KEMP Load Masterdlв Exchange 2010/2013?
1. Service aware (sprawdza stan aplikacji a nie tylko dostępnośćadresu IP jak WNLB)
2. Redukuje skutek awarii pojedynczego serwera Client Access
3. Rozkłada obciążenie na farmę serwerów Client Access
4. Poprawia komfort pracy użytkownika podczas przełączaniabaz skrzynkowych
5. Wspiera serwery w ‚DatabaseAvailability Group (DAG)’
6. Zapobiega efektowi ‚port flooding’7. Umożliwia połączenie prostoty
przełączania w warstwie 4 oraz funkcjonalności warstwy 7
Promise | www.promise.pl
1. Front End pools, Director pools, and or Edge Server pools
2. Layer 7 health checking3. Load balancing wewnętrznych i
zewnętrznych web service’ów4. Wysoka dostępność5. SSL offload/acceleration, optymalizacja
ruchu sieciowego6. Szybki i wydajny load balancing
Kemp obsługuje Microsoft Lync Server 2013
Promise | www.promise.pl
Funkcjonalność Reverse proxy
1. Obsługuje Persistent Logging & Reporting dla logowania sesji użytkowników2. Single Sign On dla wielu Virtual Service’ów3. LDAP Authentication w Active Directory 4. Klient uwierzytelnia się poprzez NTLM lub Basic na LoadMasterze5. Ukrywa charakterystykę serwera docelowego…… SNAT6. Może realizować offloading SSL na KEMP Load Masterze…..SSL acceleration7. Reverse Proxy obniża obciążenie serwerów wewnętrznych poprzez Cache’owanie……Caching ( web acceleration)8. Reverse Proxy może optymalizować zawartość poprzez kompresję……Compression 9. Reverse Proxy rozdziela ruch przychodzący na kolejne serwery …. Load Balancing
Load-Balanced Pools
Supported NAT Modes
Notes
Enterprise pools and Communicator Web Access
Full-NAT (SNAT)
Half-NAT is not supported for load balancing of internal pools because inter-server communications within an internal pool fail when servers in the pool try to connect to their own VIP
Edge pools Full-NAT (SNAT)
and
Half-NAT (DNAT)
The VIP for the external interface of Edge Servers should be set to half-NAT or full-NAT only for traffic to the edge (for each VIP that is used for Edge Servers and HTTP). Also, NAT is not supported for the IP address of the external interface of the A/V Edge Server of an Edge Server, so the IP address of the external interface of the A/V Edge service on each Edge Server must be publicly routable (no NAT).
Promise | www.promise.pl
1. Maksymalizuje efektywność sieci2. Uwzględnia persistence/monitorowanie wydajności serwerów Window z różnorodnymi usługami3. Monitorowanie zasobów LoadMaster udostęnia dane o zużyciu paięci i CPU (poprzez agentów)4. Integruje się z MS Session Directory 5. RDP-based Layer 7 Persistence6. Umożłiwia ponowne połączenie sesji bez sięgania do usługi Session Directory7. Health checking serwerów Microsoft WTS
Wykorzystanie do Load Balancingu dla Windows Terminal Services (WTS)
Promise | www.promise.pl
KEMP ESP – Edge Security Pack
Microsoft ogłosił END-OF-LIFE dla Forefront Threat Management Gateway (TMG)
The KEMP Edge Security Pack (ESP) zaprojektowano w celu dostarczenia kompletnego rozwiązania, w miejsce funkcji udostępnianych przez TMG
1. End Point Authentication for Pre-Auth2. Persistent Logging and Reporting for User
Logging3. Single Sign On across Virtual Services4. LDAP authentication from the LoadMaster
to the Active Directory5. NTLM and Basic authentication
communication from a Client to the LoadMaster
Promise | www.promise.pl
Internet DMZ Internal Network
ActiveSync Device
Active Directory
mail.kempdemo.com
Outlook Anywhere Client KEMP LoadMaster
with ESP
Multi-Role Exchange Server
2013
SSL termination
andre-encryption
1. Importujemy certyfikat Exchange do LoadMastera2. Definiujemy domenę Single Sign-On3. Tworzymy reguły Content Matching4. Tworzymy Virtual Service5. Przypisujemy Certyfikat do Virtual Service’u
DEMO
Promise | www.promise.pl
GEO LoadMaster/GSLB Feature Pack - Multi-Site Global Load Balancers
1. Jak to działa? 2. Gdzie instalujemy GEO?
3. Kryteria wyboru
4.Intelligent Traffic Management (ITM)
Promise | www.promise.pl
Kemp LoadMaster for Azure – bezpłatny (!)
Promise | www.promise.pl
Porównanie domyślnego Azure LB i KempLoad Master for Azure
Azure Load Balancer KEMP LoadMaster-for-Azure
Application-Aware L7 load balancing No Yes
Balancing methods Round Robin Only L4/L7
Server persistence No L4/L7 (Cookie and more)
SSL Termination/Offload No Yes
Adaptive Agent No Yes
DEMO
Promise | www.promise.pl
Pytania?
Konrad Sagała, Architekt Systemów IT | Trener | Exchange MVP
APN Promise S.A.
tel. +48 605 160 776 | [email protected]