הגדרת Microsoft Exchange Server: DAG, TLS, Autodiscover Turnkey

הגדרת שרת דואר ארגוני תמיד מתחילה בהפתעה: Outlook לא מתחבר, הודעות לא נמסרות, Autodiscover לא עובד. ב-80% מהמקרים, שורש הבעיה נעוץ בהכנה לא נכונה של AD ו-DNS. Exchange Server הוא מוצר תובעני: הוא דורש לפחות 128 GB RAM לסביבת ייצור, הגדרת split-brain DNS נכונה, ותעודת TLS תקפה עם שמות כמו autodiscover, mail ו-owa. הפרה של כל אחת מהדרישות הללו מובילה לבעיות שנמשכות ימים רבים. אנחנו יודעים זאת מ-30+ פרויקטים. צרו קשר לקבלת הערכה חינמית ומפורטת של התשתית שלכם.

הכנת Active Directory ו-DNS

הכנת Active Directory היא שלב קריטי. Exchange מרחיב את סכמת ה-AD, ומוסיף מאות מאפיינים ומחלקות. פעולה בלתי הפיכה זו דורשת הרשאות Schema Admin. לפני ביצועה, בצעו תמיד גיבוי של מצב המערכת בכל בקר תחום. תהליך ההכנה כולל שלוש פקודות המבוצעות ברצף.

# Подготовка схемы AD (выполнять от Schema Admin)
.\Setup.exe /PrepareSchema /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

# Подготовка AD
.\Setup.exe /PrepareAD /OrganizationName:"CorpMail" /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

# Подготовка домена
.\Setup.exe /PrepareDomain /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

לאחר # Подготовка схемы AD (выполнять от Schema Admin) .\Setup.exe /PrepareSchema /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF # Подготовка AD .\Setup.exe /PrepareAD /OrganizationName:"CorpMail" /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF # Подготовка домена .\Setup.exe /PrepareDomain /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF , יש להמתין לשכפול AD בכל בקרי התחום. בטופולוגיה מרובת אתרים, זה יכול לקחת עד 8 שעות. השקת התקנת Exchange לפני השלמת השכפול היא טעות נפוצה שמובילה ל-PrepareAD במהלך ההתקנה.

הגדרת DNS: DNS פנימי חייב לפתור את ActiveDirectoryObjectNotFoundException, mail.corp.ru ואת שם ה-OWA לכתובת ה-IP של שרת Exchange. DNS חיצוני חייב להצביע על ה-IP הציבורי או על WAF. Split-brain DNS הוא חובה כדי ש-Autodiscover יפעל כראוי.

למה Autodiscover הוא עקב האכילס של Exchange

Autodiscover הוא הדבר הראשון ש-Outlook ומכשירים ניידים בודקים. אם רשומת ה-DNS חסרה או שהתעודה אינה מכסה את autodiscover.*, הלקוח לא יתחבר אוטומטית. בכל פרויקט, אנו מוודאים: רשומת ה-CNAME של autodiscover.corp.ru מצביעה על Exchange, ותעודת ה-SAN כוללת שם זה. תו אחד שגוי—והדואר האלקטרוני אינו נגיש. לדוגמה, בפרויקט אחרון, split-brain DNS שהוגדר שגוי גרם לכשלי Autodiscover במשך יומיים עד שתיקנו את אזורי החיפוש קדימה.

כיצד להתקין כראוי את Exchange Server

# Установка предварительных требований Windows
Install-WindowsFeature -Name NET-Framework-45-Features, RPC-over-HTTP-proxy, `
    RSAT-Clustering, RSAT-Clustering-CmdInterface, RSAT-Clustering-Mgmt, `
    RSAT-Clustering-PowerShell, Web-Mgmt-Console, WAS-Process-Model, `
    Web-Asp-Net45, Web-Basic-Auth, Web-Client-Auth, Web-Digest-Auth, `
    Web-Dir-Browsing, Web-Dyn-Compression, Web-Http-Errors, Web-Http-Logging, `
    Web-Http-Redirect, Web-Http-Tracing, Web-ISAPI-Ext, Web-ISAPI-Filter, `
    Web-Lgcy-Mgmt-Console, Web-Metabase, Web-Mgmt-Console, Web-Mgmt-Service, `
    Web-Net-Ext45, Web-Request-Monitor, Web-Server, Web-Stat-Compression, `
    Web-Static-Content, Web-Windows-Auth, Web-WMI, Windows-Identity-Foundation, `
    RSAT-ADDS -Restart
# Visual C++ Redistributable и Unified Communications Managed API 4.0 — вручную с сайта Microsoft
# Затем установка Exchange
.\Setup.exe /Mode:Install /Role:Mailbox /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

הגדרת מחברים וזרימת דואר

לאחר ההתקנה, Exchange מקבל דואר פנימי אך אינו שולח או מקבל דואר חיצוני. יש צורך בשני מחברים.

# Receive Connector для входящей почты с интернета
New-ReceiveConnector -Name "Internet Inbound" `
    -Usage Internet `
    -Bindings "0.0.0.0:25" `
    -RemoteIPRanges "0.0.0.0/0" `
    -Server "EX01" `
    -AuthMechanism None `
    -PermissionGroups AnonymousUsers
Set-ReceiveConnector "EX01\Internet Inbound" `
    -PermissionGroups AnonymousUsers
Add-ADPermission -Identity "EX01\Internet Inbound" `
    -User "NT AUTHORITY\ANONYMOUS LOGON" `
    -ExtendedRights ms-Exch-SMTP-Accept-Any-Recipient

# Send Connector для исходящей
New-SendConnector -Name "Internet Outbound" `
    -Usage Internet `
    -AddressSpaces "SMTP:*;1" `
    -DNSRoutingEnabled $true `
    -SourceTransportServers "EX01"

למה תעודת TLS תקינה חשובה

ללא תעודה תקינה, Outlook לא יתחבר אוטומטית, לקוחות ניידים יקבלו שגיאות אמון, וסשנים של SMTP עם שרתים אחרים עלולים להתדרדר. תעודה מרשות אישורים ציבורית (למשל, Sectigo) עולה מ-$120 לשנה עבור דומיין יחיד עם SAN. בפרויקטים שלנו, אנו תמיד משתמשים בתעודות מרשויות אישורים ציבוריות.

# Запрос сертификата (если используется внутренний CA)
$certRequest = New-ExchangeCertificate -GenerateRequest `
    -SubjectName "CN=mail.corp.ru" `
    -DomainName "mail.corp.ru","autodiscover.corp.ru","EX01","EX01.corp.local" `
    -PrivateKeyExportable $true `
    -RequestFile "C:\certreq.txt"

# После получения сертификата — импорт и привязка к сервисам
Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path "C:\cert.cer" -Encoding Byte -ReadCount 0))

# Привязать к сервисам
Enable-ExchangeCertificate -Thumbprint "ABCD1234..." -Services "SMTP,IIS,POP,IMAP"

קבוצת זמינות מסדי נתונים (DAG) לזמינות גבוהה

שרת Exchange יחיד הוא נקודת כשל יחידה. DAG משכפל מסדי נתונים של תיבות דואר בין שני שרתים או יותר. לפרטים נוספים, ראו את התיעוד בנושא קבוצות זמינות מסדי נתונים.

# Создание DAG
New-DatabaseAvailabilityGroup -Name "DAG01" `
    -WitnessServer "dc01.corp.local" `
    -WitnessDirectory "C:\DAGWitness\DAG01" `
    -DatabaseAvailabilityGroupIPAddresses "10.10.1.60"

# Добавление членов
Add-DatabaseAvailabilityGroupServer -Identity "DAG01" -MailboxServer "EX01"
Add-DatabaseAvailabilityGroupServer -Identity "DAG01" -MailboxServer "EX02"

# Добавление копии базы данных на второй сервер
Add-MailboxDatabaseCopy -Identity "Mailbox DB 01" `
    -MailboxServer "EX02" `
    -ActivationPreference 2

# Проверить статус репликации
Get-MailboxDatabaseCopyStatus * | Select Name, Status, CopyQueueLength, ReplayQueueLength

autodiscover.domain.com ו-# Установка предварительных требований Windows Install-WindowsFeature -Name NET-Framework-45-Features, RPC-over-HTTP-proxy, ` RSAT-Clustering, RSAT-Clustering-CmdInterface, RSAT-Clustering-Mgmt, ` RSAT-Clustering-PowerShell, Web-Mgmt-Console, WAS-Process-Model, ` Web-Asp-Net45, Web-Basic-Auth, Web-Client-Auth, Web-Digest-Auth, ` Web-Dir-Browsing, Web-Dyn-Compression, Web-Http-Errors, Web-Http-Logging, ` Web-Http-Redirect, Web-Http-Tracing, Web-ISAPI-Ext, Web-ISAPI-Filter, ` Web-Lgcy-Mgmt-Console, Web-Metabase, Web-Mgmt-Console, Web-Mgmt-Service, ` Web-Net-Ext45, Web-Request-Monitor, Web-Server, Web-Stat-Compression, ` Web-Static-Content, Web-Windows-Auth, Web-WMI, Windows-Identity-Foundation, ` RSAT-ADDS -Restart # Visual C++ Redistributable и Unified Communications Managed API 4.0 — вручную с сайта Microsoft # Затем установка Exchange .\Setup.exe /Mode:Install /Role:Mailbox /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF הם מדדי בריאות מרכזיים של DAG. אם התור גדל ואינו יורד—יש בעיית רשת או קלט/פלט.

כיצד DAG משפר את הזמינות

DAG מספק זמינות של 99.9% בהשוואה ל-99% עבור שרת יחיד. זה מפחית את זמן ההשבתה השנתי מ-~87 שעות ל-~8 שעות. בשילוב עם תפקידי CAS מרובים ואיזון עומסים, מושגת סובלנות תקלות ברמה ארגונית.

ניטור ותחזוקה

Exchange כותב יומנים אל # Создание DAG New-DatabaseAvailabilityGroup -Name "DAG01" ` -WitnessServer "dc01.corp.local" ` -WitnessDirectory "C:\DAGWitness\DAG01" ` -DatabaseAvailabilityGroupIPAddresses "10.10.1.60" # Добавление членов Add-DatabaseAvailabilityGroupServer -Identity "DAG01" -MailboxServer "EX01" Add-DatabaseAvailabilityGroupServer -Identity "DAG01" -MailboxServer "EX02" # Добавление копии базы данных на второй сервер Add-MailboxDatabaseCopy -Identity "Mailbox DB 01" ` -MailboxServer "EX02" ` -ActivationPreference 2 # Проверить статус репликации Get-MailboxDatabaseCopyStatus * | Select Name, Status, CopyQueueLength, ReplayQueueLength . השימושיים ביותר לאבחון: CopyQueueLength (עוקב אחר הנתיב של כל הודעת דואר) ו-ReplayQueueLength. מציג התורים (Test-ReplicationHealth, CopyQueueLength) מציג את מצב התורים—אם תור ההגשה גדל, שירות התעבורה אינו עומד בקצב.

תהליך העבודה שלנו

1. ביקורת של AD, DNS ותשתית הדואר הקיימת.
2. תכנון טופולוגיה (שרת יחיד או DAG, מחברים, ניתוב).
3. הכנת AD ושרתים.
4. התקנת Exchange.
5. הגדרת מחברים, תעודה ו-Autodiscover.
6. בדיקת זרימת דואר.
7. במידת הצורך—הגירה מגרסת Exchange קודמת או ממערכות צד שלישי.
8. תיעוד.

מה כלול

• ביקורת של AD, DNS ותשתית הרשת הנוכחית.
• עיצוב ארכיטקטורה (שרת יחיד / DAG, מכסות, מדיניות).
• הכנת AD והתקנת Exchange.
• הגדרת מחברים, TLS ו-Autodiscover.
• בדיקת זרימת דואר ומעברי כשל.
• הדרכת מנהלים.
• תיעוד (דיאגרמה, תצורות, runbook).
• תמיכה לאחר השחרור למשך שבועיים.

למעלה מ-7 שנות ניסיון בהטמעת Exchange, 30+ פרויקטים מוצלחים. המהנדסים שלנו מוסמכים על ידי Microsoft.

העלות מחושבת באופן אישי לאחר ביקורת תשתית. קבלו ייעוץ—נעריך את הפרויקט שלכם ונציע את הפתרון האופטימלי. צרו קשר דרך הטופס באתר או בטלפון.