Descripción de Direct Push

La tecnología Direct Push usa Exchange ActiveSync para mantener los datos en un dispositivo Windows Mobile sincronizado con datos en un servidor Microsoft Exchange. Ya no se depende de SMS para las notificaciones.

Tecnología Direct Push

La tecnología Direct Push tiene dos partes: Una reside en el dispositivo (cliente) y la otra, en un servidor de correo Exchange Server 2007. En la lista siguiente se describen estas partes de la tecnología:

• Dispositivo Windows Mobile 6. La tecnología ActiveSync del dispositivo administra la comunicación de Direct Push con el servidor Exchange. Establece una conexión HTTP o HTTPS con el servidor durante un tiempo especificado, y después se pone en suspensión hasta que el servidor responde. El servidor responde con un estado que indica que se han recibido artículos nuevos o que no ha llegado ningún artículo nuevo. El dispositivo envía entonces una solicitud de sincronización u otra solicitud de Direct Push. La frecuencia a la que esto ocurre se ajusta dinámicamente en función de los parámetros establecidos por el OEM o el operador de dispositivos móviles y del tiempo que puede mantenerse inactiva una conexión HTTP o HTTPS en la red del operador y en la red empresarial de cliente.

• Exchange Server 2007 (con la función de servidor de acceso de cliente instalada). Esta versión del servidor Exchange incluye un componente Direct Push que aumenta la infraestructura de Exchange ActiveSync, ya que admite la sincronización manual y la programada. Exchange Server usa notificaciones de IP para entregar correo electrónico, datos de contacto, calendario y actualizaciones de tarea a un dispositivo tan pronto como la información llega al servidor.

Cuando cambian los datos en el servidor, dichos cambios se transmiten al dispositivo a través de una conexión permanente HTTP o HTTPS que se usa para Direct Push. El valor de tiempo de espera de la red del operador de dispositivos móviles especifica el tiempo que la conexión permanente se mantendrá sin actividad.

Para evitar que caduque el tiempo de espera de esta conexión entre actualizaciones, el dispositivo reenvía una solicitud cuando el servidor responde. Esta transmisión periódica se denomina latido. El latido es lo que mantiene la conexión al servidor para Direct Push; cada latido pone sobre aviso al servidor que el dispositivo está listo para recibir los datos.

El proceso de Direct Push

El tráfico de Direct Push funciona como un conjunto de solicitudes pequeñas de HTTP a un sitio web de Internet que tarda mucho tiempo en publicar una respuesta. Microsoft recomienda que el contenido de los paquetes se cifre con el nivel de sockets seguro para dificultar la identificación y detección del tráfico de Direct Push.

Los pasos siguientes describen el proceso de Direct Push:

1. El cliente emite un mensaje HTTP, que se denomina solicitud ping, a un servidor Exchange, con el que se solicita un informe del servidor en el que se indiquen los cambios experimentados por el buzón del usuario dentro de un plazo especificado. En la solicitud ping, el cliente especifica las carpetas que Exchange debe controlar para detectar cualquier cambio. Normalmente, son la bandeja de entrada, el calendario, los contactos y las tareas.

2. Cuando Exchange recibe esta solicitud, supervisa las carpetas especificadas hasta que se produce alguna de las situaciones siguientes:

   • Expira el plazo. El plazo lo determina el tiempo de espera más corto de la ruta de acceso de la red. Si esto ocurre, Exchange envía la respuesta HTTP 200 OK al cliente.

   • Se produce un cambio en una de las carpetas, como la llegada de correo. Si esto ocurre, Exchange publica una respuesta a la solicitud e identifica la carpeta en la que se produjo el cambio.

3. El cliente reacciona a la respuesta del servidor Exchange de una de las maneras siguientes:

   • Si recibe la respuesta HTTP 200 OK, que indica que no se produjo ningún cambio, vuelve a enviar la solicitud ping.

   • Si recibe una respuesta distinta de HTTP 200 OK, emite una solicitud de sincronización contra cada carpeta que haya cambiado. Cuando se completa la sincronización, vuelve a emitir la solicitud ping.

   • Si no recibe ninguna respuesta del servidor Exchange dentro del plazo especificado, baja el intervalo de tiempo de la solicitud ping y vuelve a emitir la solicitud.

Ajuste de Direct Push

Durante el proceso Direct Push, el dispositivo espera a que se produzcan varios viajes de ida y vuelta sucesivos antes de intentar ajustar la cantidad de tiempo que necesita para mantener abierta una conexión con el servidor. La cantidad de tiempo que el servidor debe esperar a que se produzcan cambios de Administrador de información personal (PIM) o se reciba correo nuevo antes de enviar la aceptación al cliente se denomina intervalo de latido.

El cliente especifica un intervalo de latido, que se envía como parte de la solicitud ping. El latido empieza con la frecuencia predeterminada. El algoritmo Direct Push del cliente ajusta después dinámicamente el intervalo de latido para mantener el tiempo máximo entre latidos sin superar el valor de tiempo de espera. El ajuste se basa en las condiciones de red y en el tiempo que puede mantenerse inactiva una conexión HTTP o HTTPS en la red del operador de dispositivos móviles o en la red corporativa, así como en algunos valores que el operador de dispositivos móviles puede especificar.

Para determinar el intervalo óptimo de latido, el algoritmo mantiene un registro de solicitudes ping. Si una solicitud ping recibe una respuesta, el algoritmo aumenta el intervalo. Si no se recibe ninguna respuesta al final del intervalo, el cliente determina que finalizó el tiempo de espera de la red y disminuye el intervalo.

Con este algoritmo, el cliente determina finalmente la conexión inactiva más larga posible a través de la red inalámbrica y el firewall corporativo.

La ilustración siguiente muestra cómo se ajusta el intervalo de latido durante una comunicación normal de Direct Push entre el cliente y el servidor Exchange.

La "T" de esta ilustración indica la progresión de tiempo.

Los pasos siguientes describen la comunicación. Los números corresponden a los números de la ilustración:

1. El cliente se activa y emite una solicitud HTTP por Internet al servidor Exchange y, después, pasa nuevamente a estar en suspensión.

   Para mantener la sesión activa, la solicitud indica el intervalo de latido, que es la cantidad de tiempo que el servidor debe esperar a que se produzcan cambios en el PIM o se reciba correo nuevo antes de enviar la aceptación al cliente. En esta ilustración, el intervalo de latido es de 15 minutos.

2. Dado que no ha llegado ningún correo durante el intervalo de latido, el servidor devuelve el mensaje HTTP 200 OK.

   En este ejemplo, la respuesta se pierde porque la red del operador o de la empresa no pudo mantener la conexión HTTP duradera; el cliente no llega a recibirla.

3. El cliente se activa al final del intervalo de latido más 1 minuto (15 + 1 = 16 minutos en total).

   Nota:

   El dispositivo espera a que transcurran varios viajes de ida y vuelta sucesivos antes de intentar ajustar el intervalo de latido. Un componente de ajuste en el algoritmo puede cambiar los incrementos a una cantidad diferente de la especificada.

   Si se trata de un viaje de ida y vuelta sucesivo sin respuesta del servidor, el cliente emite una solicitud de menor duración (8 minutos).

   En este ejemplo, dado que el latido no se aumentó durante el último ping, el latido se cambia al valor mínimo del latido (8 minutos).

4. Dado que no ha llegado ningún correo durante el intervalo de latido, el servidor devuelve el mensaje HTTP 200 OK.

5. La respuesta del servidor reactiva al cliente. Dado que la conexión no agotó el tiempo de espera durante el intervalo, el cliente determina que la red puede ser compatible con conexiones inactivas por lo menos durante el plazo de tiempo especificado.

   Si se trata de un viaje de ida y vuelta sucesivo, el cliente determina que puede aumentar el intervalo para la solicitud siguiente.

Repercusiones de Direct Push en redes y servidores Exchange

El algoritmo que establece el latido minimiza también los bytes transmitidos remotamente y ayuda a aprovechar al máximo la vida de la batería.

Implementar la compresión de datos reducirá los tamaños de paquete enviados entre el servidor Exchange (función de servidor de acceso de cliente) y el cliente. Sin embargo, la cantidad del ancho de banda consumida y si se verá afectado el plan de datos del usuario depende de los factores siguientes:

• Qué elementos decide sincronizar el usuario, como por ejemplo, otras carpetas además de las predeterminadas.

• Cuántos datos se cambian en el buzón y en el dispositivo móvil.

Repercusión de cambiar la configuración de Direct Push

Para ayudarle a mantener el rendimiento adecuado del dispositivo durante Direct Push, Microsoft recomienda diversos valores para la configuración de Direct Push.

Intervalo de latido

El intervalo del latido lo establece el operador de dispositivos móviles en el dispositivo. Un intervalo de latido de 30 minutos ayuda a conservar la vida de batería y reduce el consumo del ancho de banda. Cuando se permite que las sesiones de Direct Push duren más tiempo (por ejemplo, 30 minutos), hay menos viajes de ida y vuelta de HTTP, se envían y reciben menos datos y el dispositivo consume menos energía.

Un intervalo del latido demasiado corto mantendrá al usuario más actualizado, pero acortará la vida de la batería debido a los constantes ping al servidor.

Latido mínimo

Si un dispositivo que tiene un latido por debajo del nivel mínimo solicita una conexión al servidor Exchange, éste registra un evento para poner sobre aviso al administrador de que Direct Push no funciona correctamente.

Sesión de Exchange

Para mantener actualizada la información del dispositivo a la vez que se aprovecha al máximo la vida de la batería, la duración de las sesiones del servidor Exchange debe ser un poco mayor que el valor máximo de latido. Si la sesión de servidor es más corta, podría alcanzar el tiempo de espera de inactividad, por lo que se interrumpiría la sesión. El resultado sería la falta de entrega del correo hasta que el cliente se conecte de nuevo; además, el usuario podrá estar desincronizado durante largos períodos de tiempo.

Tiempos de espera del firewall

El tiempo de espera para conexión inactiva de la red indica cuánto puede durar una conexión sin tráfico después de establecer una conexión TCP completa.

El intervalo de la sesión de firewall debe establecerse de modo que el intervalo de latido y el intervalo de la sesión de la empresa se comuniquen entre sí de forma eficaz. Si el firewall cierra la sesión, el correo no se entregará hasta que el cliente se conecte de nuevo; además, el usuario podrá estar desincronizado durante largos períodos de tiempo. Si se establece un tiempo de espera de la sesión del firewall igual o mayor que el tiempo de espera inactivo en la red del operador de dispositivos móviles, el firewall no cerrará la sesión.

Establezca los tiempos de espera de conexión inactiva del firewall:

• Microsoft recomienda que los operadores de dispositivos móviles establezcan los tiempos de espera de conexión inactiva en los firewalls de salida en 30 minutos.

• Las empresas deben establecer el tiempo de espera en sus firewall entrantes en 30 minutos.

Los servidores web, los aparatos de seguridad de red y las pilas de red del sistema tienen varios umbrales que dependen del tiempo y que están pensados para aislarlos de clientes insuficientemente probados o malintencionados. Puede aumentar sin riesgos la configuración del tiempo de espera de conexión inactiva sin ponen en peligro la seguridad de la red.

En una situación de Direct Push, la conexión está inactiva entre la hora en que se realiza la solicitud HTTP y, o bien 1) la hora en que expira el intervalo de latido, o 2) el servidor responde a la solicitud con un cambio (como ocurre cuando se recibe correo). Direct Push no presupone la duración de las sesiones; el correo electrónico se entrega rápidamente con independencia de que el intervalo de latido sea de uno o de 30 minutos.

Aumentar el tiempo de espera de conexión inactiva no aumenta ni disminuye la vulnerabilidad frente a un posible ataque. La tabla siguiente muestra ejemplos de ataques y describe cómo pueden usarse otras configuraciones para mitigar la exposición ante dichos ataques.

Amenaza de denegación de servicio (DoS)	Mitigación de la exposición a ataques
Un ataque de DoS se inicia ejecutando de forma incompleta el protocolo de enlace que está implícito en la creación de una conexión TCP. El atacante intenta crear muchas conexiones TCP parcialmente abiertas.	Aumentar los tiempos de espera de conexión inactiva no guarda relación con este tipo de ataque. El tiempo durante el cual un protocolo de enlace TCP debe llevarse a cabo completamente, es un umbral independiente controlado por la pila de Windows TCP/IP.
Un ataque de DoS se inicia contra IIS abriendo muchas conexiones TCP pero nunca emitiendo una solicitud HTTP sobre ninguna de ellas.	Aumentar los tiempos de espera de conexión inactiva no guarda relación con este tipo de ataque. IIS mitiga esta amenaza requiriendo que un cliente envíe una solicitud HTTP completamente formada dentro de un determinado período de tiempo antes de cortar la conexión. El nombre de la configuración del tiempo de espera de conexión en la consola de administración IIS se presta a confusión; las conexiones TCP se cierran cuando se supera el valor del tiempo de espera de la conexión (120 segundos de forma predeterminada).
Un atacante establece muchas conexiones TCP, emite solicitudes HTTP sobre todas ellos, pero nunca consume las respuestas.	Aumentar los tiempos de espera de conexión inactiva no guarda relación con este tipo de ataque. Esta amenaza se mitiga por el mismo tiempo de espera indicado en la situación anterior. La configuración de tiempo de espera de la conexión en IIS define el plazo que tiene un cliente para emitir su primera solicitud después de que se establezca una conexión TCP o una solicitud posterior en una situación de mantenimiento de la conexión HTTP. Nota: Sólo es aplicable a la escucha de Exchange Active Sync.

En este artículo

• Inicio

• Paso 1: Instalar Exchange Server 2007 con la función de servidor de acceso de cliente

• Paso 2: Actualizar los servidores con las revisiones de seguridad

• Paso 3: Proteger las comunicaciones entre Exchange Server 2007 y los dispositivos Windows Mobile 6

• Paso 4: Instalar y configurar ISA Server 2006 u otro firewall

• Paso 5: Configurar y administrar el acceso a dispositivos móviles en Exchange Server

• Paso 6: Inscripción de certificados y aprovisionamiento de dispositivos

• Paso 7: Administrar y configurar dispositivos Windows Mobile 6