Exportar (0) Imprimir
Expandir Tudo
Expandir Minimizar

Publicação do Lync Server Reverse Proxy no ForeFront TMG 2010

Do Fernando Lugão Veltem

Junho, 2012

JJ206712.060DE5057573180CEC6D227C6D3E2207(pt-br,TechNet.10).png

Introdução

Para publicar os serviços do Lync Server para usuários da internet é necessário a configuração de dois server roles separados, o Edge Serve e o Reverse Proxy. Neste artigo demostro os passos para configuração do Forefront Threat Management Gateway 2010 como Reverse Proxy publicando os serviços Web do Front End. 
Para a configuração tenho um Controlador de domínio e um Lync Server Front End. Os servidores estão configurados com os seguintes endereços Ip:

JJ206712.D44283E023F069BAC33A9481BF66B2A1(pt-br,TechNet.10).png

JJ206712.95A570C685099D22DAA2181A1CE41BB7(pt-br,TechNet.10).png

Com o Reverse Proxy publicando os serviços web do Lync Server os seguintes serviços são disponibilizados aos usuários remotos.

  • Download conteúdo das reuniões 
  • Expanção de grupos de distribuição
  • Download Address Book Service
  • Disponibiliza o Lync Web App Client
  • Conferência Dial-in web page
  • Acesso ao Location Information Service
  • Conexão ao serviço de update de dispositivos

Durante a instalação do Lync Server são criados no IIS dois sites:

  1. Lync Server Internal Web Site:  configurado nas porta 80 e 443, responsável por prover os serviços para os clientes internos
  2. Lync Server External Web Site: configurado nas portas 8080 e 4443, site que deve ser publicado pelo Reverse Proxy

JJ206712.B4786F47E91488EBBF8FD00155113CC9(pt-br,TechNet.10).png

O papel do TMG neste cenário é direcionar o trafego de internet das portas 80 Http e 443 Https para as portas 8080 Htpp e 4443 Https no servidor Lync Server Front End.

Configuração das URL's

Para a publicação do serviço Web vou utilizar três url's diferentes configuradas no Front End. 
Duas Url's são configuradas por padrão durante a instalação do Front End, os endereços meet.home.com.br e dialin.home.com.br. Para verificar esta configuração execute o Topology Builder e clique em Lync Server 2010

JJ206712.A23D35D9332A1363CEA71038497AD468(pt-br,TechNet.10).png

A terceira URL deve ser configurada nas propriedades do Front End pool. Abra as propriedades do Front End, em Web Services configure a url do External Web Services

JJ206712.115D583B98520D694159463E466FD102(pt-br,TechNet.10).png

No DNS externo foram criados os hosts destas URLS todas resolvendo para o ip da interface de rede externa do TMG.

JJ206712.2863EF11031103E051FEDD75D7AB969B(pt-br,TechNet.10).png
Para mais informações sobre configuração do Mobility Service acesse o artigo InstalaçãoLync Server 2010 Mobility Service (pt-BR) 

Configuração do Certificado Digital

Para a publicação é preciso configurar um certificado no servidor TMG, este certificado será associado á porta https no TMG. O certificado foi emitido pela mesma certificadora que foi utilizada nos certificados do Front End.

O certificado deve ser configurado com o Common Name com o FQDN configurado no External Web Services, neste cenário LyncPortal.home.com.br. A SAN do certificado deve ser configurado com todos os URL's criados no Front End. 
Para o novo serviço do Mobility Service a URL externo do Discovery Service deve ser adicionada na SAN do certificado, a URL LyncDiscover.<Dominio Sip> deve ser adicionada. 

JJ206712.64ECA208354323FB426E92FE560A5187(pt-br,TechNet.10).png

Se você precisar de ajuda para emitir os certificados veja o artigo [[Passo a Passo para Requisitar um Certificado Digial Utilizando o Console MMC (pt-BR)]]

Regra de Publicação

Com o certificado inicie o console de gerenciamento do TMG, clique com o botão direito sobre Firewall Policy, selecione New e inicio o assistente Web Site Publishing Rule.

JJ206712.4AEF1E77C7C2FC9152FF970DBCCC850B(pt-br,TechNet.10).png
Configure o nome da regra de publicação.

JJ206712.73F39C30C14901095A182C8647A1674B(pt-br,TechNet.10).png
Crie um regra de Allow.

JJ206712.4C8813BF342F6D4813F35BCA72EF9D2F(pt-br,TechNet.10).png
Em Publish Type selecione a opção Publish a single Web site or load balancer.

JJ206712.364992A575166DB3BACD56E372F66B5C(pt-br,TechNet.10).png
Em Server Connection Security selecione a opção Use SSL to connect to the published Web Server or Server farm.

JJ206712.7197CF440FB46756D890C1E1EE617A7E(pt-br,TechNet.10).png
Configure Internal Publishing Detais e configure o Internal site name: com o FQDN de seu Front End. Verifique que o servidor TMG é capaz de resolver corretamente o FQDN e pingar com sucesso o servidor Front End.

JJ206712.7946D87844908B5F1EFD3BB097AE8394(pt-br,TechNet.10).png
Em Internal Publish Details e configure o Path /* .

JJ206712.1F18204AC995C21A52BFD6C96C8930C3(pt-br,TechNet.10).png
Em Public Name Details selecione a opção This domain name (type bellow), configure o Public Name LyncPortal.home.com.br, que foi configurado como URL do External Site. 

JJ206712.341C33DB4ABE5A50A2D7F91ADD292142(pt-br,TechNet.10).png
Em Web Listener crie um novo listener.

JJ206712.A7D1E5C506460670D3F1AB55C91EF4E4(pt-br,TechNet.10).png
Configure um nome para o novo listener.

JJ206712.3874A922F6542E317D25ED95D5EFCBD4(pt-br,TechNet.10).png
Em Client Connection Security selecione a opção Require SSL secured connections with clients.

JJ206712.EEB1E1A1F037A2341A13773210E91E57(pt-br,TechNet.10).png
Em Web Listener IP Address selecione a rede External e clique em Select IP Address.

JJ206712.304C3CDEE9E17968F35208E89CA7776C(pt-br,TechNet.10).png
Selecione o ip configurado como URL no DNS.

JJ206712.87254CFD46DDA08AB9E709D87F0E1529(pt-br,TechNet.10).png
Com o IP configurado avance.

JJ206712.2EE1FF921B5835B7421783EFEE703807(pt-br,TechNet.10).png
Em Listener SSL Certificate selecione a opção Use a single certificate for the Web Listener e clique em Select Certificate.

JJ206712.48F6C5920A1327B090E25635600B001A(pt-br,TechNet.10).png
Selecione o certificado configurado com as URL's do Lync Server.

JJ206712.4C7DCE010C721E7CDF1DF639723BB0A3(pt-br,TechNet.10).png
Com o certificado configurado avance.

JJ206712.FF2918FA3B9B25D9BAB6A92470DC8FB6(pt-br,TechNet.10).png
Em Authentication Settings configure a opção No Authentication.

JJ206712.2177C7AB39931E4C3C7F57F3F74A42E6(pt-br,TechNet.10).png
Em Single Sign On Settings não altere nenhuma configuração e avance.

JJ206712.D1796BD36A2FD41330A0998478D27466(pt-br,TechNet.10).png
Finalize a criação do Web Listener.

JJ206712.D13A8402AC57A59901405ADD7DDB85A9(pt-br,TechNet.10).png
Avance na criação da regra.

JJ206712.2315B6FB697693B5FCA26384D346E070(pt-br,TechNet.10).png
Em Authentication Delegation selecione a opção No delegation, but client may authenticate directly.

JJ206712.430DD620E968EDB3D5B1DF237D57F361(pt-br,TechNet.10).png
Não altere as configurações de segurança da regra.

JJ206712.5FCC9BA6459C02348C12429233F49A54(pt-br,TechNet.10).png
Complete o assistente de configuração.

JJ206712.599834ADC2B6CA143850284116D38C85(pt-br,TechNet.10).png
Retorne ao console de gerenciamento e abra as propriedades da regra.

JJ206712.632FF70F32F41B56629AA5C4AEB52504(pt-br,TechNet.10).png
Na guia To marque a opção Forward the original host header instead of the actual one.

JJ206712.1FCD6C78D1F5291EED8401524BF67FCB(pt-br,TechNet.10).png
Na guia Binding configure o Redirect requests to HTTP port: 8080;  Redirect requests to HTTP port: 4443.

JJ206712.CF96B755D174E4C4B3FB8F2CF2B53E7E(pt-br,TechNet.10).png
Na guia Public Name adicione as URL's configuradas. Adicione também a URL do Discover Service:  LyncDiscover.home.com.br.

JJ206712.420532F108F3358497F44D329E1F6696(pt-br,TechNet.10).png

Teste da Configuração

Para testar as configurações realizadas acesse as URL's 

  • https://ExternalWebServices/abs, este é a pasta do Address Book Server. A página deve exigir usuário e senha. Se você obteve outro resultado revise sua configuração de publicação.

JJ206712.6754C6C50D9293DB0AEA03EF055047C2(pt-br,TechNet.10).png

  • https://ExternalWebServices/meet, esta é a página de meeting, ela deve mostrar código para troubleshooting .

JJ206712.F6AAE620294B2E992D051EAEA1934433(pt-br,TechNet.10).png

  • https://ExternalWebServices/GroupExpansion/service.svc, esta é a pasta de expansão dos grupos. Na página deve pedir autenticação.

JJ206712.698C30E98AA8792DC273D240A4A4D44D(pt-br,TechNet.10).png

https://DialIn.dominio.com.br, esta é a página do Dialin,

JJ206712.61407EF784B8595860C0DB77D7ECBA60(pt-br,TechNet.10).png

Este artigo foi originalmente escrito por:
Fernando Lugão Veltem
blog: http://flugaoveltem.blogspot.com 
twitter: @flugaoveltem

Isso foi útil para você?
(1500 caracteres restantes)
Agradecemos os seus comentários
A Microsoft está realizando uma pesquisa online para saber sua opinião sobre o site do MSDN. Se você optar por participar, a pesquisa online lhe será apresentada quando você sair do site do MSDN.

Deseja participar?
Mostrar:
© 2014 Microsoft