接收Exchange Server中的连接器

Exchange 服务器使用接收连接器控制以下来源的入站 SMTP 连接：

• Exchange 组织外部的邮件服务器。

• 本地 Exchange 服务器或远程 Exchange 服务器上传输管道中的服务。

• 需要使用经身份验证的 SMTP 来发送邮件的电子邮件客户端。

可以在邮箱服务器上的传输服务、邮箱服务器以及边缘传输服务器上的前端传输服务中创建接收连接器。 默认情况下，在安装 Exchange 邮箱服务器时，以及将边缘传输服务器订阅到 Exchange 组织时，会自动创建入站邮件流所需的接收连接器。

接收连接器与其所创建位置的邮箱服务器或边缘传输服务器相关联，并确定该特定服务器侦听 SMTP 连接的方式。 在邮箱服务器上，接收连接器作为服务器的子对象存储在 Active Directory 中。 在边缘传输服务器上，接收连接器存储在 Active Directory 轻型目录服务 (AD LDS) 中。

以下是接收连接器的重要设置：

• 本地适配器绑定：配置接收连接器用于接受连接的本地 IP 地址和 TCP 端口的组合。

• 远程网络设置：配置接收连接器为连接侦听的源 IP 地址。

• 使用类型：为接收连接器配置默认权限组和智能主机身份验证机制。

• 权限组：配置允许谁使用接收连接器，以及他们接收的权限。

接收连接器会侦听与连接器的配置设置相匹配的入站连接。 Exchange 服务器上每个接收连接器使用本地 IP 地址绑定、TCP 端口和远程 IP 地址范围的唯一组合，它们定义是否接受 SMTP 客户端或服务器中的连接以及如何接受。

尽管默认接收连接器在大多数情况下已经足够，你仍可以为特定场景创建自定义接收连接器。 例如：

• 将特殊属性应用于电子邮件源，例如，较大的最大邮件大小、每封邮件的更多收件人或更多的同时入站连接。

• 通过使用特定的 TLS 证书接受加密邮件。

在邮箱服务器上，可以在 Exchange 管理中心 (EAC) 或 Exchange 命令行管理程序中创建和管理接收连接器。 在边缘传输服务器上，只能使用 Exchange 命令行管理程序。

与 Exchange 2010 相比，Exchange 2016 和 Exchange 2019 中的接收连接器发生了以下显著变化：

• 使用 TlsCertificateName 参数可以指定证书颁发者和证书使用者。 这有助于将欺诈证书的风险降到最低。

• 使用 TransportRole 参数可以区分前端 (客户端访问) 和邮箱服务器上的后端连接器。

安装 Exchange 时，默认情况下将创建多个不同的接收连接器。 默认情况下将启用这些连接器，其中大多数连接器会禁用协议日志记录。 有关接收连接器协议日志记录的详细信息，请参阅协议日志记录。

前端传输服务中接收连接器的主要功能是接受匿名和经身份验证的 SMTP 连接到你的 Exchange 组织。 这些连接器的 TransportRole 属性值为 FrontendTransport。 前端传输服务将这些连接中继或 代理 到传输服务，以便进行分类和路由到最终目标。

下表介绍了在邮箱服务器上的前端传输服务中创建的默认接收连接器。

传输服务中接收连接器的主要功能是接受来自组织中本地邮箱服务器或远程邮箱服务器上其他传输服务的经身份验证和加密的 SMTP 连接。 这些连接器上的 TransportRole 属性值为 HubTransport。 客户端不直接连接到这些连接器。

下表介绍了在邮箱服务器上的传输服务中创建的默认接收连接器。

边缘传输服务器上接收连接器的主要功能是接受来自 Internet 的邮件。 为 Exchange 组织订阅边缘传输服务器将自动配置 Internet 邮件流入和流出组织所需的连接器权限和身份验证机制。 有关详细信息，请参阅边缘传输服务器。

下表介绍了在边缘传输服务器上的传输服务中创建的默认接收连接器。

除了在安装 Exchange 服务器期间创建的接收连接器外，邮箱服务器上的邮箱传输传递服务中还有一个特殊的 隐式接收连接器 。 此隐式接收连接器是自动提供的，它不可见且无需管理。 此连接器的主要功能是接受来自组织中本地邮箱服务器或远程邮箱服务器上的传输服务的邮件。

下表介绍了邮箱服务器上邮箱传输传递服务中存在的隐式接收连接器。

本地地址绑定将接收连接器限制为侦听特定本地 IP 地址（网络适配器）和 TCP 端口上的 SMTP 连接。 通常情况下，本地 IP 地址和 TCP 端口组合对于服务器上的每个接收连接器具备唯一性。 但是，如果远程 IP 地址范围不同，服务器上的多个接收连接器可以有相同的本地 IP 地址和 TCP 端口。 有关详细信息，请参阅接收连接器的远程地址部分。

默认情况下，接收连接器侦听所有可用的本地 IPv4 和 IPv6 地址的连接 (0.0.0.0 和 [::]:) 。 如果服务器具有多个网络适配器，可以将接收配置为仅接受为特定网络适配器配置的 IP 地址中的连接。 例如，在面向 Internet 的 Exchange 服务器上，可以使绑定到外部网络适配器 IP 地址的接收连接器侦听匿名 Internet 连接。 可以使绑定到内部网络适配器的 IP 地址的单独接收连接器侦听来自内部 Exchange 服务器的经身份验证的连接。

在 EAC 中，使用" 网络适配器绑定"字段在新的接收连接器向导中，或在现有接收连接器属性中的" 作用域"选项卡上配置本地地址绑定。 在 Exchange 命令行管理程序中，对 New-ReceiveConnector 和 Set-ReceiveConnector cmdlet 使用 Bindings 参数。 根据选择的使用类型，你可能无法在创建接收连接器时配置本地地址绑定，但可以在创建接收连接器后对其进行修改。 在接收连接器使用类型部分中标识受影响的使用类型。

通过接收连接器接收 SMTP 连接的位置定义远程地址。 默认情况下，接收连接器侦听来自所有 IPv4 和 IPv6 地址的连接（0.0.0.0-255.255.255.255 和 ::-ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff）。 如果创建一个自定义接收连接器以接收来自特定源的邮件，则将连接器配置为仅侦听来自特定 IP 地址或地址范围的连接。

只要一个 IP 地址范围与另一个范围完全重叠，服务器上的多个接收连接器就会有重叠的远程 IP 地址范围。 当远程 IP 地址范围重叠时，将使用与连接服务器的 IP 地址最匹配的远程 IP 地址范围。

例如，请考虑以下名为 Exchange01 服务器上前端传输服务中的接收连接器：

• 连接器名称：客户端前端 Exchange01

  • 网络适配器绑定：端口 25 上的所有可用 IPv4。

  • 远程网络设置：0.0.0.0-255.255.255.255

• 连接器名称：自定义连接器 A

  • 网络适配器绑定：端口 25 上的所有可用 IPv4。

  • 远程网络设置：192.168.1.0-192.168.1.255

• 连接器名称：自定义连接器 B

  • 网络适配器绑定：端口 25 上的所有可用 IPv4。

  • 远程网络设置：192.168.1.75

自定义连接器 B 接受来自 192.168.1.75 的 SMTP 连接，因为该连接器具有最匹配的 IP 地址。

自定义连接器 A 接受来自 192.168.1.100 的 SMTP 连接，因为该连接器具有最匹配的 IP 地址。

在 EAC 中，使用 远程网络设置字段在新的接收连接器向导中，或在现有接收连接器属性中的" 作用域"选项卡上配置远程 IP 地址。 在 Exchange 命令行管理程序中，对 New-ReceiveConnector 和 Set-ReceiveConnector cmdlet 使用 RemoteIPRanges 参数。

使用类型决定接收连接器的默认安全设置。 使用类型指定谁有权使用连接器、他们所获取的权限以及受支持的身份验证方法。

在使用 EAC 创建接收连接器时，向导会提示你选择连接器的 Type 值。 在 Exchange 命令行管理程序中使用 New-ReceiveConnector cmdlet 时，将 Usage 参数与其中一个可用值 (（例如 -Usage Custom ，) ）或使用类型 (指定开关（例如 -Custom ，) ）。

连接器使用类型只能在创建接收连接器时指定。 创建连接器后，可以在 EAC 中或通过使用 Exchange 命令行管理程序 中的 Set-ReceiveConnector cmdlet 修改可用的身份验证机制和权限组。

下表介绍了可用的使用类型。

身份验证机制指定用于传入 SMTP 连接的登录和加密设置。 可以为一个接收连接器配置多种身份验证机制。 在 EAC 中，接收连接器属性的" 安全"选项卡中提供身份验证机制。 在 Exchange 命令行管理程序中，权限组在 New-ReceiveConnector 和 Set-ReceiveConnector cmdlet 上的 AuthMechanisms 参数中可用。

下表介绍了可用的身份验证机制。

权限组是预定义的权限集，将其授予常用的安全主体并分配给接收连接器。 安全主体包括用户帐户、计算机帐户和安全组（可通过安全标识符或具有向其分配权限的 SID 来标识的对象）。 权限组定义谁可以使用接收连接器以及他们获得的权限。 不能创建权限组，也不能修改权限组成员或权限组的默认权限。

在 EAC 中，接收连接器属性中的" 安全"选项卡中提供有权限组。 在 Exchange 命令行管理程序中，权限组在 New-ReceiveConnector 和 Set-ReceiveConnector cmdlet 中的 PermissionGroups 参数中可用。

下表介绍了可用的权限组。

稍后将在本主题的接收连接器权限部分介绍权限。

通常情况下会通过使用权限组将权限应用到接收连接器。 然而，可以通过使用 Add-ADPermission 和 Remove-ADPermission cmdlet 在接收连接器上配置具体权限。

接收连接器权限按照连接器的权限组分配给安全主体。 某个 SMTP 服务器或客户端与接收连接器建立连接时，接收连接器权限将决定是否接受该连接以及如何处理邮件。

可用的接收连接器权限如下表所述。

注意：

• 除了记录的权限外，还有一些权限分配给 Exchange 服务器 中的所有安全主体， (ExchangeServers) 权限组除外 MS Exchange\Externally Secured Servers。 这些权限仅供内部 Microsoft 使用，在此处仅供参考。

  • ms-Exch-SMTP-Accept-Xattr

  • ms-Exch-SMTP-Accept-XProxyFrom

  • ms-Exch-SMTP-Accept-XSessionParams

  • ms-Exch-SMTP-Accept-XShadow

  • ms-Exch-SMTP-Accept-XSysProbe

  • ms-Exch-SMTP-Send-XMessageContext-ADRecipientCache

  • ms-Exch-SMTP-Send-XMessageContext-ExtendedProperties

  • ms-Exch-SMTP-Send-XMessageContext-FastIndex

• 包含 ms-Exch-Accept-Headers- 的权限名称是 标头防火墙 功能的一部分。 有关详细信息，请参阅邮件头防火墙。

若要查看分配给接收连接器中的安全主体的权限，请使用 Exchange 命令行管理程序 中的以下语法：

Get-ADPermission -Identity <ReceiveConnector> [-User <SecurityPrincipal>] | where {($_.Deny -eq $false) -and ($_.IsInherited -eq $false)} | Format-Table User,ExtendedRights

例如，若要查看分配给名为客户端前端 Mailbox01 的接收连接器上的所有安全主体的权限，请运行以下命令：

Get-ADPermission -Identity "Client Frontend Mailbox01" | where {($_.Deny -eq $false) -and ($_.IsInherited -eq $false)} | Format-Table User,ExtendedRights

若要查看仅在名为 Default Mailbox01 的接收连接器上分配给安全主体 NT AUTHORITY\Authenticated Users 的权限，请运行以下命令：

Get-ADPermission -Identity "Default Mailbox01" -User "NT AUTHORITY\Authenticated Users" | where {($_.Deny -eq $false) -and ($_.IsInherited -eq $false)} | Format-Table User,ExtendedRights

若要将权限添加到接收连接器上的安全主体，请使用以下语法：

Add-ADPermission -Identity <ReceiveConnector> -User <SecurityPrincipal> -ExtendedRights "<Permission1>","<Permission2>"...

若要从接收连接器上的安全主体中删除权限，请使用以下语法：

Remove-ADPermission -Identity <ReceiveConnector> -User <SecurityPrincipal> -ExtendedRights "<Permission1>","<Permission2>"...