Descripción de las suscripciones perimetrales

Se aplica a: Exchange Server 2007 SP3, Exchange Server 2007 SP2, Exchange Server 2007 SP1, Exchange Server 2007

Última modificación del tema: 2009-09-18

En este tema se proporciona información detallada sobre las suscripciones perimetrales y sobre el proceso de sincronización de EdgeSync. Las suscripciones perimetrales se utilizan para llenar la instancia del servicio de directorio de Active Directory Application Mode (ADAM) de la función del servidor Transporte perimetral de Microsoft Exchange Server 2007 con datos del servicio de directorio de Active Directory.

En Exchange 2007, la función del servidor Transporte perimetral se implementa en la red perimetral de la organización. Diseñado para minimizar la superficie expuesta a ataques, el servidor de transporte perimetral se encarga de todo el flujo de correo de Internet y proporciona la retransmisión de Protocolo simple de transferencia de correo (SMTP) y servicios de host inteligente a la organización de Exchange. Una serie de agentes que se ejecutan en el servidor de transporte perimetral ofrece niveles adicionales de protección de mensajes y seguridad, y actúa en los mensajes conforme éstos son procesados por los componentes de transporte de mensajes. Dichos agentes son compatibles con las características que ofrecen protección frente a virus y correo electrónico no deseado, y aplican reglas de transporte para controlar el flujo de correo.

Aunque la creación de una suscripción perimetral sea opcional, la suscripción de un servidor de transporte perimetral a la organización de Exchange proporciona una experiencia administrativa más sencilla para el administrador y mejora las características disponibles contra el correo electrónico no deseado. Es necesario crear una suscripción perimetral si se quieren utilizar las características contra el correo electrónico no deseado, búsqueda de destinatarios o agregación de listas seguras, o bien si se desea proteger las comunicaciones SMTP con dominios asociados a través de Seguridad de nivel de transporte (TLS) mutua.

Proceso de suscripción perimetral

El equipo que tenga instalada la función del servidor Transporte perimetral no tiene acceso a Active Directory. Toda la información de configuración y de destinatarios de la que dispone el servidor de transporte perimetral para procesar mensajes está almacenada en ADAM. No obstante, mucha de esta información también está almacenada en Active Directory.

La creación de una suscripción perimetral establece una replicación automática y segura de la información de Active Directory en ADAM. Con el proceso de suscripción perimetral se especifican las credenciales que se usan para establecer una conexión segura del Protocolo ligero de acceso a directorios (LDAP) entre los servidores de transporte de concentradores y el servidor de transporte perimetral. A continuación, el servicio EdgeSync de Microsoft Exchange que se ejecuta en los servidores de transporte de concentradores efectúa una sincronización unidireccional periódica para transferir datos a ADAM y mantener dichos datos actualizados. Este proceso reduce las tareas de administración sobre la red perimetral ya que permite llevar a cabo la configuración necesaria en la función del servidor Transporte de concentradores y después escribir dicha información en el servidor de transporte perimetral.

Se suscribe un servidor de transporte perimetral a un sitio de Active Directory. La suscripción del servidor perimetral al sitio de Active Directory permite que el servidor de transporte perimetral reciba actualizaciones de ADAM desde Active Directory y crea una relación de sincronización entre el servidor de transporte perimetral y los servidores de transporte de concentradores implementados en dicho sitio. El proceso de suscripción perimetral crea igualmente una afiliación de pertenencia al sitio de Active Directory en el servidor de transporte perimetral. La afiliación al sitio permite a los servidores de transporte de concentradores de la organización de Exchange transmitir mensajes al servidor de transporte perimetral para su entrega en Internet sin necesidad de configurar conectores de envío.

Se pueden suscribir uno o más servidores de transporte perimetral a un único sitio de Active Directory. Sin embargo, un servidor de transporte perimetral no se puede suscribir a más de un sitio de Active Directory. Si tiene más de un servidor de transporte perimetral implementado, cada servidor se puede suscribir a un sitio de Active Directory diferente. Cada servidor de transporte perimetral requiere una suscripción perimetral independiente. Un servidor de transporte perimetral suscrito admite una única organización de Exchange.

El servicio EdgeSync de Microsoft Exchange replica los siguientes datos de Active Directory en ADAM:

• Configuración de conector de envío

• Dominios aceptados

• Dominios remotos

• Clasificaciones de mensajes

• Listas de remitentes seguras

• Destinatarios

• Listas de dominios seguros de envío y recepción TLS

• Lista de servidores SMTP internos

• Lista de servidores de transporte de concentradores del sitio de Active Directory al que se está suscrito

Para obtener más información acerca de los datos replicados en ADAM y cómo se utilizan, consulte Datos de replicación de EdgeSync.

Para implementar un servidor de transporte perimetral y suscribirlo a un sitio de Active Directory, siga estos pasos:

1. Instale la función del servidor Transporte perimetral.

2. Compruebe que los servidores de transporte de concentradores y el servidor de transporte perimetral se pueden comunicar entre sí mediante una resolución de nombres DNS. Si desea obtener información adicional acerca de este paso, consulte Configuración de los ajustes de DNS para los servidores de Exchange 2007.

3. Configure los objetos y opciones que se van a replicar en el servidor de transporte perimetral. Si desea obtener información adicional acerca de este paso, consulte Preparación para ejecutar el servicio EdgeSync de Microsoft Exchange.

4. Ejecute el cmdlet New-EdgeSubscription en el Shell de administración de Exchange del servidor de transporte perimetral para exportar el archivo de suscripción perimetral.

5. Copie el archivo de suscripción perimetral en un servidor de transporte de concentradores.

6. Ejecute el cmdlet New-EdgeSubscription en el Shell de administración de Exchange o utilice el Asistente para nuevas suscripciones perimetrales de la Consola de administración de Exchange para importar el archivo de suscripción perimetral.

La figura siguiente ilustra el proceso de suscripción perimetral.

Proceso de suscripción perimetral

Cuando se ejecuta el cmdlet New-EdgeSubscription en el servidor de transporte perimetral, tienen lugar las siguientes acciones:

• Se crea una cuenta ADAM. Esta cuenta recibe el nombre de cuenta de replicación de inicio de EdgeSync (ESBRA). Estas credenciales se utilizan para autenticar la primera conexión de EdgeSync a un servidor de transporte perimetral. La cuenta está configurada para expirar 1.440 minutos (24 horas) después de su creación. Por lo tanto, debe completar el proceso de suscripción antes de que dicho plazo de tiempo termine. Si la ESBRA expira antes de que se haya completado el proceso de suscripción perimetral, vuelva a ejecutar el cmdlet New-EdgeSubscription en el servidor de transporte perimetral para crear un nuevo archivo de suscripción perimetral.

• Las credenciales de ESBRA se recuperan desde ADAM y se escriben en el archivo de suscripción perimetral. La clave pública del certificado autofirmado del servidor de transporte perimetral también se exporta al archivo de suscripción perimetral. Las credenciales que se escriben en el archivo de suscripción perimetral son específicas del servidor desde el que se exporta el archivo.

• Cualquier objeto de configuración creado anteriormente en una clase que ahora se va a replicar en ADAM desde Active Directory se eliminará de ADAM. Asimismo, las tareas del Shell de administración de Exchange que se utilizaron para configurar dichos objetos quedarán deshabilitadas. Con todo, podrá seguir utilizando las tareas que permiten ver dichos objetos. Las tareas que se indican a continuación quedan deshabilitadas en el servidor de transporte perimetral cuando se ejecuta el cmdlet New-EdgeSubscription:

  • Set-SendConnector

  • New-SendConnector

  • Remove-SendConnector

  • New-AcceptedDomain

  • Set-AcceptedDomain

  • Remove-AcceptedDomain

  • New-MessageClassification

  • Set-MessageClassification

  • Remove-MessageClassification

  • New-RemoteDomain

  • Set-RemoteDomain

  • Remove-RemoteDomain

Cuando se importa el archivo de suscripción perimetral al servidor de transporte de concentradores mediante la ejecución del cmdlet New-EdgeSubscription en el Shell de administración de Exchange o mediante el uso del Asistente para nuevas suscripciones perimetrales de la Consola de administración de Exchange, tienen lugar las siguientes acciones:

• Se crea la suscripción perimetral y se establece un registro de un servidor de transporte perimetral que se ha unido a una organización de Exchange y al que el servicio EdgeSync de Microsoft Exchange va a propagar datos de configuración. En este paso se crea el objeto de configuración perimetral de Active Directory.

• Cada servidor de transporte de concentradores del sitio de Active Directory recibe una notificación de Active Directory que informa de que se ha suscrito un nuevo servidor de transporte perimetral. El servidor de transporte de concentradores recupera la ESBRA desde el archivo de suscripción perimetral. El servidor de transporte de concentradores cifra entonces la cuenta ESBRA mediante la clave pública del certificado autofirmado del servidor de transporte perimetral. A continuación, las credenciales cifradas se escriben en el objeto de configuración perimetral.

• Cada servidor de transporte de concentradores cifra también la cuenta ESBRA mediante su propia clave pública y, a continuación, almacena las credenciales en su propio objeto de configuración.

• Las cuentas de replicación de EdgeSync (ESRA) se crean en Active Directory para cada par de servidores de transporte perimetral y de concentradores. Cada servidor de transporte de concentradores almacena sus credenciales de ESRA como un atributo del objeto de configuración del servidor de transporte de concentradores.

• Se crean automáticamente conectores de envío para transmitir mensajes salientes desde el servidor de transporte perimetral a Internet y mensajes entrantes desde dicho servidor a la organización de Exchange. Para obtener más información acerca de cómo el servicio EdgeSync de Microsoft Exchange aprovisiona conectores de envío, consulte EdgeSync y conectores de envío.

• El servicio EdgeSync de Microsoft Exchange que se ejecuta en los servidores de transporte de concentradores usa las credenciales de ESBRA para establecer una conexión LDAP segura entre un servidor de transporte de concentradores y el servidor de transporte perimetral, y realiza la replicación inicial de datos. Los siguientes datos se replican en ADAM:

  • Datos de topología

  • Datos de configuración

  • Datos de destinatario

  • Credenciales de ESRA

• El servicio de credenciales de Microsoft Exchange que se ejecuta en el servidor de transporte perimetral instala las credenciales de ESRA. Dichas credenciales se utilizan para autenticar y proteger posteriores conexiones de sincronización.

• Se establece la programación de sincronización de EdgeSync.

El servicio EdgeSync de Microsoft Exchange que se ejecuta en los servidores de transporte de concentradores del sitio de Active Directory al que está suscrito el servidor de transporte perimetral realiza ahora una replicación unidireccional de datos desde Active Directory a ADAM de forma periódica. También puede usar el cmdlet Start-EdgeSynchronization del Shell de administración de Exchange para invalidar el programa de sincronización EdgeSync e iniciar inmediatamente la sincronización.

Para obtener más información acerca de las cuentas ESRA y cómo se utilizan para proteger el proceso de sincronización de EdgeSync, consulte Descripción de las credenciales de suscripciones perimetrales.

Servicio EdgeSync de Microsoft Exchange

El servicio EdgeSync de Microsoft Exchange es el servicio de sincronización de datos ubicado en el servidor de transporte de concentradores que de forma periódica replica datos de configuración de Active Directory en un servidor de transporte perimetral suscrito.

El servicio EdgeSync de Microsoft Exchange es responsable de actualizar ADAM con información procedente de Active Directory. Los datos se replican desde Active Directory mediante los servidores de transporte de concentradores de la organización de Exchange hacia el servidor de transporte perimetral de la red perimetral. El servicio EdgeSync de Microsoft Exchange usa un canal LDAP seguro para transferir estos datos. Se establece un canal LDAP seguro mutuamente autenticado y autorizado desde el servidor de transporte de concentradores hacia el servidor de transporte perimetral.

Para replicar datos en ADAM, el servidor de transporte de concentradores enlaza con un servidor de catálogo global para recuperar datos actualizados. El servicio EdgeSync de Microsoft Exchange inicia una sesión LDAP segura entre un servidor de transporte de concentradores y el servidor de transporte perimetral suscrito a través del puerto TCP no estándar 50636. El proceso de sincronización de EdgeSync proporciona la replicación unidireccional de datos de Active Directory en ADAM. Los datos modificados en ADAM nunca se sincronizan en Active Directory.

La figura siguiente ilustra el proceso de suscripción de EdgeSync.

Proceso de sincronización de EdgeSync

La replicación inicial llena ADAM con datos de Active Directory. Esta operación puede llevar cierto tiempo, dependiendo de la cantidad de datos del servicio de directorio. Sucesivas sincronizaciones actualizan ADAM con objetos nuevos y modificados, y quitan cualquier objeto que se haya eliminado de Active Directory.

Los cambios del servicio de directorio disponibles para sincronizar en ADAM en los intervalos de sincronización dependen completamente de los datos que se han replicado en el servidor de catálogo global al que el servidor de transporte de concentradores está enlazado. El servidor de transporte de concentradores enlazará con el servidor de catálogo global descubierto por el servicio de topología de Microsoft Exchange Active Directory cuando se inicia un servidor de Exchange 2007. El enlace con un servidor de catálogo global asegura que los datos de destinatario de cada dominio del bosque se propagan a ADAM.

Los distintos tipos de datos se sincronizan en distintas programaciones. El programa de sincronización de EdgeSync especifica el periodo de tiempo máximo entre intervalos de sincronización de EdgeSync. La sincronización de EdgeSync tiene lugar en los siguientes intervalos:

• Los datos de configuración están programados para sincronizarse a intervalos de una hora.

• Los datos de destinatario están programados para sincronizarse a intervalos de cuatro horas.

• Los datos de topología se vuelven a cargar cada cinco minutos.

Los intervalos del programa de sincronización de EdgeSync no se pueden configurar.

Si utiliza el cmdlet Start-EdgeSynchronization en el Shell de administración de Exchange del servidor de transporte de concentradores para aplicar la sincronización de la suscripción perimetral, anulará el temporizador que establece cuándo será la próxima vez que se produzca una sincronización EdgeSync programada.

Para obtener más información acerca del servicio EdgeSync de Microsoft Exchange y de la sincronización de EdgeSync, consulte Descripción del proceso de sincronización de EdgeSync.

Volver a suscribir un servidor de transporte perimetral

En algunas ocasiones, puede necesitar volver a suscribir un servidor de transporte perimetral a un sitio de Active Directory. Cuando se vuelve a crear la suscripción perimetral, se generan nuevas credenciales y se tiene que llevar a cabo la totalidad del proceso de suscripción. Este proceso se usa en los siguientes escenarios:

• Se han implementado nuevos servidores de transporte de concentradores en el sitio de Active Directory suscrito y desea que el nuevo servidor participe en la sincronización de EdgeSync. Para obtener más información sobre este escenario, consulte "Agregar o quitar un servidor de transporte de concentradores" más adelante en este tema.

• La clave de licencia del servidor de transporte perimetral se aplicó después de haberse creado la suscripción perimetral. La información de licencia del servidor de transporte perimetral se captura cuando se crea la suscripción perimetral y se muestra en la Consola de administración de Exchange de la organización de Exchange. Para que los servidores de transporte perimetral aparezcan con licencia deben estar suscritos a la organización de Exchange después de haber aplicado la clave de licencia al servidor de transporte perimetral. Si se aplica después de haber realizado el proceso de suscripción, la información de licencia no se actualiza en la organización de Exchange y hay que volver a efectuar la suscripción del servidor de trasporte perimetral.

• Le conviene asegurarse de que la información de versión del servidor de Exchange esté sincronizada después de actualizar un servidor de Exchange con una compilación más reciente. En este caso, el número de versión de compilación del servidor de transporte perimetral no se replica en otras funciones de servidor. Esto se debe a que el proceso de sincronización EdgeSync proporciona una replicación de datos unidireccional de Active Directory a los Servicios de directorio ligero AD. Para obtener más información, consulte la sección "Servicio EdgeSync de Microsoft Exchange" del tema Descripción del proceso de sincronización de EdgeSync.

• Las credenciales ESRA están en peligro.

Quitar una suscripción perimetral

Existen varios escenarios en los que es posible que tenga que quitar una suscripción perimetral de la organización de Exchange o de la organización de Exchange y del servidor perimetral a la vez. Si el servidor de transporte perimetral se va a suscribir a una organización de Exchange, no quite la suscripción perimetral del servidor de transporte perimetral. Cuando se quita la suscripción perimetral de un servidor de transporte perimetral, todos los datos replicados se eliminan de ADAM. Si tiene muchos datos de destinatario, este proceso puede durar mucho tiempo.

En la siguiente lista se proporcionan ejemplos de situaciones que requieren quitar la suscripción perimetral.

• No desea que el servidor de transporte perimetral participe en el proceso de suscripción de EdgeSync. En este escenario, debe quitar la suscripción perimetral tanto de dicho servidor como de la organización de Exchange.

• Se está retirando un servidor de transporte perimetral. En este escenario, quite únicamente la suscripción perimetral de la organización de Exchange. Si desinstala la función del servidor Transporte perimetral del equipo, también se elimina la instancia de ADAM y todos los datos de Active Directory almacenados en ADAM.

• Desea cambiar la asociación del sitio de Active Directory para la suscripción perimetral. En este escenario, quite únicamente la suscripción perimetral de la organización de Exchange. Después de haber quitado la suscripción perimetral de la organización de Exchange, puede volver a suscribir el servidor de transporte perimetral a otro sitio de Active Directory.

Si desea quitar la suscripción perimetral, siga estos pasos:

1. Detenga el flujo de correo del servidor de transporte perimetral. Deshabilite todos los conectores de recepción del servidor de transporte perimetral para evitar que acepten mensajes y, a continuación, espere a que las colas realicen la purga.

2. Quite la suscripción perimetral ejecutando el cmdlet Remove-EdgeSubscription en el servidor de transporte de concentradores de la organización de Exchange. Si no desea volver a suscribir el servidor de transporte perimetral, ejecute también este cmdlet en el servidor de transporte perimetral después de haberlo hecho en el servidor de transporte de concentradores.

Cuando se quita la suscripción perimetral de la organización de Exchange, el efecto es el siguiente:

• Se detiene la sincronización de información de Active Directory a ADAM.

• Las cuentas ESRA se quitan tanto de Active Directory como de ADAM.

• El equipo que tiene instalada la función del servidor Transporte perimetral se quita de la lista del servidor de origen de todos los conectores de envío.

• El conector de envío entrante automático entre el servidor de transporte perimetral y la organización de Exchange se quita de ADAM.

Cuando se quita la suscripción perimetral de un servidor de transporte perimetral, el efecto es el siguiente:

• Ya no se pueden utilizar las características del servidor de transporte perimetral basadas en datos de Active Directory.

• Los datos replicados se quitan de ADAM.

• Las tareas deshabilitadas cuando se creó la suscripción perimetral se habilitan nuevamente para permitir la configuración local.

Dependiendo de la razón por la que quitó la suscripción perimetral, quizás quiera volver a suscribir el mismo servidor de transporte perimetral al sitio de Active Directory original o a un sitio de Active Directory distinto. Cuando se vuelve a crear la suscripción perimetral, se generan nuevas credenciales y se tiene que llevar a cabo la totalidad del proceso de suscripción.

Si está quitando del servicio el servidor de transporte perimetral, siga los procedimientos descritos en Cómo quitar completamente Exchange 2007 de un servidor.

Agregar un servidor de transporte perimetral

Puede suscribir uno o más servidores de transporte perimetral a un único sitio de Active Directory. Si implementa servidores de transporte perimetral adicionales en la red perimetral y los suscribe al mismo sitio de Active Directory en el que ya existe una suscripción perimetral, se producen las siguientes situaciones:

• Se crea un objeto de suscripción perimetral nuevo en Active Directory.

• Se crean cuentas ESRA adicionales para cada servidor de transporte de concentradores del sitio de Active Directory. Estas cuentas se replican en ADAM y se usan en el proceso de sincronización de EdgeSync con el nuevo servidor.

• La nueva suscripción perimetral se agrega a la lista del servidor de origen del conector de envío automático a Internet. Se equilibra la carga de los mensajes que se envían a este conector para su procesamiento entre los servidores de transporte perimetral suscritos.

• Se crea automáticamente un conector de envío entrante entre el servidor de transporte perimetral y la organización de Exchange.

• Se inicia la sincronización de EdgeSync en el servidor de transporte perimetral.

Agregar o quitar un servidor de transporte de concentradores

Si se agrega un servidor de transporte de concentradores al sitio de Active Directory al que ya está suscrito un servidor de transporte perimetral, dicho servidor de transporte de concentradores no participa de manera automática en el proceso de sincronización de EdgeSync. Para permitir que un servidor de transporte de concentradores recientemente implementado participe en el proceso de sincronización de EdgeSync, es necesario volver a suscribir todos los servidores de transporte perimetral al sitio de Active Directory.

Si se quita un servidor de transporte de concentradores de un sitio de Active Directory al que está suscrito un servidor de transporte perimetral, la sincronización de EdgeSync no se verá afectada a menos que sea el último servidor de transporte de concentradores del sitio. Si se quitan todos los servidores de transporte de concentradores de un sitio de Active Directory al que está suscrito un servidor de transporte perimetral, los servidores de transporte perimetral quedan huérfanos.

Comprobación de resultados de EdgeSync

Cualquier error que se produzca durante el proceso de sincronización de EdgeSync se notifica al registro de la aplicación del visor de eventos de Windows. Estos errores normalmente aparecen en el servidor de transporte de concentradores. Sin embargo, los servidores de transporte perimetral notificarán errores si la sincronización no se ha producido en mucho tiempo.

Test-EdgeSynchronization es un cmdlet de diagnóstico que ofrece un informe del estado de sincronización de los servidores de transporte perimetral suscritos. Esta tarea proporciona información útil al administrador cuando se ejecuta de manera manual. También la puede llamar Microsoft Operations Manager. Si la tarea la llama Microsoft Operations Manager, se generan alertas cuando un servidor de transporte perimetral no está sincronizado.

El cmdlet Test-EdgeSynchronization proporciona alertas proactivas cuando un servidor de transporte perimetral ya no está sincronizado. El resultado de este cmdlet permite comprobar qué objeto no se ha sincronizado al servidor de transporte perimetral. La tarea compara los datos almacenados en Active Directory y los datos almacenados en ADAM. Este comando notifica cualquier incoherencia de los datos en el resultado.

Se puede utilizar el parámetro ExcludeRecipientTest con el cmdlet Test-EdgeSynchronization para excluir la validación de sincronización de datos de destinatario. Si se incluye este parámetro, sólo se valida la sincronización de objetos de configuración. La validación de dichos datos sincronizados llevará más tiempo que la validación sólo de datos de configuración.

Si desea comprobar los resultados de sincronización de EdgeSync de un determinado destinatario, puede utilizar Ldp.exe para ver las propiedades del destinatario almacenadas en ADAM. Debe localizar el destinatario por su GUID de Active Directory y, dado que los datos se envían como hash, debe poder interpretar la información devuelta cuando ve los detalles del destinatario. Esta herramienta se debe utilizar sólo para ver información de destinatario y no debe emplearse nunca para modificar datos en ADAM. Para obtener más información, consulte Cómo comprobar los resultados de EdgeSync de un destinatario.

Novedades en Exchange 2007 SP1

Si ha instalado Exchange 2007 SP1 en la función del servidor Transporte de concentradores, puede usar el cmdlet Test-EdgeSynchronization con el parámetro VerifyRecipient para comprobar el estado de sincronización de EdgeSync de un único destinatario. Especifique el destinatario mediante la dirección del proxy. Los resultados devueltos al ejecutar el cmdlet Test-EdgeSynchronization indican si el destinatario está sincronizado.

Información adicional

Para obtener más información, consulte los temas siguientes:

• Suscribir el servidor de a la organización de Exchange

• Uso de una suscripción perimetral para llenar ADAM con datos de Active Directory

• Datos de replicación de EdgeSync

• Descripción del proceso de sincronización de EdgeSync

• EdgeSync y conectores de envío

• Descripción de las credenciales de suscripciones perimetrales

• Administración de las suscripciones perimetrales

• Cmdlets de EdgeSync