Requisitos ambientales del servidor perimetral en Skype Empresarial Server

Resumen: Obtén información sobre los requisitos ambientales de Servidor perimetral en Skype Empresarial Server.

Es necesario realizar una gran cantidad de planificación y preparación fuera del entorno del servidor perimetral de Skype Empresarial Server. En este artículo, repasaremos qué preparativos tiene que realizar en el entorno de la organización, según la lista que se muestra abajo:

• Topology planning

• DNS planning

• Certificate planning

• Port and firewall planning

Planificar la topología

Skype Empresarial Server topologías de servidor perimetral pueden usar:

• Direcciones IP públicas enrutables.

• Direcciones IP privadas no enrutables si se usa la traducción de direcciones de red (NAT) simétrica.

Si elige direcciones IP privadas no enrutables con NAT, recuerde los siguientes puntos:

• Tiene que usar direcciones IP privadas enrutables en las tres interfaces externas.

• Tiene que configurar la NAT simétrica para el tráfico entrante y saliente. NAT simétrica es la única NAT compatible que puede usar con Skype Empresarial Server servidor perimetral.

• Configure la NAT para que no cambie las direcciones de origen entrantes. El servicio perimetral de A/V debe poder recibir la dirección de origen entrante para encontrar la ruta de acceso a medios óptima.

• Los servidores perimetrales deben poder comunicarse entre sí desde sus direcciones IP del perímetro A/V públicas. El firewall tiene que permitir este tráfico.

• NAT solo se puede usar para servidores perimetrales consolidados escalados si usa el equilibrio de carga DNS. Si usa el equilibrio de carga de hardware (HLB), tiene que usar direcciones IP enrutables públicamente sin NAT.

No tendrá problemas para tener sus interfaces de Acceso, Conferencia web y Perímetro A/V detrás de un enrutador o firewall que realice NAT simétrica para topologías de servidor perimetral consolidado único y escalado (siempre y cuando no esté usando equilibrio de carga de hardware).

Resumen de las opciones de topología del servidor perimetral

Tenemos varias opciones de topología disponibles para implementaciones de Skype Empresarial Server servidor perimetral:

• Servidor perimetral consolidado simple con direcciones IP privadas y NAT

• Servidor perimetral consolidado simple con direcciones IP públicas

• Servidor perimetral consolidado ampliado con direcciones IP privadas y NAT

• Servidor perimetral consolidado ampliado con direcciones IP públicas

• Servidor perimetral consolidado ampliado con equilibradores de carga de hardware

Para que le sea más fácil elegir una, la siguiente tabla le ofrece un resumen de las opciones de cada topología:

¹ La conmutación por error por usuario remoto de mensajería unificada de Exchange (UM) con equilibrio de carga DNS requiere Exchange 2013 o posterior.

Requisitos de direcciones IP

En un nivel fundamental, tres servicios necesitan direcciones IP; Servicio perimetral de acceso, servicio perimetral de conferencia web y servicio perimetral A/V. Tiene la opción de usar tres direcciones IP, una para cada uno de los servicios, o puede usar uno y optar por poner cada servicio en un puerto diferente (puede comprobar la sección Port and firewall planning para más información sobre esto). Para un entorno de servidor perimetral consolidado simple, es prácticamente todo.

Puede ser un poco más complicado con topologías consolidadas ampliadas, por lo que vamos a ver algunas tablas que organizan los requisitos de direcciones IP, teniendo en cuenta que los aspectos principales a la hora de decantarse por una topología son la alta disponibilidad y el equilibrio de carga. Las necesidades de la alta disponibilidad pueden influir en la opción del equilibrio de carga (hablaremos de ello después de las tablas).

Requisitos de dirección IP para servidor perimetral consolidado ampliado (dirección IP por rol)

Requisitos de dirección IP para servidor perimetral consolidado ampliado (dirección IP única para todos los roles)

Veamos algunos asuntos adicionales en los que pensar durante la planeación.

• Alta disponibilidad: si necesitas una alta disponibilidad en la implementación, debes implementar al menos dos servidores perimetrales en un grupo. Cabe destacar que un único grupo de servidores perimetrales admitirá hasta 12 servidores perimetrales (aunque el Generador de topologías le permitirá agregar hasta 20, que no se han probado ni se admiten, por lo que le recomendamos que no lo haga). Si necesita más de 12 servidores perimetrales, debe crear grupos de servidores perimetrales adicionales para ellos.

• Equilibrio de carga de hardware: se recomienda el equilibrio de carga DNS para la mayoría de los escenarios. El equilibrio de carga de hardware también es compatible, por supuesto, pero es especialmente necesario para un único escenario sobre el equilibrio de carga DNS:

  • Acceso externo a Exchange 2007 o Exchange 2010 (sin SP) mensajería unificada (UM).

• Equilibrio de carga DNS: para la mensajería unificada, Exchange 2010 SP1 y versiones posteriores pueden recibir soporte técnico mediante el equilibrio de carga DNS. Tenga en cuenta que si necesita usar el equilibrio de carga DNS para una versión anterior de Exchange, funcionará, pero todo el tráfico de este tipo se dirigirá al primer servidor del grupo y, si no está disponible, posteriormente se producirá un error en el tráfico.

  El equilibrio de carga DNS también se recomienda si está federando con empresas que usan:

• Skype Empresarial Server 2015:

  • Lync Server 2010
  • Lync Server 2013
  • Microsoft 365 o Office 365

• Skype Empresarial Server 2019:

  • Lync Server 2013
  • Skype Empresarial Server 2015
  • Microsoft 365 o Office 365

Planificación de DNS

En lo que respecta a Skype Empresarial Server implementación del servidor perimetral, es vital prepararse para el DNS correctamente. Con los registros correctos en su ubicación, la implementación será mucho más sencilla. Afortunadamente ha elegido una topología en la sección anterior, ya que realizaremos una descripción general y después enumeraremos algunas tablas que esquematicen los registros DNS para esos escenarios. También tendremos algunos planes avanzados de DNS del servidor perimetral para Skype Empresarial Server para una lectura más detallada, si lo necesita.

Registros DNS para escenarios de servidor perimetral consolidado único

Estos serán los registros DNS que necesitará para un servidor perimetral con IP públicas o IP privadas con NAT. Dado que estos son datos de ejemplo, le daremos IP de muestra para que pueda resolver sus propias entradas de forma más fácil:

• Adaptador de red interno: 172.25.33.10 (sin puertas de enlace predeterminadas asignadas)

  Nota

  Asegúrese de que hay una ruta desde la red que contiene la interfaz interna perimetral a cualquier red que contenga servidores que ejecuten Skype Empresarial Server o clientes de Lync Server 2013 (por ejemplo, de 172.25.33.0 a 192.168.10.0).

• Adaptador de red externa:

  • IP públicas:

  • Access Edge: 131.107.155.10 (esta es la principal, con la puerta de enlace predeterminada establecida en el enrutador público, por ejemplo: 131.107.155.1)

  • Perímetro de conferencia web: 131.107.155.20 (secundario)

  • Edge A/V: 131.107.155.30 (secundario)

  Las conferencias web y las direcciones IP públicas de A/V son direcciones IP adicionales (secundarias) en la sección Avanzadas de las propiedades de Protocolo de Internet versión 4 (TCP/IPv4) y Protocolo de Internet versión 6 (TCP/IPv6) de las Propiedades de conexión de área local en Windows Server.

  • IP privadas:

  • Access Edge: 10.45.16.10 (esta es la principal, con la puerta de enlace predeterminada establecida en el enrutador, por ejemplo: 10.45.16.1)

  • Perímetro de conferencia web: 10.45.16.20 (secundario)

  • Microsoft Edge A/V: 10.45.16.30 (secundario)

Las conferencias web y las direcciones IP públicas de A/V son direcciones IP adicionales (secundarias) en la sección Avanzadas de las propiedades de Protocolo de Internet versión 4 (TCP/IPv4) y Protocolo de Internet versión 6 (TCP/IPv6) de las Propiedades de conexión de área local en Windows Server.

• Puede usar una dirección IP en el adaptador de red externa. No lo recomendamos porque necesitarás diferenciar entre los servicios de ti que usan puertos diferentes (que puedes hacer en Skype Empresarial Server), pero hay algunos firewalls que pueden bloquear los puertos alternativos. Vea la sección de Port and firewall planning para más información sobre esto.

• Puede tener tres adaptadores de red externa en lugar de uno y asignar una de las IP del servicio a cada uno. ¿Por qué? Se separarían los servicios y si algo va mal, facilitaría solucionar los problemas y dejar que otros servicios continuasen trabajando potencialmente mientras resuelve un problema.

Registros DNS para dns escalado y escenarios de servidores perimetrales de hardware

Estos serán los registros DNS que necesitará para un servidor perimetral con IP públicas o IP privadas con NAT. Dado que estos son datos de ejemplo, le daremos IP de muestra para que pueda resolver sus propias entradas de forma más fácil:

• Adaptador de red interna:

  • Nodo 1: 172.25.33.10 (no hay ninguna puerta de enlace predeterminada asignada)

  • Nodo 2: 172.25.33.11 (no hay ninguna puerta de enlace predeterminada asignada)

    Nota

    Asegúrese de que hay una ruta desde la red que contiene la interfaz interna perimetral a cualquier red que contenga servidores que ejecuten Skype Empresarial Server o clientes de Lync Server 2013 (por ejemplo, de 172.25.33.0 a 192.168.10.0).

• Adaptador de red externa:

  • Nodo 1

    • IP públicas:

      • Access Edge: 131.107.155.10 (esta es la principal, con la puerta de enlace predeterminada establecida en el enrutador público, por ejemplo: 131.107.155.1)

      • Perímetro de conferencia web: 131.107.155.20 (secundario)

      • Edge A/V: 131.107.155.30 (secundario)

        Las conferencias web y las direcciones IP públicas de A/V son direcciones IP adicionales (secundarias) en la sección Avanzadas de las propiedades de Protocolo de Internet versión 4 (TCP/IPv4) y Protocolo de Internet versión 6 (TCP/IPv6) de las Propiedades de conexión de área local en Windows Server.

    • IP privadas:

      • Access Edge: 10.45.16.10 (esta es la principal, con la puerta de enlace predeterminada establecida en el enrutador, por ejemplo: 10.45.16.1)

      • Perímetro de conferencia web: 10.45.16.20 (secundario)

      • Microsoft Edge A/V: 10.45.16.30 (secundario)

      Las conferencias web y las direcciones IP públicas de A/V son direcciones IP adicionales (secundarias) en la sección Avanzadas de las propiedades de Protocolo de Internet versión 4 (TCP/IPv4) y Protocolo de Internet versión 6 (TCP/IPv6) de las Propiedades de conexión de área local en Windows Server.

  • Nodo 2

    • IP públicas:

      • Access Edge: 131.107.155.11 (esta es la principal, con la puerta de enlace predeterminada establecida en el enrutador público, por ejemplo: 131.107.155.1)

      • Perímetro de conferencia web: 131.107.155.21 (secundario)

      • Microsoft Edge A/V: 131.107.155.31 (secundario)

      Las conferencias web y las direcciones IP públicas de A/V son direcciones IP adicionales (secundarias) en la sección Avanzadas de las propiedades de Protocolo de Internet versión 4 (TCP/IPv4) y Protocolo de Internet versión 6 (TCP/IPv6) de las Propiedades de conexión de área local en Windows Server.

  • IP privadas:

    • Access Edge: 10.45.16.11 (esta es la principal, con la puerta de enlace predeterminada establecida en el enrutador, por ejemplo: 10.45.16.1)

    • Perímetro de conferencia web: 10.45.16.21 (secundario)

    • Edge A/V: 10.45.16.31 (secundario)

      Las conferencias web y las direcciones IP públicas de A/V son direcciones IP adicionales (secundarias) en la sección Avanzadas de las propiedades de Protocolo de Internet versión 4 (TCP/IPv4) y Protocolo de Internet versión 6 (TCP/IPv6) de las Propiedades de conexión de área local en Windows Server.

Hay otra configuración posible:

• Puede usar una dirección IP en el adaptador de red externa. No lo recomendamos porque necesitará diferenciar entre los servicios de ti que usan puertos diferentes (que puede hacer en Skype Empresarial Server), pero hay algunos firewalls que pueden bloquear los puertos alternativos. Vea la sección de Port and firewall planning para más información sobre esto.

• Puede tener tres adaptadores de red externa en lugar de uno y asignar una de las IP del servicio a cada uno. ¿Por qué? Se separarían los servicios y si algo va mal, facilitaría solucionar los problemas y dejar que otros servicios continuasen trabajando potencialmente mientras resuelve un problema.

Registro DNS para la federación (todos los escenarios)

Registros DNS para el protocolo extensible de mensajería y presencia

Planificar certificado

Skype Empresarial Server usa certificados para comunicaciones seguras y cifradas tanto entre servidores como de servidor a cliente. Como cabría esperar, los certificados tendrán que tener registros DNS para sus servidores para que coincidan con cualquier nombre de sujeto (SN) y nombre alternativo de sujeto (SAN) en los certificados. Esto le llevará trabajo ahora, en la fase de planificación, para garantizar que tiene los FQDN correctos registrados en DNS para las entradas de SN y de SAN para los certificados.

Hablaremos de las necesidades de los certificados internos y externos por separado y después veremos una tabla que proporciona los requisitos para ambos.

Certificados externos

Como mínimo, el certificado asignado a las interfaces del servidor perimetral externo deberá proporcionarlo una entidad de certificación (CA) pública. No podemos recomendarle una CA específica, pero tenemos una lista de entidades emisoras de certificados de comunicaciones unificadas que puede echar un vistazo para ver si se muestra su CA preferida.

¿Cuándo tendrá que enviar una solicitud a una entidad de certificación para este certificado público y cómo lo tiene que hacer? Hay un par de formas de llevar esto a cabo:

• Puedes realizar la instalación de Skype Empresarial Server y, a continuación, la implementación del servidor perimetral. El Asistente para la implementación de Skype Empresarial Server tendrá un paso para generar una solicitud de certificado, que puede enviar a la CA elegida.

• También puede usar Windows PowerShell comandos para generar esta solicitud, si está más en línea con sus necesidades empresariales o la estrategia de implementación.

• Por último, su CA puede tener su propio proceso de envío, que también puede implicar Windows PowerShell u otro método. En ese caso, tendrá que basarse en su documentación, además de en la información proporcionada aquí para su consulta.

Después de obtener el certificado, deberá asignarlo a estos servicios en Skype Empresarial Server:

• Interfaz de servicio perimetral de Access

• Interfaz de servicio perimetral de conferencia web

• Servicio de autenticación de audio y vídeo (no confunda esto con el servicio perimetral de A/V, ya que no usa un certificado para cifrar secuencias de audio y vídeo)

Certificados internos

Para la interfaz interna del servidor perimetral, puede usar un certificado público de una CA pública o un certificado emitido por la CA interna de su organización. Lo que hay que recordar sobre el certificado interno es que usa una entrada de SN y no entradas de SAN, de modo que no tiene que preocuparse por SAN en el certificado interno en absoluto.

Tabla de certificados necesarios

Aquí tenemos una tabla para ayudarle con las solicitudes. Las entradas de FQDN son solo para dominios de ejemplo. Tendrá que realizar solicitudes en función de sus propios dominios privados y públicos, pero esta es una guía sobre lo que hemos usado:

• contoso.com: FQDN público

• fabrikam.com: segundo FQDN público (agregado como demostración de lo que debe solicitar si tiene varios dominios SIP)

• Contoso.net: dominio interno

Tabla de certificado perimetral

Independientemente de si está realizando un único servidor perimetral o un grupo perimetral, esto es lo que necesitará para su certificado:

Si necesita un certificado para el protocolo extensible de mensajería y presencia (XMPP), tendrá un aspecto idéntico a las entradas del servidor perimetral externo de la tabla anterior, pero tendrá las siguientes dos entradas SAN adicionales:

• Xmpp.contoso.com

• *.contoso.com

Recuerde que actualmente XMPP solo es compatible con Skype Empresarial Server para Google Talk, si lo desea o necesita para cualquier otra cosa, debe confirmar esa funcionalidad con el proveedor de terceros implicado.

Planificación de puerto y de firewall

Planear correctamente los puertos y firewalls para las implementaciones de Skype Empresarial Server servidor perimetral puede ahorrarle días o semanas de solución de problemas y estrés. Como resultado, enumeraremos un par de tablas que indicarán nuestro uso de protocolo y qué puertos necesita tener abiertos, entrantes y salientes, tanto para los escenarios de NAT y de IP pública. También le mostraremos tablas separadas para escenarios con equilibrio de carga de hardware (HLB) y alguna ayuda a mayores de esto. Para obtener más información desde allí, también tenemos algunos escenarios de servidor perimetral en Skype Empresarial Server puede comprobar sus problemas de implementación particulares.

Uso general de protocolo

Antes de ver las tablas de resumen para los firewall internos y externos, veamos la siguiente tabla:

Tabla de resumen de firewall del puerto externo

La dirección IP de origen y la dirección IP de destino contendrán información para usuarios que estén usando direcciones IP privadas con NAT, así como las personas que usen direcciones IP públicas. Esto abarcará todas las permutaciones en nuestros escenarios de servidor perimetral en Skype Empresarial Server sección.

Tabla de resumen de firewall del puerto interno

Tablas de puerto de servidor perimetral para equilibradores de carga de hardware

Les estamos dando a los equilibradores de carga de hardware (HLB) y a los puertos de servidor perimetral su propia sección, ya que son algo más complicados con el hardware adicional. Vea las tablas siguientes para instrucciones para este escenario concreto:

Tabla de resumen de firewall del puerto externo

La dirección IP de origen y la dirección IP de destino contendrán información para usuarios que estén usando direcciones IP privadas con NAT, así como las personas que usen direcciones IP públicas. Esto abarcará todas las permutaciones en nuestros escenarios de servidor perimetral en Skype Empresarial Server sección.

Tabla de resumen de firewall del puerto interno

IP virtuales de la interfaz externa

IP virtuales de la interfaz interna

Nuestra guía aquí va a ser algo diferente. En realidad, en una situación HLB, ahora le recomendamos que solo tenga enrutamiento a través de un VIP interno en las siguientes circunstancias:

• Si usa mensajería unificada (MU) de Exchange 2007 o Exchange 2010.

• Si tiene clientes heredados con el servidor perimetral.

La tabla siguiente proporciona instrucciones para esos escenarios, pero de lo contrario, debería poder depender del almacén de administración central (CMS) para redirigir el tráfico al servidor perimetral individual que conoce (esto requiere que CMS se mantenga actualizado en la información del servidor perimetral, por supuesto).