对中型组织的建议

上一次修改主题： 2005-10-13

拥有多于 75 名用户的组织不能部署 Small Business Server 2003。相反，这些组织应在单独的计算机上运行 Exchange 2003。中型组织的一个中心位置可能拥有多达 1,000 名的用户，在这种情况下一台 Exchange 2003 服务器便可以安装所有邮箱和公用文件夹。可能存在有限数量的远程位置，它们通过 Internet 上的虚拟专用网络 (VPN) 连接与数据中心建立连接。远程用户还可以使用拨号方式与 Internet 建立连接，以便通过 VPN 连接或 RPC over HTTP 访问其邮箱。下图显示了拥有 500 名本地和远程用户的中型组织可能使用的一种 Exchange 2003 配置。

为中型组织制定服务器合并策略时应考虑以下建议：

• 部署两台运行 Windows Server 2003 的域控制器，并将这两台域控制器都配置为单个域中的 DNS 服务器和全局编录服务器   Exchange 2003 需要可靠的 DNS 和 Active Directory 基础结构，因此至少部署两台全局编录服务器非常重要。如果关闭其中一台全局编录服务器，则另一台全局编录服务器可继续为 Exchange 2003 组织提供目录服务，并且用户可继续访问其邮箱和收发邮件。
  将两台全局编录服务器都配置为 DNS 服务器，以便在 DNS 基础结构中提供足够的冗余。DNS 是一种非常关键的网络服务；没有这种服务，Active Directory 和 Exchange 2003 组织就不能正常工作。邮件客户端将查询 DNS 以查找内部资源，如域控制器和邮箱服务器。另一方面，在向 Internet 发送邮件时，Exchange 2003 将依赖 DNS 为目录查找和外部简单邮件传输协议 (SMTP) 主机检索域控制器的 Internet 协议 (IP) 地址。通过在域控制器上运行 DNS 服务器，您可以将 DNS 区域与 Active Directory 集成在一起。与 Active Directory 集成在一起的区域具有一个优点，即所有 DNS 服务器都具有可写副本，并且对区域的更改信息将在 DNS 服务器之间作为 Active Directory 复制的一部分进行复制。

  注意：
  这种部署可能支持直接在域控制器上安装 Exchange 2003。对于不希望部署两台运行 Windows Server 2003 和 Active Directory 的额外服务器的组织来说，这可能是一项好选择。但是，此种配置有性能限制。当 Exchange 2003 在域控制器上运行时，它必须始终使用本地域控制器进行目录查找，而不能在网络中可能存在的多台域控制器之间执行负载平衡。应在 Exchange 2003 组织林中部署专用域控制器，当存在还需要 Active Directory 访问权限的其他服务器（如文件、打印或 SQL 服务器）时尤其是这样。

• 部署 Exchange Server 2003 标准版   Exchange 2003 标准版旨在满足中小型组织的邮件和协作需求。其成本大约是企业版基本价格的六分之一。但是，标准版不支持 Windows 群集配置，并且在单个存储组中仅支持一个邮箱数据库和一个公用文件夹数据库。邮件数据库的大小限制为 16 GB。如果发现标准版的功能不能满足服务等级要求，则可以在 Microsoft Windows 2000 Advanced Server、Microsoft Windows 2000 Datacenter 或 Windows Server 2003 企业版上部署 Exchange Server 2003 企业版。如果企业版支持每台服务器拥有无大小限制的多个数据库，并提供 Windows 群集支持，则应记住，其成本（包括其他硬件的成本）可能会超出中型企业中服务器合并所带来的收益。例如，可能需要购买额外的硬件在 Exchange 2003 邮箱服务器的主动/被动配置中实现双节点群集。
  无论如何，应设计带有 RAID 配置的存储子系统，以便为 Exchange 存储提供足够的容错能力。默认情况下，所有邮件数据库及其事务日志文件都位于 \Program Files\Exchsrvr\Mdbdata 目录下。Exchange 2003 使用事务日志来保留内存缓存中提交的事务，以便确保在服务器意外关闭的情况下提交的事务不会丢失。通过将事务日志与数据库分开，并将其放置在独立的物理磁盘上，可提高 Exchange 存储的容错能力。如果数据库硬盘损坏，可以更换磁盘，创建新数据库，然后重播事务日志，因为事务日志驻留在另一个磁盘上，所以仍然可用。您的用户可以继续工作，就好像任何事情都没有发生。如果事务日志所在的磁盘出现故障，则数据库仍然可用。如果问题出现之前最近的事务没有被并入数据库，则仅这些事务会丢失。下图显示了为运行 Exchange Server 2003 标准版的非群集服务器建议的硬盘配置。
  

• 部署外围网络来保护 Internet 上的内部资源   应通过安排不同的专用防火墙将内部网络与 Internet 分开。不要将 Exchange 2003 服务器用作防火墙。外部防火墙可以是数据包筛选路由器，或较高级的防火墙系统，以便控制对外围网络上的资源的访问。如果可能，应对外部和内部防火墙启用网络地址转换，以隐藏实际 IP 地址来防止潜在攻击。对于内部防火墙，应考虑部署 Microsoft Internet Security 和 Acceleration (ISA) Server 2000，因为 ISA Server 和 Exchange 2003 在设计上可密切合作从而提供更安全的邮件环境。如果在内部防火墙中部署了带有 Feature Pack 1 的 ISA Server 2000，则可以通过安全套接字层 (SSL) 加密、双因子验证、URL 扫描和 SMTP 筛选来保护内部 Exchange 2003 组织。同时，还可以为远程 Internet 用户提供 VPN 或 HTTP 上的 RPC 连接，以及提供通过邮局协议版本 3 (POP 3) 或 IMAP4（Internet 邮件访问协议版本 4）、Microsoft Outlook Web Access 2003、Microsoft Outlook Mobile Access 和 Exchange ActiveSync 对邮箱的访问权限。有关为 Exchange Server 2003 配置 ISA Server 2000 的详细信息，请参阅 Using ISA Server 2000 with Exchange Server 2003（英文）。有关将 ISA Server 2004 与 Exchange Server 2003 配合使用的信息，请参阅 Using ISA Server 2004 with Exchange Server 2003（英文）。

  注意：
  要获得较高的安全性，需要对内部和外部防火墙使用不同的防火墙产品，这样攻击者就无法对外部和内部防火墙使用同一技术来渗透到内部网络。如果在内部防火墙中使用 ISA 服务器，则应在外部防火墙中使用非 Microsoft 产品，反之亦然。而且，不要在防火墙中运行 Exchange 2003，因为 Exchange 服务器会运行攻击者可能加以利用的多种服务。

• 考虑在外围网络中部署一台 SMTP 智能主机   图 3 中的 Exchange 2003 环境不需要显式邮件连接器便可通过 Internet 收发邮件。如果 Exchange 服务器可以通过 DNS 将 SMTP 域名解析为外部 SMTP 主机的 IP 地址，则服务器可直接建立 SMTP 连接来发送消息。可以配置 ISA Server 来接受传入的 SMTP 连接，并将收到的邮件转发到 Exchange 2003。但是，许多组织更愿意在外围网络中部署一台额外的 SMTP 智能主机（或一组智能主机），以防止通过 Internet 与内部邮件系统建立任何直接连接。SMTP 智能主机从 Internet 接受邮件并通过内部防火墙将其中继到 Exchange 服务器。SMTP 智能主机则按相反方向从 Exchange 2003 接受邮件，查询 DNS 以查找目标 SMTP 主机，然后发送这些邮件。您可以在 Exchange 2003 中配置 SMTP 服务，以便将所有出站邮件转发到外围网络中的智能主机。还可以使用 Windows Server 2003 中的标准 SMTP 服务来实现智能主机。

  注意：
  为提高邮件传输的吞吐量和可靠性，可考虑在外围网络中部署多台 SMTP 智能主机。也可以在 DNS 中为 SMTP 域注册多个邮件交换器 (MX) 资源记录，以实现负载平衡和容错。