Referência da segurança de caminho de dados.

Aplica-se a: Exchange Server 2007 SP3, Exchange Server 2007 SP2, Exchange Server 2007 SP1, Exchange Server 2007

Tópico modificado em: 2009-06-05

Este tópico fornece informações sobre portas, autenticação e criptografia para todos os caminhos de dados usados pelo Microsoft Exchange Server 2007. As seções de Notas após cada tabela esclarecem ou definem métodos não-padrão de autenticação ou criptografia.

Servidores de transporte

O Exchange 2007 contém duas funções de servidor que executam a funcionalidade de transporte de mensagens: Servidores de Transporte de Hub e de Borda.

A tabela a seguir fornece informações sobre portas, autenticação e criptografia para os caminhos de dados entre esses servidores de transporte e para/de outros servidores e serviços do Exchange 2007.

Caminhos de dados do servidor de transporte

Notas sobre os servidores de transporte

Todo o tráfego entre os servidores de Transporte de Hub é criptografado usando TLS com certificados auto-assinados que são instalados por padrão pela Instalação do Exchange 2007. O tráfego entre servidores de Transporte de Hub é autenticado utilizando autenticação Kerberos.

Todo o tráfego entre os servidores de Transporte de Borda e de servidores de Transporte de Hub é autenticado e criptografado. O mecanismo subjacente de autenticação e criptografia é TLS mútuo. Em vez de usar a validação de X.509, o Exchange 2007 usa a confiança direta para autenticar os certificados. Confiança direta significa que a presença do certificado no Active Directory ou ADAM valida o certificado. O Active Directory é considerado um mecanismo de armazenamento confiável. Quando a confiança direta é usada, não importa se o certificado é auto-assinado ou assinado por uma autoridade de certificação. Quando você inscreve um servidor de Transporte de Borda na organização do Exchange, a Inscrição de Borda publica o certificado do servidor de Transporte de Borda no Active Directory para que os servidores de Transporte de Hub o validem. O serviço Microsoft Exchange Edgesync atualiza o ADAM com o conjunto de certificados do servidor de Transporte de Hub para que o servidor de Transporte de Borda o valide.

Por padrão, o tráfego entre os servidores de Transporte de Borda em duas organizações diferentes é criptografado. A Instalação do Exchange 2007 cria um certificado auto-assinado e o TLS é habilitado por padrão. Isso permite que qualquer sistema de envio criptografe a sessão SMTP de entrada para o Microsoft Exchange. Por padrão, o Exchange 2007 também testa o TLS em todas as conexões remotas.

Os métodos de autenticação de tráfego entre os servidores de Transporte de Hub e de Caixa de Correio são diferentes quando as funções de servidor Transporte de Hub e Caixa de Correio estão localizadas no mesmo computador. Quando o envio de mensagens é local, a autenticação Kerberos é usada. Quando o envio de mensagens é remoto, a autenticação do NTLM é usada.

O Exchange 2007 também oferece suporte para a Segurança de Domínio. A Segurança do Domínio refere-se ao conjunto de funcionalidades contido no Exchange 2007 e Microsoft Office Outlook 2007 que fornece uma alternativa de baixo custo ao S/MIME ou outras soluções de segurança no nível de mensagens pela Internet. O objetivo do recurso Segurança de Domínio é oferecer aos administradores um modo de gerenciar caminhos de mensagem protegidos entre domínios pela Internet. Após a configuração desses caminhos de mensagens protegidos, as mensagens que transitaram com êxito por esses caminhos a partir de um servidor autenticado são exibidas aos usuários como "Domínio Seguro" na interface do Outlook e do Outlook Web Access. Para obter mais informações, consulte Planejando segurança de domínio.

Vários agentes podem ser executados nos servidores de Transporte de Hub e Transporte de Borda. Geralmente, os agentes anti-spam dependem de informações locais para o computador no qual os agentes são executados. Portanto, é necessária muito pouca comunicação com os computadores remotos. A exceção é a filtragem de destinatários. Isso exige chamadas para o ADAM ou para o Active Directory. É uma prática recomendada executar a filtragem de destinatários no servidor de Transporte de Borda. Nesse caso, o diretório do ADAM está no mesmo computador que o servidor de Transporte de Borda e nenhuma comunicação remota é necessária. Quando a filtragem de destinatário foi instalada e configurada no servidor de Transporte de Hub, a filtragem de destinatário acessa o Active Directory.

O agente Análise de Protocolo é usado pelo recurso Reputação do Remetente no Exchange 2007. Esse agente também estabelece várias conexões com servidores proxy externos para determinar os caminhos de mensagem de entrada para conexões suspeitas.

Todas as outras funcionalidades anti-spam usam os dados reunidos, armazenados e acessados somente no computador local. Freqüentemente, dados, como a agregação de lista segura ou dados de destinatários para a filtragem de destinatários, são enviados para o diretório do ADAM local usando o serviço Microsoft Exchange EdgeSync.

O registro no diário e a classificação de mensagens são executados nos servidores de Transporte de Hub e baseiam-se nos dados do Active Directory para funcionarem.

Servidor de Caixa de Correio

No contexto da função de servidor Caixa de Correio, se a autenticação é NTLM ou Kerberos depende do contexto do usuário ou processo em que o consumidor da camada de Lógica Comercial do Exchange está em execução. Nesse contexto, o consumidor é qualquer aplicativo ou processo que usa a camada de Lógica Comercial do Exchange. Em muitas células da "Autenticação Padrão" na tabela "Caminhos de dados do Servidor de Caixa de Correio" nesta seção, a autenticação é listada como "NTLM/Kerberos".

A camada de Lógica Comercial do Exchange é usada para acessar e se comunicar com o armazenamento do Exchange. A camada de Lógica Comercial do Exchange também é chamada a partir do armazenamento do Exchange para se comunicar com aplicativos e processos externos.

Se o consumidor da camada de Lógica Comercial do Exchange estiver em execução como Sistema Local, o método de autenticação será sempre Kerberos do consumidor para o armazenamento do Exchange. O Kerberos é usado porque o consumidor deve ser autenticado, usando o Sistema Local da conta do computador, e deverá existir a confiança autenticada bidirecional.

Se o consumidor da camada de Lógica Comercial do Exchange não estiver em execução como Sistema Local, o método de autenticação será o NTLM. Por exemplo, quando um Administrador executa um cmdlet do Shell de Gerenciamento do Exchange que usa a camada de Lógica Comercial do Exchange, o NTLM é usado.

O tráfego RPC é sempre criptografado.

A tabela a seguir fornece informações sobre portas, autenticação e criptografia para os caminhos de dados para/de servidores de Caixa de Correio.

Caminhos de dados do servidor de Caixa de Correio

Notas sobre servidores de Caixa de Correio

Para autenticação HTTP onde "Negociar" é listado, Kerberos é tentado em primeiro lugar e depois o NTLM.

Para as comunicações entre nós, os nós de cluster se comunicam através da porta 3343 UDP (User Datagram Protocol). Cada nó no cluster troca datagramas UDP unicast em seqüência com cada nó alternado no cluster. A finalidade dessa troca é determinar se todos os nós estão sendo executados corretamente e monitorar a integridade dos links da rede.

Embora os aplicativos ou clientes WebDav possam se conectar ao servidor de Caixa de Correio por meio de 80/TCP ou 443/TCP, o aplicativo ou os clientes, na maioria das vezes, se conectam ao servidor de Acesso para Cliente. Em seguida, o servidor de Acesso para Cliente se conecta ao servidor de Caixa de Correio através de 80/TCP ou 443/TCP.

O caminho dos dados de agrupamento listado na tabela "Caminhos de dados do Servidor de Caixa de Correio", nesta seção, usa o RPC (TCP) dinâmico para informar o status do cluster e a atividade entre os diversos nós do cluster. O serviço de cluster (ClusSvc.exe) também usa o UDP/3343 e as portas TCP altas alocadas aleatoriamente, para se comunicar entre os nós do cluster.

Servidor de Acesso para Cliente

A menos que observado de outra forma, tecnologias de acesso a clientes, como o Microsoft Office Outlook Web Access, POP3 ou IMAP4, são descritas pela autenticação e criptografia do aplicativo cliente para o servidor de Acesso para Cliente.

A tabela a seguir fornece informações sobre portas, autenticação e criptografia para os caminhos de dados entre os servidores de Acesso para Cliente e outros servidores e clientes.

Caminhos de dados do servidor de Acesso para Cliente

Notas sobre Servidores de Acesso para Cliente

O servidor de Acesso para Cliente se comunica com o servidor de Caixa de Correio usando várias portas. Com algumas exceções, essas portas são determinadas pelo serviço RPC e não são fixas. É possível especificar o intervalo de portas dinâmicas usadas pelo serviço RPC. Para obter mais informações sobre como restringir o intervalo de portas dinâmicas utilizadas pelo serviço RPC, consulte o artigo 154598 da Base de Dados de Conhecimento Microsoft, Como configurar a alocação de porta dinâmica da RPC para funcionar com os firewalls.

Para autenticação de HTTP, em que "Negociar" é listado, Kerberos é tentado em primeiro lugar e depois o NTLM.

Quando um servidor de Acesso para Cliente do Exchange 2007 estiver se comunicando com um servidor de Caixa de Correio que está executando o Exchange Server 2003, é uma prática recomendada usar o Kerberos e desabilitar as autenticações NTLM e Básica. Além disso, é uma prática recomendada configurar o Outlook Web Access para usar autenticação baseada em formulários com um certificado confiável. Para que os clientes do Exchange ActiveSync se comuniquem por meio do servidor de Acesso para cliente do Exchange 2007 com o servidor back-end do Exchange 2003, a autenticação integrada do Windows deve ser habilitada no diretório virtual do Microsoft-Server-ActiveSync no servidor back-end do Exchange 2003. Para usar o Gerenciador do Sistema do Exchange em um servidor que está executando o Exchange 2003 para gerenciar a autenticação no diretório virtual do Exchange 2003, baixe e instale o hotfix abordado no artigo 937031 da Base de Dados de Conhecimento Microsoft, A ID de Evento 1036 é registrada em um servidor Exchange 2007 que está executando a função CAS ao conectar dispositivos móveis ao servidor Exchange 2007 para acessar caixas de correio em um servidor back-end do Exchange 2003.

Servidor de Unificação de Mensagens

Os gateways IP só oferecem suporte para a autenticação baseada em certificados, que utiliza a autenticação de TLS mútuo e baseada em IP para as conexões de protocolo SIP/TCP. Os gateways IP não têm suporte para a autenticação do NTLM ou Kerberos. Portanto, quando você usar a autenticação baseada em IP, o endereço ou endereços IP da conexão são utilizados para oferecer o mecanismo de autenticação para as conexões (TCP) sem criptografia. Quando a autenticação baseada em IP é utilizada na Unificação de Mensagens, o servidor de Unificação de Mensagens verifica se o endereço IP está autorizado a se conectar. O endereço IP é configurado no gateway IP ou no IP-PBX.

A tabela a seguir fornece informações sobre portas, autenticação e criptografia para os caminhos de dados entre os servidores de Unificação de Mensagens e outros servidores.

Caminhos de dados do servidor de Unificação de Mensagens

Notas sobre os Servidores de Unificação de Mensagens

Ao criar um objeto de gateway IP do UM (Unificação de Mensagens) no Active Directory, defina o endereço IP do gateway IP físico ou IP PBX (Private Branch eXchange). Quando você definir o endereço IP no objeto de gateway IP do UM, esse endereço será adicionado a uma lista de gateways IP válidos com os quais o servidor de Unificação de Mensagens está autorizado a se comunicar. Quando criado, o gateway IP do UM é associado a um plano de discagem do UM. A associação do gateway IP do UM a um plano de discagem permite que os servidores de Unificação de Mensagens associados ao plano de discagem usem a autenticação baseada em IP para se comunicar com o gateway IP. Se o gateway IP do UM não tiver sido criado ou não estiver configurado para usar o endereço IP correto, ocorrerá falha na autenticação e os servidores de Unificação de Mensagens não aceitarão conexões provenientes do endereço IP desse gateway IP.

Na versão RTM (Versão de Produção) do Exchange 2007, um servidor de Unificação de Mensagens pode se comunicar na porta 5060/TCP (insegura) ou na porta 5061/TCP (segura), mas não em ambas.

Para obter mais informações, consulte Compreendendo a segurança VoIP da Unificação de Mensagens e Noções básicas sobre protocolos, portas e serviços da Unificação de Mensagens.

Para obter mais informações

Para obter mais informações, consulte o artigo 179442 da Base de Dados de Conhecimento da Microsoft, Como configurar um firewall para domínios e relações de confiança.