Requisitos ambientais do Edge Server em Skype for Business Server

Resumo: Saiba mais sobre os requisitos ambientais do Edge Server no Skype for Business Server.

Muito planejamento e preparação precisam ocorrer fora do próprio ambiente do Skype for Business Server Edge Server. Neste artigo, vamos rever as preparações que precisam ser feitas no ambiente organizacional, de acordo com nossa lista abaixo:

• Topology planning

• DNS planning

• Certificate planning

• Port and firewall planning

Planejamento de topologia

Skype for Business Server topologias do Edge Server são capazes de usar:

• Endereços IP públicos roteáveis

• Endereços IP privados não roteáveis, se a tradução de endereço de rede simétrica (NAT) for usada.

Se você escolher endereços IP privados não roteáveis com NAT, lembre-se destes aspectos:

• Você deve usar endereços IP privados roteáveis em todas as três interfaces externas.

• Você precisa configurar NAT simétrico para tráfego de entrada e de saída. O NAT simétrico é o único NAT com suporte que você pode usar com Skype for Business Server Edge Server.

• Configure seu NAT para não alterar endereços de origem de entrada. O serviço A/V Edge precisa ser capaz de receber o endereço de origem de entrada para encontrar o caminho de mídia ideal.

• Seus Servidores do Edge precisam ser capazes de se comunicar uns com os outros de seus endereços IP públicos do A/V Edge. Seu firewall deve permitir esse tráfego.

• O NAT só poderá ser usado para servidores de borda consolidados dimensionados se você usar o balanceamento de carga DNS. Se você usar o balanceamento de carga de hardware (HLB), será necessário usar endereços IP roteáveis publicamente sem NAT.

Você não terá problemas em ter suas interfaces Access, Web conferencing e A/V Edge por trás de um roteador ou firewall executando NAT simétrica para topologias consolidadas e consolidadas do Edge Server simples e dimensionadas (desde que você não esteja usando o balanceamento de carga de hardware).

Resumo das opções de topologia do Edge Server

Temos várias opções de topologia disponíveis para implantações do Skype for Business Server Edge Server:

• Borda única consolidada com endereços IP privados e NAT

• Borda única consolidada com endereços IP públicos

• Borda dimensionada consolidada com endereços IP privados e NAT

• Borda dimensionada consolidada com endereços IP públicos

• Borda dimensionada consolidada com balanceadores de carga de hardware

Para ajudá-lo a escolher uma, temos a tabela a seguir que apresenta um resumo das opções que você tem para cada topologia:

¹ O failover remoto de usuário do Exchange Unified Messaging (UM) usando o balanceamento de carga DNS requer o Exchange 2013 ou mais recente.

Requisitos de Endereço IP

Em um nível fundamental, três serviços precisam de endereços IP; Serviço do Access Edge, serviço do Web Conferencing Edge e serviço do A/V Edge. Você tem a opção de usar três endereços de IP, um para cada um dos serviços, ou você pode usar um e optar por colocar cada serviço em uma porta diferente (é possível consultar a seçãoPort and firewall planning para obter mais informações relacionadas). Para um ambiente de Borda única consolidada, isso é o suficiente.

Pode ser um pouco mais complicado com topologias escalonáveis consolidadas, portanto, vejamos algumas tabelas que apresentam os requisitos de Endereço IP, lembrando-se de que os principais pontos de decisão para seleção da topologia são alta disponibilidade e balanceamento de carga. As necessidades de alta disponibilidade podem influenciar sua escolha de balanceamento de carga (falaremos mais sobre esse assunto depois das tabelas).

Requisitos de endereço IP para Borda dimensionada consolidada (endereço de IP por função)

Requisitos de endereço IP para Borda consolidada dimensionada (endereço de IP único para todas as funções)

Vejamos alguns tópicos adicionais que devem ser considerados no planejamento.

• Alta disponibilidade: se você precisar de alta disponibilidade em sua implantação, deverá implantar pelo menos dois Servidores de Borda em um pool. Vale a pena notar que um único pool do Edge dará suporte a até 12 Servidores de Borda (embora o Construtor de Topologia permita que você adicione até 20, isso não é testado ou com suporte, portanto, aconselhamos que você não faça isso). Se precisar de mais de 12 Servidores de Borda, crie pools adicionais do Edge para eles.

• Balanceamento de carga de hardware: recomendamos o balanceamento de carga DNS para a maioria dos cenários. O balanceamento de carga de hardware também tem suporte, é claro, mas notavelmente é necessário para um único cenário sobre o balanceamento de carga DNS:

  • Acesso externo ao Exchange 2007 ou Exchange 2010 (sem SP) Mensagens Unificadas (UM).

• Balanceamento de carga DNS: para UM, o Exchange 2010 SP1 e mais recente podem ser compatíveis com o balanceamento de carga DNS. Observe que se você precisar ir com o balanceamento de carga DNS para uma versão anterior do Exchange, ele funcionará, mas todo o tráfego para isso irá para o primeiro servidor no pool e, se ele não estiver disponível, esse tráfego falhará posteriormente.

  O balanceamento de carga DNS também é recomendado se você estiver federando com empresas usando:

• Skype for Business Server 2015:

  • Lync Server 2010
  • Lync Server 2013
  • Microsoft 365 ou Office 365

• Skype for Business Server 2019:

  • Lync Server 2013
  • Skype for Business Server 2015
  • Microsoft 365 ou Office 365

Planejamento DNS

Quando se trata de Skype for Business Server implantação do Edge Server, é vital se preparar para o DNS corretamente. Com o registros corretos em vigor, a implantação será muito mais simples. Esperamos que você tenha escolhida uma topologia na seção acima, pois vamos fazer uma visão geral e, em seguida, listar algumas tabelas que destacam os registros DNS para os cenários. Também teremos um planejamento de DNS do Advanced Edge Server para Skype for Business Server para uma leitura mais detalhada, se você precisar.

Registros DNS para cenários consolidados únicos do Edge Server

Esses serão os registros DNS que você precisará para um servidor de canto do Edge usando IPs públicos ou IPs privados com NAT. Como estes são dados de amostra, daremos o exemplo de IPs para que você possa encontrar sua própria solução mais facilmente:

• Adaptador de rede interno: 172.25.33.10 (sem gateways padrão atribuídos)

  Nota

  Verifique se há uma rota da rede que contém a interface interna do Edge para quaisquer redes que contenham servidores que executam Skype for Business Server ou clientes do Lync Server 2013 (por exemplo, de 172.25.33.0 a 192.168.10.0).

• Adaptador de rede externo:

  • IPs Públicos:

  • Access Edge: 131.107.155.10 (este é o principal, com gateway padrão definido como seu roteador público, ex: 131.107.155.1)

  • Web Conferencing Edge: 131.107.155.20 (secundário)

  • A/V Edge: 131.107.155.30 (secundário)

  A conferência Web e endereços IP públicos do A/V Edge são endereços IP adicionais (secundários) na seção Avançado das propriedades do Protocolo de Internet Versão 4 (TCP/IPv4) e Protocolo de Internet Versão 6 (TCP/IPv6) das Propriedades de Conexão de Área Local no Windows Server.

  • IPs Privadas:

  • Access Edge: 10.45.16.10 (este é o principal, com gateway padrão definido como seu roteador, ex: 10.45.16.1)

  • Web Conferencing Edge: 10.45.16.20 (secundário)

  • A/V Edge: 10.45.16.30 (secundário)

A conferência Web e endereços IP públicos do A/V Edge são endereços IP adicionais (secundários) na seção Avançado das propriedades do Protocolo de Internet Versão 4 (TCP/IPv4) e Protocolo de Internet Versão 6 (TCP/IPv6) das Propriedades de Conexão de Área Local no Windows Server.

• Você pode usar um endereço IP no adaptador de rede externa. Não recomendamos isso porque você precisará diferenciar os serviços de ti usando portas diferentes (o que você pode fazer em Skype for Business Server), mas há alguns firewalls que podem bloquear as portas alternativas. Consulte a seção Port and firewall planning para obter mais informações sobre o assunto.

• É possível ter três adaptadores de rede externa em vez de um, e atribuir uma das IPs do serviço para cada um. Por que? Isto separaria os serviços e se algo der errado, seria mais fácil solucionar o problema e potencialmente permitiria que seus outros serviços continuassem a funcionar enquanto o problema estivesse sendo resolvido.

Registros DNS para cenários dimensionados do DNS e do Hardware Edge Server

Esses serão os registros DNS que você precisará para um servidor de canto do Edge usando IPs públicos ou IPs privados com NAT. Como estes são dados de amostra, daremos o exemplo de IPs para que você possa encontrar sua própria solução mais facilmente:

• Adaptador de rede interna

  • Nó 1: 172.25.33.10 (nenhum gateway padrão atribuído)

  • Nó 2: 172.25.33.11 (nenhum gateway padrão atribuído)

    Nota

    Verifique se há uma rota da rede que contém a interface interna do Edge para quaisquer redes que contenham servidores que executam Skype for Business Server ou clientes do Lync Server 2013 (por exemplo, de 172.25.33.0 a 192.168.10.0).

• Adaptador de rede externo:

  • Nó 1

    • IPs Públicos:

      • Access Edge: 131.107.155.10 (este é o principal, com gateway padrão definido como seu roteador público, ex: 131.107.155.1)

      • Web Conferencing Edge: 131.107.155.20 (secundário)

      • A/V Edge: 131.107.155.30 (secundário)

        A conferência Web e endereços IP públicos do A/V Edge são endereços IP adicionais (secundários) na seção Avançado das propriedades do Protocolo de Internet Versão 4 (TCP/IPv4) e Protocolo de Internet Versão 6 (TCP/IPv6) das Propriedades de Conexão de Área Local no Windows Server.

    • IPs Privadas:

      • Access Edge: 10.45.16.10 (este é o principal, com gateway padrão definido como seu roteador, ex: 10.45.16.1)

      • Web Conferencing Edge: 10.45.16.20 (secundário)

      • A/V Edge: 10.45.16.30 (secundário)

      A conferência Web e endereços IP públicos do A/V Edge são endereços IP adicionais (secundários) na seção Avançado das propriedades do Protocolo de Internet Versão 4 (TCP/IPv4) e Protocolo de Internet Versão 6 (TCP/IPv6) das Propriedades de Conexão de Área Local no Windows Server.

  • Nó 2

    • IPs Públicos:

      • Access Edge: 131.107.155.11 (este é o principal, com gateway padrão definido como seu roteador público, ex: 131.107.155.1)

      • Web Conferencing Edge: 131.107.155.21 (secundário)

      • A/V Edge: 131.107.155.31 (secundário)

      A conferência Web e endereços IP públicos do A/V Edge são endereços IP adicionais (secundários) na seção Avançado das propriedades do Protocolo de Internet Versão 4 (TCP/IPv4) e Protocolo de Internet Versão 6 (TCP/IPv6) das Propriedades de Conexão de Área Local no Windows Server.

  • IPs Privadas:

    • Access Edge: 10.45.16.11 (este é o principal, com gateway padrão definido como seu roteador, ex: 10.45.16.1)

    • Web Conferencing Edge: 10.45.16.21 (secundário)

    • A/V Edge: 10.45.16.31 (secundário)

      A conferência Web e endereços IP públicos do A/V Edge são endereços IP adicionais (secundários) na seção Avançado das propriedades do Protocolo de Internet Versão 4 (TCP/IPv4) e Protocolo de Internet Versão 6 (TCP/IPv6) das Propriedades de Conexão de Área Local no Windows Server.

Há outras configurações possíveis aqui:

• Você pode usar um endereço IP no adaptador de rede externa. Não recomendamos isso porque você precisará diferenciar os serviços de ti usando portas diferentes (o que você pode fazer em Skype for Business Server), mas há alguns firewalls que podem bloquear as portas alternativas. Consulte a seção Port and firewall planning para obter mais informações sobre o assunto.

• É possível ter três adaptadores de rede externa em vez de um, e atribuir uma das IPs do serviço para cada um. Por que? Isto separaria os serviços e se algo der errado, seria mais fácil solucionar o problema e potencialmente permitiria que seus outros serviços continuassem a funcionar enquanto o problema estivesse sendo resolvido.

Registro DNS para federação (todos os cenários)

Resumo DNS para protocolo de presença e mensagem extensível

Planejamento de Certificados

Skype for Business Server usa certificados para comunicações seguras e criptografadas entre servidores e de servidor para cliente. Como seria de esperar, seus certificados deverão ter registros DNS para que seus servidores sejam compatíveis com qualquer nome da entidade (SN) e nome alternativo de entidade (SAN) em seus certificados. Isso será trabalhoso na fase de planeamento, para que você certifique-se de que tem os FQDNs corretos registrados no DNS para as inserções de SN e SAN de seus certificados.

Abordaremos as necessidades de certificados internos e externos separadamente, e em seguida, examinaremos uma tabela que fornece os requisitos para ambos.

Certificados Externos

No mínimo, o certificado atribuído às interfaces externas do Edge Server precisará ser fornecido por uma AUTORIDADE PÚBLICA de Certificado (AC). Não podemos recomendar uma AC específica para você, mas temos uma lista de CAs, parceiros de certificado de Comunicações Unificadas que você pode dar uma olhada para ver se sua AC preferida está listada.

Quando você precisará enviar uma solicitação para um AC para ter este certificado público, e como você fazê-lo? Há várias formas de fazer isso:

• Você pode passar pela instalação de Skype for Business Server e, em seguida, pela implantação do Edge Server. O Assistente de Implantação Skype for Business Server terá uma etapa para gerar uma solicitação de certificado, que você pode enviar para a AC escolhida.

• Você também pode usar comandos Windows PowerShell para gerar essa solicitação, se isso estiver mais alinhado com suas necessidades de negócios ou estratégia de implantação.

• Por fim, sua AC pode ter seu próprio processo de envio, que também pode envolver Windows PowerShell ou outro método. Nesse caso, você precisará contar com sua documentação, além as informações fornecidas aqui para sua referência.

Depois de obter o certificado, você precisará ir em frente e atribuí-lo a esses serviços em Skype for Business Server:

• Interface de serviço do Access Edge

• Interface de serviço do Web Conferencing Edge

• Serviço de Autenticação de Áudio/Vídeo (não confunda isso com o serviço A/V Edge, pois isso não usa um certificado para criptografar fluxos de áudio e vídeo)

Certificados internos

Para a interface interna do Edge Server, você pode usar um certificado público de uma AC pública ou um certificado emitido da AC interna da sua organização. É importante lembrar que o certificado interno é aquele utiliza uma inserção de SN, e nenhuma inserção de SAN, portanto, você não deve se preocupar com SAN no certificado interno.

Tabela de Certificados Exigidos

Temos uma tabela aqui para ajudá-lo com os seus pedidos. As entradas de FQDN são apenas exemplos de domínios. Você precisará fazer solicitações com base em seus próprios domínios privados e públicos, mas aqui está a orientação sobre o procedimento que temos seguido:

• contoso.com: FQDN público

• fabrikam.com: Segundo FQDN público (adicionado como uma demonstração do que solicitar se você tiver vários domínios SIP)

• Contoso.net: domínio interno

Tabela de Certificado de Borda

Independentemente de você estar fazendo um único Servidor do Edge ou um pool do Edge, isso é o que você precisará para o certificado:

Se você precisa de um certificado para XMPP (Extensible Messaging and Presence Protocol), ele será idêntico às entradas da tabela de Borda Externa acima, mas terá as duas entradas adicionais de SAN indicadas abaixo:

• Xmpp.contoso.com

• *.contoso.com

Lembre-se de que atualmente o XMPP só tem suporte em Skype for Business Server para o Google Talk, se você quiser ou precisar usá-lo para qualquer outra coisa, você precisa confirmar essa funcionalidade com o fornecedor de terceiros envolvido.

Planejamento de porta e de firewall

Acertar seu planejamento para portas e firewalls para implantações do Skype for Business Server Edge Server pode salvar dias ou semanas de solução de problemas e estresse. Como resultado, vamos listar algumas tabelas que indicarão nosso uso do protocolo e quais portas você precisa abrir, internas e externas, tanto para cenários NAT e de IP público. Também temos tabelas separadas para cenários com balanceamento de carga de hardware (HLB) e mais algumas orientações sobre isso. Para obter mais leituras a partir daí, também temos alguns cenários do Edge Server no Skype for Business Server você pode marcar para suas preocupações de implantação específicas.

Uso Geral do Protocolo

Antes de observarmos as tabelas de resumo para firewalls internos e externos, vejamos a tabela a seguir:

Tabela de resumo de firewall da porta externa

O endereço IP de origem e o endereço IP de destino conterão informações para usuários que estão usando endereços IP privados com NAT, bem como para as pessoas que utilizam endereços IP públicos. Isso abrangerá todas as permutações em nossos cenários do Edge Server na seção Skype for Business Server.

Tabela de resumo do firewall da porta interna

Balanceadores de carga de hardware para tabelas da porta da Borda

Preparamos uma seção apenas para balanceadores de carga de hardware (HLBs) e portas da Borda, uma vez que o assunto é um pouco mais complicado em se tratando de hardware adicional. Consulte as tabelas abaixo para obter orientação para este cenário específico:

Tabela de resumo de firewall da porta externa

O endereço IP de origem e o endereço IP de destino conterão informações para usuários que estão usando endereços IP privados com NAT, bem como para as pessoas que utilizam endereços IP públicos. Isso abrangerá todas as permutações em nossos cenários do Edge Server na seção Skype for Business Server.

Tabela de resumo do firewall da porta interna

IPs virtuais da interface externa

IPs virtuais da interface interna

Nossa orientação aqui será um pouco diferente. Na realidade, em uma situação HLB, recomendamos que você tenha apenas roteamento por meio de um VIP interno sob as seguintes circunstâncias:

• Se você estiver usando o Exchange 2007 ou Exchange 2010 Unified Messaging (UM).

• Se você tiver clientes herdados usando a Borda.

A tabela a seguir fornece diretrizes para esses cenários, mas caso contrário, você deve ser capaz de depender do CMS (Central Management Store) para rotear o tráfego para o Servidor de Borda individual que ele está ciente (isso exige que o CMS seja mantido atualizado nas informações do Edge Server, é claro).