PowerShell : Configuration des rôles Edge et UM

La principale fonction de ce rôle est de relayer les messages entrant et sortant d’une organisation Exchange tout en assurant la sécurité. Bref, c’est essentiellement un serveur relais SMTP qui n’a pas besoin d’avoir accès à Active Directory puisqu’il utilise une réplication dans un annuaire ADAM! Il est donc dans une DMZ. Application Directory Application Mode (ADAM) est un annuaire stand-alone sur lequel nous nous connectons en LDAP.

La base ADAM est une base de données « Extensible Storage Engine », située dans le répertoire « \Exchange Server\TransportRoles\ data\Adam ». Elle contient entre-autre toute la configuration et les informations sur la topologie nécessaire au server Edge. Le service MSExchangeEdgeSync qui tourne sur un serveur ayant le rôle HUB pousse les informations d’Active Directory vers l’ADAM. Pour cela, il est nécessaire d’abonner notre Edge à un site Active Directory afin de créer un partenariat avec tous les HUB de notre organisation.

L’abonnement permet de faire automatiquement la configuration ! Cependant, si vous souhaitez faire la configuration manuellement, vous devrez :

1. Vérifier que le pare-feu entre l’organisation Exchange et la DMZ autorise le port SMTP 25.
2. Vérifier que le Edge peut résoudre le nom DNS des serveurs HUB et inversement.
3. Créer et configurer un connecteur d’envoi de message vers Internet comme décrit dans l’article précédent ! Voir listing 1.
4. Créer un connecteur permettant la réception des messages depuis Internet écoutant sur toutes les plages d’adresses IP : Voir listing 2.
5. Créer un autre connecteur pour permettre l’envoi de messages provenant d’Internet vers les serveurs HUB: Voir listing 3.  Remarque: les deux tirets de l’option « AddressSpaces » signifie que ce connecteur acheminera tous les messages d’un domaine faisant autorité ou d’un domaine relais interne configurés dans l’organisation.
6. Il est recommandé de créer un autre connecteur qui accepte les conne – xions anonymes : Voir listing 4.

Si vous souhaitez utiliser la méthode recommandée: par l’abonnement, vous devez réaliser quelques étapes toutes aussi simples (grâce à PowerShell !) :

1. Vérifier que le pare-feu entre l’organisation Exchange et la DMZ laisse passer les flux sur les ports 25 (SMTP) et 50636 (LDAPS utilisé pour la réplication des données d’Active Directory vers ADAM).
2. Identique à la méthode précédente : résolution DNS des serveurs HUB et Edge.
3. Renseigner la licence du serveur Edge avant de faire l’abonnement pour éviter tout problème de mise à jour…
4. Configurer les domaines acceptés et distants : l’article précédent décrit cette étape !
5. Générer le fichier d’abonnement du Edge qui contient une paire de clé privée et publique utilisée pour la synchronisation de l’annuaire Active Directory et ADAM. Sur le serveur Edge : Voir listing 5.
6. S’abonner ! Sur un serveur HUB: Voir listing 6.

Remarque: Le paramètre « -Site » doit être renseigné avec le nom du site Active Directory. Pour récupérer la liste des sites AD vous avez biensûr… « Get-ADSite » ! Les connecteurs sont automatiquement créés! A ce stade, nous pouvons démarrer la synchronisation de nos annuaires avec la Cmdlet « Start-EdgeSynchronization ».

PowerShell nous permet également de vérifier que notre synchronisation s’est bien exécutée avec la Cmdlet « Test-EdgeSynchronization ». Nous pouvons maintenant par exemple configurer le filtrage des messages, en autorisant ou non des IP, ou bien encore le contenu ! Voir listing 7.

Remarque: l’agent de transport de filtrage du contenu doit être activé : Enable-TransportAgent –Identity ‘Content Filter Agent’ D’accord mais c’est quoi un agent de transport ? Ce sont des évènements levés lorsque certaines conditions sont remplies.

L’intérêt est que nous pouvons personnaliser les actions à réaliser lorsqu’un évènement est levé. Un évènement est levé à l’arrivée d’un message, lorsqu’il est catégorisé, etc… Pour connaître tous les évènements disponibles vous pouvez utiliser la Cmdlet « Get-TransportPipeline ».

Puis, pour connaître tous les agents de transports disponibles : « Get-TransportAgent ». Exchange installe un certain nombre d’agents par défaut, par exemple: Voir tableau 1. Des Cmdlets associées à chaque agent de transport existent et le plus intéressant est qu’il est possible de créer ses propres agents… Mais ceci est un autre sujet ! Une dernière remarque avant de clôturer cette partie consacrée au rôle Edge: les organisations Exchange 2007 ne sont pas limitées à un seul serveur Edge.

Il est possible d’avoir plusieurs serveurs ayant ce rôle de configuré afin d’améliorer la tolérance aux pannes ou bien de faire de l’équilibrage de charge. Dans ce cas, il est nécessaire de s’assurer que la configuration de chaque serveur Edge est identique… cela peut devenir vite compliqué… Heureusement, PowerShell est encore là pour nous… Je dirais même que des scripts permettant de cloner la configuration d’un serveur existent dans le répertoire « \Exchange Server\Scripts ».

Pour notre serveur Edge puisque c’est lui qui nous intéresse, nous devons dans un premier temps exporter la configuration avec le script « ExportEdgeConfig.ps1 » puis l’importer sur un autre serveur Edge avec le script « ImportEdgeConfig. ps1 ». Que c’est difficile l’administration Exchange 2007 avec PowerShell…