Activați Protecția extinsă Exchange
Activați Exchange Extended Protection pentru Exchange Server Security pentru a vă rula serverul fără probleme.
Protecția extinsă Exchange este activată în mod implicitExchange 2019 CU 14iar mai târziu.
Dacă nu implementați cu atenție protecția Exchange Extended și actualizați Exchange la CU 14.
Pot apărea unele probleme grave cu Exchange, cum ar fi faptul că utilizatorul nu se poate conecta la Exchange 2019 după actualizarea la CU 14.
Prin urmare, puteți implementa setarea adecvată pentru Exchange Extended Protection pentru a vă securiza organizația Exchange.
Microsoft recomandă fiecărui utilizator Exchange să-l activeze.
În acest articol, vom afla cum să activați protecția extinsă pentru Exchange Server 2019.
Ce este Protecția Extinsă?
Acesta îmbunătățește securitatea metodelor de autentificare existente în Windows Server pentru a proteja împotriva releului de autentificare sau a atacurilor Man-in-the-middle.
Acest lucru se realizează prin utilizarea informațiilor de securitate care sunt implementate prin informațiile de legare a canalului specificate printr-un simbol de legare a canalului (CBT) care este utilizat în principal pentru conexiunile TLS.
Cu toate acestea, este activat în mod implicit pe Exchange 2019 CU 14
Puteți activa protecția extinsă pe versiunile mai vechi de Exchange cu Scriptul PowerShell furnizat de Microsoft, adică ExchangeExtendedProtectionManagement.ps1
Cerințe preliminare pentru versiunile Exchange care acceptă Protecția extinsă
Exchange 2013, 2016 și 2019 acceptă EP
Pentru Exchange 2016 și 2019, trebuie să rulați2022 H1 CU
Înainte de a-l activa, trebuie să instalați cel puținaugust 2022 SUsau mai târziu.
Pentru Exchange 2013, trebuie să rulațiCU 23 with August 2022 SUsau mai târziu.
Descărcarea SSL ar trebui să fie dezactivată
Ar trebui să folosească NTLMv2
Asigurați-vă că toate Exchange Server utilizeazăTLS 1.2cu cele mai bune practici.
Lectură recomandată:Cum să activați suspendarea/reluarea protecției BitLocker pentru o unitate
Scenariul afectat cu protecție extinsă
- Descărcarea SSL nu este acceptată, așa că nu ar trebui să utilizați descărcarea SSL cu un echilibrator de încărcare, folosiți în schimb legătura SSL.
- Puteți utiliza același SSL pe echilibratoarele de încărcare atunci când utilizați pontul SSL pe echilibratorul de încărcare.
- Nu puteți activa Protecția extinsă pentru Exchange 2013 cu un folder public într-un mediu coexistent.
- Nu poate fi activat dacă se utilizeazăExchange 2016 CU 22sauExchange 2019 CU 11care găzduiește o ierarhie de foldere publice.
- Dacă aveți scenariul de mai sus, faceți upgradeExchange 2016 to CU 23şiExchange 2019 to CU 12sau mai târziu.
- EP nu poate fi configurat complet pe serverele Exchange care sunt publicate cu Hybrid Agent.
- VerificațiExchange Latest CU & SU
Pentru mai mult clearance-ul vezi imaginea de mai jos.
Aflați starea de protecție extinsă pentru schimbul dvs
Înainte de a activa EP, cel mai bine este să cunoașteți mai întâi starea.
Pentru a cunoaște starea, putem rula Scriptul Exchange Health Checker și putem genera raportul HTML
Deci, am rulat scriptul pentru a cunoaște starea EP pe Exchange Server 2019 și am obținut rezultatul de mai jos.
Imaginea de mai sus indică faptul că EP nu este configurat și avem vulnerabilități pentruCVE-2022-24516, 21979, 21980, 24477,şi30134,iar valoarea este setată canici unulpentru noidirectoare virtuale
Prin urmare, pentru a verifica starea Protecție extinsă, puteți rula și scriptul PowerShell.
Descărcați ExchangeExtendedProtectionManagement.ps1scenariu dinGitHub
Salvați scriptul înfolderul de scripturiîn interiorulUnitatea Cși navigați lafolderul de scripturiîn shell-ul de gestionare Exchange.
Acum rulați următorul cmdlet pentru a cunoaște starea EP
.ExchangeExtendedProtectionManagement.ps1 –ShowExtendedProtectionVeți obține rezultatul ca mai jos
Puteți vedea că am obținut același rezultat ca și în raportul HTML care arată o valoare denici unulpentru directoare virtuale.
Cum să activați protecția extinsă în Exchange Server
Dacă sunteți actualizat la versiunea necesară, puteți activa Protecția extinsă Exchange.
Înainte de a activa EP, consultați cea mai bună practică pentru a configura setarea Exchange TLS 1.2.
Aici considerăm căTLS 1.2este deja configurat.
Deci, trebuie să dezactivămDescărcare SSLpentru Outlook Oriunde pentru toate serverele Exchange din organizație.
Pentru a o dezactiva, rulați următorul cmdlet în EMS (Exchange Management Shell)
Set-OutlookAnywhere "EX01-2019RPC (Default Web Site)" -SSLOffloading $false
Acum putem rulaExchangeExtendedProtectionManagement.ps1script pentru a configura Protecția extinsă pe serverul nostru Exchange.
Asigurați-vă că avețiManagementul organizației drepturipentru a îndeplini sarcina.
Am descărcat scriptul în acelașifolderul de scripturiîn interiorulc driveși am navigat la folderul script în EMS.
Pentru a rula scriptul, rulați următorul cmdlet
.ExchangeExtendedProtectionManagement.ps1
Acum va începe configurarea protecției extinse pe toate serverele Exchange din organizația dumneavoastră.
Prin urmare, va verifica și cerințele preliminare TLS și descărcarea SSL și va configura EP.
Odată ce este configurat, veți vedea ecranul de mai jos care spune, Protecția extinsă este configurată cu succes.
puteți vedea cerințele preliminare TLS trecute cu succes și descărcarea SSL este, de asemenea, dezactivată.
Verificarea stării EP
Am configurat cu succes Protecția extinsă pentru cele două servere EX01 și EX02
Să verificăm cu PowerShell
Vom rula același cmdlet ca și mai devreme pentru a verifica starea
.ExchangeExtendedProtectionManagement.ps1 –ShowExtendedProtectionRezultatul îl vom vedea mai jos
Puteți vedea acum că avem valorile configurate pentru directoarele noastre virtuale.
Prin urmare, îl putem confirma și verificând cu scriptul Exchange Health Checker.
Odată ce rulați scriptul, veți obține următorul rezultat.
Acum puteți vedea că Protecția extinsă este activată cu succes.
Puteți verifica fluxul de e-mail pentru a confirma dacă totul funcționează bine sau nu.
Dezactivarea și derularea EP Exchange
Dezactivarea EP va seta toate valorile configurate curente lanici unul
Pentru a dezactiva EP pe toate serverele Exchange din organizația dvs., rulați următorul cmdlet
.ExchangeExtendedProtectionManagement.ps1 –DisableExtendedProtectionPrin urmare, dacă doriți să-l dezactivați pentru un anumit server, atunci trebuie să rulați următorul cmdlet
.ExchangeExtendedProtectionManagement.ps1 -DisableExtendedProtection -ExchangeServerNames EX01, EX02De asemenea, puteți rula următorul cmdlet pentru a derula înapoi setările EP.
.ExchangeExtendedProtectionManagement.ps1 -RollbackType "RestoreIISAppConfig"Concluzie
În acest articol, am învățat cum să configurați protecția extinsă pentru Exchange Server 2019.
Ori de câte ori activați EP pentru organizația dvs. Exchange, asigurați-vă că îndepliniți cerințele prealabile activândTLS 1.2și actualizarea Exchange-ului lalatest CU.
Dacă lucrurile merg prost, mai aveți opțiuneadezactivați EPsau rulați-l înapoi la etapa anterioară.
Dacă sunteți interesat să aflați mai multe, consultați tutorialele gratuite Microsoft Exchange
Mai mult, dacă doriți să vedeți articolul în acțiune, urmăriți videoclipul de mai jos pentru a configura EP pentru Your Exchange 2019
