云南龙网

  1. 首页 > 云知道 > >

Exchange2007 域安全实现手册( 三 )

云知道


;
配置对证书吊销列表的访问
无论传输服务何时检索证书，都会验证证书链并验证证书 。证书验证是一个确认证书的许多属性的过程 。这些属性中的大部分可以在本地计算机上由请求该证书的应用程序确认 。例如，该证书的预期用法、该证书的过期日期以及类似的属性在 PKI 上下文以外是可验证的 。但是，对尚未吊销的证书的验证必须使用颁发该证书的 CA 进行验证 。因此，大部分 CA 制作了公开的证书吊销列表 (CRL)，用来验证吊销状态 。
若要成功使用域安全，则您或您的伙伴使用的 CA 的 CRL 必须对发送和接收域安全的电子邮件的边缘传输服务器可用 。如果吊销检查失败，则接收 Exchange 服务器发放临时协议拒绝邮件 。可能发生暂时性吊销失败 。例如，用于发布 CRL 的 Web 服务器可能失败 。或者边缘传输服务器和 CRL 通讯点之间的常规网络连接问题可能无法完成吊销检查 。因此，暂时性吊销失败只会导致邮件传递的暂时延迟，因为发送服务器稍后将重试 。但是，成功传输域安全的电子邮件需要 CRL 验证 。
必须启用下列方案：
1. 边缘传输服务器必须能够访问外部 CA 的 CRL 您与之交换域安全的电子邮件的每个伙伴必须具有您的组织的边缘传输服务器可联系的公开 CRL 。在某些情况下，CRL 仅在轻型目录访问协议下 (LDAP) 下可用 。某些情况下它们可能启用 HTTP 。确保配置的出站端口合适，以允许边缘传输服务器与 CRL 联系 。
2. 必须使颁发证书的 CA 的 CRL 公开可用 您必须要了解，即使边缘传输服务器从您自己的组织中检索证书时，它也要验证证书链以验证证书 。因此，您的 CA 的 CRL 必须对您自己的边缘服务器可用 。另外，您与之交换域安全的电子邮件的所有伙伴必须能够访问为您颁发证书的 CA 的 CRL 。
配置 WinHTTP 的代理设置
Exchange 2007 传输服务器依靠基本的 Microsoft Windows HTTP Services (WinHTTP) 管理所有 HTTP 和 HTTPS 通信 。集线器传输服务器和边缘传输服务器都可以使用 HTTP 访问 Microsoft Exchange 2007 标准反垃圾邮件筛选器更新和 Microsoft Forefront Security for Exchange Server 反垃圾邮件更新服务的更新，以及 CRL 验证的更新 。
在大多数组织中，代理服务器用于与 Internet 上的目标进行 HTTP 和 HTTPS 通信 。如果组织使用代理服务器，而 Exchange 传输服务器并未配置为对 HTTP 和 HTTPS 使用代理服务器，则必须配置传输服务器，这样启用了 HTTP 的 CRL 验证才能正常工作 。
配置 WinHTTP 最简单的方法就是使用 ProxyCfg.exe 。ProxyCfg.exe 是一个命令行工具，位于所有 Windows Server 2003 计算机的 %System32% 目录下 。您可以用它来设置和查看 WinHTTP 配置 。
在大多数情况下，您只需要运行下面的命令来指定您的组织中的代理服务器，并指定所有本地通信都要绕过该代理服务器 。
proxycfg -p proxy_server ""
此命令指定 HTTP 服务器和 HTTPS 服务器都要通过名为"proxy_server"的代理服务器进行访问，但主机名包含由 参数指定的句点的代理服务器除外 。
即使您未运行代理服务器，我们也建议您使用 ProxyCfg.exe 检查是否以前设置过一个代理 。您可以在不带任何参数的情形下运行该工具来查看当前配置，如下所示：
Proxycfg
要为 WinHTTP 配置直接的 Internet 连接或删除现有的代理配置，请运行以下命令：
Proxycfg –d
重要信息：更改 WinHTTP 的配置后，必须重新启动 Microsoft Exchange 传输服务和 Microsoft Exchange 反垃圾邮件更新服务 。
如何测试 PKI 和代理配置
若要验证特定边缘传输服务器的公钥基础结构 (PKI) 和代理配置，请使用 Certutil.exe 验证边缘传输服务器证书的证书链 。Certutil.exe 是作为 Microsoft Windows Server 2003 操作系统的证书服务的一部分安装的命令行工具 。

推荐阅读


上一篇：竹村五郎怎么不死

下一篇：Linux中遇到device linux中遇到的困难