Exchange Edge Rolle

Edge und HMC 4.5
Microsoft beschreibt im Paket HMC 4.5 (Anleitung wie man Exchange 2007 als Hostinglösung installiert) genau, warum hier ein gut konfigurierter Hub/Transport am Internet die bessere Lösung ist. Prüfen Sie daher genau, ob Sie überhaupt einen Edge-Server benötigen.

Die Exchange Edge Services geistern schon einige Zeit durch die Medien und wurden erst als eigenständiges Produkt angekündigt, später dann als Addon für bestehende Exchange Systeme gehandelt (vielleicht wurde daraus dann der Intelligent Message Filter). Es wurden sicher auch einige Nebelkerzen geworfen. Aber mit Exchange 2007 ist es nun amtlich, dass diese Rolle Bestandteil des Produkts wird.

Ursprünglich wurde es als "Sendmail Killer" bezeichnet und zielte darauf ab, dass Exchange 2000/2003 nicht gerade optimal dafür eingestellt war, als Mailrouter für große Unternehmen zu dienen. Exchange kann zwar wunderbar Nachrichten in Datenbank speichern und den Anwendern bereit stellen, aber für das Routing von großen Nachrichtenmengen zwischen vielen Systemen, wie dies bei Dienstleistern oft benötigt wird, war Exchange nicht optimal aufgestellt. So ist es nur sehr aufwändig  möglich, Nachrichten beim Transport umzuschreiben oder den SMTP-Stack generell zu erweitern. Wenn Sie hier den Windows SMTP-Server (und das ist ja letztlich auch der Exchange SMTP-Dienst) mit Funktionen von PostFix, SendMail und anderen Vergleichen, dann fehlen hier schon einige Funktionen.

Mit Exchange 2007 wird nun alles anders, da sowohl für die Edge-Rolle als auch für die Hub/Brdigehead-Rolle der SMTP-Stack komplett neu entwickelt wurde.

Der Einsatz der Edge-Rolle ist nicht zwingend erforderlich. Sie können natürlich auch ohne Edge-Rolle Exchange betreiben.

Der Einsatz von Edge ist nicht von Exchange 2007 intern abhängig. Sie können Edge auch vor beliebigen anderen Servern installieren. Sinnvoll erscheint diese aber nicht, da Sie zum sinnvollen Einsatz natürlich die Exchange 2007 Enterprise CALs für alle Benutzer benötigen, selbst wenn diese kein Exchange Postfach haben. Wenn Sie nur eine Standardversion und CALs einsetzen, dann können Sie auch nicht die häufigen Antispam Updates nutzen.
Insofern reicht auch eine Standard Lizenz. Dann aber sind Drittprodukte oft di bessere Wahl.

Um auf einem HUB-Transport die Antispam Funktionen zu aktivieren, müssen Sie folgende Befehlszeile aufrufen

install-antispamagents.ps1

Siehe auch E2K7:Antispam

Die Funktion der Edge-Rolle ist die Verbindung einer Exchange Organisation mit dem Internet. Die Edge-Rolle schützt dabei die Server mit der Hub/Transport-Rolle gesondert ab und übernimmt erste Filterfunktionen bezüglich Spam und Viren. Um dieser Rolle gerecht zu werden, gelten für den Server mit der Edge-Rolle besondere Bedingungen.

Edge Installation

Der Server mit der Edge-Rolle steht normalerweise in einer besonders abgeschotteten Zone und übernimmt einfach nur die Weiterleitung der Mails in beide Richtungen und zusätzlich einige Filter.

Damit der Administrator nun nicht allzu viel zu tun tun hat, gibt es aber einen Replikationsmechanismus zwischen dem Edge Server und einem Hubserver. Dazu muss folgendes durchgeführt werden.

Edge Konfiguration

Eine Edge-Rolle macht nur richtig Sinn, wenn Sie auch Exchange 2007 intern einsetzen, denn als Partnerschaft profitieren beide.

Ein Bild verdeutlicht noch einmal die Zusammenhänge.

Der Synchronisationsprozess ist also nicht im SMTP-Protokolle enthalten, sondern von intern wird per LDAP auf die ADAM-Datenbank des EDGE-Servers zugegriffen. Dabei repliziert der Edge-Sync-Prozess, welcher auf einem HUB-Server läuft, periodisch folgende Informationen:

Dabei handelt es sich immer um eine "Push"-Synchronisation, d.h. die Daten werden vom Hub/Transport-Server von innen nach draußen auf den Edge-Server geschrieben. Es gibt demnach außer der SMTP-Verbindung keine weitere Verbindung von Edge nach intern.

Manuelle Konfiguration

Die Edge-Rolle muss aber nicht zwingend mit Exchange Servern und EdgeSync eingesetzt werden. Über die Management Console können Sie einige der Einstellungen sogar direkt auf dem Edge Server vornehmen:

Edge MMC

Allerdings ist dann z:B. die Empfängerfilterung kniffliger zu lösen, da die gültigen Empfänger nicht über den EdgeSync in die ADAM-Datenbank kommen. Auch wenn Edge ohne Exchange 2007 möglich ist, ist es meiner Ansicht nach keiner weiteren Betrachtung wert. Sie benötigen für den Einsatz von Edge sowieso die Exchange 2007 CALs und zumindest die Serverlizenz für den Edge. Das ist eine ganze Stange Geld, wenn Sie "nur" etwas Spamschutz möchten.

Bewertung

Letztlich ist die Idee von Microsoft bestehend einfach und trivial. Das Schutzsystem liefert eine XML-Datei, die intern einfach importiert wird. Damit "weiß" der HUB-Server zumindest die Daten des EDGE-Servers. Den Send-Connector müssen Sie aber natürlich weiterhin einrichten. Umgekehrt bekommt Edge über die ADAM-Datenbank die wesentlichen Informationen.

Konfiguration Fehlanzeige ?
Aus Gesprächen mit Microsoft habe ich mir auch erläutern lassen, warum Edge nur eingeschränkt konfigurierbar ist. Microsoft erklärt dies so, dass der Spamschutz als "Blackbox" zu betrachten ist und Microsoft über Updates (WSUS etc.) eine hohe gute Erkennung sicherstellen will. Es erscheint nicht sinnvoll, dass Administratoren als eigenständige "Spamfighter" auftreten und Millionen von Admins regelmäßig ihr System "nachtunen" müssen.
Das ist für viele Firmen sicher auch zutreffend. Er hier mehr Konfigurationsmöglichkeiten benötigt, wird zu Drittprodukten greifen. (z.B. NoSpamProxy)

Weitere Links

Keywords: Exchange2K7 Exchange 2007 Edge Antispam