Exchange 2016 Installationscheckliste

DNS-Domain Name i.O. (Keine Single Label Domain)

Windows 2008 DC oder höher

Forest Functional Level (FFL)

Exchange 2016 CU7 AD Forest Function Level Requirements
https://blogs.technet.microsoft.com/rmilne/2017/10/05/exchange-2016-cu7-ad-forest-function-level-requirements/

https://blogs.technet.microsoft.com/rmilne/2017/12/19/exchange-2016-cu8-released/

Mindestversion ab Exchange 2017 CU7:  Windows 2008R2

Optional: Eigenes "Funktionskonto" für die Installation

Dedizierte Hardwareressourcen

Die Server dürfte nicht „gedrosselt“ werden. Dazu zählen insbesondere Energieeinsparungen, Schlafmode, Suspend o.ä.

Als VM muss sichergestellt sein, dass die angeforderten Ressourcen auch dediziert zur Verfügung stehen. Das gilt insbesondere für CPU und RAM. Ein „Thin Provisioning“ ist nicht supported

Unabhängigkeit der Systeme

Beim Betrieb einer DAG aus mehreren Servern ist darauf zu achten, dass die Systeme möglichst unabhängig sind. Dazu zählt

• Standort und VMotion
  Die Systeme sollten in unterschiedlichen RZs, Brandabschnitten oder zumindest Racks stehen, um einen physikalischen Abstand zu haben. Es ist nicht erlaubt, die System im laufenden Betrieb zu „verschieben“.
• Netzwerk
  Die Server sollten nicht die gleichen Zugangssysteme (Switches) nutzen. Si können per Teaming redundant angebunden werden. Dann ist aber eine Überwachung erforderlich um den Ausfall zu bemerken.
• Storage
  Exchange repliziert die Daten selbst. Wenn statt „Direct Access Storage“ aber ein SAN oder virtueller Storage zum Einsatz kommt, muss auch hier auf die „Unabhängigkeit“ geachtet werden, um die Verfügbarkeit nicht zu reduzieren.

Chassis

HP Proliant DL360 G9 (SKU: 755262-B21)

Bios

HP P89 vom 27.12.2015 (aktuell)

CPU

2x  Intel Xeon E5-2630v3 (8 Core)

RAM

128 GB

Management

iLO 4 Version 2.40 vom 2. Dez 2015 (aktuell)

Storage1

1xSmartArray P440ar (onboard),  2GB Cache, BBU
Firmware 4.02  Treiber 63.12.0.64 aktuell
2x 600 GB SAS (Unterschiedliche Firmware!!)
1x RAID1   256k Stripe
   Part2: 300MB
   Part3: 99MB
   Part5: 558GB  C:\

Storage2

1xSmartArray P441 (Slot1), 4GB Cache, BBU
   Port 1E Box1: HP D3600 Firmware 1.72
      5x 8TB Disk
   Port 1E Box2: HP D3600 Firmware 1.72
      5x 8TB Disk

LAN

1x HP 331i  4-Port Gigabit (Treiber 17.2.0.0 OK)
                     Port1: nicht angeschlossen
                     Port2: nicht angeschlossen
                     Port3: nicht angeschlossen
                     Port4: nicht angeschlossen

1x HP533FLR-T  2x10Gigabit (Treiber 7.13.4.0 OK
                     Port1: angeschlossen 10 Gigabit
                     Port2: angeschlossen 10 Gigabit

Beide sind als dynamisches LACP-Team unter Windows 2012R2 eingerichtet.

Windows 2012R2 hat als Standard Energieplan die Einstellung „Balanced“. Für Exchange ist die Einstellung „High Performance“ empfohlen.

Windows Energiesparmode „High“

Windows AutoMount Funktion

Die Server haben 10 direkt angeschlossene Disks. Windows verbindet diese über die Funktion „Auto Mount“. Dies ist nicht erwünscht und wird abgeschaltet. Dies ist auf mehrere Wege möglich.

Abschalten AutoMount

• mountvol /N
• diskpart automount disable
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
  Services\MountMgr\NoAutoMount=1

https://technet.microsoft.com/de-de/library/cc753703(v=ws.11).aspx

Terminal Services

Über die Funktion „Terminal Services“ können Server sehr einfach von Administratoren aus der Ferne verwaltet werden. Die Server werden natürlich keine „vollwertigen“ Terminalserver und aus Schutzfunktionen ist zu prüfen, welche Komponenten beim Zugriff per RDP schon auf dem Server unterbunden werden

• Abschalten „Druckermapping“
  Sie Server sind ja im LAN und können direkt drucken. Sie müssen nicht „on the fly“ Druckertreiber für per RDP verbundene Clientdrucker installieren
• Single Session PerUser
  HKLM\System\CurrentControlSer\Control\Terminal Server\SingleSessionPerUser = 0
• Filesharing
  Auch die Freigabe von Dateien üer RDP schalten einige Firmen ab 

Dateibasierter Virenscanner

Auch auf Servern machen Virenscanner Sinn. Allerdings sollten Sie Exchange Datenbanken u.a. nicht scannen. Das Risiko eines "False Positive" mit erheblichen Auswirkungen auf die Funktion als auch der überflüssige CPU-Bedarf sollte durch entsprechende Ausschlusslisten verhindert werden. Einige Produkte haben diese Ausnahmen sogar schon eingebaut.

• Running Windows antivirus software on Exchange 2016 servers
  https://technet.microsoft.com/de-de/library/bb332342(v=exchg.160).aspx
• About the automatic exclusion of files and folders for Microsoft Exchange server and Symantec products
  https://support.symantec.com/en_US/article.TECH102400.html

Windows Netzwerk

Die Netzwerkkarten sind entsprechend zu konfigurieren, z.B. statische IP-Adresse oder Teaming oder VLANs

Cache einstellen

Für Exchange ist es ratsam den Cache auf 100% Write zu stellen, da der Exchangen selbst schon Lesezugriffe Cached

• Starten von Run as Administrator
• Controller auswählen und auf Configure klicken
• Im Modify Cache Settings wählen
• Cache wie im Bild einstellen

Power Mode

Auch RAID-Controller unterstützen „PowerSave“-Modes, die für Exchange natürlich kontraproduktiv sein und sollte abgeschaltet werden.

• Auf gehen und rechts Modify Power Mode auswählen
• Auf Max Performance gehen
  

Logische Devices

Folgende Einstellungen sind für Exchange Datenbanken optimal.

Create Array
nur eine Disk auswählen --> Create Array

Create Logical Drive --> Finish 

0

256KB

32

Maximum

enable

NTFS 64Kb

Disk1Part2

C:\disks\Disk1Part2

0

256KB

32

Maximum

enable

NTFS 64Kb

Disk2Part2

C:\disks\Disk2Part2

0

256KB

32

Maximum

enable

NTFS 64Kb

Disk3Part2

C:\disks\Disk3Part2

0

256KB

32

Maximum

enable

NTFS 64Kb

Disk4Part2

C:\disks\Disk4Part2

1

256KB

32

Maximum

enable

NTFS 64Kb

D-MessageQueue-Log

D:\

Betriebssystem

C:

IISLog

D:\IISLogs

Exchange Binaries

D:\Programs\Exchange

Exchange Messagetracking

D:\Programs\Exchange

Exchange Logging

D:\Programs\Exchange

Exchange Datenbanken

D:\Programs\Exchange

Technischer User

GG\TECH149

Download: https://www.microsoft.com/en-US/download/details.aspx?id=34992

Installation

Import-Module servermanager

Install-WindowsFeature `
   AS-HTTP-Activation, Desktop-Experience, NET-Framework-45-Features, RPC-over-HTTP-proxy, `
   RSAT-Clustering, RSAT-Clustering-CmdInterface, RSAT-Clustering-Mgmt, RSAT-Clustering-PowerShell, `
   Web-Mgmt-Console, WAS-Process-Model, Web-Asp-Net45, Web-Basic-Auth, Web-Client-Auth, Web-Digest-Auth, `
   Web-Dir-Browsing, Web-Dyn-Compression, Web-Http-Errors, Web-Http-Logging, Web-Http-Redirect, Web-Http-Tracing, `
   Web-ISAPI-Ext, Web-ISAPI-Filter, Web-Lgcy-Mgmt-Console, Web-Metabase, Web-Mgmt-Console, Web-Mgmt-Service, Web-Net-Ext45,`
   Web-Request-Monitor, Web-Server, Web-Stat-Compression, Web-Static-Content, Web-Windows-Auth, Web-WMI, `
   Windows-Identity-Foundation, RSAT-ADDS, Failover-Clustering

• Quelle: Exchange 2016 CU8 vom lokalen ISO-File
• Kein Check nach Update. Wir haben ja das aktuelle CU, oder nicht ?
• Don’t use recommended Settings
• Rollen: Mailbox Role, Management Role, Auto Install Windows Roles&Features
• Zielverzeichnis: D:\Exchange
• Malware Protection: ENABLE

Windows Update

Eingabe des Lizenzkeys (Kontextmenü auf dem Server)

Die Exchange Dienste neu starten / Clusterressource müssen neu gestartet werden um die Lizenz sofort zu aktivieren.

Status

Die Logdateien des IIS werden von C: auf D: verlagert. das geht per GUI oder PowerShell

Import-Module servermanager
Add-WindowsFeature Web-Server -IncludeManagementTools
Import-Module Webadministration
$SITE = get-item "IIS:\Sites\Default Web Site"
$SITE.logFile.directory = "D:\Inetpub\logs\Logfiles"
$SITE | Set-Item
Iisreset 

X-Via Header in IISLog aufnehmen

IIS-Logging und dann „Add Custom Field

IIS Log  Bytes-Send und Bytes-received addiert

IISLOG Cleanup / Auswertung einrichten

Vorbereitung Witness-Server

         Auswahl eines Zeugen-Servers

         Addieren von „Exchange Trusted Subsystem“ auf dem Server

         Exchange legt beim Erstellen der DAG selbst den Share und ACLs an

Hochverfügbarkeit

Erstellen einer DAG über /ECP mit „Datenbankverfügbarkeitsgruppe

Name: BSMSXP00
Witness: BSWNTP01.msxfaq.com
Witness Directory D:\Exchange_MSX01
IP-Addresse: Keine

Kein eigener Cluster Heartbeat

Mitgliedsserver addieren

         Add: MSX01

         Add: MSX02

Datenbanken, Replikation und Quota

Datenbankname: MB1:
Server1: xxx
Server2: xxx
DBPfad: C:\ExchangeDB\mb1\mb1.edb
Log: C:\ExchangeDB\mb1\Logs
Warn: 11945 MB
SendStop 12048MB
EmpfangStop 12355MB
DeletedItem 14 Tage
DeletedMailbox: 30 Tage
Keep deleted Mails until Backup
Public Folder:PF1
OAB: “Default Offline Addressbook”

Datenbankname: MB2:
Server1: xxx
Server2: xxx
DBPfad: C:\ExchangeDB\MB2\MB2.edb
Log: C:\ExchangeDB\MB2\Logs
Warn: 11945 MB
SendStop 12048MB
EmpfangStop 12355MB
DeletedItem 14 Tage
DeletedMailbox: 30 Tage
Keep deleted Mails until Backup
Public Folder:PF1
OAB: “Default Offline Addressbook”

PublicFolderDB: PF1
Server: Server: xxx
DBPfad: C:\ExchangeDB\PF1\PF1.EDB
Log: C:\ExchangeDB\PF1
Warn: 450 MB
Bereitstellung verbieten 470 MB
Max Itemsize: 50MB
Retention Time: 14 Tage

Sollen die durch das Setup angelegten Datenbanken gelöscht werden, müssen die darin enthaltene Postfächer SystemMailbox, FederationMailbox, DiscoveryMailbox verschoben werden:

Get-mailbox –database name –abrbitration | %{new-movereqest –identity $_.alias}

Postfachrecht auf alle Postfächer (Single Item Backup)
Der Gruppe „Exchange Full Mailbox“ wurden alle Rechte auf alle Mailboxen in einer Datenbank gewährt. Diese Einstellung ist je Datenbank erforderlich

Add-ADPermission -Identity "Store" -User " Exchange Full Mailbox " -ExtendedRights Receive-As

Dienstkonten Berechtigen (Blackberry o.ä.)

Get-MailboxServer `
| Add-ADPermission `
   -User domain\besservice `
   -AccessRights GenericRead, GenericWrite -ExtendedRights Send-As, Receive-As, ms-Exch-Store-Admin

Beispiel für die Erstellung eines Zertifikatrequest auf dem Exchange Server

$CertReq = (New-ExchangeCertificate `
   -GenerateRequest -FriendlyName 'Exchange2016 SAN Cert' `
   -SubjectName 'C=DE,CN=outlook.xxx.com' `
   -PrivateKeyExportable:$true `
   -DomainName `
          outlook.xxx.com, `
          autodiscover.xxx.com, `
          autodiscover.xxx.de,`
          webmail.xxx.com, `
          ews.xxx.com,`
          mobile.xxx.com, `
          mobile-mdm.xxx.com,`
          imap.xxx.com, `
          pop.xxx.com, `
          mail.xxx.com, `
          relay.xxx.com, `
          MSX01.msxfaq.com,`
          MSX02.msxfaq.com,`
          MSX01.,`
          MSX02.,`
   -Server xxxcas01)

Set-Content -path 'c:\temp\E2016SanCert.req'  
   -Value $CertReq

Der Request muss dann von einer PKI signiert und das Zertifikat wieder eingespielt werden.

Die Verwaltung von Exchange Servern und Empfängern wird per RBAC-Rollen

         OrgAdmin

         EmpfängerAdmin

         ViewOnly Admin

         ServerAdmin

User-Roles: Abschalten, dass Anwender ihre Kontaktdaten selbst verwalten können

Anlegen der Journalmailboxen
Wird ein Journal erforderlich, dann ist das Ziel des Journals (Kontakt oder Postfach) anzulegen (ohne externe Adresse)

Store-Journal

Auf dem Postfachspeicher kann ebenfalls die Journalfunktion aktiviert werden

Journalregeln auf dem Transport

Wenn bestimmte Nachrichten in ein Journal gesendet werden müssen, muss hier der Filter und das Ziel konfiguriert werden. Achtung: Transport-Journalling benötigt eine Enterprise CAL.

Anlage eines Connectors zu NoSpamProxy als „Upstream“ Server

Name: „Internet via NoSpamProxy“
Route via Smarthost: nsp.msxfaq.com
Authentication: None
Addressspace: *:1
Source Server:; MSX01, MSX02

Weitere Konnektoren zu anderen verbundenen Systemen (ERP, CRM, Fax etc.)

Anpassen „Default Frontend %server“

Authentication: Abschalten von „Anonym“
Server:; MSX01, MSX02

Anlage eines Receive Connectors um Mails von NoSpamProxy  anonym anzunehmen

Name: „Internet via NoSpamProxy SMTP In“
ListenIP: Any:25
Source-IP: 10.99.84.148, 10.99.82.109
Authentication: None
Server:; MSX01, MSX02

Receive Connector Anonym Annehmen

Name: „Anonym-.Annehmen“
Bindung: Alle:25
RemoteIP: xxx.xxx.xxx.xxx, xxx.xxx.xxx.xxxx
Empfang für „anonym“ freischalten
Max Messagesize: 20480
Optional Default Domain setzen

Geändert auf MSX01/MSX02

Receive Connector Relay

IP-Beschränkungen
Optional Anonym freischalten
Default Domain setzen
Relay Option aktivieren.

Get-ReceiveConnector "connectorname" | Add-ADPermission -User "NT AUTHORITY\ANONYMOUS LOGON" -ExtendedRights "ms-Exch-SMTP-Accept-Any-Recipient"

Aktuelle Daten

get-transportserver | fl m* 

Der Pfad für das Messagetracking und die maximale Größe konfigurieren
Achtung: Pfad muss manuell angelegt werden
Rechte müssen für „Network Service“ vorliegen.

Set-Transportserver -Messagetrackinglogpath E:\
Set-Transportserver -Messagetrackingsize 10MB 
Set-Transportserver -MessagetrackingLogMaxDirectorySize 1GB 
Set-Mailboxserver -messagetrackinglogpSet-Mailboxserver -messagetrackinglogpath c:\Pro...\logs\Messagetracking 
Set-Mailboxserver -="" src="../images/checkbox24x24.gif" width="24" height="24" title=""

ZZuerst wird der Transport Dienst gestoppt

net stop MSExchangeTransport 

Dann werden die vorhandenen Datenbanken in das neue Ziel kopiert und der Pfad in der Konfiguration angepasst.

Edit C:\Program Files\Microsoft\Exchange Server\V15\Bin\EdgeTransport.exe.config

<appSettings>
    <add key="QueueDatabasePath" value="D:\TransportRoles\Data\Queue" />
    <add key="QueueDatabaseLoggingPath" value="D:\TransportRoles\Data\Queue" />
</appSettings>

Zuletzt wird der Dienst wieder gestartet

net start MSExchangeTransport

Akzeptierte Domänen eintragen
(erforderlich für spätere Pflege der Empfängerrichtlinien)

New-remoteDomain `
   -domainname msxfaq.de `
   -type autoritative `
   -name ex.msxfaq.de

Remote Domänen
Sonderfälle pflegen zu Partnern u.a.

Postfachrichtlinien

Neu anlegen (Organisation - Mailboxmanager. Anhand der bisherigen Exchange 2000/2003 Richtlinien

Empfängerrichtlinien anlegen (GUI)

Default-Policy:  %g.%s@Xxx.tld 

Anlegen eines Postfachs/Mailadresse für Postmaster

Auslesen der aktuellen Konfiguration

Get-Transportserver | fl identity,ExternalPostmasterAddress

Setzen auf allen Servern

Get-Transportserver | Set-Transport -externalPostmasterAddress admin@xxx.tld

Disclaimer

Org: Einstellung

Server

Receive Connector

Send Connector

Pro Anwender werden aktuell keine abweichenden Limits gesetzt

Malware Update einrichten

Namenskonzept

Der Zugriff auf die Exchange Dienste erfolgt über „Namen“, für die ein Zertifikat erforderlich ist und die per Loadbalancer auf die Frontend-Server weitergeleitet werden.

Entsprechend sind Namen für die verschiedenen Zugriffswege zu definieren.

• Exchange CAS-URLs  (Intern=Extern)
• Autodiscover
  /autod: autodiscover.<maildomain>:443
• Browser
  /OWA  : outlook.msxfaq.com:443
  /ECP  : outlook.msxfaq.com:443
• Outlook, Skype u.a.
  /MAPI : outlook.msxfaq.com:443
  /RPC  : outlook.msxfaq.com:443
  /OAB  : outlook.msxfaq.com:443
• WebServices (Outlook u.a.)
  /EWS  : outlook.msxfaq.com:443
• Mobile Device
  /EAS  : outlook.msxfaq.com:443
• Legacy Clients
  SMTP : outlook.msxfaq.com:25/465/587
  POP3 : outlook.msxfaq.com:110/995
  IMAP4: outlook.msxfaq.com:143/993

Zertifikat

Den Clients muss ein zum Namen passenden Zertifikat präsentiert werden. Dies kann auf den Exchange Servern oder auf dem Loadbalancer (Layer-7 HLB) installiert werden.

Es muss alle angesprochenen Namen enthalten.

Loadbalancer

Der Zugriff auf die virtuellen Namen erfolgt über Loadbalancer

Virtual Service mit IP: x.x.x.x
Zertifikat: *.msxfaq.com/*.msxfaq.de/Autodiscover.*  per SNI
Setzen des Headers: X-Forwarded-For
Real-IP:  Exchange Server
Healthcheck https://<realserver>:443/owa/healthcheck.htm  (u.a. URLs)
Keine Preauthentication/Anonym durch
Affinity/Stickyness: Optional

Internet Veröffentlichung

Der Zugriff auf die Exchange Dienste aus dem Internet ist noch zu konfigurieren.

Eintrag der Hostnamen im DNS (Intern/extern)

Konfiguration der Internal/ExternalURL für alle Server.

Das Konzept sieht vor, dass nur OWA aus dem Internet erreichbar ist und ActiveSync über Mobile Iron geht. Daher wird nur bei OWA eine „ExternalURL“ hinterlegt.

Set-ecpvirtualdirectory `
   -internalURL https://outlook.msxfaq.com/ecp

Set-ewsvirtualdirectory `
   -internalURL https://outlook.msxfaq.com/ews/exchange.asmx

Set-mapivirtualdirectory `
   -internalURL https://outlook.msxfaq.com/ews/mapi


Set-Autodiscovervirtualdirectory `
   -internalURL https://outlook.msxfaq.com/Microsoft-Server-ActiveSync/

Set-oabvirtualdirectory `
   -internalURL https://outlook.msxfaq.com/oab

Set-owavirtualdirectory `
   -ExternalURL https://outlook.msxfaq.com/owa
   -InternalURL https://outlook.msxfaq.com/owa

Set-PowerShellvirtualdirectory`
   -internalURL https://outlook.msxfaq.com/PowerShell/

Set-ClientAccessService `
   -Autodiscoverinternalurl

Konfiguration Outlook AnyWhere URL

Set-OutlookAnyWhere `
   -internalurl https://outlook.msxfaq.com

Konfiguration Autodiscover URL für ClientAccessService

Set-ClientAccessService `
   -AutoDiscoverServiceInternalUri "https://outlook.msxfaq.com/autodiscover/autodiscover.xml"

Konfiguration von Kerberos

Import-Module ActiveDirectory
   -Name EXCH2016ASA `
   -AccountPassword (Read-Host 'Enter password' -AsSecureString) `
   -Description 'Alternate Service Account credentials for Exchange' `
   -Enabled:$True `
   -SamAccountName EXCH2016ASA

.\RollAlternateServiceAccountPassword.ps1 `
   -ToSpecificServer MSX01.msxfaq.com `
-GenerateNewPasswordFor gg\EXCH2016ASA$

.\RollAlternateServiceAccountPassword.ps1 `
   -ToSpecificServer MSX02.msxfaq.com `
   -CopyFrom MSX01.msxfaq.com

Kontrolle

Get-ClientAccessServer <server> `
   -IncludeAlternateServiceAccountCredentialStatus `
| Format-List Name, AlternateServiceAccountConfiguration

SPN Abfragen

setspn -F -Q http/outlook.msxfaq.com

SPN eintragen

setspn -S http/outlook.msxfaq.com GG\EXCH2016ASA$

IIS Verzeichnisse für Kerberos aktivieren

GetClientaccessService `
| Set-OutlookAnywhere `
   -InternalClientAuthenticationMethod Negotiate

GetClientaccessService `
| Set-MapiVirtualDirectory -IISAuthenticationMethods Ntlm, Negotiate

Anpassen des OWA-Thema, ggfls. Abschalten der Änderungsmöglichkeit:

Set-OwaVirtualDirectory `
   -Identity <VirtualDirectoryIdentity> `
   -DefaultTheme <ThemeFolderName> `
   -ThemeSelectionEnabled $false

• Create a theme for Outlook on the web in Exchange 2016
  https://technet.microsoft.com/en-us/library/bb201700(v=exchg.160).aspx

Einbindung von Office Web App für Word/Excel Viewing/Editing

• Install Office Online Server in an Exchange 2016 organization
  https://technet.microsoft.com/EN-US/library/mt170644(v=exchg.160).aspx

Set-OrganizationConfig `
   -WACDiscoveryEndpoint https://xxx.xxx.com/hosting/discovery 

Doument-Handling und OfficeWebApp einstellen:

DOC, XLS, PPT, PDF Öffnen / Download required / WebView

Optional weitere Einstellungen z.B.

• Remote-Dateiserver optional einrichten
• OWA Segmentierung einrichten

Exchange Quarantäne

ActiveSync Policies Pflegen und auf Anwender anwenden

Eine Policy für „Default ActiveSync“ wurde angelegt. (Keine hohe Sicherheit)

Veröffentlichung zum Internet

Prüfen Sie genau die Anforderung für POP3/IMAP4 und die Option, OWA als sichere Alternative anzubieten.

POP3 Dienst Startart auf automatisch und starten (wenn gefordert)
IMAP4: Dienst Startart auf automatisch und starten (wenn gefordert)

Auf den CAS-Servern wurde POP3 und IMAP4 auf automatisch gestellt

Alias für Namensauflösung einrichten

DNS: pop3.xxx.tld  A xxx.xxx.xxx.xxx
DNS: imap4.xxx.tld  A xxx.xxx.xxx.xxx

DNS: mailserver.xxx.tld A xxx.xxx.xxx.xxx (später)

Authentication

Per Default ist „Secure authentication“ erfordert Die Anmeldung mit einem Klartextkennwort wurde über folgende Zeile erlaubt:

set-pop3settings -logintype Plaintextlogin

POP3 für SSL aktivieren

Enable-ExchangeCertificate -Services POP

SMTP-ausgehend

Die Standard Receive Connectoren erlauben einen Versand „über Exchange“ für alle angemeldeten Benutzer, SMTP after POP3 o.ä. geht nicht.

Ungültige Mailadresse ergänzen
Exchange 2003 erlaubte ein „MAIL FROM: Username“ und hängt die Domain dran. Exchange xxx erzwingt eine „saubere“ Mailadresse. Prozesse, die also nur „MAIL FROM: servername.domain.tld“ sendet, wird die Mail nicht mehr los

Get-receiveconector | set-receiveconnector -defaultdomain Xxx.tld

Nun werden alle „MAIL FROM: User“, um die Domäne ergänzt

Optional können die Logs weiterer Dienste angepasst werden:

• POP3 Server Log
• IMAP4 Server Log

Anzeige der zu konvertierenden Adresslisten

get-addresslist | where {$_.RecipientFilterType -match „Legacy“}

Anpassen oder Update der Adresslisten

set-addresslist "Alle Kontakte" -includedrecipient MailContacts 
set-addresslist "Alle Benutzer" -includedrecipient MailboxUsers
set-addresslist "Alle Gruppen" -includedrecipient Mailgroups

Eventuell eigene Filterregeln sind manuell zu übernehmen

Umstellen der GAL

Set-GlobalAddresslist "Globale Standardadressliste" `
   -RecipientFilter { (Alias -ne $null and (Object  (........)

Default OAB

Generierung durch xxx

ADD: Webdistribution auf xxx
ADD: Webdistribution auf xxx

Einrichten/Konfigurieren des Public Folder Store

Anlegen einer OrgForm Library
bzw. von Exchange 2003 replizieren.

Konfiguration UM Gateway

Konfiguration UM DialPlan

Konfiguration der Anwender

Datensicherung einspielen und prüfen

Sicherung Betriebssystem

Datenbanksicherung

Konfiguration der Überwachungslösung, Eventuell Installation von Agenten.

• SNMP-Feature installieren
• Pflegen der Communities, Agenten und Traps per GPO

Ergebnis ExBPA

Testbenutzer auf Exchange einrichten

Zuerst müssen wir Benutzer zum Testen auf Exchange einrichten. Das muss natürlich funktionieren. Oft fallen hier Administratoren negativ auf (AdminADHolder)

Mailflow testen. Der einfachste Test ist natürlich das Versenden von Nachrichten

• Zwischen Postfächern
• Postfach -> Internet oder vorhandene Systeme
• Internet oder vorhandene Systeme -> Postfach

Zugriff durch Clients testen

Das Exchange Postfach sollte nun auch über die anderen Wege geprüft werden. Besonders die Zertifikate und Authentifizierung sind hier relevant.

• OWA per HTTPS über Exchange xxx CAS Server
• ActiveSync per HTTPS über Exchange xxx CAS Server
• RPC over http
• Kerberos i.O.?

Auch die installierten Zusatzprogramme sind zu prüfen:

• Antivirus
  Senden Sie Testmails mit Virus (Siehe MSXFAQ.DE - Eicarsender)
• Datensicherung und Archiv
  Prüfen Sie auch diese Funktion. Speziell bei der Archivierung ist wichtig, ob die Benutzer ihre alten Nachrichten finden und auch wiederherstellen können. Das gilt auch für den Zugriff per OWA
• Faxserver
  Können weiterhin Faxe versendet und empfangen werden?
• Monitoring
  Erkennt ihre Überwachungssoftware den neuen Server und kann Sie auch die Fehler entsprechend berichten? Werden auch erforderliche statistische Daten und Performance Counter aufgezeichnet?

Test-Commandlets und Monitoring

Sowohl die in Exchange xxx vorhandenen TEST-Commandlets als auch die eigenen Überwachungswerkzeuge sollten die Funktion der Server prüfen. Noch können Sie auch Fehler simulieren (z.B. falsche Smarthost oder DNS, damit die Queues volllaufen oder Dienste stoppen) um Alarmierungen zu prüfen.

Dazu gehört aber auch eine Überwachung und Kontrolle der Hardware, d.h. dass ein Ausfall einer RAID-Festplatte auch gemeldet wird und sie auch die Schritte für ein Rebuild kennen. Auch redundante LAN (Teaming) und SAN Anbindungen müssen sowohl ihre Funktion als auch die Meldung des Fehlers beweisen.

Prüfen Sie auch die Clientzugriffe über die verschiedenen Wege (OWA, ActiveSync, POP3, IMAP4, SMTP, RPC/HTTP, Autodiscover, Exchange Web Services (EWS für OOF etc.)

Failover Tests

In einer hochverfügbaren Umgebung muss das System natürlich auch beweisen, dass es Ausfälle verkraftet. Es müssen die jeweils anderen Systeme übernehmen, Loadbalancer umschwenken, das Monitoring muss anschlagen und die Last und Umschaltzeit muss beachtet werden.

• Serverdienste beenden
• Netzwerkkabel ziehen
  Hier wäre dann Teaming zu prüfen
• Festplatte ziehen
• Server abschalten
• Geplante Wartungsarbeiten
  Funktionieren die Routinen zum Setzen des Wartungsmodus etc.