在 Exchange 本地环境中配置强制 TLS |发送连接器的设置 |第 8 部分#12
在本文中，我们将回顾在基于 Exchange 本地的环境中实施强制 TLS 所需的配置设置。在我们的具体场景中，我们需要为“传出邮件流”配置强制 TLS 选项。
其含义是 - 由 Exchange 本地服务器发送到特定外部的邮件域名（由外部邮件服务器表示）。
强制 TLS 配置设置将应用于发送连接器。
本地交换 |发出邮件 |场景要求。
完整的场景描述出现在上一篇文章中
在本文中，我们将从完整的场景中实现以下部分：
当本地 Exchange 需要向拥有域名 o365pilot.com（托管在 Exchange Online 的收件人）的收件人发送电子邮件时，本地 Exchange仅当满足以下条款时，服务器才会“同意”创建邮件流：
- 邮件通信需要使用加密通信线路（TLS）来实现。
- “外部服务器”（Exchange Online）必须支持 TLS。
- “外部服务器”（Exchange Online）必须使用受信任的公共证书来识别自己的身份。
- “外部服务器”的公共证书必须包含一个特定的主机名，该主机名将批准邮件服务器的身份 - *.outlook.com
在下图中，我们可以看到业务需求的说明 - 使用 强制 TLS 适用于从本地 Exchange 发送到托管在外部邮件服务器（在我们的场景中为 Exchange Online）的域 o365pilot.com 的邮件。
Exchange 本地部署 |创建强制 TLS 所需的配置 |发送连接器
为了能够满足要求，其中由 Exchange 本地部署到外部邮件服务器（在我们的场景中为 Exchange Online）发送的每封电子邮件均代表域名 - o365pilot。 com 将被加密，我们将创建一个新的发送邮件连接器
阶段 1#2 - 使用 Exchange 管理界面创建发送连接器
以下演示是使用Exchange 2010服务器版本实现的。
打开 Exchange 管理控制台。选择组织配置、集线器传输。
在顶部栏上，选择 - 发送连接器。
右键单击空白处并选择 - 新建发送连接器...
在名称文本框中，写入适合您需要的名称。
我的建议是使用描述性名称，以便将来在故障排除过程中，可以轻松理解特定邮件连接器的用途。
在选项框中 - 选择此发送连接器的用途，选择自定义
单击加号添加所需的地址空间
“地址空间”的目的是配置“假设”的逻辑。
在我们的场景中，我们想要激活发送连接器，每次邮件都会发送到拥有域名的目标收件人 - o365pilot.com
在下一个屏幕中，我们需要决定如何“定位”目标邮件服务器。
我们可以在两个选项之间进行选择：
- MX 记录 - 邮件服务器查询 DNS 服务器以查找特定目标域名的 MX 记录的方法。
- 智能主机 - 我们“强制”邮件服务器处理特定 IP 地址或特定主机名的方法。
在我们的场景中，我们将选择 MX 记录选项 - 使用域名系统 (DNS)“MX”记录自动路由邮件。
在下一个屏幕中，我们需要选择 Exchange 本地服务器，我们要“附加”新的发送连接器<。
在我们的特定场景中，我们将新的 发送连接器 连接到名为 EX01 的 Exchange 本地服务器
在下一个屏幕上，我们可以看到配置设置的摘要。
在下一个屏幕上，我们可以看到用于创建所需配置设置的 PowerShell 命令。
在下面的屏幕截图中，我们可以看到结果。创建了新的发送连接器。
第 2#2 阶段 - 使用 PowerShell 设置强制 TLS 所需的配置设置
在当前阶段，创建了一个新的发送连接器，但需要强调的是，新的发送连接器，不包含我们需要在场景中实现的所有必需配置。
快速提醒一下，我们需要实现一个配置，其中 Exchange 本地部署将通过请求服务器证书来识别“目标邮件服务器”，该证书将包含特定的主机名。
Exchange Online 和服务器端证书
因为在我们的特定场景中，目标邮件服务器是 Exchange Online 服务器，所以我们需要知道，尽管 Exchange Online 服务器代表域名 - o365pilot.com， Exchange Online 服务器证书将不包含与此特定域名相关的任何信息。
Exchange Online 基础设施使用“通用服务器证书”，用于所有现有的 Office 365 租户。
一般来说，Exchange Online 服务器证书包含主机名 mail.protection.outlook.com，但如果我们想安全起见，我们会从目的地请求服务器（我们场景中的 Exchange Online）具有域名 - *.outlook.com 而不是特定的主机名。
使用 PowerShell 配置 Exchange 本地发送连接器所需的设置
在以下部分中，我们将配置 Exchange 本地 发送连接器 以识别“目标”邮件服务器”（在我们的场景中为 Exchange Online），使用三个参数：
- RequireTls - 此参数将用于配置发送连接器以使用强制 TLS 选项 表示 TLS 的强制要求（默认情况下，发送连接器 配置为使用 机会主义 TLS）。
- TlsAuthLevel - 默认情况下，发送连接器 未配置为“要求”目标服务器证明其身份。在我们的场景中，我们需要更改默认设置并“激活”选项，其中 Exchange on-Premises 将请求目标服务器通过提供有效的服务器证书来识别自己的身份；证书需要包含特定的域名。
正如文章xx中提到的，我们可以选择三种类型的验证。在我们的特定场景中，我们需要域验证。将使用的具体参数是DomainValidation。 - TlsDomain - 需要包含在目标邮件服务器证书中的域的名称。在我们的场景中，证书应包含域名 - *.outlook.com
为了能够显示在上一阶段创建的新发送连接器的设置，我们将使用以下 PowerShell 命令：
Get-SendConnector“EX01\邮件已发送至 o365pilot.com - 强制执行 TLS”|FL
在下面的屏幕截图中，我们可以看到发送连接器设置。
请注意，以下与 TLS 相关的参数默认为空
- 要求Tls
- TlsAuthLevel （使用DomainValidation选项）
- TlsDomain
为了能够使用所需的强制 TLS 设置配置 Exchange 本地发送连接器，我们将使用以下 PowerShell 命令
Set-SendConnector -Identity "Mail sent to o365pilot.com - Enforce TLS" -RequireTls $true -TlsAuthLevel DomainValidation -TlsDomain *.outlook.com请注意，我们使用域名 outlook.com 作为 - TlsDomain 的值
在下面的屏幕截图中，我们可以看到结果：
- RequireTls - 值设置为 True（强制 TLS）。
- TlsAuthLevel - 我们设置的值是DomainValidation
- TlsDomain - 域名*.outlook.com
我想提及的另一件事是，当我们在“网络”选项卡中查看新发送连接器的属性时，我们可以看到 - 启用域安全（相互验证 TLS）的值未选择。
不要混淆；这是“正确”的配置。 启用域安全（相互验证 TLS）选项仅适用于“目标邮件服务器”是 Exchange 本地服务器的特定场景。
回顾和下一篇文章
在本文中，我们回顾了需要实施的强制 TLS 所需的配置设置“传出邮件流”的意思是由 Exchange 本地发送到特定目标域名 (o365pilot.com) 的邮件。
强制 TLS 设置是使用本地 Exchange 配置的发送连接器
在我们的场景中，强制 TLS 设置将被“激活”，每次，E-邮件消息发送到使用域名的目标收件人 - o365pilot.com
在下一篇文章（在 Exchange 本地环境中配置强制 TLS | 接收连接器设置 | 第 9#12 部分）中，我们将查看 < 所需的配置设置em>强制 TLS 需要为“传出邮件流”实施，即由表示特定目标域名的外部邮件服务器发送到本地 Exchange 的邮件（o365pilot.com）。