基于 Exchange 的环境中的机会 TLS 与强制 TLS |第 2 部分#12

在本文中，我们将回顾基于 Exchange 的环境中 TLS 的两种“风格”。实现 TLS 的两种选项是机会性TLS 和强制TLS。

基于 Exchange 的服务器（本地 Exchange 和 Exchange Online）默认配置为使用机会 TLS 选项。

意思是，既然“对方”也支持TLS，那么将使用的邮件通信协议就是TLS。

机会主义 TLS 选项不适合我们想要设置强制需要的场景使用 TLS。例如，如果对方不支持 TLS，我们不愿意通过不安全通信线路继续邮件流。

不适合使用 机会主义 TLS 的其他场景是 - 我们想要的场景为识别过程定义特定规则，例如 - 要求“另一方”通过提供公共证书或包含特定主机\域名的证书来识别自己的身份。

Exchange 环境中的两种 TLS 风格

使用 TLS 加密两个邮件服务器之间的通信通道可以通过两种方式实现：

1.机会性 TLS

一种可以描述为“尽力而为”的方法。
当我们配置邮件服务器以使用机会主义 TLS<，每次邮件服务器尝试将电子邮件消息发送到另一台邮件服务器（外发邮件流）时，我们的邮件服务器都会尝试验证对方是否支持 TLS。

如果目标邮件服务器支持 TLS，我们的邮件服务器将使用 TLS 协议通过安全通信通道发送邮件。

如果目标邮件服务器不支持 TLS 协议，我们的邮件服务器将“同意”使用使用 SMTP 协议的非加密通信通道。

对于传入邮件的场景实施相同的逻辑 - 当另一个邮件服务器尝试与我们的邮件服务器（传入邮件流）进行通信时，我们的邮件服务器将尝试提供 TLS 的使用。

2.强制 TLS - 使用 TLS 的强制需要。

当我们将邮件服务器配置为使用强制 TLS 选项时，我们定义了强制需求使用 TLS 进行邮件通信。

每次邮件服务器尝试将电子邮件发送到另一台邮件服务器（外发邮件流）时，我们的邮件服务器都会尝试验证对方是否支持 TLS。

如果目标邮件服务器支持 TLS，则将通过安全通信通道（使用 TLS 协议加密通道）发送电子邮件。

如果目标邮件服务器不支持 TLS，邮件通信将无法继续。

为了能够更好地理解机会主义TLS和强制 TLS，让我们对每个可选场景以及每个场景中包含的具体步骤进行更详细的描述。

1.机会性TLS

一种方法，邮件服务器更愿意与另一个邮件服务器实现安全通信通道，但如果“目标邮件服务器”不支持 TLS 协议，源邮件服务器愿意“妥协”并同意使用使用 SMTP 协议的非安全通信通道。

机会主义 TLS 的方法是通过源邮件服务器和目标邮件服务器之间的协商来实现的。

我们将 Exchange Online 邮件服务器称为“组织的邮件服务器”，但是，需要强调的是，TLS 概念与任何邮件服务器（例如 Exchange 本地服务器或任何类型的邮件服务器）相关。

在两个邮件流“方向”中实施机会主义 TLS 的方法：

1.外发邮件流

当源邮件服务器寻址目标邮件服务器时，源邮件服务器将首先提出使用 TLS 加密邮件通信的“建议”。

情况1 - 如果目标服务器同意使用TLS，则邮件服务器之间的通信链路将使用TLS 协议来实现。

情况2 - 如果目标服务器不同意使用TLS（不支持TLS协议或存在服务器证书问题等任何问题），则源服务器邮件服务器愿意将邮件通信协议“降级”为非安全通信协议意义——SMTP协议。

2.传入邮件流

当支持机会主义 TLS 的邮件服务器被其他邮件服务器“寻址”时，通信协议这将根据初始化通信的“源邮件服务器”来实现。

情况 1 - 如果源邮件服务器“声明”他想要使用 TLS 协议。目标邮件服务器会通知源邮件服务器他支持TLS协议。

结果是用于邮件通信的邮件协议将是 - TLS 协议。

情况 2 - 如果源邮件服务器没有“提及”需要使用 TLS 协议，则目标邮件服务器（在我们的场景中为 Exchange Online）将尝试协商并提供使用TLS 协议。

在我们的特定场景中，源邮件服务器不支持 TLS。

支持机会主义 TLS 的目标邮件服务器不会“坚持”使用 TLS 协议，并且将同意将通信通道“降级”为不加密的协议。

结果是用于邮件通信的邮件协议将是 - SMTP 协议。

强制（强制）TLS

术语“强制 TLS”与特定的 TLS 配置相关，其中源邮件服务器或者目标邮件服务器愿意仅当通信通道认为是安全通信链路时才与另一个邮件服务器启动通信通道，即使用 TLS 协议。

当源邮件服务器对目标邮件服务器进行寻址时，源邮件服务器将首先提供使用 TLS 的加密邮件通信。

场景1 |源服务器使用强制 TLS |目标服务器不支持 TLS

如果目标服务器不同意使用 TLS（不支持 TLS 协议或存在服务器证书问题等问题），源邮件服务器将无法继续 邮件会话并将断开与目标邮件服务器的会话。

场景2 |源服务器使用强制 TLS |目标服务器支持机会性 TLS

如果目标邮件服务器支持机会主义 TLS 选项，则邮件服务器将使用TLS协议来实现。

场景3 |源服务器使用强制 TLS |目标服务器支持强制 TLS

在这种情况下，目标邮件服务器支持强制 TLS 选项。邮件服务器之间的通信链路将通过使用TLS协议来实现。

使用混合邮件通信协议 - SMTP、机会 TLS + 强制 TLS

默认情况下，每个拥有证书的 Exchange 服务器都支持 机会主义 TLS 选项。

为了能够实现强制 TLS 选项，我们需要创建一个专用的邮件连接器（或更新现有的邮件连接器），这将“强制”使用 TLS。

大多数情况下，强制 TLS 选项不会针对所有类型的通信实施任何邮件服务器，但相反，将应用于特定的邮件域。

在下图中，我们可以看到混合使用邮件通信协议的概念 - SMTP、机会主义 TLS + 强制 TLS

• Exchange 邮件服务器将始终尝试提供使用 TLS 的选项（机会主义 TLS）。如果目标邮件服务器不支持 TLS，Exchange 邮件服务器将使用标准 SMTP 邮件与不支持 TLS 的邮件服务器 (domain-A.com) 进行通信
• Exchange 邮件服务器将始终尝试提供使用 TLS 的选项（机会主义 TLS）。如果目标邮件服务器支持 TLS，则邮件通信通道将使用 TLS 实现（domain-B.com）
• 关于与 domain-C.com 的关系，Exchange 使用专用邮件连接器，该连接器为用户配置了 选项强制 TLS。仅当代表 domain-C.com 的邮件服务器有效时，交换器才会同意向来自 domain-C.com 的收件人发送电子邮件。还支持 TLS。

下一篇

下一篇文章 - Exchange 架构和默认机会主义 TLS 设置 |第 3#12 部分专门介绍 Exchange 本地部署中 机会主义 TLS 的默认选项和基于 Exchange Online 的环境。