Guide / windows-server
EdgeSync: una finestra di 24 ore e un connettore mai rimosso
Il file di sottoscrizione scade in un giorno, -FileName e -FileData non sono intercambiabili, e la posta saltava l'Edge per un connettore creato giorni prima.
Un server Trasporto Edge sta nel perimetro, non è membro del dominio e non può leggere Active Directory. EdgeSync è quello che gli dà la fetta di directory che gli serve — destinatari, domini accettati, connettori — con una replica a senso unico dall’interno verso l’esterno.
Configurarlo sono quattro comandi. Tre cose non sono ovvie, e una di queste ha una scadenza.
La scadenza che nessuno cita
Eseguire New-EdgeSubscription sul server Edge fa tre cose, e la prima fa partire un cronometro.
Crea l’account ESBRA — EdgeSync Bootstrap Replication Account, le credenziali AD LDS usate per autenticare la primissima connessione. Quell’account è configurato per scadere 24 ore dopo la creazione.
Popola il file di sottoscrizione con le credenziali ESBRA e la chiave pubblica del certificato autofirmato del server Edge. Le credenziali sono specifiche del server che l’ha esportato: non è un file riutilizzabile su un secondo Edge.
Disattiva una serie di cmdlet. Da quel momento gli oggetti di configurazione che EdgeSync replicherà vengono rimossi da AD LDS, e i cmdlet che li modificavano smettono di funzionare in locale:
| Disattivati sul server Edge dopo la sottoscrizione |
|---|
Set-SendConnector · New-SendConnector · Remove-SendConnector |
New-AcceptedDomain · Set-AcceptedDomain · Remove-AcceptedDomain |
New-RemoteDomain · Set-RemoteDomain · Remove-RemoteDomain |
I cmdlet Get-* restano. Si può guardare, non si può toccare.
I due parametri che non sono intercambiabili
# Sul server Edge
New-EdgeSubscription -FileName "C:\EdgeSubscriptionInfo.xml"
# Sul server Exchange interno — attenzione: -FileData, non -FileName
$data = [System.IO.File]::ReadAllBytes("C:\EdgeSubscriptionInfo.xml")
New-EdgeSubscription -FileData $data -Site "Default-First-Site-Name"
# Avvio e verifica
Start-EdgeSynchronization
Test-EdgeSynchronizationCosa fa davvero l’importazione
Vale la pena saperlo, perché spiega il guasto della sezione successiva.
- La sottoscrizione viene creata e il server Edge entra nell’organizzazione Exchange; in Active Directory compare un oggetto di configurazione.
- Ogni server Cassette postali del sito riceve notifica, recupera l’account ESBRA dal file e lo cifra con la chiave pubblica del certificato dell’Edge.
- Vengono creati gli account ESRA in Active Directory — uno per ogni coppia Edge/Cassette postali — che sostituiscono l’account di bootstrap in tutte le sincronizzazioni successive.
- I connettori di invio in ingresso e in uscita vengono creati automaticamente, e ogni connettore di invio preesistente sul server Edge viene eliminato.
- EdgeSync apre una connessione LDAP sicura ed esegue la replica iniziale: topologia, configurazione, destinatari, credenziali ESRA.
- Viene stabilita la pianificazione di sincronizzazione ricorrente.
| Connettore creato automaticamente | Funzione |
|---|---|
EdgeSync - Inbound to <sito> | Inoltra i messaggi dall’Edge dentro l’organizzazione Exchange |
EdgeSync - <sito> to Internet | Inoltra i messaggi dall’organizzazione verso Internet |
Il connettore che vinceva per costo
Nota il punto 4 qui sopra: la sottoscrizione elimina i connettori preesistenti sul server Edge. Non tocca quelli sul server interno, che è dove stava questo.
Il rimedio è stato disattivare il connettore manuale — sul server interno, perché dopo la sottoscrizione l’Edge non si modifica in locale.
L’asimmetria del firewall, e perché una lezione sembrava arbitraria
A EdgeSync servono tre porte aperte: LDAP 389 per la fase iniziale, LDAPS 50636 per la replica cifrata, SMTP 25 per la posta.
Sul server Exchange interno non va aperto niente a mano: l’installer crea da sé il proprio gruppo di regole del firewall, comprese quelle di EdgeSync. Sul controller di dominio, che Exchange non ce l’ha, e sul server Edge, isolato nel perimetro, le regole vanno aggiunte esplicitamente.
Verifica, e una nota sulla scala
Test-EdgeSynchronization che restituisce SyncStatus: Normal, con il titolare del lease assegnato al server interno e credenziali e cookie di replica presenti, significa relazione di fiducia pienamente stabilita.
Tre cose da portarsi via
Genera il file di sottoscrizione quando sei pronto a usarlo. Ventiquattro ore sembrano tante finché quel file non deve attraversare un confine di rete che stai ancora costruendo.
Dopo la sottoscrizione l’Edge è in sola lettura. Ogni modifica avviene dentro e arriva per replica. È una proprietà di sicurezza, non una scomodità.
Quando un componente nuovo sembra non funzionare, inventaria quelli vecchi. Nove volte su dieci la cosa nuova sta bene e qualcosa di più vecchio ha la precedenza — e in un sistema di routing la precedenza ha un numero attaccato.