日本免费全黄少妇一区二区三区-高清无码一区二区三区四区-欧美中文字幕日韩在线观看-国产福利诱惑在线网站-国产中文字幕一区在线-亚洲欧美精品日韩一区-久久国产精品国产精品国产-国产精久久久久久一区二区三区-欧美亚洲国产精品久久久久

  1. 首頁 > 云知道 > >

Exchange2007 域安全實(shí)現(xiàn)手冊( 三 )

云知道


;
配置對證書吊銷列表的訪問
無論傳輸服務(wù)何時(shí)檢索證書，都會(huì)驗(yàn)證證書鏈并驗(yàn)證證書 。證書驗(yàn)證是一個(gè)確認(rèn)證書的許多屬性的過程 。這些屬性中的大部分可以在本地計(jì)算機(jī)上由請求該證書的應(yīng)用程序確認(rèn) 。例如，該證書的預(yù)期用法、該證書的過期日期以及類似的屬性在 PKI 上下文以外是可驗(yàn)證的 。但是，對尚未吊銷的證書的驗(yàn)證必須使用頒發(fā)該證書的 CA 進(jìn)行驗(yàn)證 。因此，大部分 CA 制作了公開的證書吊銷列表 (CRL)，用來驗(yàn)證吊銷狀態(tài) 。
若要成功使用域安全，則您或您的伙伴使用的 CA 的 CRL 必須對發(fā)送和接收域安全的電子郵件的邊緣傳輸服務(wù)器可用 。如果吊銷檢查失敗，則接收 Exchange 服務(wù)器發(fā)放臨時(shí)協(xié)議拒絕郵件 ?？赡馨l(fā)生暫時(shí)性吊銷失敗 。例如，用于發(fā)布 CRL 的 Web 服務(wù)器可能失敗 ?；蛘哌吘墏鬏敺?wù)器和 CRL 通訊點(diǎn)之間的常規(guī)網(wǎng)絡(luò)連接問題可能無法完成吊銷檢查 。因此，暫時(shí)性吊銷失敗只會(huì)導(dǎo)致郵件傳遞的暫時(shí)延遲，因?yàn)榘l(fā)送服務(wù)器稍后將重試 。但是，成功傳輸域安全的電子郵件需要 CRL 驗(yàn)證 。
必須啟用下列方案：
1. 邊緣傳輸服務(wù)器必須能夠訪問外部 CA 的 CRL 您與之交換域安全的電子郵件的每個(gè)伙伴必須具有您的組織的邊緣傳輸服務(wù)器可聯(lián)系的公開 CRL 。在某些情況下，CRL 僅在輕型目錄訪問協(xié)議下 (LDAP) 下可用 。某些情況下它們可能啟用 HTTP 。確保配置的出站端口合適，以允許邊緣傳輸服務(wù)器與 CRL 聯(lián)系 。
2. 必須使頒發(fā)證書的 CA 的 CRL 公開可用 您必須要了解，即使邊緣傳輸服務(wù)器從您自己的組織中檢索證書時(shí)，它也要驗(yàn)證證書鏈以驗(yàn)證證書 。因此，您的 CA 的 CRL 必須對您自己的邊緣服務(wù)器可用 。另外，您與之交換域安全的電子郵件的所有伙伴必須能夠訪問為您頒發(fā)證書的 CA 的 CRL 。
配置 WinHTTP 的代理設(shè)置
Exchange 2007 傳輸服務(wù)器依靠基本的 Microsoft Windows HTTP Services (WinHTTP) 管理所有 HTTP 和 HTTPS 通信 。集線器傳輸服務(wù)器和邊緣傳輸服務(wù)器都可以使用 HTTP 訪問 Microsoft Exchange 2007 標(biāo)準(zhǔn)反垃圾郵件篩選器更新和 Microsoft Forefront Security for Exchange Server 反垃圾郵件更新服務(wù)的更新，以及 CRL 驗(yàn)證的更新 。
在大多數(shù)組織中，代理服務(wù)器用于與 Internet 上的目標(biāo)進(jìn)行 HTTP 和 HTTPS 通信 。如果組織使用代理服務(wù)器，而 Exchange 傳輸服務(wù)器并未配置為對 HTTP 和 HTTPS 使用代理服務(wù)器，則必須配置傳輸服務(wù)器，這樣啟用了 HTTP 的 CRL 驗(yàn)證才能正常工作 。
配置 WinHTTP 最簡單的方法就是使用 ProxyCfg.exe 。ProxyCfg.exe 是一個(gè)命令行工具，位于所有 Windows Server 2003 計(jì)算機(jī)的 %System32% 目錄下 。您可以用它來設(shè)置和查看 WinHTTP 配置 。
在大多數(shù)情況下，您只需要運(yùn)行下面的命令來指定您的組織中的代理服務(wù)器，并指定所有本地通信都要繞過該代理服務(wù)器 。
proxycfg -p proxy_server ""
此命令指定 HTTP 服務(wù)器和 HTTPS 服務(wù)器都要通過名為"proxy_server"的代理服務(wù)器進(jìn)行訪問，但主機(jī)名包含由 參數(shù)指定的句點(diǎn)的代理服務(wù)器除外 。
即使您未運(yùn)行代理服務(wù)器，我們也建議您使用 ProxyCfg.exe 檢查是否以前設(shè)置過一個(gè)代理 。您可以在不帶任何參數(shù)的情形下運(yùn)行該工具來查看當(dāng)前配置，如下所示：
Proxycfg
要為 WinHTTP 配置直接的 Internet 連接或刪除現(xiàn)有的代理配置，請運(yùn)行以下命令：
Proxycfg –d
重要信息：更改 WinHTTP 的配置后，必須重新啟動(dòng) Microsoft Exchange 傳輸服務(wù)和 Microsoft Exchange 反垃圾郵件更新服務(wù) 。
如何測試 PKI 和代理配置
若要驗(yàn)證特定邊緣傳輸服務(wù)器的公鑰基礎(chǔ)結(jié)構(gòu) (PKI) 和代理配置，請使用 Certutil.exe 驗(yàn)證邊緣傳輸服務(wù)器證書的證書鏈 。Certutil.exe 是作為 Microsoft Windows Server 2003 操作系統(tǒng)的證書服務(wù)的一部分安裝的命令行工具 。

推薦閱讀