Exchange

[phamminhtuan]

Nguyễn Thị Lan Phương

LỜI NÓI ĐẦU

Xuất phát từ nhu cầu doanh nghiệp muốn xây dựng hệ thống mail với địa chỉ là tennhanvien@tenmiencty.org (vídụ: user@vnpro.org)để dễ dàng cho nhân viên trao đổi thông tin với nhau và trao đổi thông tin với các đối tác của công ty bạn. Đồng thời tạo môi trường làm việc thống nhất trong công ty. Giả thiết nếu nhân viên trong công ty của mình mà dùng địa chỉ mail là user@gmail.com đểlàm địa chỉ mail liên hệ với khách hàng thì họ sẽ nghĩ gì? (Không chuyên nghiệp và có đáng tin cậy không?)
Từ nhu cầu muốn xây dựng hệ thống mail với tên miền riêng, và tình hình thực tế của công ty mà có rất nhiều cách triển khai để phù hợp với thực tế công ty.

Phương án 1: Thuê hẳn một công ty chuyên về làm mail để làm từ A -Z cho công ty, họ sẽ setup toàn bộ cho từng máy của nhân viên. Nhân viên chỉ việc mở Outlook lên hoặc mở IE lên để gởi nhận mail. Cách này phù hợp với công ty nhỏ, không cần IT Admin và không cần máy chủ đặt tại công ty. Nhưng giá thành hơi cao vì số tiền đóng hàng tháng phụ thuộc vào số lượng email account của từng nhân viên. Email có trục trặc gì (gửi nhận mail không được, virus, spam, …) cứ nhấc điện thoại lên kêu họ.

Phương án 2: Sử dụng giải pháp Google Application, áp dụng cho những công ty vừa và nhỏ (lớn hơn ở cách trên một chút). Giải pháp này công ty cần có một domain riêng (giá có thể là khoảng 160K/năm/domain), và địa chỉ Gmail chỉ cần setup một lần. Nhân viên vừa có thể nhận gửi mail bằng outlook và web. Công ty cũng không cần IT Admin, số lượng account tạo ra khá lớn (tối đa là 50 account), mỗi địa chỉ mail có dung lượng lưu trữ khá lớn. Cái hay là hệ thống mail của mình “sống dựa” trên gmail nên các phương án bảo mật, virus, spam,… đều được thừa hưởng của GoogleMail. Cái hạn chế của giải pháp này là không quản lý được mail gửi nhận, và nếu đứt cable ngầm dưới biển không thể kết nối ra quốc tế thì coi như hệ thống mail của ta tê liệt hoàn toàn.

Phương án 3: Với phương pháp Mail Offline thì mail của khách hàng ở bên ngoài không chạy thẳng vào server mail của công ty mà chạy qua một chỗ trung gian (Host mail) rồi sau đó mail server của công ty lên cái host mail đó lấy mail về.

Phương án 4: Giải pháp Mail Online phù hợp với doanh nghiệp lớn (số lượng nhân viên dùng mail nhiều, yêu cầu quản lý phức tạp…). Giải pháp này IT Admin của công ty sẽ cài một phần mềm (Mdaemon Server, Mail Exchange server, Send Mail, …) lên một cái máy tính (đương nhiên khi số lượng nhân viên lớn, tần suất gởi mail nhiều thì một server chuyên dụng sẽ đáp ứng được nhiều cuộc truy vấn hơn và hoạt động ổn định hơn), có thể cài các phần mềm này trên windows hay linux. Như vậy, Mail Server chính là cái máy tính trên đó có hệ điều hành và cài phần mềm mail server (sau khi cài phần mềm và setup thì mail của nhân viên gởi cho khách hàng sẽ được đẩy lên server và server gửi mail đi, và nhận mail của khách hàng bên ngoài và đẩy xuống cho từng nhân viên). Server này có thể được đặt tại công ty hay thuê mộtchỗ để đặt trên các Data Center, và đương nhiên phải mở liên tục, internet ổn định để gởi nhận mail không bị lỗi.

Trong giới hạn đề tài thực tập tốt nghiệp này em sẽ sử dụng phương án thứ tư, đó là “Ứng dụng phần mềm Microsoft Exchange trong xây dựng và quản lý hệ thống Mail Server cho doanh nghiệp”. Microsoft Exchange Server 2003 là một hệ thống Mail Server chạy trên máy chủ Windows Server. Trong hầu hết các doanh nghiệp, Exchange Server tỏ ra khá chuyên nghiệp, một trong những phần mềm máy chủ Email tuyệt vời, và là giải pháp cho hệ thống email của doanh nghiệp lớn ( >1000 mailbox).

Nội dung chính:

CHƯƠNG I : Tìm hiểu chung về các giao thức

CHƯƠNG II : Cài đặt hệ thống Mail Server

CHƯƠNG III: Các phương pháp tấn công và bảo mật Exchange Server

[phamminhtuan]

CHƯƠNG I
TÌM HIỂU CHUNG VỀ CÁC GIAO THỨC


1.1. GIỚI THIỆU VỀ HỆ THỐNG DNS

1.1.1. Giới thiệu về hệ thống DNS

Vào những năm 1970, mạng ARPanet của bộ quốc phòng mỹ rất nhỏ và dễ dàng quản lý các liên kết vài trăm máy tính với nhau. Do đó mạng chỉ cần một file HOSTS.TXT chứa tất cả thông tin cần thiết về máy tính trong mạng và giúp các máy tính chuyển đổi được thông tin địa chỉ và tên mạng cho tất cả máy tính trong mạng ARPanet một cách dễ dàng. Và đó chính là bước khởi đầu của hệ thống tên miền gọi tắt là DNS (Domain Name System).

Nhưng khi mạng máy tính ARPnet ngày càng phát triển thì việc quản lý thông tin chỉ dựa vào một file HOSTS.TXT là rất khó khăn và không khả thi. Vì thông tin bổ sung và sửa đổi vào file HOSTS.TXT ngày càng nhiều và nhất là khi ARPanet phát triển hệ thống máy tính dựa trên giao thức TCP/IP dẫn đến sự phát triển tăng vọt của mạng máy tính:
Lưu lượng và trao đổi trên mạng tăng lên Tên miền trên mạng và địa chỉ ngày càng nhiều Mật độ máy tính ngày càng cao vì thế đảm bảo phát triển ngày càng khó khăn.

Đến năm 1984, Paul Mockpetris thuộc viện USC’s Information Science Institute phát triển một hệ thống quản lý tên miền mới (miêu tả trong chuẩn RFC 882 –883) gọi là DNS (Domain Name System) và ngày nay nó ngày càng được phát triển và hiệu chỉnh bổ sung tính năng để đảm bảo yêu cầu ngày càng cao của hệ thống (hiện nay DNS được tiêu chuẩn theo chuẩn RFC 1034-1035).
1.1.2. Mục đích của hệ thống DNS

Máy tính khi kết nối vào mạng Internet thì được gán cho một địa chỉ IP xác định. Địa chỉ IP của mỗi máy là duy nhất và có thể giúp máy tính có thể xác định đường đi đến một máy tính khác một cách dễ dàng. Đối với người dùng thì địa chỉ IP là rất khó nhớ. Cho nên, cần phải sử dụng một hệ thống để giúp cho máy tính tính toán đường đi một cách dễ dàng và đồng thời cũng giúp người dùng dễ nhớ. Do vậy, hệ thống DNS ra đời giúp cho người dùng có thể chuyển đổi từ địa chỉ IP khó nhớ mà máy tính sử dụng sang một tên dễ nhớ cho người sử dụng và đồng thời nó giúp cho hệ thống Internet dễ dàng sử dụng và ngày càng phát triển.
Hệ thống DNS sử dụng hệ thống cơ sở dữ liệu phân tán và phân cấp hình cây. Vì vậy, việc quản lý sẽ dễ dàng và cũng rất thuận tiện cho việc chuyển đổi từ tên miền sang địa chỉ IP và ngược lại. cũng giống như mô hình quản lý cá nhân của một đất nước mỗi cá nhân sẽ có một tên xác định đồng thời cũng có địa chỉ chứng minh thư để giúp quản lý con người một cách dễ dàng hơn.

Mỗi cá nhân đều có một số căn cước để quản lý:



Mỗi địa chỉ IP tương ứng với một tên miền:

Vd: 69.89.22.108 tương ứng với Vnpro.org

Vậy, tóm lại tên miền (Domain name) là gì? Những tên gọi nhớ như thanhnien.com.vnhoặc www.cnn.com thìđược gọi là tên miền (Domain Name hoặc DNS name). Nó giúp cho người sử dụng dễ dàng nhớ vì nó ở dạng chữ mà người bình thường có thể hiểu và sử dụng hàng ngày.
Hệ thống DNS đã giúp cho mạng Internet thân thiện hơn với người sử dụng. Theo số liệu thống kê mới đây từ Verisign, tổng số tên miền trên mạng Internet đã đạt trên 180 triệu. VeriSign cho biết sự tăng trưởng của các tên miền mới tăng cường tầm quan trọng của việc duy trì hệ thống tên miền (DNS) nhằm liên kết các tên miền với các địa chỉ IP bằng số. Jill Corso McNabb, Phó Giám đốc dịch vụ tên miền của VeriSign cho biết "DNS thậm chí trở nên quan trọng hơn đối với toàn bộ cơ sở hạ tầng Internet, không những do nhu cầu sử dụng tăng lên mà còn do các sản phẩm và dịch vụ cải tiến liên quan đến sự gia tăng của DNS".

1.1.3. Hoạt động của DNS

Khi DNS client cần xác định cho một tên miền nó sẽ truy vấn DNS server. Truy vấn DNS và trả lời của hệ thống DNS cho client sử dụng thủ tục UDP cổng 53. UDP hoạt động ở mức thứ 3 (network) của mô hình OSI. UDP là thủ tục phi kết nối (connectionless). Tương tự như dịch vụ gửi thư bình thường, bạn cho thư vào thùng thư và hy vọng có thể chuyển đến nơi bạn cần gửi tới.
Mỗi một message truy vấn được gửi đi từ client bao gồm ba phần thông tin:

Tên của miền cần truy vấn
Xác định loại bản ghi là mail, web…
Lớp tên miền (phần này thường được xác định là IN internet)

Ví dụ: tên miền truy vấn đầy đủ như “hostname.example.microsoft.com”, và loại truy vấn là địa chỉ A. Client truy vấn DNS hỏi “Có bản ghi địa chỉ A cho máy tính có tên là “hostname.example.microsoft.com” khi client nhận được câu trả lời của DNS server nó sẽ xác định địa chỉ IP của bản ghi A.

Như vậy, các bước của một truy vấn gồm có hai phần như sau:

- Truy vấn sẽ bắt đầu ngay tại client computer để xác định câu trả lời
- Khi ngay tại client không có câu trả lời, câu hỏi sẽ được chuyển đến DNS
server để tìm câu trả lời.
Tự tìm câu trả lời truy vấn

Bước đầu tiên của quá trình xử lý một truy vấn. Tên miền sử dụng một chương trình trên ngay máy tính truy vấn để tìm câu trả lời cho truy vấn. Nếu truy vấn có câu trả lời thì quá trình truy vấn kết thúc.

Ngay tại máy tính, truy vấn thông tin được lấy từ hai nguồn sau:

Trong file HOSTS được cấu hình ngay tại máy tính. Các thông tin ánh xạ từ tên miền sang địa chỉ được thiết lập ở file này được sử dụng đầu tiên. Nó được tải ngay lên bộ nhớ cache của máy khi bắt đầu chạy DNS client.
Thông tin được lấy từ các câu trả lời của truy vấn trước đó. Theo thời gian các câu trả lời truy vấn được lưu giữ trong bộ nhớ cache của máy tính và nó được sử dụng khi có một truy vấn lặp lại một tên miền trước đó.
Truy vấn DNS server

Khi DNS server nhận được một truy vấn. Đầu tiên nó sẽ kiểm tra câu trả lời liệu có phải là thông tin của bản ghi mà nó quản lý trong các zone của server. Nếu truy vấn phù hợp với bản ghi mà nó quản lý thì nó sẽ sử dụng thông tin đó để trả lời (authoritatively answer) và kết thúc truy vấn. Nếu không có thông tin về zone của nó phù hợp với truy vấn. Nó sẽ kiểm tra các thông tin được lưu trong cache liệu có các truy vấn tương tự nào trước đó phù hợp không. Nếu có thông tin phù hợp nó sẽ sử dụng thông tin đó để trả lời và kết thúc truy vấn. Nếu truy vấn không tìm thấy thông tin phù hợp để trả lời từ cả cache và zone mà DNS server quản lý thì truy vấn sẽ tiếp tục. Nó sẽ nhờ DNS server khác để trả lời truy vấn đến khi tìm được câu trả lời.

[phamminhtuan]

1.2. GIỚI THIỆU VỀ INTERNET CLIENT ACCESS PROTOCOLS

Để nhận được thư điện tử bạn cần phải có một tài khoản (account) thư điện tử. Nghĩa là bạn phải có một địa chỉ để nhận thư. Một trong những thuận lợi hơn với thư thông thường là bạn có thể nhận thư điện tử từ bất cứ đâu. Bạn chỉ cần kết nối vào Server thư điện tử để lấy thư về máy tính của mình. Và để gửi được thư bạn cần phải
có một kết nối vào Internet và truy nhập vào máy chủ thư điện tử để chuyển thư đi. Thủ tục tiêu chuẩn được sử dụng để gửi thư là SMTP (Simple Mail Transfer Protocol). Nó được kết hợp với thủ tục POP (Post Office Protocol) và IMAP (Internet Message Access Protocol) để lấy thư.





Hình 1.1: Mô hình của hệ thống máy chủ thư điện tử

Trên thực tế có rất nhiều hệ thống vi tính khác nhau và mỗi hệ thống lại có cấu trúc chuyển nhận thư điện tử khác nhau. Vì có sự khác biệt như vậy nên việc chuyển nhận thư điện tử giữa hai hệ thống khác nhau là rất khó khăn và bất tiện. Do vậy, người ta đã đặt ra một chuẩn chung cho thư điện tử. Có hai chuẩn về thư điện tử quan trọng nhất và được sử dụng nhiều nhất từ trước đến nay là X.400 và SMTP. SMTP thường đi kèm với chuẩn POP3. Mục đích của X.400 là cho phép các E-mail có thể được truyền nhận thông qua các loại mạng khác nhau bất chấp cấu hình phần cứng, hệ điều hành mạng, giao thức truyền dẫn được dùng. Còn chuẩn SMTP miêu tả cách điều khiển các thông điệp trên mạng Internet. Điều quan trọng của chuẩn SMTP là giả định máy nhận phải dùng giao thức SMTP gửi thư điện tử cho một máy chủ luôn luôn hoạt động. Sau đó, người nhận sẽ đến lấy thư từ máy chủ khi nào họ muốn dùng giao thức POP (Post Office Protocol). Ngày nay POP được cải tiến thành POP3 (Post Office Protocol version 3)




Hình 1.2: Các giao thức truyền nhận mail
Exchange 2003 và Internet Information Services (IIS) đã được kết hợp để cung cấp khả năng kết nối và bảo mật cho người sử dụng Exchange 2003 bằng cách sử dụng
các giao thức sau:

Post Office Protocol version 3 (POP3)
Internet Message Access Protocol version 4 (IMAP4)
Hypertext Transfer Protocol (HTTP)
Network News Transer Protocol (NNTP)
Lightweight Directory Access Protocol (LDAP)

Outlook Express được hỗ trợ POP3 và IMAP4 để truy cập Exchange. POP3
cung cấp quá trình nhận thư đơn giản, còn IMAP4 cung cấp các chức năng nhận và lọc nhiều hơn cho người dùng. Một trình duyệt Web, chẳng hạn Internet Explorer, sử dụng HTTP để truy nhập Exchange. NNTP được sử dụng để gửi và nhận tin nhắn
newsgroup. LDAP mang lại khả năng kết nối giữa server và client đến Microsoft
Active Directory directory service trong Microsoft Windows Server 2003.


1.2.1. Các giao thức truy cập máy khách (Internet Client Access Protocols)
được hỗ trợ trong Exchange 2003


Hình 1.3: Internet Client Access Protocols

Exchange 2003 dùng một server ảo cho mỗi giao thức khác nhau như POP3, IMAP4, SMTP, NNTP và HTTP trên cùng một server thật. Trong quá trình cài đặt, một server ảo được tạo ra cho mỗi giao thức. Nhờ đó mà Exchange có khả năng linh
động trong việc chọn loại máy khách từ xa nào được phép kết nối vào Exchange 2003
server. Việc cấu hình nhiều server ảo cho một giao thức đặc cũng làm tăng khả năng
điều khiển trên mỗi server nếu bạn muốn những người dùng từ xa được xác thực khác những người dùng cục bộ.

1.2.1.a. Giao thức HTTP

Exchange hỗ trợ HTTP để cung cấp khả năng kết nối bằng Outlook Web
Access (OWA) vào dữ liệu Exchange. Outlook Web Access cho phép người dùng truy cập đến hộp thư của họ bằng cách sử dụng một trình duyệt Web, chẳng hạn Internet Explorer.

1.2.1.b. Outlook Web Access:

OWA tham chiếu đến mục tiêu bằng cách sử dụng tên Uniform Resource Locators (URLs), chẳng hạn http://server/exchange/mailbox/inbox.Dùng địa chỉ URLs làm đơn giản hóa việc truy cập vào Exchange 2003 cho mỗi người dùng. Outlook Web Access còn có thể cung cấp việc truy nhập đến hộp thư từ UNIX, Macintosh và Microsoft Windows dựa trên những máy tính được kết nối đến server
chạy Exchange 2003. Những người dùng này có thể xem và làm việc với bất kì public folder, mailbox, GAL, hoặc calendar.

Ngoài OWA ra thì Outlook 2003 cũng có thể sử dụng HTTP đóng gói yêu cầu
Remote Procedure call (RPC) (gọi thủ tục từ xa) để có thể truy cập dữ liệu Exchange.
Để hỗ trợ cho việc đóng gói RPC over HTTP, Exchange server phải cần là Exchange
2003 và nó phải chạy trên Windows Server 2003.