Installation Rôle Transport Edge 2016 (partie 2)

Dans la partie précédente, nous avons préparé le terrain pour le rôle de Transport Edge. Dans ce chapitre, nous allons passer un peu de temps sur le firewall pfSense. En effet, il faut paramétrer les ports nécessaires sur les trois interfaces : WAN, LAN et DMZ.

Machine virtuelle nécessaire pour ce chapitre :

  • AD-SERVER : Okvoir ici
  • EX-SERVER1 : Ok voir ici
  • Firewall pfSense : Ok voir ici
  • Règle pfSense Edge : Ok – ci-dessous
  • EX-EDGE : NOk
  • EX-DAG : NOk

Mais aussi :

  • Nom de domaine : pixelabs.fr
  • ISO Exchange Server 2016 : Voir ici

Configuration réseau EX-EDGE

Allez un petit rappel encore une fois :

  • Adresse IP : 10.0.0.2
  • Masque : 255.0.0.0
  • Passerelle : 10.0.0.1
  • DNS : 172.16.1.4

Remaque : le serveur ne doit pas être membre du domaine (pixelabs.lan)

Installation du rôle AD LDS

Active Directory Lightweight Directory Services (AD LDS) doit être installé sur le serveur EX-EDGE afin d’y stocker les paramètres de configuration du rôle Transport Edge. Il permet aussi de répliquer en lecture seule les données à partir du serveur Exchange principal EX-SERVER1.

Les ports utilisés pour l’accès à LDAP ne correspondent pas aux ports standards (389/TCP). En effet, les échanges LDAP entre le serveur Exchange principal et le serveur Edge se font via les ports 50389/tcp et 50636/tcp.

Remarque : Le port 50389/TCP est utilisé localement pour établir la liaison avec l’instance AD LDS. Ce port ne doit pas être ouvert sur le pare-feu. Il est utilisé localement sur le serveur de transport Edge. Source : technet.microsoft.com

Connectez-vous à votre Edge : EX-EDGE. Gestionnaire de serveur > Gérer > Ajouter des rôle et fonctionnalités

  • Cliquez sur Suivant
  • Installation basée sur un rôle ou une fonctionnalité <Suivant>
  • Laissez par défaut <Suivant>
  • Cochez la case : Services AD LDS (Active Directory Lightweight Directory Services )
    • Cliquez sur : Ajouter les fonctionnalités
  • Cliquez sur Suivant x3
  • Cliquez sur Installer

Installation du rôle AD LDS

A la fin, il vous demandera d’exécuter l’assistant d’installation des services AD LDS. NE RIEN FAIRE. Fermez la fenêtre. Rendez-vous sur le serveur AD : AD-SERVER.

Configuration DNS AD-SERVER

Connectez-vous à votre contrôleur de domaine, AD-SERVER.

  • Lancez la console DNS : Gestionnaire de serveur > Outils > DNS
  • Effectuez un clic droit sur la Zone de recherche inversée
    • Nouvelle zone… <Suivant>
    • Zone principale <Suivant>
    • Laissez par défaut <Suivant>
    • Zone de recherche inversée IPv4 <Suivant>
    • ID réseau : 10.0.0 <Suivant>
    • Laissez par défaut <Suivant>
    • Terminer

Dans la zone de recherche directes

  • Effectuez un clic droit sur votre domaine privé : pixelabs.lan
    • Nouvel hôte (A ou AAAA)…
      • Nom : EX-EDGE
      • Adresse IP : 10.0.0.2 (@IP du serveur EX-EDGE)
      • Cochez la case : Créer un pointeur d’enregistrement PTR associé
  • Faire la même chose pour votre domaine public, effectuez un clic droit sur : mailhost.pixelabs.fr
    • Nouvel hôte (A ou AAAA)…
      • Nom : EX-EDGE
      • Adresse IP : 10.0.0.2 (@IP du serveur EX-EDGE)
      • Cochez la case : Créer un pointeur d’enregistrement PTR associé

Configuration DNS Edge Transport

Suffixe DNS principal

Pour qu’il y ait une résolution de nom, il faut ajouter le suffixe DNS principal sur le serveur Edge.

  • Effectuez un clic droit sur Ce PC (ou Ordinateur)
    • Propriétés
    • Paramètres système avancés
    • Onglet Nom de l’ordinateur
    • Modifier
    • Autres…
    • Ajoutez le suffixe principal : pixelabs.lan

Ajout suffixe DNS Edge Transport

  • Validez et redémarrez la machine.

Règles Firewall pfSense

Nous allons maintenant mettre en places des règles pare-feu afin d’autoriser uniquement les ports nécessaires pour le bon fonctionnement de notre infrastructure Exchange.

Ce qu’on cherche :

  • WAN <—> DMZ : nous allons autoriser uniquement les ports nécessaires (il est possible d’autoriser tout le trafic)
  • LAN —> DMZ : Tout est déjà autorisé par défaut par pfSense.
  • DMZ —> LAN : contrairement ici, on doit autoriser uniquement les ports nécessaires et bloquer le reste.
  • LAN —> WAN : on laisse une connexion internet quand même pour le LAN ? c’est déjà le cas par défaut.

WAN to DMZ Rules

Depuis le contrôleur de domaine ou votre machine de test, lancez l’interface web pfSense :

https://172.16.1.1

Remarque : dans la première partie, j’ai mis en place une règle NAT Port Forwarding. J’ai redirigé le port SMTP depuis le réseau WAN vers LAN afin de tester l’envoi et la réception des messages depuis le serveur Exchange.

Il faut modifier cette règle pour pointer le port vers le serveur Edge (DMZ).

  • Allez dans le menu : Pare-feu > NAT > Transfert de port
  • Cliquez sur l’icône : Modifier la règle (en forme de crayon)
    • Interface : WAN
    • Protocole : TCP
    • Destination : WAN address
    • Plage de port de destination :
      • Du port : SMTP
      • Au port : SMTP
    • IP de redirection cible : 10.0.0.2 (EX-EDGE)
    • Port de redirection cible : SMTP
    • Description : NAT SMTP WAN TO DMZ
  • Enregistrer Appliquer les modifications

Visualiser la règle depuis le menu : Pare-feu (Firewall) > Règle (Rules) > WAN

Port Forwarding WAN to DMZ pfSense

Nous allons effectuer un test de port SMTP plus loin.

LAN to DMZ/WAN Rules

Pour l’interface LAN, j’ai laissé par défaut les deux règles existantes + la règle anti-blocage (pour pouvoir se connecter sur l’interface web pfSense). Ce qu’il faut surtout contrôler, c’est le trafic entrant depuis le réseau DMZ/WAN.

Interface LAN pfSense Rules

DMZ to LAN/Any Rules

Allez dans l’onglet DMZ (ou OPT1, l’interface peut être renommée depuis le menu Interfaces) : Pare-feu > Règles > DMZ

Nous allons mettre en place 6 règles pare-feu :

  • Cliquez sur le bouton vert (flèche vers le haut)
    • Action : Autoriser
    • Interface : DMZ
    • Famille d’adresse : IPv4
    • Protocole : TCP
    • Source : DMZ net
    • Destination : LAN net
      • Plage de port de destination : de SMTP (25)SMTP (25)
    • Description : Allow SMTP DMZ to LAN
    • Enregistrer / Appliquer les modifications

  • Cliquez sur le bouton vert (flèche vers le bas)
    • Action : Autoriser
    • Interface : DMZ
    • Famille d’adresse : IPv4
    • Protocole : TCP/UDP
    • Source : DMZ net
    • Destination : LAN net
      • Plage de port de destination : de DNS (53) DNS (53)
    • Description : Allow DNS DMZ to LAN
    • Enregistrer / Appliquer les modifications

  • Cliquez sur le bouton vert (flèche vers le bas)
    • Action : Autoriser
    • Interface : DMZ
    • Famille d’adresse : IPv4
    • Protocole : TCP
    • Source : DMZ net
    • Destination : LAN net
      • Plage de port de destination : de (autre)  A (autre)
      • De : personnalisé : 50636
      • A : personnalisé : 50636
    • Description : Allow LDAP DMZ to LAN
    • Enregistrer / Appliquer les modifications

  • Cliquez sur le bouton vert (flèche vers le bas)
    • Action : Bloquer
    • Interface : DMZ
    • Famille d’adresse : IPv4
    • Protocole : Tous
    • Source : tout
    • Destination : LAN net
    • Description : Block All DMZ to LAN
    • Enregistrer / Appliquer les modifications

  • Cliquez sur le bouton vert (flèche vers le bas)
    • Action : Autoriser
    • Interface : DMZ
    • Famille d’adresse : IPv4
    • Protocole : TCP
    • Source : DMZ net
    • Destination : tout
      • Plage de port de destination : de SMTP (25)SMTP (25)
    • Description : Allow SMTP DMZ to Any
    • Enregistrer / Appliquer les modifications

  • Cliquez sur le bouton vert (flèche vers le bas)
    • Action : Bloquer
    • Interface : DMZ
    • Famille d’adresse : IPv4
    • Protocole : Tous
    • Source : DMZ net
    • Destination : tout
    • Description : Block All DMZ to Any
    • Enregistrer / Appliquer les modifications

DMZ pfSense Rules Exchange

C’est terminé.

Résolution de nom DNS

Vérifiez si la résolution de nom se fait bien depuis le serveur EX-EDGE. Lancez une invite de commandes :

C:\Users\Administrateur#> nslookup
C:\Users\Administrateur#> nslookup ex-edge

Test resolution dns name

Remarque : Si la valeur Serveur par défaut affiche Unknown, vous avez oublié l’enregistrement du pointeur PTR (zone de recherche inversée) sur le contrôleur de domaine. Assurez-vous également que l’adresse IPv6 est en automatique.

Test SMTP(25) Connectivity

Si le port ne fonctionne pas, ce n’est pas la peine d’aller plus loin, Nous allons donc nous en assurer depuis le serveur Edge à l’aide de l’outil Microsoft Remote Connectivity Analyzer.

Lancez IE ou Firefox si vous l’avez installé comme moi et allez à cette adresse : https://testconnectivity.microsoft.com/

Euh…bon, ça ne fonctionne pas… super

Retournez dans pfSense : Pare-feu > Règles > DMZ

  • Cliquez sur le bouton vert (flèche vers le bas)
    • Action : Autoriser
    • Interface : DMZ
    • Famille d’adresse : IPv4
    • Protocole : TCP
    • Source : DMZ net
    • Destination : tout
      • Plage de port de destination : de HTTPS (443)HTTPS (443)
    • Description : Allow HTTPS to DMZ
    • Enregistrer / Appliquer les modifications
  • Déplacer la règle au dessus de la dernière règle (Block All DMZ to Any)

Allow HTTPS pfSense Rules

Retournez sur le site : https://testconnectivity.microsoft.com/ 

Dans la zone : Internet Email Tests :

  • Cochez Inbound SMTP Email
  • Cliquez sur Next
  • Email address : mettez une adresse mail Exchange (EX-SERVER1) : adam.arouine@pixelabs.fr
  • Entrez les caractères de vérification et cliquez sur Verify.
  • Cliquez sur Perform Test

Test SMTP Connectivity

Remarque : en cas de problème, vérifiez bien vos enregistrements MX et la redirection de port 25 depuis votre box. Il est possible également de tester les ports depuis pfSense > Diagnostics > Port test

Connecteurs de réception

Sur le serveur Exchange : EX-SERVER1, il y a une petite modification à faire sur les connecteurs de réception. Il faut simplement rétablir les paramètres par défaut.

Lancez l’ECP  (Exchange Control Panel) > flux de courrier > connecteur de réception.

  • Effectuer un double clic sur : Client Frontend EX-SERVER1
    • Onglet : sécurité
      • Cochez la case : Authentification du serveur Exchange
    • Onglet : étendue
      • Tout en bas, FQDN : EX-SERVER1.pixelabs.lan 
  • Valider
  • Refaire exactement la même chose sur les deux connecteurs suivant :
    • Default EX-SERVER1
    • Default Frontend EX-SERVER1
  • Pour le reste, ne rien modifier.

Je m’arrête ici. Nous verrons dans le prochain chapitre l’installation et la configuration du rôle de Transport Edge.

Bonne journée et à très bientôt.

 
Besoin d’aide ? des questions ?

Venez sur le forum
logo Forum Pixelabs
***********
La rédaction de cette documentation demande beaucoup de temps, de motivation, mais surtout beaucoup de café 🙂

Vous aimez pixelabs ?

Offrez moi un petit café en cliquant sur la tasse ci-dessous.
pixelans_donation
Merci !