Исследование пакета обновлений Exchange 2003 Service Pack 2

Долгожданные улучшения заметно упрощают работу

Итак, пакет обновлений Microsoft Exchange Server 2003 Service Pack 2 (SP2) наконец выпущен. После завершения окончательного тестирования Microsoft подготовила полный пакет обновлений. SP2 построен на базе Exchange 2003 с пакетом SP1. Рассмотрим основные обновления Exchange 2003 SP2 и поговорим о том, насколько важным является развертывание этого пакета.

Поддержка мобильных устройств

С появлением множества мобильных устройств, от смартфонов до устройств Research In Motion (RIM) BlackBerry и карманных компьютеров, которые работают с электронной почтой, календарем и задачами, Microsoft потребовалось интегрировать поддержку этих устройств в Exchange. До выхода Exchange 2003 независимые разработчики предлагали решения для соединения мобильных устройств с Exchange, а такие компании, как Good Technology и RIM, построили свой бизнес на решениях, предназначенных для соединения и синхронизации с Exchange мобильных устройств. Хотя Exchange 2000 Server и имел некоторую совместимость с мобильными устройствами, разработчики Microsoft сделали значительный шаг в этом направлении, выпустив подсистему Mobile Services for Exchange в составе Exchange 2003. Признав важность рынка мобильных устройств и отметив быстрое его развитие, Microsoft уделила большое внимание разработке этой подсистемы. Mobile Services представляет собой доступный по цене широкий набор средств с новыми возможностями для поддержки мобильных устройств. Кроме того, Microsoft успешно лицензировала технологию Exchange ActiveSync производителям мобильных устройств, таким как DataViz, Motorola, Nokia, Palm и Symbian.

До появления SP2 Mobile Services оставались в категории дешевых решений. Хотя это часть Exchange, Mobile Services в некоторых случаях не хватает функциональности. Для совместимости с возможностями Windows Mobile 5.0 в SP2 были добавлены следующее функции.

• Сжатие данных для соединений ActiveSync через HTTP Secure (HTTPS), используя gzip.
• Группы соединений для уменьшения нагрузки при создании соединения между устройствами и сетью.
• Основанная на сертификатах аутентификация.
• Усиление политики безопасности.
• Поиск по глобальному списку адресов (Global Address List, GAL) и проверка адресов в GAL в режиме реального времени.

Усовершенствованный AUTD

Механизм уведомлений Always-up-to-date (AUTD) в Exchange используется для передачи новой информации из почтового ящика на мобильное устройство. AUTD отправляет информацию на мобильное устройство, хотя можно считать, что устройство само забирает информацию, поскольку сервер отправляет только уведомления. Тем не менее специалисты Microsoft сумели сделать так, чтобы AUTD отправлял больше данных (например, заголовки сообщений), а значит, стал более функциональным.

Аутентификация, основанная на сертификатах, особенно приветствуется, так как это повышает уровень безопасности и позволяет уникально идентифицировать устройство, подобно тому, как это делается в устройствах BlackBerry при регистрации в беспроводных сетях. Используя аутентификацию с сертификатом в комбинации с усиленной политикой безопасности, требующей от пользователя ввода PIN-кода для доступа к устройству, владелец устройства работает с двухфакторным процессом установления подлинности.

В SP2 механизм AUTD для отправки уведомления на мобильное устройство использует постоянное соединение TCP/IP, в отличие от службы коротких сообщений (Short Message Service, SMS). Устройство посылает запрос на Exchange для регистрации ожидания обновлений почтового ящика, подобно тому как Microsoft Outlook Web Access (OWA) регистрируется в ожидании уведомлений о новой почте или событии календаря. Запрос определяет интервал времени (обычно 15 минут) и папки, которые устройство проверяет (обычно «Входящие», «Календарь», «Контакты» и «Задачи»). Если данные изменятся в течение установленного интервала, Exchange отправляет пакет UDP на порт 2883 внешнего сервера, который используется мобильным устройством, и внешний сервер открывает соединение HTTP с мобильным устройством для пересылки уведомления. После того как устройство примет уведомление, выполняется запрос синхронизации с Exchange для получения новых данных и установки нового запроса на ожидание изменений. Если на Exchange не происходит изменений в течение заданного интервала времени, система посылает на устройство сообщение «нет данных», чтобы в случае ответа установить новый интервал ожидания изменений.

Если сетевое соединение (например, по протоколу General Packet Radio Service, GPRS) оборвется, устройство будет выключено или попадет в зону слабого сигнала, потребуется установка нового соединения с Exchange. Устройства с GPRS потребляют дополнительную энергию только когда передают данные, поэтому механизм AUTD экономит энергию, в отличие от тех устройств, которые постоянно обращаются к Exchange за обновлениями. Время работоспособности устройства меняется, в зависимости от степени его эксплуатации, но, по данным Microsoft, некоторые пользователи сообщают о 20-30% прироста времени службы батареи на устройствах с Windows Mobile 5.0.

Поиск в GAL

Мобильные устройства могут использовать функцию GALSearch при доступе к серверу для проверки почтовых адресов и поиска в GAL. Память для мобильных устройств очень важна, и поэтому GALSearch поддерживает ограниченные наборы информации из GAL (в отличие от таких клиентов, как Microsoft Office Outlook). Таблица содержит список атрибутов, поддерживаемых GALSearch, и их соответствие атрибутам Active Directory (AD). GALSearch берет сформированную пользователем строку запроса и выполняет индексированный поиск Ambiguous Name Resolution (ANR) на сервере среди почтовых объектов в GAL. Поиск ANR, аналогичный поиску Outlook в GAL, пытается вернуть 100% результатов из GAL, которые могли бы удовлетворить строке запроса.

Защита мобильных устройств

В SP2 Mobile Services включает набор средств защиты, который поддерживается мобильными устройствами, в том числе следующие возможности:

• обязательный PIN-код (пользователь должен установить и использовать PIN-код для доступа к устройству);
• установку минимальной длины пароля (количество символов);
• требование ввода и цифр, и букв в пароле;
• обязательное "время жизни" PIN-кода.
• стирание информации в устройстве после определенного числа попыток ввода пароля.

Кроме того, Mobile Services позволяет подключаться к Exchange устройствам, не поддерживающим настройки для пароля. Такие устройства (обычно это устройства более старые, чем те, на которых работает Microsoft Pocket PC 2003) не могут корректно ответить серверу Exchange на запрос о загрузке и установке политики безопасности. Подобные устройства игнорируют политики для паролей и продолжают синхронизировать данные с Exchange. Такой вариант подойдет тем организациям, которые должны поддерживать и старые и новые устройства. В этом случае надо составить список пользователей, которые работают без применения политик паролей. Такие пользователи могут работать со старыми устройствами, поддерживающими другие механизмы аутентификации (например, биометрические считыватели отпечатков пальцев). Перейти к настройкам политик паролей можно, щелкнув по Device Security на закладке General в глобальных настройках Mobile Services, как показано на экране 1. Во врезке «Настройки политик для мобильных устройств» говорится о связи атрибутов AD с настройками безопасности для мобильных устройств.

Стирание информации с мобильных устройств

До выхода SP2 Microsoft не поддерживала стирание или сброс информации с мобильного устройства (такого, как смартфон или карманный компьютер с Pocket PC). Конкурирующие системы, такие как GoodLink Server или BlackBerry Enterprise Server (BES), поддерживают возможность отправки администратором инструкций на мобильное устройство для стирания данных в случае его потери или кражи.

Стирание в SP2 организовано просто, но эффективно. Web-страница с ограниченным доступом (https://server-name/MobileAdmin) позволяет стирать информацию с устройства, отменять команды на стирание и удалять привязку между устройством и пользовательскими данными для синхронизации. Когда инициируется удаленное стирание, Web-приложение посылает команду WebDAV Proppatch в пользовательский почтовый ящик для установки параметра почтового ящика wipeinitiated равным ненулевому значению. Mobile Services получает это значение и посылает команду стирания на устройство, на котором локально выполняется соответствующая команда. Устройство после отработки команды возвращает на сервер результат об успешном выполнении или сбое. Регистрируются все команды и статус, которые сообщаются устройством. Команда стирания не удаляет данные на карте памяти, а стирает только те данные на устройстве, которые указал пользователь. Но усовершенствования не даются так просто — если потребуется задействовать возможности мобильного доступа в SP2, придется обновить мобильные устройства специальным пакетом Windows Mobile 5.0 Messaging and Security (подробности по адресу http://www.microsoft.com/windowsmobile/ business/5/default.mspx). Производители используют различные подходы к модернизации версии Windows Mobile, поэтому нужно связаться с производителем конкретного устройства для получения информации по технологии обновления и списку устройств, поддерживающих Windows Mobile 5.0.

Продолжение борьбы против спама

Специалисты Microsoft постоянно повышают устойчивость Exchange к потоку нежелательной электронной почты. Первоначальная версия Exchange 2003 поддерживала хорошую фильтрацию соединений и получателей и имела возможность ограничивать доступ к группам рассылки. SP1 решил некоторые проблемы, в том числе касающиеся первой версии фильтра Intelligent Message Filter (IMF), базирующегося на той же технологии SmartScreen, которую Microsoft применяет для защиты службы MSN Hotmail. Фильтр Outlook 2003 Junk E-mail Filter также использует разновидность IMF. IMF контролирует входящий почтовый поток и устанавливает соответствующее значение параметра Spam confidence level (SCL) для каждого сообщения. Если SCL больше, чем установленное администратором значение, Exchange может отбросить сообщение, в противном случае оно доставляется пользователю. Outlook Junk E-mail Filter оценивает сообщение и пропускает его либо отклоняет, в зависимости от предпочтений пользователя. Например, некоторые адреса могут быть в белом списке пользователя, и, если это так, Outlook пропустит сообщение от таких адресов, даже если у них будет высокий уровень SCL.

SP2 построен на той же основе, но обладает усовершенствованными компонентами функции антиспама, включая новую версию IMF. Например, SP2 теперь контролирует входящие соединения SMTP, чтобы убедиться, что партнер посылает корректно отформатированные сообщения. Это делается для того, чтобы злоумышленники не могли передавать свои сообщения, включая 8-битную кодировку стандарта RFC2821, обходя фильтры благодаря специфичному форматированию. Кроме того, SP2 отвечает на входящие команды SMTP VRFY, которые используются для удаленной проверки почтовых адресов, но Exchange не предоставляет информацию из каталога, поскольку спамеры часто используют команду VRFY для сбора действующих почтовых адресов. Exchange не поддерживает команду SMTP EXPN, с помощью которой сервер запрашивают о членстве в группах рассылки (DL).

Если сообщение проходит проверку соединения и принимается системой, Exchange применяет фильтр получателей, чтобы предотвратить доставку некоторым адресатам. Фильтр получателей может остановить прием сообщения, посылаемого несуществующим адресатам, но спамеры могут обрабатывать адресные книги, посылая письма имеющимся в них адресатам и проверяя по результатам отправки правильность адреса. SP2 поддерживает технологию, называемую Tarpitting, которая позволяет настроить Exchange так, чтобы он выполнял задержку (в секундах) перед ответом на команду Rcpt To:, если удаленный отправитель предпринимает попытку сбора адресов. В результате спамеры видят, что их атака действует слишком медленно и не приносит ожидаемых результатов, и, вероятно, попробуют поискать более легкую добычу.

Существенные изменения произошли в IMF при определении и подавлении сообщений, которые содержат атаки типа фишинга. Обновленный IMF теперь содержит тесты, которые проверяют сообщение на наличие признаков, соответствующих фишинг-атаке, и устанавливает значение Phishing Confidence Level (PCL), которое можно использовать для определения критерия принятия сообщения. Чем выше уровень PCL, тем выше вероятность, что сообщение является спамом.

IMF также поддерживает параметр Sender ID, являющийся промышленным стандартом, разработанным для противостояния спуфингу (т. е. подмене имен) почтовых доменов, который спамеры используют, чтобы создавать сообщения с существующими отправителями (например, Microsoft.com). Sender ID зависит от наличия записей в DNS для данной организации, содержащих информацию о почтовых серверах, передающих сообщения. Серверы, которые поддерживают Sender ID, могут использовать эту информацию при проверке подлинности сервера, передающего сообщение. Администратор может решить, удалять незаконные сообщения, отклонять и посылать сообщение о недоставке (NDR) или принимать их со статусом, предписывающим IMF увеличивать SCL в сообщении. По умолчанию стоит действие «принимать», но любое сообщение, пришедшее из незаконного источника, будет отмечено IMF повышением значения SCL и, возможно, будет отброшено пользовательским фильтром нежелательной почты. По адресу http://www.microsoft.com/mscorp/safety/technologies/ senderid/default.mspx можно получить информацию о стандарте Sender ID.

IMF не поддерживает кластерную среду, но это не страшно. Большинство серверов, которые принимают почту и занимаются ее очисткой, являются отдельными серверами и не выполняют других функций, кроме приема входящей почты, фильтрации спама и вирусов, в то время как серверы кластера используются для поддержки почтовых ящиков. Обычно производительность и отказоустойчивость «очищающих» серверов достигается построением систем с балансировкой нагрузки.

Новая OAB

Многие организации формат автономной адресной книги (Offline Address Book, OAB) в Exchange 2003 полностью устраивал при работе Outlook в режиме кэширования. Но некоторые компании столкнулись с тем, что серверы начинают тормозить работу, когда идут множественные запросы клиентов на загрузку OAB. Представленный в SP2 формат OAB (OAB v4) и новый механизм обновления предназначены для снятия нагрузки с серверов.

Outlook запрашивает полную загрузку OAB, если OAB изменилась на некоторое число процентов. По умолчанию это число составляет 12,5%, или 1/8 содержимого OAB. Даже такие незначительные изменения, как изменение одной цифры в телефонном номере, вызывают отправку уведомлений серверу Exchange о необходимости изменения в записи. Многие организации, переходя с Exchange 5.5, консолидируют серверы, добавляют или удаляют административные группы, выполняют обычные почтовые операции (перенос почтовых ящиков между серверами, физическая смена офисов, добавление новых почтовых адресов SMTP и т. п.) и создают тем самым большое количество изменений в OAB. Поэтому установленные по умолчанию 12,5% с легкостью превышаются и возникает множество клиентских запросов на получение копии OAB, в результате чего нагрузка на серверы возрастает еще больше. В маленьких организациях создаются маленькие OAB, и в этом случае описанный эффект не так заметен. А в крупных компаниях даже оказывается под вопросом внедрение Outlook 2003 с включенным режимом Cached Exchange Mode.

Microsoft на эту проблему отвечает реализацией компрессии LZX для повышения скорости передачи данных OAB между сервером и клиентом (эта же самая технология используется для загрузки обновлений Windows с узла Microsoft). Этот механизм называется Binpatch, он использует компрессию Binary Delta Compression (BDC) для файлов OAB. Клиенты теперь могут создавать собственный порядок сортировки, базирующийся на установках локализации персонального компьютера, вместо поддерживаемых сервером локализаций. Поскольку изменения касаются не только сервера, но и клиента, то только Outlook 2003 SP2 может загружать файлы OAB v4, а Outlook 2003 или Outlook 2003 SP1 могут продолжать работать с форматом файлов OAB v3a.

Во время процесса создания OAB сервер с SP2 создает два новых файла, называемые Binpatch.oab и Data.oab, и сохраняет их в общей системной папке OAB v4, как показано на экране 2. Каждый файл Binpatch.oab содержит изменения по сравнению с последней созданной версией OAB или все изменения GAL, которые происходили в течение дня. В младших версиях OAB файлы изменений содержали полностью измененные записи, даже если изменения были минимальны. Outlook 2003 SP2 может комбинировать имеющиеся файлы изменений для создания OAB. Например, файл OAB v3 с полной информацией (экран 2) имеет размер 66 Мбайт, а обновление за 17 августа имеет размер 1003 Кбайт против версии OAB v4, где размеры 34 Мбайт и 239 Кбайт соответственно. В результате Outlook загружает гораздо меньше данных, чем это было в ранних версиях.

Microsoft предполагает, что новый формат OAB и исправления SP2 уменьшат количество клиентов, запрашивающих полную загрузку OAB. Полная загрузка теперь возможна, если файлов OAB у клиента нет, если они испорчены или если клиент не загружал обновления адресной книги более месяца. Новый формат данных уменьшает нагрузку на сервер, но дает клиенту больше работы по разархивированию и использованию бинарного файла изменений. Если ваш компьютер постоянно нагружен в течение дня, то проблема загрузки OAB, скорее всего, даст о себе знать.

Увеличение ограничения на размер хранилища для стандартной версии

До версии SP2 ограничение на хранилище почтовых ящиков в Exchange 2003 Standard Edition составляло 16 Гбайт. Это ограничение сохранилось еще со времен Exchange Server 4.0, и оно явно устарело и не соответствовало мировым тенденциям увеличения размера сообщений, увеличения размеров дисков и уменьшения стоимости 1 Гбайт дискового объема. В Microsoft на это ответили увеличением ограничения в SP2 до 75 Гбайт. Через некоторое время Microsoft обновит версию Exchange, включенную в Microsoft Small Business Server (SBS) 2003 для поддержки нового ограничения, выпустив, вероятно, пакет обновлений через несколько месяцев после выхода Exchange 2003 SP2. Наличие разрешения на больший размер хранилища — это хорошо, но даже увеличение до 59 Гбайт не будет соответствовать росту размеров сообщения. В 1996 году средний размер сообщения составлял 10 Кбайт, сейчас это 100 Кбайт и больше. В результате, чтобы выдержать темп, Microsoft может увеличить ограничение хранилища до 160 Гбайт или больше. Информацию об увеличении ограничения Exchange можно найти по адресу http://blogs.technet.com/exchange/archive/ 2005/09/14/410821.aspx.

Изменения в управлении общими папками

Общие папки — обязательная часть Exchange. Многие организации находят, что они помогают в работе, но мало кому известны все доступные возможности работы с общими папками. Microsoft SharePoint Portal Server и SharePoint Team Services являются популярной альтернативой для организации совместной работы. Microsoft явно уходит от технологии общих папок и в конечном итоге откажется от них совсем. Это произойдет, видимо, тогда, когда компания предложит подходящие инструменты для миграции и программное обеспечение, которое организации станут использовать вместо общих папок при переходе на другую платформу. Тем не менее SP2 решает некоторые проблемы, от которых страдали администраторы Exchange. Теперь можно, используя Exchange System Manager (ESM), остановить и возобновить репликацию содержимого (но только на серверах с SP2 или старше), форсировать репликацию иерархии общих папок (экран 3), обновить разрешения доступа и распространить их по иерархии общих папок. В заключение отметим, что Exchange фиксирует факт удаления общих папок в журнале Application, чтобы была возможность определить, кто удалил папку, если была допущена ошибка.

Экран 3. Синхронизация иерархии общих папок

Таким образом, SP2 не производит радикальных изменений, но включенные в него долгожданные усовершенствования облегчат жизнь администраторам Exchange и понравятся пользователям. Обновление происходит легко, и это позволяет быстро внедрять SP2, не откладывая дела в долгий ящик. Как обычно, необходимо протестировать SP2 в лабораторной среде, прежде чем разворачивать его во всей организации.

Тони Редмонд - Внештатный редактор Windows IT Pro, старший технический редактор Exchange & Outlook Administrator, вице-президент и главный технолог HP Services. Автор выпущенной издательством Digital Press книги Microsoft Exchange Server 2003 with SP1. exchguru@windowsitpro.com

Настройка политики для мобильных устройств

Exchange хранит настройки политик для мобильных устройств в атрибуте msExchOmaExtendedProperties в данных своей конфигурации в Active Directory (AD). Атрибут является многостроковым и включает модули XML, содержащие политику для применения на мобильных устройствах (модули XML имеют формат, который понимают мобильные устройства). Каждый раз, когда мобильное устройство предпринимает попытку выполнить команду ActiveSync, оно посылает ключ политики с запросом заголовков HTTP. Exchange сравнивает ключ политики устройства со своим значением (которое хранится в порции PolicyKey атрибута msExchOmaExtendedProperties), и, если два значения не совпадают, Exchange возвращает код статуса HTTP 449, предписывающий устройству выполнить обновление настроек политики и применить ее, прежде чем продолжить синхронизацию. Можно предписать устройству обновлять настройки политики на регулярной основе, установив параметр Refresh settings in the device (hours). Exchange хранит эту настройку (в минутах, но в диалоговом окне показывает в часах) в строке PolicyDataRefreshInterval атрибута msExchOmaExtendedProperties и сохраняет отметку о времени успешной отправки политики на устройство в почтовом ящике пользователя. Если установить интервал обновления политики равным, например, 144 (неделя), это позволит устройству не обновлять постоянно неизменившуюся политику.

Атрибут msExchOmaExtendedProperties также включает настройку PolicyDataSalt с некоторым случайным набором байтов, кодированных в формате base64. Exchange использует этот набор байтов для создания хешированной версии отметки времени последнего успешного обновления политики и сохранения значения в пользовательском почтовом ящике. Пользователь не знает, что это за случайный набор байтов, поэтому не может записать туда свое значение или сбросить последнюю успешную отметку времени в своем почтовом ящике, поскольку не может сгенерировать правильный хеш временной метки.

Можно непреднамеренно заставить сервер Exchange стереть информацию на устройстве, неправильно отвечая на запрос ввода PIN-кода. Например, некоторые устройства могут сами себя перезагружать для решения проблем со сбоем программных или аппаратных средств и требовать после этого ввода PIN-кода во время соединения с Exchange. Если перезагрузка произойдет в тот момент, когда устройство находится в кармане, человек может просто не заметить, что оно запрашивает PIN. И если устройство не заблокировано, то в кармане могут быть нажаты различные комбинации кнопок, что приведет к неудачным попыткам ввода PIN-кода. Другой возможной ситуацией может быть момент, когда устройство берет ребенок и играет с ним. Дети не понимают, что такое PIN, их занимает только игра. Поэтому Exchange включает настройку CodeWordFrequency, значение которой составляет половину значения параметра DeviceWipeThreshold. Когда будет исчерпано допустимое количество неправильных попыток ввода PIN, равное значению CodeWordFrequency, устройство запросит кодовое слово. Кодовое слово — это не действительный код, это просто запрос на ввод некоего значения, подтверждающего, что действительно выполняются попытки ввести PIN-код. Неосторожные нажатия клавиш не создадут правильного слова, и поэтому играющие с устройством дети не введут его невзначай. Такой механизм предотвращает стирание информации на устройстве сервером Exchange в том случае, если это не требуется.

Таблица. Атрибуты мобильного списка GAL