Select the product you need help with
如何在运行于 Windows Server 2003 服务器群集上的 Exchange Server 2003 后端服务器上配置 IPSec文章编号: 821839 - 查看本文应用于的产品 重要说明：本文包含有关修改注册表的信息。修改注册表之前，一定要先进行备份，并且一定要知道在发生问题时如何还原注册表。有关如何备份、还原和编辑注册表的信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章： 256986
(http://support.microsoft.com/kb/256986/
)
Microsoft Windows 注册表说明本页概要本文讨论如何在运行在基于 Windows Server 2003 服务器群集上的 Exchange 2003 后端服务器上使用 Internet 协议安全 (IPSec)。 Microsoft 支持 Exchange 2003 在基于 Windows Server 2003 的计算机上运行，并支持 Exchange 2003 使用 IPSec 传输模式封装式安全措施负载 (ESP) 来加密与使用网络负载平衡群集或服务器群集的 Exchange 2003 群集服务器间进行的通信。如果在前端服务器和后端服务器之间使用 IPSec，则故障转移时间取决于 Exchange 2003 恢复时间加上 IPSec 在故障转移过程中重新协商安全关联所花的时间。 更多信息 诸如 Outlook Web Access (OWA) 服务器之类的前端 Exchange 2003 服务器不能使用安全套接字层 (SSL) 或传输层安全性 (TLS) 来加密与后端 Exchange 2003 服务器间进行的通信。如果使用超文本传输协议 (HTTP)、邮局协议版本 3 (POP3) 或 Internet 消息访问协议 4 (IMAP4)，则前端服务器和后端服务器间进行的通信始终使用未加密的通信格式。
在 Exchange 2003 中，HTTP 协议尽可能地使用安全身份验证。如果将后端服务器配置为接受集成的 Windows 身份验证，则 Exchange 2003 前端服务器将使用 Kerberos 或 NTLM 身份验证与后端服务器进行通信。这有助于防止用户密码信息被恶意用户窃取，而恶意用户可能会企图捕获前端服务器和后端服务器间的网络通信。 POP3 协议和 IMAP4 协议只能使用基本身份验证与后端服务器进行通信。由于此限制，使得恶意用户能够窃取到用户密码信息，而恶意用户可能会企图捕获前端服务器和后端服务器间的网络通信。 下表说明了可能希望使用 IPSec 在 Exchange 2003 前端服务器和后端服务器间建立信任及加密这两者间的网络通信的一些原因：
306677
(http://support.microsoft.com/kb/306677/
)
未针对故障转移设计 IPSec
248346 在 Windows Server 2003 服务器群集中的后端服务器上配置 IPSec 时，如果使用群集管理器实用工具移动使用虚拟 IP 地址的群集资源，则会发生下列问题：
(http://support.microsoft.com/kb/248346/
)
在向 NLB 群集添加服务器时 L2TP 会话丢失
一旦 Microsoft 群集服务后端群集节点停止响应（崩溃），群集服务就会为群集程序和虚拟 IP 地址启动故障转移过程。不过，在这种情况下，前端 IPSec 计算机仍会认为它与虚拟 IP 地址的链接是安全的。IPSec 组件使用其空闲计时器来确定后端节点不再具有的时间。在基于 Windows 2000 的计算机上，最小空闲时间为 5 分钟。在基于 Windows Server 2003 的计算机上，如果设置了 NLBSFlags 注册表项，则空闲时间会自动降为 1 分钟。只要 IPSec 删除空闲 IPSec 安全关联，IKE 就会尝试重新协商新的 IPSec 安全关联。1 分钟后，IKE 会尝试与虚拟 IP 地址建立一个新的主模式协商，然后成功创建带有新的群集节点的新安全关联。由于此过程，IPSec 进行故障转移所花的总时间为 6 分钟：即 5 分钟的 IPSec 空闲时间加上 IKE 与虚拟 IP 地址重新协商新的主模式协商所花的 1 分钟时间。修改重新协商时间要使 IPSec 能够在发生意外故障转移后的较短时间内重新协商与后端群集节点的会话，请在前端 Exchange 2003 服务器上设置下面注册表子项中的NLBSFlags 注册表值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent\Oakley 警告：注册表编辑器使用不当可导致严重问题，可能需要重新安装操作系统。Microsoft 不能保证您可以解决因注册表编辑器使用不当而导致的问题。使用注册表编辑器需要您自担风险。
推荐使用的 IPSec 策略设计尽管本文不提供配置 IPSec 策略的分步说明，但建议在 Exchange 2003 中使用下面的 IPSec 策略实施方案：
属性文章编号: 821839 - 最后修改: 2007年11月26日 - 修订: 1.2 这篇文章中的信息适用于:
Microsoft和/或其各供应商对于为任何目的而在本服务器上发布的文件及有关图形所含信息的适用性，不作任何声明。 所有该等文件及有关图形均"依样"提供，而不带任何性质的保证。Microsoft和/或其各供应商特此声明，对所有与该等信息有关的保证和条件不负任何责任，该等保证和条件包括关于适销性、符合特定用途、所有权和非侵权的所有默示保证和条件。在任何情况下，在由于使用或运行本服务器上的信息所引起的或与该等使用或运行有关的诉讼中，Microsoft和/或其各供应商就因丧失使用、数据或利润所导致的任何特别的、间接的、衍生性的损害或任何因使用而丧失所导致的之损害、数据或利润不负任何责任。 |
回到顶端
