[Exchange] ForeFront TMGによるOWAの公開方法

MicrosoftのExchange Serverを使用している企業はほとんどOWAを使用しているかと思いますが、外部からインターネット経由でアクセスするための方法はいくつかあります。

今回はForeFront TMGというProxyサーバーを使用して、LANに設置されたCAS（Client Access Server）を公開、すなわち外部からアクセスできるようにするための設定についてまとめてみます。

■事前に必要なこと
(1) Active Directory内のルート証明書のインストール
ForeFront TMG⇒CASサーバーにSSLでアクセスする際、TMGはSSLクライアントになるため、この証明書をインストールする必要があります。

(2) 外部からhttpsアクセスをするためのSSL証明書のインストール
ここでインストールするためのSSL証明書のコモンネームはOWAで外部からアクセスする際のURL（https://xxx.xxx.xxx/owa）のうちの"xxx.xxx.xxx"が該当します。

(3) 外部からアクセスするためIPアドレスの設定
OWAのアクセス用にグローバルのIPアドレスを設定する場合、(2)における"xxx.xxx.xxx"に対するIPアドレスの紐付けをDNSにおいて実施してあげる必要があります。

基本的には事前準備は以上で完了です。

ではここからForeFront TMGの設定を見ていきます。
TMGの設定は大きく分けて、以下の2つに分かれます。

①Webリスナの作成
Webリスナによって設定できるものには以下のものがあります。
a) クライアントからの外部アクセスをどのIPアドレスでリッスンするか？
b) 外部からのアクセスのためにどのSSL証明書を割り当てるか？
c) TMGはアクセスしてきたクライアントに対してどのような認証を行うか？

簡単にいうとクライアントがTMGにアクセスする際のルールをまとめたものですね。

②Exchange Webクライアントアクセス公開ルール

一方、クライアントアクセス公開ルールでは以下のものを設定することになります。
a) 公開するExchangeのバージョンは？
b) 実際に公開するExchangeのサービスはなに？（OWA？Outlook Anywhere？）
c) 内部の接続先であるCASの名前は？またその接続方法は？
d) 使用するWebリスナは？
e) このルールの適用対象となるユーザーは誰？

つまり、おもにForeFront⇔CASにおける設定をここで定義して、実際にExchangeのサービスを外部に公開するわけですね。

■具体的な公開の手順
実際にWizardを使用して公開を行う手順としてはいろいろなWebサイトで紹介されています。
http://exchangemaster.wordpress.com/2010/04/09/publish-exchange-2010-with-tmg-forefront-threat-management-gateway/
http://download.microsoft.com/download/0/D/3/0D3AF0EF-28C9-4AFF-827D-84FA669623C6/Secure_Web_Publishing.doc

■注意事項
上記の手順を見るとわかるように、認証については、下記の2種類の設定箇所があります。
(1) ISA Serverがクライアントを認証する（Webリスナで設定）
(2) ExchangeがISAからのリクエストを認証する（公開ルールで設定）

今回の要件は『ISAで認証は行わない。すべての認証はExchangeで行う。ISAはリダイレクトするだけ。』というものだったので、実際の設定は以下のようになっています。
(1) No Authentication
(2) No delegation, but client may authenticate directly


基本的にはこれで外部クライアントからOWAにアクセスすることができるようになります。
「OWA」と記載を行っていますが、Exchange公開ルールウィザードの中で公開するサービスを選択できるので、Outlook Anywhereなどについても同じ設定内容で実装することが可能です。

ISA Server 2006でポートリッスンにならない。

ISA Server 2006を使用してLAN/DMZおよびInternetへの接続を構成している環境で、下記の問題が発生しました。

■問題
Internet側のNICのIPアドレスをDHCP設定から固定のIPアドレスに、さらにもとのDHCPに戻すという作業を行ったところ、ISAのサービスがポートをリッスン状態にすることができずに、クライアントからプロキシサーバーとして使用できない。

Webを検索してみると、以下の情報がありました。
http://support.microsoft.com/kb/891992/en-us

どうやらISA Serverは構成後にむやみにIPアドレスを変更してはいけないようですね。

ただ、上記のKBに記載された解決策（レジストリ修正）を実施しても問題は修正されませんでした。
また、回避策に記載してあるMicrosoft Firewallサービスの再起動をしても、一時的に警告イベントが出なくなりますが、クライアントからの接続ができないという状況は変わりませんでした。

実際にはコントロールパネルからISA Serverを選択し、ここから「修復」を行うことにより、正常な状態に戻りました。


今後、IPv4アドレスが枯渇しそうってことでISP変更なんかでIPアドレス自体が変わるときにはよく発生しそうだなと思います…。

はじめてブログをやってみます。

これまで丸7年ほどIT業界に勤めているが、『基本的に発信することはない』というスタンスだったので、ブログやミクシィなどまったく興味を持ったこともなかった。

ただここのところ実務的な面で、自分の中に情報を蓄積していくにあたっての方法が「ローカルPCにメモをする」以外ほぼないので、ちょっとWebにでも書いてみるかという気になったので開始してみる。

なんかすぐ飽きてしまいそうな気もするが、それはそれで。
自分らしいような気もするし。

ということで、いざ開始。