Чтобы поменять прокси Exchange или нет
В настоящее время я использую Forefront TMG для обращения прокси Exchange 2010 к внешнему миру.
Сейчас я готовлю среду Exchange 2016 и, поскольку Forefront TMG устарел, мне нужно решение без него. Теперь у меня есть pfSense и HAProxy в качестве первой линии защиты и балансировки нагрузки.
У меня вопрос: следует ли добавить обратный прокси-сервер между балансировщиком нагрузки и Exchange? Где это выгодно? Все работает из одного и того же гипервизора и хранилища ниже.
Я знаю, что HAPrxoy 1.8 теперь может кэшировать небольшие объекты в памяти, что может ускорить работу веб-сервисов. Но с другой стороны, только OWA и ECP имеют некоторый статический контент.
Есть идеи?
Привет,
Рональд
1 ответ
У меня есть прокси Azure AD App для внешней среды Exchange. Причины для этого - безопасность.
С внешним прокси-слоем вы можете реализовать любые другие правила, которые Exchange не использует изначально. Ограничения IP, ограничения geoIP, многофакторная аутентификация и т. Д. - что бы ни поддерживал ваш прокси.
У вас нет портов 80 и 443, открытых для серверов Exchange, на которых работает Windows, и которые могут иметь неизвестные уязвимости. Очевидно, вы полагаетесь на то, что у вашего прокси-сервера меньше уязвимостей, но даже если они становятся собственниками, если прокси-сервер не является членом домена и находится в какой-либо форме DMZ, то количество повреждений, которое может нанести прокси-машина pwned. надеюсь, намного меньше, чем принадлежащий машине Exchange.
Предостережение. Если ваш прокси-сервер не предоставляет вам больше функций безопасности и / или не уменьшает поверхность атаки, то все, что вы сделали, это усложнили вашу среду без каких-либо выплат.