对于面向互联网、全角色合一的 Exchange 服务器，我需要让什么通过防火墙？

Question 1

对于广泛开放的全协议实现来说，这看起来基本正确。以下是一些建议：

除非您有出于业务原因而需要所有这些的邮件客户端，否则请将其限制为 25、80、443。不要允许 POP 访问，这是明文密码。不要允许客户端 SMTP 访问，这是明文密码。（当然，要接受来自互联网的邮件，您需要打开 TCP 25。）

任何使用移动设备或 Outlook Anywhere 的人都会对 Outlook Anywhere 或 EWS/Activesync 使用 HTTPS。

如果我们想写一篇关于安全性的整篇文章，您将接受不属于您域的 MX 记录的电子邮件，并且您的 Exchange 服务器将仅接受来自该主机的 TCP 25。您可以使用边缘传输、第三方产品或托管服务。

Answer

对于广泛开放的全协议实现来说，这看起来基本正确。以下是一些建议：

除非您有出于业务原因而需要所有这些的邮件客户端，否则请将其限制为 25、80、443。不要允许 POP 访问，这是明文密码。不要允许客户端 SMTP 访问，这是明文密码。（当然，要接受来自互联网的邮件，您需要打开 TCP 25。）

任何使用移动设备或 Outlook Anywhere 的人都会对 Outlook Anywhere 或 EWS/Activesync 使用 HTTPS。

如果我们想写一篇关于安全性的整篇文章，您将接受不属于您域的 MX 记录的电子邮件，并且您的 Exchange 服务器将仅接受来自该主机的 TCP 25。您可以使用边缘传输、第三方产品或托管服务。

Question 2

mfinni 所说的，除了我们将三个端口转发到防火墙后面的一体化 Exchange 盒之外：

25:  SMTP
80:  HTTP (redirect to OWA HTTPS)
443: HTTPS

这对于使用 Android、iPhone 等手机的用户来说非常有效。一般来说，人们在家里使用 OWA 或他们的手机。

编辑：既然你要求提供微软源代码，这是指向有关防火墙和 SBS 2008 的 TechNet 文章的链接，其中包含一个一体化 Exchange 配置。他们建议：

Service or Protocol     Port
SMTP e-mail             TCP 25
HTTP Web traffic        TCP 80
HTTPS Web traffic       TCP 443
SharePoint Services     TCP 987
VPN                     TCP 1723
Remote Desktop Protocol TCP 3389

您显然不需要 Sharepoint、VPN 或 RDP，剩下 25、80 和 443。

和这是一个用于 SBS 2011 的链接，其中包含 Exchange 2010。相同的端口（减去 RDP）。

Answer