Uag 2010 – tmg 2010 – exchange 2010 kurulum yapılandırma

[emreaydin]

Merhabalar,

Sistem içerisinde Exchange 2007 den Exchange 2010 ‘ a upgrade , Tmg MBE ‘ dan TMG 2010′a upgrade edip , UAG 2010 u da kullanmak istiyoruz.

Sormak istediğim bu yapı içerisinde gerek güvenlik , gerekse performans bakımından en doğru yol nedir sizlerin tavsiyesini almak.

benim düşündüğüm yapı ;

Hyper-V 2008 R2 yüklü host üzerinde 2 tane Virtual machine yaratarak bunları TMG 2010 ve UAG 2010 olarak ayırmak..

Burada Tmg 2010 ve UAG 2010 ‘ u domain member olarak mı kullanmak yoksa workgroupta mı kullanmak veya UAG 2010 ‘ u perimeter network olarak ayırmak mı en doğrusudur ? Bu şekilde ki yapıların artısı eksisi benim için ne olur ?

Exchange 2010 içinse , ayrı bir host üzerinde Virtual machine yaratarak Exchange 2010 kurulumunu gerçekleştirip , üzerine Forefront Exchange Protection 2010 ‘ kurmak ve TMG 2010 virtual machine üzerine de Exchange Edge Sync kurmayı düşünüyorum.

yani özetle Exchange 2010 , UAG 2010 , TMG 2010 , Exchange Edge Sync , Forefront Exchange Protection 2010 bu kurulumların olduğu bir yapıda güvenlik ve performans açısından nasıl bir yol izlemeliyim ?

Arkadaşlar yardımlarınızı ve değerli tavsiyelerinizi bekliyorum , Teşekkürler…

[emreaydin]

Merhaba,

Client sayınız kaç?
Mail gönderim ve alım size ınız ne kadar?
Exchange Server’ınızı aynı zaman da UM olarak ta kullanacak mısınız?
vs…

bunların tamamı sunucu seçiminizi etkileyecektir.

Örneğin 200PC’niz varsa TMG, UAG ve Exchange’i aynı fiziksel host üzerinde ki üç ayrı sanal olarak rahatlıkla çalıştırabilirsiniz.

UAG’yi ve TMG’yi domain member olarak çalıştırmanız size Active Directory’den kimlik dogrulamanız da kolaylık saglayacaktır. Workgroup’ta çalıştırırsanız ekstra yapmanız gereken adımlar ortaya çıkıyor. Bu adımlar için aşağıdaki yazıyı referans alabilirsiniz :

Workgroup Ortamındaki ISA Server Üzerinde Domain Kullanıcıları için Kimlik Doğrulaması Yapın! | Mshowto

Önerim :

1. Güclü bir host üzerinde, üc ayrı sanal acın ve makinelerinizi buraya yerlestirin.
2. ikinci guclu bir host üzerinde ise “Failover Cluster” yapın.Asagiaki makaleyi referans alabilirsiniz:

Video – Hyper-v Failover Clustering – Bölüm 1 | Mshowto
Video – Hyper-v Failover Clustering – Bölüm 2 | Mshowto

3. Exchange 2010′u DAG ile cluster lı kurun. Bunun için aşağıdaki yazıyı referans alabilirsiniz:

Windows Server 2008 R2 Üzerine Exchange 2010, 2 Node DAG Kurulumu | Mshowto

4. UAG’yi domain member olarak kullanın.

5. TMG’yi DMZ’de workgroup’ta bırakarak kullanın. Bu durumda bazı kimlik dogrulaması yontemlerini tamamen kullanılmaz duruma sokuyorsunuz. En buyuk kaybınız bu olur. Fakat yukarıdaki makaleyi bu kaybın onlenmesi için referans alabilirsiniz.

Emre Aydın

[emreaydin]

emre bey merhaba öncelikle ilgiliniz ve cevaplarınız için çok teşekkür ederim..

Client sayımız 30-40 , Exchange Server üzerinde UM rolü olmayacak.. Client Access,Hub Transport,Mailbox rolleri olacak. Edge rolünü TMG 2010 olan virtual üzerine kurmayı düşünüyorum.

Exchange server 2010 – Ayrı bir Host üzerindeki Virtual machine ‘ de olacaktı..
TMG 2010 ve UAG 2010 – Hyper-V 2008 Server kurulu Ayrı bir Host üzerinde ki 2 virtual machine olacaktı..

Mevcut sistem içerisinde Exchange 2007 bulunmakta, DAG ile kurulumda 2007 den 2010 a geçişte herhangi bir sorun olmaz değil mi ? DAG’ lı kurulumu tamamladıktan sonra mı Exchange 2007 den upgrade işlemlerini yapacağım.? Birde DAG ‘ lı kurulumda ki File Share Witness için Virtual machine’nin bulunduğu sunucu üzerinde klasörü paylaşıma açarak kullansam uygun mudur ? Exchange server 2007 varken Exchange 2010 DAG lı kurulumda nelere dikkat etmem gerekiyor ?

TMG 2010 ‘ u dediğiniz gibi workgroupta bırakıp , mevcut sistem içerisinde ki RADIUS SERVER’ dan kimlik doğrulamasını yaparak kullanacağım…

UAG 2010 ‘ u da domain member olarak kullanacağım.

Mevcut sistem içerisinde malesef ki failover cluser yapma imkanım yok..

Emre bey bu durumda ki tavsiyeleriniz nelerdir ? şimdiden çok teşekkür ederim…

[emreaydin]

1. Önce Exchange 2007 den Exchange 2010 a gecisi tamamen bitirin. Sonrasında ise Exchange 2010 lu yapınıza DAG kurun.

2. File share witness için DC üzerinde bir klasor kullanın.

3. TMG için radius olabilir,

4. UAG’nin domain de olması en dogru karar olur.

Sorularınız olursa cekinmeden sorabilirsiniz.

Şimdiden kolay gelsin,

Emre Aydın

[emreaydin]

Emre hocam merhaba ,

UAG 2010 ‘ u domain member olarak yapılandırdım,herhangi bir sorun çıkmadı..

TMG 2010′ u Workgroup’ta kurdum.

TMG 2010 ve RADIUS SERVER arasında ki ayarlar hakkında size danışmak istedim..

Network Policy Server ‘ da Radius Clients kısmından TMG sunucumu gösterdim.
Policies – Network Policies kısmından Authentication Type: EAP-PEAP , NAS IPv4 Adress kısmından TMG sunucumu ekledim,Windows Group kısmından da Domain Users grubunu ekledim.

Network Policy Server’da başka bir ayar yapmak gerekir mi ?

TMG tarafında ise Remote Access Policy kısmınan Radius Serverı ekledim.Authentication : EAP seçtim.

Firewall Policy kısmından RADIUS Accounting ve RADIUS protokollerine All Networks,Internal,All Users olarak izin verdim,

Aynı şekilde HTTP ve HTTPS protokollerinide İnternal -External-All Users olarak izin verdim.

Networking – Web Proxy – Authentication kısmından RADIUS ‘ u seçtim, select domain,radius servers kısımlarını seçtim.
Require all users to authenticate … kısmını boş bıraktım…

TMG tarafında ve Radius tarafında kimlik doğrulamayla ilgili olarak başka ayar yapmak gerekir mi ?

Çok Teşekkürler…

[emreaydin]

Emre hocam tekrar merhaba,

Şu durumda Radius Server devrede değil gibi , çünkü gateway ‘ı Tmg 2010 yaptığımda client ister domainde ister workgroupta olsun herşekilde nete çıkabiliyor.Authentication kısmında yaptığım değişiklikler Radius tarafında etkili olmuyor ??

TMG – Radius Server – Client tarafında authentication ın Radius tarafından yapılıp yapılmadığını nasıl test edebilirim ?

[emreaydin]

Merhaba,

Microsoft Forefront TMG – Using LDAP and RADIUS Authentication
Configuring RADIUS servers
Configure Forefront TMG as a NPS (Radius) Client for VPN and local clients | Blog by Raihan Al-Beruni

Bu yazılara göz atabilir misiniz?

Emre Aydın

[emreaydin]

Merhaba,

Microsoft Forefront TMG – Using LDAP and RADIUS Authentication
Configuring RADIUS servers
Configure Forefront TMG as a NPS (Radius) Client for VPN and local clients | Blog by Raihan Al-Beruni

Bu yazılara göz atabilir misiniz?

Emre Aydın

[emreaydin]

emre hocam önceki yapılandırmamı o makalelere göre yapmıştım.Şimdiki durum şu şekilde ;

RADIUS SERVER üzerinde ;

Network Policy Server ‘ da Radius Clients kısmından TMG sunucumu gösterdim.
Policies-Connection Request Policies-conditions : Client IPV4 tmg IP’si , Authentication EAP-PEAP
Policies – Network Policies kısmından Authentication Type: EAP-PEAP , NAS IPv4 Adress kısmından TMG sunucumu ekledim,Windows Group kısmından da Domain Users grubunu ekledim.
Health Policies-Windows Security Health Validator check’ledim..

Radius Server yapılandırmamı tamamladım diye düşünüyorum…

TMG 2010′da ;

Remote Access Policy , Radius Server kısmından TMG sunucumu gösterdim.(Use Radius for auth.. ve use Radius for accouting ‘i işaretledim.) Authentication : EAP ve MS-CHAP olarak işaretledim.

Firewall Policy kısmından RADIUS Accounting ve RADIUS protokollerine İnternal , VPN Clientes ,Internal,All Users olarak izin verdim,
Aynı şekilde HTTP ve HTTPS protokollerinide İnternal -External-All Users olarak izin verdim.
Networking – Internal -Properties- Web Proxy – Authentication kısmından RADIUS ‘ u seçtim, select domain,radius servers kısımlarını seçtim.
Require all users to authenticate … kısmını boş bıraktım

Emre hocam ;

1- TMG workgroupta iken ben Domain Users grubu için Authentication ‘ ı nasıl yapabilirim ? Aynı şekilde Workgrouptaki clientlarım içinde Authentication nasıl olacak ?
2-Domainde ki clientta Explorerde Proxy kullanmalımıyım ? Direk Gateway ‘ i gösterirsem kimlik doğrulaması radiustan hangi aşamada olacak ?
3-Bu yapı ile birlikte domainde ki clientlarım internete çıkarken Authentication ‘ larını domain kullanıcı adı şifreleriyle yaparak çıkması mı gerekiyor ?
4-TMG 2010 İnternal ‘ da Authentication – Radius seçili iken require all users authenticate seçersem client tarafında ” network access message ” ” the page cannot be displayed ” engellendi uyarısını alıyorum..
5-TMG 2010 da rule oluştururken “All Users” değilde “Authenticated All Users” seçersem de nete çıkamıyorum…

Anlamadığım nokta Radius Server’ı yapılandırdım , TMG 2010′u yapılandırdım bu işlemlerden sonra authentication işlemi client – radius-tmg arasında hangi aşamalarda olacak ?

Çok Teşekkürler…

[emreaydin]

Şifre ekranının tekrar tekrar gelmesiyle ilgili sorunun çözümü ;

Kullacı adı ile makinede logon olurken TR karakter kullanılmamasına özen göstermek gerekir .şifre ekranının tekrar tekrar gelmesini istemiyorsanız internet explorer sayfası üzerinde tools – internet options – security – custom tabında en altlarda Automatic Logon with current user name and password seçili olduğu zaman password sormaz bir de bunu internet – local internet – trusted sites – restricted sites kısmından yapmak gerekir.

Proxy etkinleştirildikten sonra direk username&password uyarısı alınıyorsa

Internet Options / Connextions / LAN Settings kısmından Automatically detect settings ve Use automatic configuration script sekmelerini kaldırın.Ayrıca WPAD için yapılan ayarıda disable edin.

Aslında bu ayarı Proxy yi enable ettiğiniz alandan öncelikle kaldırmanız gerekmekte.Daha sonra bir client üzerindende kaldırarak deneyin.Büyük olasılıkla sorun çözülecektir.