是否反向代理交换

Question

目前我运行 Forefront TMG 将 Exchange 2010 反向代理到外部世界。

我现在正在准备 Exchange 2016 环境，随着 Forefront TMG 过时，我想要一个没有它的解决方案。我现在有 pfSense 和 HAProxy 作为第一道防线和负载平衡。

我的问题是：您应该在负载均衡器和 Exchange 之间添加反向代理吗？这有什么好处？这一切都运行在相同的管理程序和存储基础设施之下。

我知道 HAPrxoy 1.8 现在具有内存中缓存小对象的能力，这可能会加速 Web 服务。但另一方面，只有 OWA 和 ECP 有一些静态内容。

有任何想法吗？

你好，

罗纳德

Answer 1

我有 Azure AD App 代理来前端我的本地 Exchange 环境。这样做的原因全是安全性。

使用外部代理层，您可以实现 Exchange 本身没有实现的任何其他规则。IP 限制、geoIP 限制、多因素身份验证等 - 无论您的代理支持什么。

您没有向运行 Windows 的 Exchange 服务器开放端口 80 和 443，并且可能存在未知漏洞。显然，您依赖于您的代理具有更少的漏洞 - 但即使它们被拥有，只要代理不是域成员并且处于某种形式的 DMZ 中，那么 pwned 代理机器可以造成的破坏量do 希望比拥有的 Exchange 机器小得多。

警告 - 如果您的代理没有为您提供更多安全功能和/或减少您的攻击面，那么您所做的只是使您的环境复杂化而没有任何回报。