关键字： isa server isa 2006 proxy 代理 防火墙 OWA SMTP 邮件服务器
在 Exchange 服务器提供的邮件访问服务功能中，最常用的是以下三个：
-
基于Web协议的OWA，让客户端可以通过Web浏览器访问邮件服务；
-
基于RPC协议的MAPI，让客户端可以通过Outlook访问邮件服务，具有最完整的用户服务特性；
-
SMTP协议，用于邮件服务器之间的邮件转发，和非MAPI客户端的邮件发送；
在这篇文章中，我将给大家介绍如何在 ISA Server 2006 中发布这三个服务。
本文中的试验环境如下图所示，ISA Server 2006 作为边缘防火墙，连接Internet和内部网络，并未加入域；内部网络的IP地址范围为10.1.1.0/24，部署了域 WinSVR.ORG，Berlin 是域控制器，并安装了DNS/证书权威/Exchange服务，在这个试验中，我将发布 Berlin 上的邮件服务；WSS 是内部网络中的一台服务器，安装了 Windows SharePoint Services 提供内部门户站点，我将在另外一篇文章中给大家介绍如何发布 SharePoint 站点服务和实现单点登录（Single Sign On）。
一、发布OWA
在 ISA Server 2006 中发布OWA服务和 ISA Server 2004 基本一致，其实发布OWA服务和发布安全Web服务非常相似，通常的流程为：
-
在 Exchange 服务器上安装服务器证书并配置OWA站点使用SSL连接。注意：如果在 ISA Server 和Exchange服务器之间需要安全连接，则不能在Exchange服务器上启用基于表单的身份验证；
-
在 Exchange 服务器上导出OWA站点的服务器证书（含私钥）；
-
在 ISA Server 上将OWA站点服务器证书的证书颁发机构的CA证书导入到本地计算机的受信任的根证书存储中， 再导入OWA站点的服务器证书；
-
在 ISA Server 上确认访问OWA服务没有任何错误或警告提示；
-
在 ISA Server 上创建OWA服务发布规则；
前面四个步骤我在此就不详细描述了。如下图所示，我已经把OWA站点的服务器证书和对应的CA证书导入到 ISA Server；
然后，需要在 ISA Server 上访问OWA站点进行测试，注意在访问过程中不能出现任何错误或警告提示，否则你的OWA发布将会失败。另外需要注意的是，如果在 Exchange 服务器上针对OWA启用了基于表单的身份验证，那么就不能在 ISA Server 和 Exchange 服务器之间使用安全（HTTPS）连接，因此如果你需要在 ISA Server 和 Exchange 服务器之间启用安全连接，则必须在 Exchange 服务器上取消基于表单的身份验证。
在准备工作做完以后，就可以创建OWA发布规则了，在此我以发布位于 Berlin.winsvr.org（10.1.1.8）上的OWA服务为例。
在 ISA Server 2006 管理控制台中，右击防火墙策略，指向新建，选择 Exchange Web客户端访问发布规则，
在弹出的欢迎使用新建 Exchange 发布规则向导页，输入规则名称后点击下一步；
在选择服务页，选择对应的 Exchange 服务器版本，然后选择发布服务类型，完成后点击下一步；
在发布类型页，选择发布单个Web站点或负载均衡器，点击下一步；
在服务器连接安全性页，选择使用SSL来连接到被发布的Web服务器或服务器场（即使用HTTPS协议进行连接），点击下一步；
在内部发布细节页，在内部站点名栏输入被发布的OWA站点的名称，为了避免ISA不能正常解析此名字而导致发布失败的情况，建议你总是勾选使用计算机名或IP地址来连接到被发布的服务器，然后输入服务器的IP地址，完成后点击下一步；
在公共名字细节页，选择接受外部访问请求的外部域名，在此我输入外部域名 Berlin.winsvr.org，点击下一步；
在选择侦听器页，点击新建，在弹出的欢迎使用新建Web侦听器向导页，输入侦听器名称后点击下一步；
在客户端连接安全性页，选择要求和客户端之间的SSL安全连接，点击下一步；
[next]
在Web侦听器IP地址页，勾选外部网络，点击下一步；
在侦听器SSL证书页，点击选择证书按钮选择对应的服务器证书，完成后如下图所示，点击下一步；
在身份验证设置页，接受默认的HTML表单验证和Windows（Active Directory）验证方式，点击下一步；
在单点登录设置页，目前我并不启用单点登录，我将在后面一篇关于发布WSS的文章中结合此文章中的配置来设置单点登录，在此我直接点击下一步；
在正在完成新建Web侦听器向导页点击完成，然后在选择Web侦听器页点击下一步；
在身份验证委派页，接受默认的身份验证委派方式基本身份验证，这也是OWA站点的默认身份验证方式。ISA Server 上配置的身份验证委派方式必须和OWA站点上的身份验证方式一致，否则发布将失败。点击下一步；
在用户集页，接受默认的所有经过身份验证的用户，这样 ISA Server 将对请求访问的用户进行身份验证，点击下一步；
在正在完成新建Exchange发布规则向导页点击完成，此时OWA发布规则就创建好了。
在 ISA Server 2006 管理控制台中点击应用保存修改并更新防火墙策略。
[next]
现在我们在外部客户上访问进行测试，访问成功，如下图所示：
二、发布MAPI和SMTP服务
在 ISA Server 2006 中提供了邮件服务器发布向导，可以同时发布多种邮件访问服务，在此我将利用此向导同时发布MAPI和SMTP服务。
MAPI服务基于RPC协议，RPC协议的访问需要动态开放高端端口（1024～65535），在 ISA Server 2004 之前，由于没有防火墙可以做到RPC协议的应用层过滤， 因此从安全性考虑，通常都是禁止了RPC协议的直接访问而通过RPC over HTTPS来实现MAPI服务的访问。从 ISA Server 2004 开始，ISA Server 实现了针对RPC协议的应用层过滤，因此你可以直接发布 基于RPC协议的MAPI服务而不需要经过RPC over HTTPS的转换。
在 ISA Server 2006 管理控制台中，右击防火墙策略，指向新建，选择邮件服务器发布规则，
在弹出的欢迎使用新建邮件服务器发布规则向导页，输入规则名称后点击下一步；
在选择访问类型页，选择客户端访问：RPC，IMAP，POP3，SMTP，点击下一步；
在选择服务页，勾选Outlook（RPC）和SMTP（standard port），ISA Server 将会根据你的选择为每个服务创建一条发布规则，点击下一步；
在选择服务器页，输入服务器的IP地址，点击下一步；
在网络侦听器IP地址页，勾选外部网络，点击下一步；
在正在完成新建邮件服务器发布规则向导页点击完成，此时邮件服务器发布规则就创建好了 ，如下图所示：
在 ISA Server 2006 管理控制台中点击应用保存修改并更新防火墙策略。
[next]
现在我们在外部客户上使用Outlook测试MAPI服务的访问，访问成功，如下图所示：
测试邮件发送：
对方成功接收到邮件，
最后我们通过 Telnet 来测试发布的SMTP服务，发布成功，如下图所示：
