Настройка Microsoft Exchange Server: DAG, TLS, Autodiscover под ключ

Настройка корпоративного почтового сервера всегда начинается с неожиданности: Outlook не подключается, письма не доставляются, Autodiscover не работает. В 80% случаев корень — в неправильной подготовке AD и DNS. Exchange Server — требовательный продукт: он нуждается в минимум 128 ГБ RAM для production, корректной конфигурации DNS с split-brain и валидном TLS-сертификате с именами autodiscover, mail и owa. Нарушение любого из этих требований приводит к многодневным проблемам. Мы это знаем по 30+ проектам. Свяжитесь с нами для детальной оценки вашей инфраструктуры.

Подготовка Active Directory и DNS

Подготовка Active Directory — ключевой этап. Exchange расширяет схему AD, добавляя сотни атрибутов и классов. Это необратимая операция, требующая прав Schema Admin. Перед запуском обязательно выполните бэкап состояния системы на каждом контроллере домена. Процесс подготовки включает три команды, которые выполняются последовательно.

# Подготовка схемы AD (выполнять от Schema Admin)
.\Setup.exe /PrepareSchema /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

# Подготовка AD
.\Setup.exe /PrepareAD /OrganizationName:"CorpMail" /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

# Подготовка домена
.\Setup.exe /PrepareDomain /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

После PrepareAD нужно дождаться репликации AD по всем DC. В мультисайтовой топологии это занимает до 8 часов. Запускать установку Exchange до завершения репликации — стандартная ошибка, которая ведёт к ActiveDirectoryObjectNotFoundException в процессе инсталляции.

DNS-конфигурация: внутренний DNS должен резолвить mail.corp.ru, autodiscover.corp.ru и OWA-имя на IP Exchange-сервера. Внешний DNS — на публичный IP или WAF. Split-brain DNS — обязательное условие для корректной работы Autodiscover.

Почему Autodiscover — это ахиллесова пята Exchange?

Autodiscover — первое, что проверяет Outlook и мобильные устройства. Если DNS-запись отсутствует или сертификат не покрывает autodiscover.*, клиент не подключится автоматически. В проектах мы всегда проверяем: запись autodiscover.domain.com CNAME на Exchange, а также SAN-сертификат с этим именем. Ошибка в одном символе — и почта недоступна.

Как правильно установить Exchange Server?

# Установка предварительных требований Windows
Install-WindowsFeature -Name NET-Framework-45-Features, RPC-over-HTTP-proxy, `
    RSAT-Clustering, RSAT-Clustering-CmdInterface, RSAT-Clustering-Mgmt, `
    RSAT-Clustering-PowerShell, Web-Mgmt-Console, WAS-Process-Model, `
    Web-Asp-Net45, Web-Basic-Auth, Web-Client-Auth, Web-Digest-Auth, `
    Web-Dir-Browsing, Web-Dyn-Compression, Web-Http-Errors, Web-Http-Logging, `
    Web-Http-Redirect, Web-Http-Tracing, Web-ISAPI-Ext, Web-ISAPI-Filter, `
    Web-Lgcy-Mgmt-Console, Web-Metabase, Web-Mgmt-Console, Web-Mgmt-Service, `
    Web-Net-Ext45, Web-Request-Monitor, Web-Server, Web-Stat-Compression, `
    Web-Static-Content, Web-Windows-Auth, Web-WMI, Windows-Identity-Foundation, `
    RSAT-ADDS -Restart
# Visual C++ Redistributable и Unified Communications Managed API 4.0 — вручную с сайта Microsoft
# Затем установка Exchange
.\Setup.exe /Mode:Install /Role:Mailbox /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

Настройка коннекторов и почтового потока

После установки Exchange принимает почту изнутри, но не снаружи и не отправляет наружу. Нужны два коннектора.

# Receive Connector для входящей почты с интернета
New-ReceiveConnector -Name "Internet Inbound" `
    -Usage Internet `
    -Bindings "0.0.0.0:25" `
    -RemoteIPRanges "0.0.0.0/0" `
    -Server "EX01" `
    -AuthMechanism None `
    -PermissionGroups AnonymousUsers
Set-ReceiveConnector "EX01\Internet Inbound" `
    -PermissionGroups AnonymousUsers
Add-ADPermission -Identity "EX01\Internet Inbound" `
    -User "NT AUTHORITY\ANONYMOUS LOGON" `
    -ExtendedRights ms-Exch-SMTP-Accept-Any-Recipient

# Send Connector для исходящей
New-SendConnector -Name "Internet Outbound" `
    -Usage Internet `
    -AddressSpaces "SMTP:*;1" `
    -DNSRoutingEnabled $true `
    -SourceTransportServers "EX01"

Почему важен правильный TLS-сертификат?

Без правильного сертификата Outlook не будет подключаться в автоматическом режиме, мобильные клиенты получат ошибки доверия, а SMTP-сессии с другими серверами могут деградировать. Стоимость сертификата от публичного CA (например, Sectigo) — от $120 в год для одного домена с SAN. В наших проектах мы всегда используем сертификаты от публичных центров сертификации.

# Запрос сертификата (если используется внутренний CA)
$certRequest = New-ExchangeCertificate -GenerateRequest `
    -SubjectName "CN=mail.corp.ru" `
    -DomainName "mail.corp.ru","autodiscover.corp.ru","EX01","EX01.corp.local" `
    -PrivateKeyExportable $true `
    -RequestFile "C:\certreq.txt"

# После получения сертификата — импорт и привязка к сервисам
Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path "C:\cert.cer" -Encoding Byte -ReadCount 0))

# Привязать к сервисам
Enable-ExchangeCertificate -Thumbprint "ABCD1234..." -Services "SMTP,IIS,POP,IMAP"

Database Availability Group (DAG) для отказоустойчивости

Один Exchange-сервер — это single point of failure. DAG реплицирует базы данных почтовых ящиков между двумя или более серверами. Подробнее читайте в документации Database Availability Groups.

# Создание DAG
New-DatabaseAvailabilityGroup -Name "DAG01" `
    -WitnessServer "dc01.corp.local" `
    -WitnessDirectory "C:\DAGWitness\DAG01" `
    -DatabaseAvailabilityGroupIPAddresses "10.10.1.60"

# Добавление членов
Add-DatabaseAvailabilityGroupServer -Identity "DAG01" -MailboxServer "EX01"
Add-DatabaseAvailabilityGroupServer -Identity "DAG01" -MailboxServer "EX02"

# Добавление копии базы данных на второй сервер
Add-MailboxDatabaseCopy -Identity "Mailbox DB 01" `
    -MailboxServer "EX02" `
    -ActivationPreference 2

# Проверить статус репликации
Get-MailboxDatabaseCopyStatus * | Select Name, Status, CopyQueueLength, ReplayQueueLength

CopyQueueLength и ReplayQueueLength — ключевые метрики здоровья DAG. Если очередь растёт и не падает — проблема с сетью или I/O.

Как DAG повышает доступность?

DAG обеспечивает uptime 99.9% против 99% у одиночного сервера. Это значит, что в год недоступность сокращается с ~87 часов до ~8 часов. В сочетании с несколькими ролями CAS и балансировкой нагрузки достигается отказоустойчивость уровня Enterprise.

Мониторинг и обслуживание

Exchange пишет логи в C:\Program Files\Microsoft\Exchange Server\V15\Logging. Самые полезные для диагностики: MessageTrackingLog (трассировка пути каждого письма) и MailboxAuditLog. Queue Viewer (Get-Queue, Get-Message) показывает состояние очередей — если submission queue растёт, значит Transport Service не успевает обрабатывать.

Этапы работы

1. Аудит AD, DNS, существующей почтовой инфраструктуры.
2. Планирование топологии (одиночный сервер или DAG, коннекторы, маршрутизация).
3. Подготовка AD и серверов.
4. Установка Exchange.
5. Настройка коннекторов, сертификата, Autodiscover.
6. Тестирование почтового потока.
7. При необходимости — миграция с предыдущей версии Exchange или сторонних систем.
8. Документация.

Что входит в работу?

• Аудит текущей инфраструктуры AD, DNS, сети.
• Проектирование архитектуры (один сервер / DAG, квоты, политики).
• Подготовка AD и установка Exchange.
• Настройка коннекторов, TLS, Autodiscover.
• Тестирование почтового потока и отказоустойчивости.
• Обучение администраторов.
• Документация (схема, конфигурации, runbook).
• Пост-релизная поддержка 2 недели.

Более 7 лет опыта внедрения Exchange, 30+ успешных проектов. Наши инженеры сертифицированы Microsoft.

Стоимость рассчитывается индивидуально после аудита инфраструктуры. Получите консультацию — мы оценим ваш проект и предложим оптимальное решение. Свяжитесь с нами через форму на сайте или по телефону.