Повне налаштування Microsoft Exchange Server: DAG, TLS, Autodiscover

Налаштування корпоративного поштового сервера завжди починається з несподіванки: Outlook не підключається, листи не доставляються, Autodiscover не працює. У 80% випадків причина — у неправильній підготовці AD та DNS. Exchange Server — вимогливий продукт: йому потрібно мінімум 128 ГБ RAM для production, коректна конфігурація DNS з split-brain і валідний TLS-сертифікат з іменами autodiscover, mail та owa. Порушення будь-якої з цих вимог призводить до багатоденних проблем. Ми це знаємо за 30+ проектами. Зв'яжіться з нами для детальної оцінки вашої інфраструктури. Ми надаємо гарантію на всі роботи: 2 тижні безкоштовної пост-релізної підтримки.

Підготовка Active Directory та DNS

Підготовка Active Directory — ключовий етап. Exchange розширює схему AD, додаючи сотні атрибутів та класів. Це незворотна операція, що потребує прав Schema Admin. Перед запуском обов'язково виконайте бекап стану системи на кожному контролері домену. Процес підготовки включає три команди, які виконуються послідовно.

# Підготовка схеми AD (виконувати від Schema Admin)
.\Setup.exe /PrepareSchema /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

# Підготовка AD
.\Setup.exe /PrepareAD /OrganizationName:"CorpMail" /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

# Підготовка домену
.\Setup.exe /PrepareDomain /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

Після PrepareAD потрібно дочекатися реплікації AD по всіх DC. У мультисайтовій топології це займає до 8 годин. Запускати встановлення Exchange до завершення реплікації — стандартна помилка, що призводить до ActiveDirectoryObjectNotFoundException у процесі інсталяції.

DNS-конфігурація: внутрішній DNS має резолвити mail.corp.ru, autodiscover.corp.ru та OWA-ім'я на IP Exchange-сервера. Зовнішній DNS — на публічний IP або WAF. Split-brain DNS — обов'язкова умова для коректної роботи Autodiscover.

Чому Autodiscover — це ахіллесова п'ята Exchange?

Autodiscover — перше, що перевіряє Outlook та мобільні пристрої. Якщо DNS-запис відсутній або сертифікат не покриває autodiscover.*, клієнт не підключиться автоматично. У проектах ми завжди перевіряємо: запис autodiscover.domain.com CNAME на Exchange, а також SAN-сертифікат з цим ім'ям. Помилка в одному символі — і пошта недоступна.

Як правильно встановити Exchange Server?

# Встановлення попередніх вимог Windows
Install-WindowsFeature -Name NET-Framework-45-Features, RPC-over-HTTP-proxy, `
    RSAT-Clustering, RSAT-Clustering-CmdInterface, RSAT-Clustering-Mgmt, `
    RSAT-Clustering-PowerShell, Web-Mgmt-Console, WAS-Process-Model, `
    Web-Asp-Net45, Web-Basic-Auth, Web-Client-Auth, Web-Digest-Auth, `
    Web-Dir-Browsing, Web-Dyn-Compression, Web-Http-Errors, Web-Http-Logging, `
    Web-Http-Redirect, Web-Http-Tracing, Web-ISAPI-Ext, Web-ISAPI-Filter, `
    Web-Lgcy-Mgmt-Console, Web-Metabase, Web-Mgmt-Console, Web-Mgmt-Service, `
    Web-Net-Ext45, Web-Request-Monitor, Web-Server, Web-Stat-Compression, `
    Web-Static-Content, Web-Windows-Auth, Web-WMI, Windows-Identity-Foundation, `
    RSAT-ADDS -Restart
# Visual C++ Redistributable та Unified Communications Managed API 4.0 — вручну з сайту Microsoft
# Потім встановлення Exchange
.\Setup.exe /Mode:Install /Role:Mailbox /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

Налаштування конекторів та поштового потоку

Після встановлення Exchange приймає пошту зсередини, але не ззовні та не відправляє назовні. Потрібні два конектори.

# Receive Connector для вхідної пошти з інтернету
New-ReceiveConnector -Name "Internet Inbound" `
    -Usage Internet `
    -Bindings "0.0.0.0:25" `
    -RemoteIPRanges "0.0.0.0/0" `
    -Server "EX01" `
    -AuthMechanism None `
    -PermissionGroups AnonymousUsers
Set-ReceiveConnector "EX01\Internet Inbound" `
    -PermissionGroups AnonymousUsers
Add-ADPermission -Identity "EX01\Internet Inbound" `
    -User "NT AUTHORITY\ANONYMOUS LOGON" `
    -ExtendedRights ms-Exch-SMTP-Accept-Any-Recipient
# Send Connector для вихідної
New-SendConnector -Name "Internet Outbound" `
    -Usage Internet `
    -AddressSpaces "SMTP:*;1" `
    -DNSRoutingEnabled $true `
    -SourceTransportServers "EX01"

Чому важливий правильний TLS-сертифікат?

Без правильного сертифіката Outlook не буде підключатися в автоматичному режимі, мобільні клієнти отримають помилки довіри, а SMTP-сесії з іншими серверами можуть деградувати. Вартість сертифіката від публічного CA (наприклад, Sectigo) — від $120 на рік для одного домену з SAN. У наших проектах ми завжди використовуємо сертифікати від публічних центрів сертифікації.

# Запит сертифіката (якщо використовується внутрішній CA)
$certRequest = New-ExchangeCertificate -GenerateRequest `
    -SubjectName "CN=mail.corp.ru" `
    -DomainName "mail.corp.ru","autodiscover.corp.ru","EX01","EX01.corp.local" `
    -PrivateKeyExportable $true `
    -RequestFile "C:\certreq.txt"

# Після отримання сертифіката — імпорт та прив'язка до сервісів
Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path "C:\cert.cer" -Encoding Byte -ReadCount 0))

# Прив'язати до сервісів
Enable-ExchangeCertificate -Thumbprint "ABCD1234..." -Services "SMTP,IIS,POP,IMAP"

Database Availability Group (DAG) для відмовостійкості

Один Exchange-сервер — це single point of failure. DAG реплікує бази даних поштових скриньок між двома або більше серверами. Детальніше читайте в документації Database Availability Groups. DAG у 10 разів зменшує час простою в порівнянні з одиночним сервером (99.9% проти 99% аптайм).

# Створення DAG
New-DatabaseAvailabilityGroup -Name "DAG01" `
    -WitnessServer "dc01.corp.local" `
    -WitnessDirectory "C:\DAGWitness\DAG01" `
    -DatabaseAvailabilityGroupIPAddresses "10.10.1.60"

# Додавання членів
Add-DatabaseAvailabilityGroupServer -Identity "DAG01" -MailboxServer "EX01"
Add-DatabaseAvailabilityGroupServer -Identity "DAG01" -MailboxServer "EX02"

# Додавання копії бази даних на другий сервер
Add-MailboxDatabaseCopy -Identity "Mailbox DB 01" `
    -MailboxServer "EX02" `
    -ActivationPreference 2

# Перевірити статус реплікації
Get-MailboxDatabaseCopyStatus * | Select Name, Status, CopyQueueLength, ReplayQueueLength

CopyQueueLength та ReplayQueueLength — ключові метрики здоров'я DAG. Якщо черга зростає та не спадає — проблема з мережею або I/O.

Як DAG підвищує доступність?

DAG забезпечує uptime 99.9% проти 99% у одиночного сервера. Це означає, що за рік недоступність скорочується з ~87 годин до ~8 годин. У поєднанні з кількома ролями CAS та балансуванням навантаження досягається відмовостійкість рівня Enterprise.

Моніторинг та обслуговування

Exchange пише логи в C:\Program Files\Microsoft\Exchange Server\V15\Logging. Найкорисніші для діагностики: MessageTrackingLog (трасування шляху кожного листа) та MailboxAuditLog. Queue Viewer (Get-Queue, Get-Message) показує стан черг — якщо submission queue зростає, значить Transport Service не встигає обробляти.

Етапи роботи

1. Аудит AD, DNS, існуючої поштової інфраструктури.
2. Планування топології (одиночний сервер або DAG, конектори, маршрутизація).
3. Підготовка AD та серверів.
4. Встановлення Exchange.
5. Налаштування конекторів, сертифіката, Autodiscover.
6. Тестування поштового потоку.
7. При необхідності — міграція з попередньої версії Exchange або сторонніх систем.
8. Документація.

Що входить в роботу?

• Аудит поточної інфраструктури AD, DNS, мережі.
• Проектування архітектури (один сервер / DAG, квоти, політики).
• Підготовка AD та встановлення Exchange.
• Налаштування конекторів, TLS, Autodiscover.
• Тестування поштового потоку та відмовостійкості.
• Навчання адміністраторів.
• Документація (схема, конфігурації, runbook).
• Пост-релізна підтримка 2 тижні (гарантія).

Більше 7 років досвіду впровадження Exchange, 30+ успішних проектів. Наші інженери сертифіковані Microsoft, що підтверджується сертифікатами з відкритими номерами. Ми пропонуємо економію до 30% на ліцензіях при виборі Exchange Online порівняно з локальним розгортанням.

Вартість розраховується індивідуально після аудиту інфраструктури. Отримайте консультацію — ми оцінимо ваш проект і запропонуємо оптимальне рішення. Зв'яжіться з нами через форму на сайті або за телефоном.