сисадминское

[easyjohn]

по скольку опять приходится повозиться с виндовыми серверами, возникает вопрос:
что такое по вашему идеальный ad и exchange?
железо - пачка блейдовых серверов и внешняя полка с дисками.
реализовать можно попробовать почти все.
есть какие идеи?

Comments

[oldayn]

Наибольший вопрос - в масштабах и необходимости внутренней сегментации (обособленные подразделения и т.п.). Если примерно как у нас - до 1000 людей и серьезное разделение внутри оказалось в итоге бесполезным, то просто два контроллера с эксчейнджами на них и максимальной идентичностью настроек, ну и можно один тестово-резервный, чтобы вручную вводить в строй, если с одним из основных что-то приключится.
Меня вот заинтересовал вариант с hyper-v кластером, уж больно всё получается красиво и отказоустойчиво, но есть два больших "НО":
1. стремно немного засовывать контроллеры домена в виртуальность, оно конечно получается многократно срезервировано, но если все-таки упадет всё, то запускаться может очень непросто.
2. в полной мере функциональность будет только в 2008 R2, а оно будет то ли в октябре, то ли в конце года.

В общем мы решили подождать до выхода R2 и тогда подумать более пристально, тем более, что совсем уж лишней пачки серверов у нас нет, нужны будут определенные пляски с бубном и игра "в 15".

[easyjohn]

- "контроллер с экченджем на нем" это категорический фейл. ад и почтовик должен быть на разных машинах. все доки об этом кричат.
ну и благо машин хватает. я хотел реализовать некое идеализированное понимание в железе, а ты еще и предлагаешь хуже, чем есть сейчас.

- что за решение на hyper-v?

- 2008 sp1 у меня уже есть. а что r2?

[oldayn]

Я слышал, что это неправильно, ну разделяй. Просто я exchange в принципе недолюбливаю, а многие из подобных официальных рекомендаций оказываются в итоге весьма сомнительными на практике, я с этим сталкивался в связи с FSMO roles, например

[amarao_san]

1) Эксчейнж с AD не совмещать на одной машине.
2) AD (зависит от пользователей) - любые машины, лишь бы понадёжнее.
3) Эксчейнж (особенно, 2007) - остро хочет памяти. Чем больше, тем лучше. Я порезал квоту ему с 6 до 3 Гб, на сортировке писем переодически ощущаться стало.
4) реши, кто у тебя будет принимающим почту. Майкрософт советует ещё один ексчейнж вне домена + АДАМ для доступа к АД. У меня работает бздя с сендмылом (будет заменена на экзим).
5) Для всех фич экчейнжа нужен собтсвенный CA (или сертификат от доверенного дяди).

[easyjohn]

1. уже есть
2. все сервера - блейды, одинаковая конфигурация, фибер до внешнего стора. теоретически возможны игры с кластеризацией/быстрым переносом роли с одного блейда на другой по выгоранию.
3. exchange 2007 стоит на w2k8. не тюнил. на машинах по 4 гига рама.
тор и логи разнесены. попробую рам подзажать потом.
4. сейчас стоит такой же 2007 фронтендом. будет заменен на постфикс. или может на эксим (импонирует возможность у ексима проверить спамассасином и дать отлуп не разрывая сессии)
5. вот что тут с CA вообще не понял. мне бы толковую доку/хавту, как оно в общем и какие частности.

[amarao_san]

HOWTO по эксчейнжу занимает 1300 страниц :)

Главное, чем хорош эксчейнж - это возможность доступа к эксчейнжу за пределами конторы.

Есть три пути:

1) Веб-морда (приложение в IIS ставится)
2) ActiveSync over IP (аналогично, IIS)
3) Outlook Anywere (RPC over HTTPS).

Если первое можно делать как угодно, то второе обязательно требует https, т.е. сертификатов. Наиболее красиво всё работает при наличии Enterprise CA в домене (например, на одном из контроллеров домена).

Более того, грамотное использование сертификатов может позволить работу аутлука с эксчейнжем без VPN и ввода пароля - просто по пользовательскому сертификату (over https).

Ещё сертификаты нужны для организации автоконфигурирования аутлуков на рабочих местах (2008 офис), но я глубоко не рылся, потому что у нас 2003 офис и менять на 2008 я его не буду точно (так же как на 2010).

Алсо, в отношении сертификатов - главная гадость, которую делает 2007 эксчейнж - это самоподписанный сертификат для https.

[easyjohn]

ну ховту это хорошо (дай урл) но все же полезных в реальности вещей не так уж много.

вебморду я могу к любому имапу прикрутить. тут экченьдж не сильно выделяется. в отличии от активсинка (хотя вроде то же делается) и третьего пункта.

сертификаты это интересно. но пока мало изучено мной. урлы то же приветсвуются.