ISA Server 2004中的Outlook Web Access服务器发布

本页内容

• 简介

• 情境

• 解决方案

• 参考资料

简介

Microsoft Internet Security and Acceleration (ISA) Server 2004 和 Microsoft Outlook Web Access 通过协作，共同增强电子邮件消息的安全性。本文说明如何利用邮件服务器发布规则来安全地发布 Outlook Web Access 服务器。它介绍了相关概念，并为配置 Outlook Web Access 解决方案提供了循序渐进指导。

Outlook Web Access 和 ISA Server

Outlook Web Access 支持通过 Web 浏览器访问存储在 Microsoft Exchange Storage System 文件夹中的电子邮件、日程安排（包括组日程安排）、联系人和协作信息。Outlook Web Access 可以由远程、家庭和漫游用户使用。

当通过 ISA Server 发布 Outlook Web Access 服务器时，因为用户接触不到 Outlook Web Access 服务器的名称和 IP 地址，所以您能够防止直接从外部访问 Outlook Web Access 服务器。用户访问 ISA Server 计算机，该计算机随后根据您的邮件服务器发布规则的条件，将请求转发到 Outlook Web Access 服务器。

此外，ISA Server 使您能够轻松配置基于窗体的验证并控制电子邮件附件的可用性，在通过 Outlook Web Access 进行访问的同时保护公司资源。

ISA Server Outlook Web Access 发布特性还使您能够发布 Outlook Mobile Access 和 Exchange ActiveSync。Outlook Mobile Access 为用户提供从移动设备访问 Outlook 的能力。使用 Exchange ActiveSync，您可以从基于 Microsoft Windows Mobile 的设备（比如：Pocket PC、Pocket PC Phone Edition 和 Smartphone）直接与 Exchange 邮箱同步，这一过程具有高度的安全性。

基于窗体的验证

基于窗体的验证是一种基于 ASP.NET 的身份验证，其中通过身份验证的用户被导向 HTML 窗体。当用户提供凭据后，系统颁发包含票证的 cookie。在后来的请求上，系统首先检查 cookie，以便查看用户是否已经通过身份验证。如果是，则用户不必再次提供凭据。

最重要的是，凭据信息不会缓存在客户端计算机上。当用户正在从公共计算机连接您的 Outlook Web Access 服务器而您不希望缓存用户凭据的情况下，这一功能特别重要。如果用户关闭了浏览器，注销退出会话，或导航到其他 Web 站点，则他们需要重新进行身份验证。此外，您可以配置最长空闲会话超时，从而如果用户长时间处于空闲状态，则需要重新进行身份验证。

我们建议当使用基于窗体的验证时，您可以使用 HTTPS 来支持与站点进行的所有通信，以防止黑客窃取用户的 cookie。通常，建议使用 HTTPS 来进行 Outlook Web Access 服务器发布。

基于窗体的验证的配置过程在本文的“通过侦听器保护 Outlook Web Access”中提供。

注意
ISA Server 支持 Exchange Server 2003、Exchange 2000 Server 和 Exchange Server 5.5 的基于窗体的验证。
当您把 ISA Server 2004 和 Exchange Server 2003 一起使用时，必须选择使用其中之一的基于窗体的验证。如果使用 ISA Server 基于窗体的验证，您可以保留 ISA Server 功能以检查响应主体，以及请求 URL、请求头、请求主体和响应头。ISA Server 基于窗体的验证提供了在网络边缘的身份验证以及基于 RADIUS 的身份验证（无域成员身份）的额外利益。然而，如果使用 ISA Server 基于窗体的验证，就不能使用 Exchange 数据压缩功能。
如果使用 Exchange Server 2003 基于窗体的验证，则 ISA Server 检查请求 URL、请求头、请求主体和响应头，但是不检查响应主体。然而，您可以保留 Exchange 数据压缩功能。
当把 ISA Server 2004 与 Exchange Server 2000 或 Exchange Server 5.5（没有提供基于窗体的验证或数据压缩）一起使用时，我们建议您使用 ISA Server 基于窗体的验证功能。
Outlook Web Access 包括允许用户更改密码的可选功能。如果用户在 Outlook Web Access 会话期间更改密码，在用户最初登录之后提供的 cookie 将不再有效。当在 ISA Server 上配置基于窗体的验证时，在 Outlook Web Access 会话期间更改密码的用户将在下一次发出请求时接收到登录页面。

控制附件可用性

因为 Outlook Web Access 经常是从公共计算机上使用，您可能希望控制用户查看和保存附件的能力，从而不会将专用公司信息缓存或保存到公共计算机上。ISA Server 提供了为公共（共享）计算机或专用计算机（或两者）上的用户提供了阻止电子邮件的机制。这可以防止用户打开或保存附件，虽然用户可以看到该附件。本文档中的“通过侦听器保护 Outlook Web Access”说明了阻止电子邮件附件的过程。

如果您不阻止附件，需要注意远程连接到 Outlook Web Access 服务器的客户端可能无法直接打开某些附件（比如：Windows Media 文件和 Excel 电子表格）。尝试打开这种文件的操作将导致与该文件关联的应用程序发生错误。这些文件必须保存到本地，然后才能打开。您可以通过将 Exchange Server 2003 或 Exchange 2000 Server 配置为强制用户保存附件，来避免这一问题。Exchange Server 5.5 没有此功能。本文档的“要求在 Exchange 中保存附件”中说明了配置 Exchange 以强制保存附件的过程。