Включение защиты от спама на Hub Transport сервере в Exchange 2010.

Статистика показывает, что в настоящее время, доля спама в потоке сообщений, направляющихся в крупную организацию из Internet, достигает 90%. Без эффективной фильтрации сообщений на периметре сети, корпоративная сеть и e-mail серверы могут быть перегружены потоком ненужных сообщений, что экономически невыгодно и небезопасно, и Edge Transport роль в Exchange 2007/2010 специально разработана для решения этих проблем. Основная цель Edge Transport - не пропустить спам и вирусы в корпоративную сеть, но что делать, если организация не большая и не может себе позволить выделенный сервер для фильтрации спама и вирусов? У этой проблемы есть, по крайней мере, два решения:

1. Подписаться на Forefront Online Protection, тем самым доверив фильтрацию почты профессионалам и в результате получать уже чистый, отфильтрованный поток сообщений;
2. Воспользоваться анти-спам агентами Exchange`a на локальном сервере Hub Transport.

Мне кажется, для небольших организаций первый вариант наиболее приемлем, т.к. при его реализации они получают хорошую экономию Интернет трафика, значительно более качественную фильтрацию не только от спама, но и от вирусов, и снимают лишнюю нагрузку со своих серверов.
Но если по каким либо причинам первый вариант не подходит, то всегда можно воспользоваться встроенными в Exchange базовыми функциями фильтрации спама. Для этого необходимо включить анти-спам агенты (Recipient Filtering, Content Filtering, SenderId и т.д.) по умолчанию активизированные в Edge Transport роли и отключенные в Hub Transport.
Для активации анти-спам защиты на сервере Hub Transport необходимо запустить скрипт install-AntispamAgents.ps1. Данный скрипт находится в папке со скриптами Scripts, в директории, в которую была произведена установка. Откройте Exchange Management Shell, перейдите в папку c:\Program Files\Microsoft\Exchange Server\V14\Scripts\ и выполним команду:
\.install-AntispamAgents.ps1

Рис.1: Активация агентов анти-спам защиты на сервере Hub Transport.
В результате выполнения этой команды будут активированы следующие агенты:
1. Connection filtering (Фильтрация подключений)
2. Content filtering (Фильтрация содержимого)
3. Sender ID (Код отправителя)
4. Sender filtering (Фильтрация отправителей)
5. Recipient filtering (Фильтрация получателей)
6. Sender reputation (Репутация отправителя)
Будет показано предупреждение, что надо закрыть Exchange Management Shell и перезапустить службу Microsoft Exchange Transport. Выполнив данные рекомендации, мы можем зайти в Exchange Management Console и увидеть новые вкладки Anti-Spam в свойствах ролей Hub Transport как на уровне организации, так и на уровне серверов:

Рис.2: Настройка анти-спама на уровне организации.

Рис.3: Настройка анти-спама на уровне серверов.
Обратите внимание, что на рис.1 предварительно был выполнен комадлет Get-TransportAgent, для получения списка агентов транспорта. После установки модулей анти-спам защиты, их количество значительно увеличилось:

Рис.4: Транспортные агенты после установки модулей анти-спама.
Установив анти-спам защиту нужно позаботиться и о её обновлении. Для просмотра состояния обновлений выполним команду Get-AntispamUpdates:

Рис.5: Состояние обновлений анти-спам защиты.
Чтобы понять, почему получилось так, что обновления устанавливаются в ручную, а Spam Signature и IP Reputation вообще не обновляются, заглянем в скрипт install-AntispamAgents.ps1, который мы использовали в самом начале. Найдем в этом скрипте следующие строчки:

# Enable the Antispam agents flag enabled on the server
if ($transportserver.AntispamAgentsEnabled -eq $false)
{
    set-transportserver -id $localservername -AntispamAgentsEnabled:$true
}
# Enable basic Hygiene Update
enable-AntispamUpdates -UpdateMode:Manual -IPReputationUpdatesEnabled:$false -SpamSignatureUpdatesEnabled:$false

Теперь все становится понятно. А «несправедливость» такая случилась потому, что функция автоматического обновления средства защиты от нежелательной почты Forefront — это расширенная функция, для работы которой необходимо наличие корпоративной лицензии клиентского доступа Exchange (CAL) для каждого почтового ящика пользователя или лицензии Forefront Protection 2010 для сервера Exchange. Так что у вас есть выбор – обновлять вручную (либо с помощью скрипта), покупать Enterprise CAL`ы для Exchange 2010, либо приобретать Forefront Protection 2010 for Exchange Server.

Обновление анти-спам защиты

Для компьютеров, работающих под управлением Exchange Server 2010, функция автоматического обновления средства защиты от нежелательной почты основана на инфраструктуре Центра обновления Майкрософт. Следовательно, для ручного обновления сигнатур нужно перейти в центр обновления и выбрать пункт «Получить обновления для других продуктов Майкрософт.»:

Рис.6: Обновление анти-спам защиты.
Мастер перенаправит вас на сайт Microsoft, после чего вы получите список доступных обновлений для всех продуктов, установленных на вашем компьютере:

Рис.7: Список доступных обновлений.
Выбираем обновление анти-спама, нажимаем ОК и оно будет загружено и установлено. В результате, в выводе команды Get-AntispamUpdates вы сможете увидеть, что текущие версии фильтров изменились.
Если говорить про автоматическое обновление, то его можно активировать на уровне серверов -> Hub Transport -> меню Действия -> Enable Anti-Spam Updates….
Примечание: Предварительно надо нажать Disable Anti-Spam Updates…

Рис.8: Включение автоматического обновления анти-спама.
В данном мастере нужно переключить режим обновления в автоматический и поставить галочки для обновления Спам сигнатур (повышают точность работы фильтра содержимого) и Репутаций IP (повышают точность сведений о репутации отправителя и об IP-адресах, с которых отправляется нежелательная почта).
Примечание: На применение вновь загруженных обновлений может уйти более часа, чтобы немедленно активировать обновления, необходимо перезапустить службу Microsoft Exchange Anti-spam Update.
Состояние функции автоматического обновления вы сможете увидеть в выводе командлета Get-AntispamUpdates.

Установка внутренних SMTP серверов

Для правильной работы всех функций защиты от нежелательной почты необходимо, чтобы в параметре InternalSMTPServers командлета Set-TransportConfig был указан, по крайней мере, один IP-адрес внутреннего SMTP-сервера. Если транспортный сервер-концентратор (Hub Ttransport), на котором выполняются функции защиты от нежелательной почты, является единственным SMTP-сервером в организации, введите его IP-адрес, как показано на рис.9:

Рис.9: Добавляем внутренний SMTP сервер.

Заключение

На этом настройка локального сервер Hub Transport для борьбы со спамом завершена. Ещё раз напомню, что в случае небольших организаций, когда нет возможности использовать выделенный сервер для роли Edge Transport или Forefront Protection for Exchange, лучше доверить функцию защиты от спама и вирусов облачному сервису Forefront Online Protection и получать уже отфильтрованную почту.