L’accesso degli utenti esterni a Lync Server 2010 Speaker : Ivan Salvadè MCT, MCITP, MCTS Technical Trainer & Consultant Web site : www.ivansalvade.it

Agenda Il Ruolo Edge Topologie per l’accesso esterno degli utenti Preparazione dell’infrastruttura Processo di deployment del ruolo Edge

I tipi di utenze esterne Module 5: External User Access Course 10533A I tipi di utenze esterne Tipi di utente Reverse Proxy Rete di perimetro Edge Server Utenti remoti Utenti federati Utenti IM pubblici Utenti anonimi

Componenti per comunicazioni esterne Module 5: External User Access Course 10533A Componenti per comunicazioni esterne Server Edge, che esegue i seguenti servizi : Access Edge (traffico SIP entrante e uscente) Web Conferencing Edge (traffico di join ai meeting) A/V Edge (traffico audio, video, condivisione applicazioni, condivisione desktop, trasferimento files)

Topologia base : Edge Singolo Module 5: External User Access Course 10533A Topologia base : Edge Singolo Internet Rete di perimetro Rete interna Notes The single consolidated Edge topology does not provide high availability for Edge services. This is independent of the high-availability options for internal hosts and services. Network Address Translation (NAT) can be used but must include all three Edge services. Tell students that if they are using Exchange Server 2010 SP1, they can do load-balancing. You do not get DNS load balancing with Microsoft Office Communications Server. Reverse Proxy Client remoti Client federati Client anonimi Lync Server(s) 2010 Edge Server Nessuna Alta Disponibilità per utenti esterni Il NAT può essere usato su interfaccia esterna dell’Edge, ma deve includere tutti i tre servizi esterni

Edge scalato usando Load Balancing DNS Module 5: External User Access Edge scalato usando Load Balancing DNS Course 10533A Reverse Proxy Rete di perimetro Rete interna Internet Pool di Edge Servers Lync Server(s) 2010 Client remoti Client federati Client anonimi Notes The scaled consolidated Edge topology using DNS load balancing includes: High availability For Edge services (With two or more servers in pool). This is independent of high-availability options for internal hosts and services. Network Address Translation (NAT) can be used but must include all three Edge services. You may have compatibility issues with Federated partners or other Internet services offered by your organization. DNS LB Alta disponibilita’ per gli utenti esterni usando il Load Balancing DNS di Lync Server 2010 (almeno due server in un pool per l’alta disponibilita’ ) Il NAT può essere usato (deve includere tutti i tre servizi esterni)

Edge scalato usando Hardware Load Balancing Module 5: External User Access Edge scalato usando Hardware Load Balancing Course 10533A Perimeter Network Internal Network Internet Notes The scaled consolidated Edge topology with hardware load balancing includes: H/A For Edge services with at least two Edge servers in pool (independent of high-availability options for internal hosts and services). NAT cannot be used. Avoids compatibility issues with Federated partners or other Internet services offered by your organization. Supports high availability for Public Instant Messaging Connectivity (PIC), external access to Exchange Server 2007/Exchange Server 2010 Unified Messaging (UM), and Federated Partners running Microsoft Office Communicator 2007/Office Communicator 2007 R2 In the workbook is a diagram showing all of the components and message flows in a hardware load-balanced topology. If you have time, and if you think it would benefit your students, walk through these message flows, pointing out the hardware load balancing in the Edge, and DNS load balancing in front of internal servers. Discuss reverse proxy and NAT as messages flow through the Edge topology. Reverse Proxy Front End Client remoti Client federati Client anonimi Bilanciatori Hardware Pool di Edge Servers Director (opzionale) Alta disponibilita’ per utenti esterni usando HLB (almeno due server in pool per una completa Alta Disponibilita’ dell’Edge) Il NAT non può essere utilizzato Bilanciatori Hardware richiesti in rete di perimetro

Riassunto delle Features disponibili

Preparare i requisiti DNS (1) Configurazione automatica dei client Il dominio SIP è uguale al dominio Active Directory (es. contoso.com) Il server Edge deve puntare al DNS interno (o usare file Hosts) Sul DNS interno creare i seguenti record : Record SRV _sipinternaltls._tcp.contoso.com Record A che risolva l’indirizzo IP interno del server Edge Record A che risolva l’indirizzo IP interno del Reverse Proxy Devono essere presenti record A che risolvano gli indirizzi IP di tutti i server Lync interni; questi ultimi devono puntare al DNS interno Sul DNS esterno creare i seguenti record in una zona contoso.com : Record SRV _sip._tls.contoso.com Record SRV _sipfederationtls._tcp.contoso.com (solo se uso federazione) Record A per ogni interfaccia esterna del server Edge Record A per ogni interfaccia esterna del Reverse Proxy

Preparare i requisiti DNS (2) Configurazione automatica dei client Il dominio SIP è diverso dal dominio Active Directory (es. dominio SIP = contoso.com e dominio AD = contoso.local) Il server Edge deve puntare al DNS interno (o usare file Hosts) Sul DNS interno creare : Copia della zona contoso.com (o usare le “pin-point zones”) Nella zona contoso.com, creare record A che risolva il nome del server Front –End al suo indirizzo IP Record A che risolva l’indirizzo IP dell’interfaccia interna del server Edge Record A che risolva l’indirizzo IP interno del Reverse Proxy Devono essere presenti record A che risolvano gli indirizzi IP di tutti i server Lync interni; questi ultimi devono puntare al DNS interno Sul DNS esterno creare i seguenti record : Record SRV _sip._tls.contoso.com Record SRV _sipfederationtls._tcp.contoso.com (solo se uso federazione) Record A per ogni interfaccia esterna del server Edge

Preparare i requisiti di Firewall (1) Firewall Esterno 443 https da Internet a Reverse Proxy (interfaccia esterna) 80 http da Access Edge IP esterno a Internet 53 dns da Access Edge IP esterno a Internet 443 sip/tls da Internet a Access Edge IP esterno 5061 sip/mtls in/out Internet / Access Edge IP esterno 443 psom/tls da Internet a WebConf Edge IP esterno 50000-59999 rtp/tcp in/out AV Edge IP esterno / Internet 50000-59999 rtp/udp in/out AV Edge IP esterno / Internet 3478 stun/udp in/out AV Edge IP esterno / Internet 443 stun/tcp da Internet a AV Edge IP esterno

Preparare i requisiti di Firewall (2) Firewall Interno 4443 https/mtls da Reverse Proxy (interfaccia interna) a LAN 5061 sip/mtls in/out Edge IP interno / LAN 5062 sip/mtls da LAN a Edge IP interno 8057 psom/mtls da LAN a Edge IP interno 3478 stun/udp da LAN a Edge IP interno 443 stun/tcp da LAN a Edge IP interno 4443 https da LAN a Edge IP interno STUN : Session Traversal Utilities for NAT TURN : Traversal Using Relay NAT PSOM : Persisten Shared Object Model

Preparare i requisiti di Reverse Proxy Module 5: External User Access Preparare i requisiti di Reverse Proxy Course 10533A Il reverse proxy è usato per : Abilitare gli utenti esterni a scaricare i contenuti dei meeting Abilitare gli utenti esterni ad espandere i gruppi di distribuzione Abilitare gli utenti remoti a scaricare files dalle rubriche Accedere alla pagina web di dial-in Accedere al “Location Information Service” (LIS) Abilitare le connessioni esterne al “Device Update Service” Abilitare l’uso dei “Simple URLs” per gli utenti esterni Abilitare l’uso del Director server per il traffico degli utenti esterni Isolare gli attacchi DoS al Director Proteggere i Lync Servers 2010 interni Supportare l’Hardware load balancing nella topologia Edge scalata Enabling external users to download meeting content Enabling external users to expand distribution groups Enabling remote users to download files from Address Book Accessing the dial-in Web page Accessing the Location Information Service Enabling external connection to Device Update Service Use of Simple URLs for external users Enabling the use of Director server for external user traffic Isolating DOS attacks at Director protecting Internal Lync Servers Hardware Load Balancing in Edge Network topology

Considerare l’uso del “Director Server” Module 5: External User Access Considerare l’uso del “Director Server” Course 10533A Localizzato nella rete interna Supporta l’autenticazione degli utenti esterni Direziona le richieste dagli utenti esterni al loro pool Lync Server 2010 Può migliorare la sicurezza, le performance e l’affidabilità

Certificati richiesti dal server Edge Module 5: External User Access Certificati richiesti dal server Edge Course 10533A Certificati pubblici sono richiesti per i seguenti servizi del server Edge : Access Edge Web Conferencing A/V authentication Reverse proxy Ogni “Simple URL” Certificati interni sono richiesti per : Web Conferencing internal Edge service A/V Authentication service internal server edge Access Edge internal service Reverse proxy

Passi di implementazione Riconfigurare la topologia Lync includendo il server Edge (o un pool di server Edge). Si usa il Topology Builder Pubblicare la nuova topologia Esportare la topologia verso il server Edge (powershell) Installare il Local Configuration Store sul server Edge Installare il server Edge secondo topologia prescelta Assegnare i certificati ai servizi del server Edge Avviare i servizi del server Edge Configurare gli opportuni record nei DNS Abilitare l’accesso esterno nella console di gestione di Lync Testare l’autoconfigurazione e connessione dei client esterni

Risorse aggiuntive Partecipare al MOC 10533 (corso Microsoft ufficiale su Lync Server 2010) Link di download della Guida alla Pianificazione di Lync Server 2010 http://www.microsoft.com/download/en/details.aspx?id=21646 Link di accesso alla libreria Technet di informazioni su Lync Server 2010 http://technet.microsoft.com/en-us/library/gg293124.aspx Link di download della versione Trial di Lync Server 2010 http://technet.microsoft.com/it-it/evalcenter/ff808407 Link di download del Lync Server 2010 Planning Tool http://www.microsoft.com/download/en/details.aspx?id=19711 Link di download della Deployment Guide di Lync Enterprise Edition http://www.microsoft.com/download/en/details.aspx?id=9596 Link di download dei Resource Kit Tools di Lync Server 2010 http://www.microsoft.com/download/en/details.aspx?id=21165