En este post vamos a ver las funcionalidades y características de Kaspersky Security 9.0 for Microsoft Exchange Servers (KSE).

• Una vez que hemos instalado la aplicación, nos abrimos la consola de KSE 9.0 y sobre la ventana principal tenemos las siguientes secciones:
• Barra de herramientas, se muestra en la parte superior de la ventana principal. Los botones de la barra de herramientas permiten acceder directamente a algunas funciones de la aplicación utilizadas con frecuencia.
• Menú,se muestra justo encima de la barra de herramientas. El menú proporciona funciones de gestión de archivos y ventanas, así como acceso al sistema de ayuda.
• Árbol de consola, se ubica en la parte izquierda de la ventana principal. El árbol de la consola muestra los servidores de seguridad conectados y la configuración de Kaspersky Security. Los servidores conectados y los parámetros de configuración de Kaspersky Security figuran como nodos. Puede abrir nodos principales haciendo clic en el signo más correspondiente. Un nodo abierto se muestra con el signo menos al lado.
• Panel de detalles, se ubica en la parte derecha de la ventana principal. La ventana muestra el contenido del nodo seleccionado en el árbol.

• El nodo situado más arriba en el árbol de consola es Kaspersky Seurity 9.0 for Microsoft Exchange. Al hacer doble clic en él, se abre la lista de servidores conectados con Kaspersky Security instalado.El panel de detalles muestra también los servidores conectados y el botón Agregar servidor.

• Al hacer clic en el nodo del servidor conectado, en el panel de detalles se muestra, información general sobre los componentes de protección instalados en el servidor seleccionado, el tipo de licencia, la base de datos del AntiVirus – AntiSpam y las estadísticas de la aplicación mostrándonos los resultados del trabajo realizado (al no poseer licencia de esta aplicación me lo muestra todo con errores):

• Al hacer clic en el signo más situado junto a un servidor conectado, se abre una lista de parámetros configurables de Kaspersky Security para dicho servidor en el árbol de la consola. Podemos ver y configurar los siguientes parámetros de configuración de KSE 9.0:

• Server protection, se utiliza para ver y editar la configuración de la protección AntiVirus y AntiSpam.

• Updates, se utiliza para ver y editar la configuración de las actualizaciones de las bases de datos de AntiVirus y del componente AntiSpam.

• Notifications, se utiliza para ver y editar la configuración de las notificaciones por correo electrónico.

• Backup, se usa para ver el almacén de copias de seguridad.

• Reports, se utiliza para ver y editar la configuración de los informes del AntiVirus y del componente AntiSpam.

• Settings, se usa para ver y editar la configuración de las notificaciones, la copia de seguridad y las estadísticas.

• Licensing, se utiliza para instalar o quitar licencias, y revisar información sobre la licencia actual.

• Al seleccionar cualquier nodo en el árbol de la consola, se muestran los parámetros configurables correspondientes a dicho nodo en el panel de detalles.

• Como en nuestra infraestructura tenemos dos servidores de correos y cada uno de ellos con distintos roles, mail01 (roles de Mailbox, Client Access y Management Tools), mx01 (roles de Edge Transport – Transporte perimetral), sobre el parámetro de configuración “Server protection” las opciones a configurar serán distintas, ya que dependen de los roles que tenga cada servidor.
• En el server mail01 sobre la opción “Protection for the Mailbox role” vamos a configurar los siguientes parámetros:

• En el server mx01 sobre la opción “Protection for the Hub Transport role” vamos a configurar los siguientes parámetros:

Saludos y espero que os resulte de ayuda

En este post vamos a ver la instalación y configuración inicial de Kaspersky Security 9.0 for Microsoft Exchange Servers (KSE).

• Lo primero que vamos a realizar será descargarnos la suite de seguridad de la web de Kaspersky – Descargas:

• Una vez que nos hemos descargado el ejecutable, lo copiamos en el escritorio de los servidores MAIL01 y MX01:

INSTALACIÓN SOBRE EL PRIMER SERVIDOR DE EXCHANGE MAIL01 – ROLES DE MAILBOX, CLIENT ACCESS Y MANAGEMENT TOOLS

• Uno de los requisitos indispensables para poder instalar Kaspersky Security 9.0 for Microsoft Exchange Servers es tener instalado un servidor Microsoft SQL Server 2014, por lo tanto, nos vamos a instalar los paquetes necesarios para este servidor.
• Desde la web de Microsoft nos hemos descargado los ejecutables SQLEXPRESS2014_x64 para instalar el servidor SQL EXPRESS y SQLManagementStudio_x64 para configurar, administrar y desarrollar todos los componentes de SQL Server, este último componente no es necesario para la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, pero a título personal, siempre me gusta instalarlo para poder administrar el servidor SQL, como por ejemplo, realizar backups de las bases de datos:

• Procedemos a la instalación del primer paquete SQLEXPRESS2014_x64:

• Una vez extraídos se nos abre el siguiente asistente, dónde vamos a seguir estos pasos:

• Procedemos a la instalación del segundo paquete SQLManagementStudio_x64, para ello seguimos los pasos indicados en un post de este mismo blog, post instalación SQLManagementStudio_x64

• Una vez instalado el servidor MS SQL EXPRESS, procedemos a la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, para ello damos doble clic sobre el ejecutable descargado y se nos abre el siguiente asistente, clic sobre “Siguiente”:

• Aceptamos los términos de licencia:

• Elegimos la instalación personalizada:

• Dejamos que instale todos los componentes que vienen por defecto, ya que el software de Kaspersky al iniciar la instalación realiza un chequeo y según los roles que tenga nuestro Exchange nos aparecerán más o menos componentes:

• Kaspersky Security 9.0 for Microsoft Exchange Servers se apoya en bases de datos creadas en servidores SQL para su correcto funcionamiento, por lo tanto, tenemos que configurar una conexión a un servidor SQL que anteriormente hemos instalado en este mismo servidor:

• Para que corra el servicio de KSE vamos a elegir una cuenta local:

• Para iniciar la instalación damos clic sobre “Install”, el mensaje de advertencia nos indica que los servicios MSExchangeTransport y MSExchange IS serán reiniciados:

• Comienza la instalación:

• Si nos da este error debemos aplicar el fix correspondiente descargado de la web de Microsoft:

• Como podemos ver el fix descargado es un script que tenemos que ejecutar con PowerShell:

• Como podemos ver el fix se ha aplicado correctamente:

• Ahora volvemos a iniciar la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, siguiendo los mismos pasos que anteriormente, comienza así la instalación:

• La instalación se ha completado correctamente, clic sobre “Siguiente”:

• Se nos abre el siguiente asistente de configuración, donde vamos implementado los parámetros de configuración inicial:

• Añadimos el código de activación:

• Habilitamos las configuraciones de protección:

• Aceptamos los servicios KSN de Kaspersky:

• No tenemos configurado ningún proxy en nuestra red, o mejor dicho, si tengo uno configurado en el router Mikrotik que hace de Firewall, pero está configurado de manera transparente, en algún que otro post dedicado al networking de Mikrotik os enseñaré a configurar y administrar un proxy transparente, dándole así seguridad extra a nuestro entorno, por cierto, los dispositivos Mikrotik me gustan muchísimo por su relación calidad\precio\funcionalidades y sobre todo por su gran versatilidad ya que los podemos usar en multitud de entornos:

• Nos registramos para recibir notificaciones acerca de Kaspersky Security 9.0 for Microsoft Exchange Servers:

• Finalizamos la configuración inicial e iniciamos la consola de KSE:

• El aspecto de la consola de KSE 9.0 es el siguiente:

INSTALACIÓN SOBRE EL SEGUNDO SERVIDOR DE EXCHANGE MX01 – ROLES DE EDGE TRANSPORT TRANSPORTE PERIMETRAL

• Uno de los requisitos indispensables para poder instalar Kaspersky Security 9.0 for Microsoft Exchange Servers es tener instalado un servidor Microsoft SQL Server 2014, por lo tanto, nos vamos a instalar los paquetes necesarios para este servidor.
• Desde la web de Microsoft nos hemos descargado los ejecutables SQLEXPRESS2014_x64 para instalar el servidor SQL EXPRESS y SQLManagementStudio_x64 para configurar, administrar y desarrollar todos los componentes de SQL Server, este último componente no es necesario para la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, pero a título personal, siempre me gusta instalarlo para poder administrar el servidor SQL, como por ejemplo, realizar backups de las bases de datos:

• Procedemos a la instalación del primer paquete SQLEXPRESS2014_x64:

• Una vez extraídos se nos abre el siguiente asistente, dónde vamos a seguir los mismos pasos que con el servidor anterior MAIL01, muestro sólo la primera pantalla y la última ya que la instalación es exactamente la misma:

• Procedemos a la instalación del segundo paquete SQLManagementStudio_x64, para ello seguimos los pasos indicados en un post de este mismo blog, post instalación SQLManagementStudio_x64

• Una vez instalado el servidor MS SQL EXPRESS, procedemos a la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, para ello damos doble clic sobre el ejecutable descargado y se nos abre el siguiente asistente, clic sobre “Siguiente”:

• Aceptamos los términos de licencia:

• Elegimos la instalación personalizada:

• Dejamos que instale todos los componentes que vienen por defecto, ya que el software de Kaspersky al iniciar la instalación realiza un chequeo y según los roles que tenga nuestro Exchange nos aparecerán más o menos componentes:

• Kaspersky Security 9.0 for Microsoft Exchange Servers se apoya en bases de datos creadas en servidores SQL para su correcto funcionamiento, por lo tanto, tenemos que configurar una conexión a un servidor SQL que anteriormente hemos instalado en este mismo servidor:

• Para que corra el servicio de KSE vamos a elegir una cuenta local:

• Para iniciar la instalación damos clic sobre “Install”, el mensaje de advertencia nos indica que los servicios MSExchangeTransport y MSExchange IS serán reiniciados:

• Comienza la instalación:

• Si nos da este error debemos aplicar el fix correspondiente descargado de la web de Microsoft:

• Como podemos ver el fix descargado es un script que tenemos que ejecutar con PowerShell:

• Como podemos ver el fix se ha aplicado correctamente:

• Ahora volvemos a iniciar la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, siguiendo los mismos pasos que anteriormente, comienza así la instalación:

• La instalación se ha completado correctamente, clic sobre “Siguiente”:

• Se nos abre el siguiente asistente de configuración, donde vamos implementado los parámetros de configuración inicial:

• Añadimos el código de activación:

• Habilitamos las configuraciones de protección:

• Aceptamos los servicios KSN de Kaspersky:

• No tenemos configurado ningún proxy en nuestra red, clic sobre “Siguiente”:

• No configuramos recibir notificaciones acerca de Kaspersky Security 9.0 for Microsoft Exchange Servers, ya que las configuramos en el servidor anterior:

• Finalizamos la configuración inicial e iniciamos la consola de KSE:

• El aspecto de la consola de KSE 9.0 es el siguiente:

Saludos y espero que os resulte de ayuda

En los siguientes post vamos a ver cómo implementar una suite de seguridad para servidores de correos empresariales que utilicen la plataforma Exchange de Microsoft con el producto de Kaspersky – Kaspersky Security 9.0 for Microsoft Exchange Servers.

Kaspersky Security 9.0 para Microsoft Exchange Servers es una aplicación diseñada para la protección de servidores de correo basados en Microsoft Exchange Server frente a virus, software troyano y otros tipos de amenazas que se pueden transmitir por correo electrónico.

El software malicioso puede provocar daños graves; estos programas están diseñados específicamente para robar, bloquear, modificar o destruir datos, y afectan al funcionamiento de los equipos y las redes de equipos. El envío masivo de virus por correo electrónico puede propagar rápidamente la infección en redes corporativas y paralizar tanto equipos como servidores que estén en funcionamiento, lo que provoca pérdidas y tiempos de inactividad no deseados. Además, los ataques de virus también pueden provocar la pérdida de datos, que puede afectar de forma negativa al negocio.

Kaspersky Security 9.0 para Microsoft Exchange Servers proporciona protección anti-spam en el nivel del servidor de correo corporativo, llegando todo el correo filtrado a los clientes.

Vamos a recordar que nuestra infraestructura de servidores Exchange es la siguiente, por un lado, tenemos un  Microsoft Exchange 2013 con los roles de Mailbox, Client Access y Management Tools ubicado en la zona INSIDE del firewall (red interna) llamado MAIL01, y por otro lado tenemos un Microsoft Exchange 2013 con los roles de Edge Transport – Transporte Perimetral ubicado en la zona DMZ del firewall llamado MX01:

Las siguientes entradas las vamos a dividir en los siguientes puntos que iremos desarrollando:

• Kaspersky Security 9.0 for Microsoft Exchange Servers – Instalación y configuración inicial
• Kaspersky Security 9.0 for Microsoft Exchange Servers – Funcionalidades y características

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar una cuenta de correo para el cliente MS Outlook 2013 y como acceder a través del OWA (Outlook Web Access), una vez que tenemos configurado nuestro sistema de correo electrónico empresarial con MS Exchange 2013, para finalizar tenemos que configurar los clientes para que los usuarios del sistema puedan enviar y recibir correos.

Recordemos que la topología de red utilizada es la siguiente:

• Lo primero que vamos a realizar será un logon al sistema con uno de los usuarios, a través de un equipo cliente con Windows 10 Pro:

• Una vez que hemos realizado el logon en el sistema nos abrimos el cliente de Outlook 2013 y empezamos con la con la configuración del cliente:

• Le indicamos que queremos configurar Outlook para que se conecte a una cuenta de correo:

• Como este equipo lo tenemos unido al dominio y hemos iniciado sesión con uno de los usuarios del dominio, el cliente Outlook automáticamente nos indica el nombre del usuario y su dirección de correo electrónico configurada anteriormente en el servidor Exchange:

• Como podemos ver toda la configuración se ha realizado correctamente:

• Como podemos ver ya tenemos el cliente Outlook 2013 operativo para enviar y recibir correos:

• Para acceder al buzón de correo a través de Internet utilizaremos la conexión por OWA, utilizaremos dos URLs distintas, una si nos conectamos desde la red interna y otra desde el exterior.
• Para conectarnos desde la red interna utilizaremos la URL https://mail01.ragasys.net :

• Para conectarnos desde el exterior, por ejemplo, desde un hotel, cafetería, home ADSL, etc… utilizaremos la URL https://webmail.ragasys.net :

Con este post terminamos todo lo dedicado a instalación, configuración y administración de servidores en un entorno Microsoft, espero que os sea de ayuda, saludos y muchas gracias

Después de unas buenas y merecidas vacaciones con la familia y amigos, dónde hemos podido recargar baterías y coger fuerzas para esta segunda parte del año volvemos con un nuevo post sobre los certificados en MS Exchange 2013.

En este post vamos a ver los certificados en MS Exchange 2013 para asegurar el acceso a los servicios del servidor de correos, podemos utilizar tres tipos de certificados:

• Certificado autofirmado, al instalar Exchange 2013 se genera automáticamente un certificado autofirmado (self signed) habilitado para IIS, POP, IMAP y SMTP, este certificado incluye los nombres de host y FQDN del servidor, por ejemplo, mail01, mail01.ragasys.net. El certificado autofirmado habilita de forma predeterminada  a que los servicios de Exchange sean accedidos de forma segura, cumpliendo así la función básica, pero presenta el inconveniente de que los clientes no confían en el certificado, llegando incluso a no poder conectar.

• Certificado interno, este certificado es emitido por una entidad certificadora (CA) interna.   Esta CA podría estar integrada con Active Directory o no y funcionar del modo “stand alone”. Para usar este tipo de certificado es necesario contar con una CA interna instalada para este propósito.

• Certificado público o externo, este tipo de certificado es el que en general se recomienda para cualquier servicio expuesto en Internet, para obtenerlo es necesario una entidad certificadora externa como Digicert, Godaddy, entre otras. Este certificado a diferencia del autofirmado y del interno tiene un costo directo al momento de la compra y en función al tipo, cantidad de nombres y tiempo de validez tendrá un precio u otro. El certificado público es ideal ya que puede ser utilizado interna como externamente, y sería   confiable en clientes internos, externos, dispositivos móviles, etc… de forma predeterminada.

• Una vez realizada esta introducción, vamos a acceder a nuestro Exchange 2013 y veremos que los certificados que tenemos operativos son los certificados autofirmados que nos genera automáticamente la instalación de Exchange:

• En nuestro caso, ya que tenemos instalada y configurada una entidad certificadora interna, vamos a usar un certificado interno para asegurar el acceso a los servicios de Exchange 2013, para solicitar un nuevo certificado, independientemente del tipo de certificado a utilizar, ya sea interno o público, el procedimiento a seguir sería:
• 1. Generar la solicitud de certificado (CSR) en Exchange.
• 2. Procesar la solicitud con una entidad certificadora interna o externa.
• 3. Completar la solicitud pendiente en Exchange con el archivo devuelto por la CA.
• 4. Habilitar el certificado para que los servicios de Exchange puedan utilizarlo.

• Vamos con el primer paso, que sería Generar la solicitud de certificado (CSR) en Exchange, para ello nos vamos a Servidores > Certificados > +, el certificado autofirmado con el que interactúan los clientes es el que se llama Microsoft Exchange, los otros dos se recomienda no modificarlos:

• Se nos abre este asistente, donde vamos configurando lo siguiente, primero elegimos “Crear una solicitud para un certificado desde una entidad de certificación”:

• Le asignamos un nombre descriptivo:

• Clic en “siguiente”:

• Hacemos clic en Examinar y seleccionamos el servidor donde realizar la solicitud:

• Aquí nos aparecen los dominios que tenemos definidos para cada servicio, clic en siguiente:

• Dejamos los dominios que nos interesan, clic en “siguiente”:

• Completamos la información de la organización y hacemos clic en siguiente:

• Especificamos una ruta UNC válida para guardar la solicitud, clic en “Finalizar”:

• La carpeta share en el servidor mail01 la hemos compartido y le hemos asignado los permisos necesarios:

• Verificamos que el archivo se ha creado correctamente y que la solicitud se encuentra como “Pedido pendiente”:

• Vamos con el segundo paso, que sería Procesar la solicitud con una entidad certificadora interna, entidad que ya configuramos en un post anterior, para ello accedemos a nuestra CA interna a través de la URL https://adcs/certsrv y damos clic a “Solicitar un certificado”:

• Clic en solicitud avanzada de certificado:

• Clic en la segunda opción:

• Abrimos con el bloc de notas el archivo con extensión REQ que creamos anteriormente y copiamos todo el texto:

• En la ventana “Enviar una solicitud de certificado o una solicitud de renovación, pegamos el texto del archivo REQ en “Guardar solicitud” y seleccionamos Servidor web en “Plantilla de certificado”, clic a “Enviar”:

• Seleccionamos la opción “Codificado en Base64” y clic en Descargar certificado:

• Guardamos el certificado en la carpeta share que hemos compartido anteriormente:

• Vamos con el tercer paso, que sería Completar la solicitud pendiente en Exchange con el archivo devuelto por la CA, para ello nos vamos a la consola de Exchange y sobre Servidores > Certificados seleccionamos el Pedido pendiente y damos clic a “Completo” para completar la solicitud:

• Ingresamos la ruta UNC donde se encuentra el certificado que descargamos anteriormente de nuestra CA interna, aceptamos para finalizar:

• Como podemos ver ya tenemos el certificado operativo, tarda un poco en pasar de No válido a Válido:

• Vamos con el cuarto y último paso, que sería, Habilitar el certificado para que los servicios de Exchange puedan utilizarlo, para ello nos vamos a la consola de Exchange y sobre Servidores > Certificados seleccionamos el certificado que acabamos de añadir y lo editamos:

• Seleccionamos los servicios que queremos utilizar y guardamos los cambios:

• Nos muestra el siguiente mensaje de advertencia, dónde le indicamos que sobrescriba:

• Como podemos ver, ya tenemos el certificado completamente válido y con sus servicios asociados:

• Como hemos eliminado el certificado autofirmado (selg signed) que Exchange instala por defecto, llamado Microsoft Exchange, al acceder a la consola de configuración ecp o al acceder al OWA nos va a mostrar la página en blanco, ya que en el Administrador de IIS en Sitios > Exchange Back End >Modificar sitio > Enlaces la conexión por https al puerto 444 no va a tener asignada ningún certificado, para añadir el nuevo certificado creado a esta conexión y poder acceder a la consola ecp, OWA y que los clientes Outlook puedan conectar hacemos lo siguiente:

• Tras realizar estas configuraciones, ya tenemos acceso a la consola ecp, OWA, etc…
• Como podemos ver, el acceso a través del OWA con la URL https://webmail.ragasys.net (accesos externos) nos indica que tenemos un certificado de confianza y que la conexión al servidor está cifrada:

• Como podemos ver, el acceso a través del OWA con la URL https://mail01.ragasys.net (accesos internos) nos indica que tenemos un certificado de confianza y que la conexión al servidor está cifrada:

• La Fuente para realizar este post ha sido Aprendiendo Exchange.com – Daniel Nuñez Banega, darle las gracias por su magnífico trabajo con servidores Microsoft Exchange.

Saludos y espero que os resulte de ayuda

En este post vamos a ver como instalar y configurar una entidad emisora de certificados en MS Windows Server 2012 R2, esto nos va a permitir generar a nosotros mismos nuestros propios certificados, dándole seguridad a nuestras comunicaciones.

• Empezamos la configuración de nuestro servidor Active Directory Certificate Services (ADCS) asignándole un nombre y una dirección IP estática y como DNS le asignamos la dirección IP de nuestro controlador de dominio, ya que es éste servidor el que tiene el rol de DNS, también debemos unir este equipo a nuestro dominio:

• Para empezar a instalar ADCS abrimos elAdministrador del servidor y nos vamos a Administrar>Agregar  roles y características:

• Se nos abre este asistente, clic en siguiente para continuar:

• Elegimos la opción instalación basada en características o roles:

• Seleccionamos el servidor y clic sobre siguiente:

• Ahora agregamos el rol de “Servicios de certificados de Active Directory”:

• Se nos abre el siguiente asistente para agregar las características necesarias para este rol:

• Clic en siguiente para continuar:

• Todas las características que requiere nuestro servidor de certificados se seleccionan por defecto por lo que hacemos clic en siguiente:

• Nos muestra información sobre los servicios de certificados de Active Directory, clic en “siguiente”:

• En los servicios de rol seleccionamos “Inscripción web de entidad de certificación”, el servicio “Entidad de certificación” ya está seleccionado por defecto, clic en “siguiente”:

• Se nos abre el siguiente asistente para agregar las características necesarias para este servicio de rol:

• Clic en siguiente para continuar:

• Nos muestra información sobre el rol de IIS (Internet Information Services), clic en siguiente para continuar:

• Lo dejamos todo por defecto, clic en “siguiente”:

• Nos muestra un resumen de todo lo seleccionado, marcamos el check para que reinicie el servidor cuando instale los roles que hemos seleccionado, clic sobre “Instalar”:

• Comienza con la instalación de toda la configuración elegida en los asistentes:

• Como podemos ver la instalación ha finalizado correctamente, clic sobre “cerrar”:

• Ahora para configurar los Servicios de certificado de Active Directory, sobre el Administrador del servidor, en los warning, hacemos clic en “Configurar Servicios de certificado de Active Directory”:

• Se nos abre el siguiente asistente, dónde introducimos las credenciales del administrador del dominio:

• Seleccionamos “Entidad de certificación” e “Inscripción web de entidad de certificación”:

• El tipo de instalación elegida será Entidad de certificación empresarial, ya que vamos a trabajar sobre nuestro dominio:

• El tipo de CA será root:

• Seleccionamos la opción “Crear una clave privada nueva”:

• Seleccionamos los parámetros por defecto:

• Lo dejamos tal cuál está:

• En el período de validez, elegimos por ejemplo 20 años:

• Las ubicaciones de las bases de datos las dejamos por defecto:

• Nos muestra un resumen de todo lo configurado en el asistente, clic a “Configurar”:

• Como podemos ver todo ha finalizado correctamente, clic en “Cerrar”:

• Si todo está funcionando correctamente nos podremos conectar a nuestra entidad de certificación en la URL http://localhost/certsrv, dónde cargará la página principal:

• Ahora vamos a ejecutar el Administrador de Internet Information Services (IIS) y comprobamos que las conexiones por HTTPS no están habilitadas:

• Para habilitar las conexiones por HTTPS vamos a seguir estos pasos, en primer lugar nos abrimos una consola de Windows PowerShell y ejecutamos el comando, certtmpl.msc:

• Se nos abre la siguiente consola y sobre el panel de detalles seleccionamos “Servidor Web”, luego hacemos clic sobre “Plantilla duplicada”:

• Sobre la pestaña “Compatibilidad” lo dejamos por defecto:

• Sobre la pestaña “General” le damos un nombre a la plantilla y el período de validez le damos 5 años:

• Sobre la pestaña “Seguridad” agregamos la cuenta del servidor que tiene el rol de Entidad de certificación:

• En Tipos de objeto seleccionamos Equipos:

• Agregamos nuestro servidor de Entidad de certificación:

• Le asignamos los permisos necesarios:

• Sobre la pestaña “Nombre del sujeto” configuramos estas opciones:

• Sobre la pestaña “Criptografía” el tamaño mínimo de clave debe estar en el valor 2048, aplicamos y aceptamos:

• Cerramos la consola de Plantillas de certificado y abrimos la consola de Entidad de certificación en las Herramientas administrativas:

• Sobre la consola de Entidad de certificación hacemos un clic derecho de ratón sobre “Plantillas de certificado”, seleccionamos Nuevo>Plantilla de certificado que se va a emitir:

• Seleccionamos la nueva plantilla de certificado que configuramos anteriormente y clic en “Aceptar”:

• Nos abrimos una consola de Windows PowerShell y escribimos el comando mmc, en la nueva consola que se nos abre damos clic sobre Archivo y Agregar o quitar complemento:

• Seleccionamos certificados y agregamos:

• Se nos abre este asistente dónde vamos configurando las siguientes opciones:

• Aceptamos la configuración:

• Sobre la nueva consola que acabamos de configurar solicitamos un nuevo certificado:

• Se nos vuelve a abrir un nuevo asistente, dónde vamos configurando lo siguiente:

• Como podemos ver se ha inscrito correctamente, clic en “Finalizar”:

• Ahora nos abrimos el Administrador de IIS, y sobre Default web Site hacemos clic en Modificar sitio > Enlaces:

• Añadimos las conexiones HTTPS a través del puerto 443:

• Como podemos ver ya tenemos la nueva conexión por HTTPS agregada:

• Ya podemos acceder a nuestra entidad de certificación a través de HTTPS:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar los puertos en nuestro firewall y los registros DNS para Exchange con un proveedor de dominios, y así poder publicar en Internet nuestros servidores de correo.

Recordemos que la topología de red utilizada es la siguiente:

• Los datos de configuración IP de nuestros servidores de correo van a ser los siguientes:

• Para el servidor mail01.ragasys.net tenemos que hacer un NAT Inversa o abrir puertos, concretamente el puerto 443 para el OWA y redirección de peticiones por SSL:

• Para el servidor mx01.ragasys.net tenemos que hacer un NAT Inversa o abrir puertos, concretamente el puerto 25 para el protocolo SMTP:

• Una vez realizada la apertura de puertos necesaria, vamos a mostrar la configuración de las reglas que tenemos aplicadas en nuestro Firewall, este proceso de configuración de reglas, tenemos que realizarlo antes de instalar y configurar los servidores de correos, para que se puedan comunicar entre sí, ya que el mail01 estará ubicado en nuestra red interna (INSIDE) y el mx01 en la DMZ:

• Desde la línea 15 a la 32 hemos configurado el Firewall para permitir o denegar el tráfico que nos interesa entre la red INSIDE y la DMZ:
  • De la línea 15 a la 18, creamos las cadenas de elementos a utilizar para configurar el tráfico.
  • En la línea 19 y 20 permitimos el tráfico ICMP entre estas dos redes.
  • En la línea 21 y 22 permitimos que el servidor MAIL01 se pueda conectar con el MX01 a través de terminal server (por escritorio remoto), y denegamos que MX01 se pueda conectar a MAIL01 a través de terminal server.
  • De la línea 23 a la 26 permitimos el tráfico LDAP Exchange EdgeSync – ADAM desde Active Directory, para que el MAIL01 (Servidor de correos) y el MX01 (Servidor perimetral) puedan sincronizar los datos de configuración de Active Directory, en este enlace podéis ver el proceso de sincronización de EdgeSync.
  • En la línea 27 y 28 permitimos todo el tráfico TCP entre MAIL01 y MX01.
  • De la línea 29 a la 32 permitimos el tráfico TCP entre el servidor de antivirus Kaspersky y el MX01, para que el servidor de correos perimetral (MX01) ubicado en la DMZ pueda actualizar su antivirus desde los repositorios del servidor Kaspersky que tenemos configurado en nuestra red INSIDE.
  • De la línea 36 a la 44 denegamos todo el tráfico entre las tres redes que hemos configurado INSIDE-DMZ-OUTSIDE

• Una vez configurados los puertos y las reglas en el firewall, tenemos que configurar los registros DNS para Exchange con un proveedor de dominios y poder así publicar nuestros servidores de correo en internet.
• Los dominios aceptados y configurados en nuestro servidor de correo son los siguientes:

• Para el dominio ragasys.net  vamos a configurar en nuestro proveedor de dominio los siguientes registros:

autodiscover.ragasys.net > Registro tipo A > 83.56.98.55

mail01.ragasys.net > Registro tipo A > 83.56.98.55

mx01.ragasys.net > Registro tipo A > 83.56.98.56

webmail.ragasys.net > Registro tipo A > 83.56.98.55

ragasys.net > Registro tipo MX (MX10) > mx01.ragasys.net

• Para el dominio ragasys.es vamos a configurar en nuestro proveedor de dominio los siguientes registros:

autodiscover.ragasys.es > Registro tipo CNAME > autodiscover.ragasys.net

ragasys.es > Registro tipo MX (MX10) > mx01.ragasys.net

Saludos y espero que os sea de ayuda

En este post veremos cómo instalar, configurar y administrar Microsoft Exchange 2013 con los roles de Edge transport, la instalación la haremos sobre el sistema operativo para servidores MS Windows Server 2012 R2 Standard x64, este servidor estará ubicado en la DMZ de nuestra infraestructura ya que estará más expuesto hacia Internet, al tener abierto el puerto SMTP 25 para los correos salientes y entrantes ajenos a nuestra organización, es decir, todos los correos enviados y recibidos fuera de nuestro dominio pasarán por este servidor, de ahí el nombre de Servidor de transporte perimetral.

El servidor de transporte perimetral proporciona una protección mejorada contra el correo no deseado para la organización de Exchange, y además, aplica directivas a los mensajes que se envían de unas organizaciones a otras. Este rol de servidor se implementa en la red perimetral y fuera del bosque de Active Directory. Los servidores de transporte perimetral no tienen acceso directo al Active Directory para configuración e información de destinatarios de la misma forma que los servidores de acceso de cliente. El servidor de transporte perimetral usa los Servicios de directorio ligero de Active Directory (AD LDS) para almacenar localmente información de configuración y destinatarios.

Recordemos que la topología de red utilizada es la siguiente:

• Estos puertos ya los tenemos configurados en nuestro Firewall, ver el post Configuración Firewall con Mikrotik RB1100 AHx2, los puertos 443 para el OWA y redirección de peticiones por SSL apuntando al servidor de Mailbox (mail01) y 25 para el SMTP apuntando al servidor de transporte perimetral (mx01), lo explicaremos en otro post de dedicado a configuración de puertos y registros DNS para Exchange con un proveedor de dominios como puede ser 1&1, aquí veremos cómo publicar los nombres de nuestros servidores de correos en Internet y a través de los registros MX nos podrán enviar correos a las direcciones de e-mail de los usuarios definidos en Exchange.
• Lo primero que tenemos que hacer será configurar el sufijo DNS para el servidor de transporte perimetral, este nombre no se puede cambiar una vez que se ha instalado el rol de servidor Transporte perimetral:

• Para habilitar la resolución de nombres en el servidor de transporte perimetral, vamos a editar el archivo hosts, ubicado en C:\Windows\System32\drivers\etc, con los siguientes registros:

• En la configuración TCP/IP se la asignamos como estática, como servidores DNS los configuramos con servidores de nombres de dominio público, esto permite al servidor resolver los nombres de dominio SMTP a los registros de los recursos de MX y enrutar el correo a Internet :

• En nuestro servidor DNS interno, instalado y configurado sobre el controlador de dominio (oficala), vamos a agregar un registro estático de tipo A con el nombre y dirección IP del servidor de transporte perimetral, también agregaremos la zona de búsqueda inversa:

• Antes de instalar el rol de servidor de transporte perimetral, tenemos que preparar el Active Directory, para ello, como vamos a instalar Exchange 2013 SP1, uno de los requisitos es tener instalado Windows Management Framework 4.0, como Windows Server 2012 R2 incluye .NET Framework 4.5.1 y Windows Management Framework 4.0, en este apartado no tenemos que instalar nada.
• Ahora vamos a instalar el paquete de Administración de herramientas remotas, para ello nos abrimos una consola de Windows PowerShell y ejecutamos el siguiente comando, “Install-WindowsFeature RSAT-ADDS”:

• Ahora instalamos los Servicios de directorio ligero de Active Directory (AD LDS), para almacenar localmente información de configuración y destinatarios, para ello nos abrimos una consola de Windows PowerShell y ejecutamos el siguiente comando, “Install-WindowsFeature ADLDS”:

• Una vez terminados los requisitos previos, procedemos a instalar el Servidor de Exchange 2013 con el rol de transporte perimetral.

• Una vez que inicia la instalación el sistema buscará actualizaciones, clic sobre “siguiente”:

• Nos indica que no hay actualizaciones, clic en “siguiente”:

• Comienza a copiar los archivos:

• Una vez que ha finalizado de copiar los archivos, damos clic sobre “siguiente”:

• Aceptamos los términos de licencia y damos clic sobre “siguiente”:

• Usamos la configuración recomendada:

• Seleccionamos el rol de transporte perimetral:

• Seleccionamos la ruta predeterminada de instalación:

• Se comprueban los requisitos previos, como todo está correcto damos clic sobre “Instalar”:

• Comienza la instalación:

• Una vez que la instalación se ha completado, damos clic a “Finalizar” y reiniciamos el equipo:

• Ahora vamos a crear el EdgeSync, que es el proceso de implementación recomendado para crear una suscripción perimetral, para suscribir el servidor transporte perimetral a la organización de Exchange. Al crear una suscripción perimetral, los datos de los destinatarios y de la configuración se replican de Active Directory a AD LDS. Se suscribe un servidor transporte perimetral a un sitio de Active Directory, a continuación, el servicio EdgeSync de Microsoft Exchange que se encuentra en ejecución en los servidores de buzones de correo de dicho sitio actualiza AD LDS de forma periódica mediante la sincronización de datos de Active Directory. El proceso de suscripción perimetral proporciona automáticamente los conectores de envío necesarios para habilitar el flujo de correo desde la organización de Exchange a Internet a través de un servidor Transporte perimetral.

• Lo primero que vamos a realizar será crear el archivo de suscripción perimetral en el servidor de transporte perimetral usando la sintaxis siguiente: “New-EdgeSubscription -FileName <FileName>.xml [-Force]”, para ello nos abrimos una consola de Exchange Management Shell:

• Como podemos ver el archivo de suscripción se ha creado correctamente:

• Ahora vamos a copiar el archivo de suscripción perimetral resultante en el servidor con el rol de Mailbox que instalamos y configuramos en el post anterior, lo ubicamos en C:\Edgesubscription:

• Usamos esta sintaxis en el servidor de Mailbox para importar el archivo de suscripción perimetral, “New-EdgeSubscription -FileData ([byte[]]$(Get-Content -Path «<FileName>.xml» -Encoding Byte -ReadCount 0)) -Site <SiteName>”, para ello nos abrimos una consola de Exchange Management Shell, el archivo de suscripción perimetral xml se importa desde la carpeta C:\Edgesubscription y suscribe el servidor de transporte perimetral en el sitio de Active Directory denominado «Default-First-Site-Name»:

• Como podemos ver la suscripción se ha realizado correctamente:

• Ejecutamos el siguiente comando en el servidor de Mailbox para iniciar la primera sincronización de EdgeSync, “Start-EdgeSynchronization”:

• Como podemos ver el resultado ha sido satisfactorio:

• Ahora nos abrimos la consola de Administración de Exchange y sobre los servidores, podemos observar que el servidor de transporte perimetral está suscrito, ya lo tendríamos totalmente operativo y listo para realizar las funciones de envío y recepción de correos electrónicos:

• En Flujo de correo > Conectores de envío, podemos observar que los conectores para EdgeSync se han instalado y habilitado correctamente:

• En este mismo apartado vamos a configurar el tamaño máximo de los mensajes enviados:

Saludos y espero que os sea de ayuda

En este post veremos cómo instalar, configurar y administrar Microsoft Exchange 2013 con los roles de Mailbox, Client Access y Management Tools, la instalación la haremos sobre el sistema operativo para servidores MS Windows Server 2012 R2 Standard x64.

Recordemos que la topología de red utilizada es la siguiente:

• Empezamos la configuración de nuestro servidor de correos asignándole un nombre y una dirección IP estática y como DNS le asignamos la dirección IP de nuestro controlador de dominio, ya que es éste servidor el que tiene el rol de DNS, también debemos unir este equipo a nuestro dominio:

• Nuestro servidor de correos está virtualizado a través de VMware vSphere y le hemos añadido tres discos duros formateados con el sistema de ficheros NTFS a parte del disco del sistema, estos tres discos adicionales los vamos a utilizar para:
• Dos de ellos para alojar las bases de datos de los buzones de los usuarios, llamados MAILBOX01 y MAILBOX02.
• El tercero va a contener los LOGS que nos genera el Exchange y que se eliminarán automáticamente una vez tengamos programado el backup del servidor de Exchange y se realicen correctamente estas tareas de backup.

• Ahora vamos a instalar el paquete de Administración de herramientas remotas, para ello nos abrimos una consola de Windows PowerShell y ejecutamos el siguiente comando, “Install-WindowsFeature RSAT-ADDS”:

• Antes de iniciar la instalación de Exchange 2013 vamos a ejecutar un Powershell con permisos de Administrador para instalar los requisitos previos que son necesarios para el Exchange 2013:

Install-WindowsFeature AS-HTTP-Activation, Desktop-Experience, NET-Framework-45-Features, RPC-over-HTTP-proxy, RSAT-Clustering, RSAT-Clustering-CmdInterface, RSAT-Clustering-Mgmt, RSAT-Clustering-PowerShell, Web-Mgmt-Console, WAS-Process-Model, Web-Asp-Net45, Web-Basic-Auth, Web-Client-Auth, Web-Digest-Auth, Web-Dir-Browsing, Web-Dyn-Compression, Web-Http-Errors, Web-Http-Logging, Web-Http-Redirect, Web-Http-Tracing, Web-ISAPI-Ext, Web-ISAPI-Filter, Web-Lgcy-Mgmt-Console, Web-Metabase, Web-Mgmt-Console, Web-Mgmt-Service, Web-Net-Ext45, Web-Request-Monitor, Web-Server, Web-Stat-Compression, Web-Static-Content, Web-Windows-Auth, Web-WMI, Windows-Identity-Foundation

• Una vez finalizada la instalación de los requisitos previos, reiniciamos el sistema como nos indica:

• Ahora vamos a instalar las siguientes aplicaciones de Microsoft, necesarias para la instalación de MS Exchange 2013 SP1:

• Empezamos con la instalación del primer paquete, “Microsoft Unified Communications Managed API 4.0, Core Runtime 64-bit”:

• Seguimos con el segundo, “Microsoft Office 2010 Filter Pack 64 bit”:

• Seguimos con el tercero, “Microsoft Office 2010 Filter Pack SP1 64 bit”:

• Terminamos con el cuarto, “Microsoft Office 2010 Filter Pack SP2 64 bit”:

• Una vez instalados todos los requisitos previos, actualizamos nuestro Windows Server 2012 R2 a través de Windows Update:

• Una vez hayamos instalado todas las actualizaciones, reiniciamos el servidor y procedemos con la instalación de MS Exchange 2013:

• Una vez que inicia la instalación el sistema buscará actualizaciones, clic sobre “siguiente”:

• Nos indica que no hay actualizaciones, clic en “siguiente”:

• Comienza a copiar los archivos:

• Una vez que ha finalizado de copiar los archivos, damos clic sobre “siguiente”:

• Aceptamos los términos de licencia y damos clic sobre “siguiente”:

• Usamos la configuración recomendada:

• Seleccionamos los roles o funciones que va a tener este servidor de Exchange:

• Seleccionamos la ruta predeterminada de instalación:

• Escribimos el nombre de nuestra organización de Exchange y clic sobre “siguiente”:

• Le indicamos que no deshabilite la exploración de malware y clic sobre “siguiente”:

• Se comprueban los requisitos previos, como todo está correcto damos clic sobre “Instalar”:

• Comienza la instalación:

• Una vez que la instalación se ha completado, damos clic a “Finalizar”:

• Una vez que hemos completado la instalación, ya podemos empezar con la configuración de nuestro servidor de Exchange 2013, para ello accedemos al centro de administración de Exchange en la URL: https://mail01/ecp:

• Ahora vamos a añadir nuestros dominios públicos a los dominios aceptados en el servidor de Exchange, para ello hacemos lo siguiente:

• Para el dominio ragasys.com realizamos los mismos pasos, nos quedaría entonces de la siguiente manera:

• Ahora vamos a configurar las directivas de direcciones de correo, para que la dirección principal de los correos electrónicos de los usuarios sea el dominio público ragasys.es, para ello hacemos lo siguiente:

• La directiva de dirección de correo nos quedaría de la siguiente manera:

• Aplicamos a todos los destinatarios, clic a guardar:

• Definitivamente nos queda de la siguiente manera:

• Al instalar un nuevo servidor de Exchange 2013 la base de datos predeterminada se crea automáticamente en la ruta de instalación de Exchange, que por defecto suele ser C:\Program Files\Microsoft\Exchange Server\V15\Mailbox\Mailbox Database 0897742703
• Por lo general, esta ubicación por defecto no es la más adecuada, ya que esta base de datos irá creciendo a medida que se agregen usuarios y que estos generen actividad. Podría colapsar la unidad donde se encuentra el sistema operativo y la instalación de Exchange. Para solucionarlo tendríamos dos posibilidades:

• Quitar la base de datos y crear una nueva en la ubicación deseada
• Mover la base de datos existente a la ubicación deseada

• En este caso vamos a optar por la primera, para ello vamos crearnos tres bases de datos, ordenadas por departamentos y que ubicaremos en discos independientes al de sistema, que ya preparamos al instala el Server:

• admcondir, para los departamentos de Administración. Contabilidad y Dirección
• iting, para los departamentos de IT e Ingeniería
• pubvent, para los departamentos de Publicidad y Ventas

• Nos vamos a Servidores > Bases de datos > +:

• Agregamos la primera base de datos, con los siguientes parámetros:

• Nos da una advertencia que es necesario reiniciar el servicio Microsoft Exchange Information Store, lo reiniciaremos una vez hayamos creado las tres bases de datos:

• Agregamos la segunda base de datos, con los siguientes parámetros:

• Agregamos la tercera base de datos, con los siguientes parámetros:

• Ahora vamos a reiniciar el servicio Microsoft Exchange Information Store, en Panel de control > Herramientas Administrativas > Servicios:

• Una vez que el servicio ha reiniciado, vamos a migrar todos los buzones ya existentes a una de las bases de datos que hemos creado, concretamente a “iting”; para ello nos vamos a Destinatarios > Migración > + > Mover a una base de datos diferente:

• Seleccionamos todos los usuarios y damos clic a siguiente:

• Le damos un nombre al nuevo lote de migración y seleccionamos la base de datos de destino:

• Seleccionamos al usuario que recibirá el informe del lote de migración, damos clic sobre “nuevo”:

• Después de unos minutos veremos que el lote ha finalizado y que no contiene errores:

• Ya podemos desmontar y eliminar la base de datos inicial, para ello nos vamos a Servidores > Bases de datos:

• Una vez que hemos desmontado la base de datos, procedemos con su eliminación:

• Nos da el siguiente mensaje de advertencia y nos indica que la base de datos debemos quitarla manualmente en la ruta especificada, clic sobre “Aceptar”:

• Una vez eliminada de la consola de Exchange la base de datos inicial de nuestro servidor de correos, nos quedan configuradas las bases de datos de la siguiente manera, no la elimino manualmente de la ruta que nos indica, por si en alguna ocasión nos hiciera falta:

• Ahora vamos a proceder a configurar los detalles de cada una de las bases de datos, como el mantenimiento o los límites de cuotas para los usuarios.
• Empezamos por la base de datos para los departamentos de Administración, Contabilidad y Dirección:

• Seguimos por la base de datos para los departamentos de IT e Ingeniería:

• Seguimos por la base de datos para los departamentos de Publicidad y Ventas:

• Ahora vamos a pasar a configurar los directorios virtuales, para ello nos vamos a Servidores > Directorios virtuales, comenzamos con el “Autodiscover”:

• Seguimos con el “ecp”:

• Ahora vamos con el “EWS”:

• Seguimos con Microsoft-Server-ActiveSync:

• Seguimos con el “OAB”:

• Ahora vamos con el “owa”:

• Seguimos con el PowerShell:

• Configuramos “Outlook Anywhere” en nuestro servidor de Exchange, para ello nos vamos a Servidores y editamos sus propiedades:

• Una vez que hemos configurado el Outlook anywhere nos vamos a nuestro controlador de dominio, nos abrimos la consola DNS y añadimos este registro del tipo CNAME, este registro lo añadimos para que cuando nos conectemos desde nuestra red interna, la conexión sea más rápida, ya que se va a conectar a través de la IP privada y no a través de la IP pública:

• Ahora vamos a mostrar un ejemplo para añadir un buzón de correo de un usuario ya existente en el Active Directory, para los demás usuarios seguiremos el mismo proceso.
• Nos vamos a Destinatarios > Buzones > + Buzón del usuario:

• En Examinar, elegimos el usuario al que le queremos crear el buzón de correo, elegimos un alias, que será el nombre que irá delante de sufijo DNS para la cuenta de correo:

• Damos clic sobre “Más opciones”:

• Damos clic sobre “Examinar” y elegimos la base de datos dónde se ubicará el buzón del usuario, en este caso, como el usuario pertenece al departamento de Administración, la base de datos será la de Administración, clic sobre “guardar”:

• Como podemos ver ya está el buzón del usuario creado:

• Ahora vamos a crearnos los grupos de distribución por departamentos, estos grupos tendrán asociada una cuenta de correo y como integrantes van a tener los miembros de su departamento según corresponda, vamos a mostrar un ejemplo de cómo está configurado el Grupo de distribución para el departamento de Administración, ya que para los demás será exactamente igual, para ello nos vamos a Destinatarios > Grupos > + Grupo de distribución:

• Una vez creado editamos las propiedades de este mismo grupo:

• La lista de grupos de distribución nos quedaría de la siguiente manera:

Saludos y espero que os sea de ayuda

En este post veremos cómo se configura el router Mikrotik RB1100 AHx2, para que funcione como firewall de nuestra infraestructura de red, este es un dispositivo, que a mí en particular me gusta bastante, por su versatilidad, buen funcionamiento y las cientos de opciones de configuración que tiene, en algún otro post mostraré como montar un servicio WISP con este dispositivo de Mikrotik y con algunos otros, balanceo de líneas ADSL´s, filtrado de tráfico con Filter rules, VPNs site to site y de acceso remoto, webproxy transparente, PPoE client, DNS cache transparente, limitación de ancho de banda con PCQ, etc, etc…, en fin, sobre estos dispositivos podríamos estar meses y meses escribiendo sobre ellos, por la cantidad de opciones que nos presenta.

• Con los routers de Mikrotik podemos trabajar con la línea de comandos:

• O bien con la aplicación Winbox, que la podemos descargar de la web de Mikrotik, nosotros vamos a trabajar con la aplicación winbox, ya que nos muestra una interface GUI con menús más amigable que el entorno de texto, aunque en muchas ocasiones vamos a tener que recurrir al modo texto, por ejemplo, no en este post, sino en otros que mostraré, para configurar el balanceo de líneas ADSL´s, para las reglas de filtrado, para la limitación del ancho de banda por PCQ, etc..

• Empezamos con la configuración del router Mikrotik 1100 AHx2, para ello nos abrimos una sesión con el Winbox:

• Lo primero que haremos será darle un nombre al dispositivo:

• Ahora vamos a renombrar las interfaces Ethernet, que en este caso, tenemos tres, una de ellas será la interface OUTSIDE que irá conectada directamente a Internet, otra será la INSIDE que será donde tenemos conectados nuestros servidores empresariales, y la otra la DMZ dónde tendremos servidores en la red perimetral, es decir, estos se ubicarán entre nuestra red interna y la red externa Internet:

• Una vez que tenemos renombradas las interfaces le aplicaremos el direccionamiento IP, para ello nos vamos a IP>Adresses:

• Ahora configuramos la ruta por defecto para la salida a internet, que será un router ADSL con la dirección IP 192.168.14.205, para ello nos vamos a IP>Routes:

• Y configuramos la siguiente ruta estática:

• Ahora vamos a configurar el NAT para las redes INSIDE y DMZ, para ello nos vamos a IP>Firewall:

• Sobre la pestaña NAT configuramos primero la regla para la red INSIDE:

• Ahora configuramos el NAT para la red DMZ:

• Ahora vamos a configura el DNS caché, para ello nos vamos a IP>DNS:

• Configuramos los siguientes parámetros:

• Ahora vamos a configurar el DNS cache transparente (en realidad, esta parte de la configuración es opcional, ya que el servidor DNS lo vamos a configurar en el controlador de dominio, para que todos los equipos de nuestra infraestructura apunten a él como servidor de nombres, lo muestro por si a alguien le interesa), para ello nos vamos a IP>Firewall y pestaña NAT y crearemos estas dos reglas para la redirección del DNS, una para la interface INSIDE y otra para la DMZ:

Todo lo que tenga como destino (dstnat), el puerto 53 (Dst. Port), con protocolo udp (protocol), y que entre por etherX (In. Interface), será redireccionado (redirect), al puerto 53 (To Ports).

La función del DNS Caché transparente es que los equipos de nuestra infraestructura que soliciten direcciones de internet, queden registradas en el router Mikrotik, y cada vez que los equipos soliciten de nuevo estas direcciones, sea el Mikrotik quien se las sirva, todo esto de una forma transparente para los equipos, agilizando así las comunicaciones.

• Ahora vamos a crear una regla en el firewall para darle seguridad al DNS Caché y bloquear el acceso a este recurso desde Internet, así evitaremos ataques desde el exterior, para ello nos vamos a IP>Firewall y pestaña Filter Rules:

• Ahora nos vamos a centrar en las reglas que hemos creado en el firewall para la topología de red que hemos propuesto, intentaremos explicarlas una a una:

• Desde la línea 15 a la 32 hemos configurado el Firewall para permitir o denegar el tráfico que nos interesa entre la red INSIDE y la DMZ:
• De la línea 15 a la 18, creamos las cadenas de elementos a utilizar para configurar el tráfico.
• En la línea 19 y 20 permitimos el tráfico ICMP entre estas dos redes.
• En la línea 21 y 22 permitimos que el servidor MAIL01 se pueda conectar con el MX01 a través de terminal server (por escritorio remoto), y denegamos que MX01 se pueda conectar a MAIL01 a través de terminal server.
• De la línea 23 a la 26 permitimos el tráfico LDAP Exchange EdgeSync – ADAM desde Active Directory, para que el MAIL01 (Servidor de correos) y el MX01 (Servidor perimetral) puedan sincronizar los datos de configuración de Active Directory, en este enlace podéis ver el proceso de sincronización de EdgeSync.
• En la línea 27 y 28 permitimos todo el tráfico TCP entre MAIL01 y MX01.
• De la línea 29 a la 32 permitimos el tráfico TCP entre el servidor de antivirus Kaspersky y el MX01, para que el servidor de correos perimetral (MX01) ubicado en la DMZ pueda actualizar su antivirus desde los repositorios del servidor Kaspersky que tenemos configurado en nuestra red INSIDE.
• De la línea 36 a la 44 denegamos todo el tráfico entre las tres redes que hemos configurado INSIDE-DMZ-OUTSIDE.

Saludos y espero que os sea de ayuda, hasta otra

Como lo prometido es deuda, aquí les traigo este post sobre la instalación, configuración y administración de servidores en un entorno Microsoft, este post lo vamos a dividir en varias partes, que iremos entregando “poquito a poco”, ya que el tiempo es lo que nos falta, algunas de ellas ya la hemos visto como por ejemplo la instalación y configuración de un controlador de dominio, WSUS, suite de seguridad con Kaspersky Security Center, etc…

La instalación de MS Exchange 2013 la realizaremos sobre 2 servidores MS Windows Server 2012 R2 Standard, uno de ellos (MAIL01), estará en nuestra red interna, detrás del firewall, realizando las funciones de MAILBOX, CLIENT ACCESS y MANAGEMENT TOOLS, y el otro(MX01), estará también detrás del firewall, pero en la red DMZ, realizando las funciones de EDGE TRANSPORT.

La topología que hemos configurado y desarrollado sería la siguiente:

Este post lo vamos a dividir en:

• Configuración Firewall con Mikrotik RB1100 AHx2
• Controlador de dominio sobre MS Windows Server 2012 R2
• Organización de Active Directory sobre MS Windows Server 2012 R2
• Administración de directivas de grupo sobre MS Windows Server 2012 R2
• Permisos sobre MS Windows Server 2012 R2 – Servidor de archivos
• Servidor de impresión sobre MS Windows Server 2012 R2
• Instalación y configuración de WSUS en MS Windows Server 2012 R2
• Kaspersky Security Center sobre MS Windows Server 2012 R2
• Instalación, configuración y administración de MS Exchange 2013 con roles de Mailbox, Client Access y Management Tools
• Instalación, configuración y administración de MS Exchange 2013 con roles de Edge Transport – Transporte Perimetral
• Configuración de puertos y registros DNS para Exchange con un proveedor de dominios
• Instalación y configuración de entidad emisora de certificados en Windows Server 2012 R2
• Certificados en MS Exchange 2013
• Configuración de cuentas de correo sobre MS Outlook 2013 y acceso por OWA

Saludos y espero que todo esto os sea de ayuda, ya que va a tener bastante «curro»