{%hackmd @themes/dracula %}
###### tags: `郵件伺服器`
# 郵件伺服器的原理與運作流程 2023/2/8 3/8,13,29
https://www.weithenn.org/2009/04/mail.html

:::info
前言
E-mail系統中，包括了 MUA(Mail User Agent) 與 MTA(Mail Transport Agent) 二個部份：
MUA (Mail User Agent)：一般使用者用來讀信、寫信、處理郵件的程式稱之，例如 Windows 的 Outlook、Linux 的 pine。
MTA (Mail Transport Agent)：系統中負責處理信件收發工作的伺服器端軟體稱之，簡單說也就是郵件伺服器，在 Unix 系統中最常使用的就是 Sendmail 與 Postfix.
:::

## Mail 運作示意圖及流程圖

:::info
Mail 運作流程說明
用戶端使用 MUA 撰寫郵件後，利用 TCP 連接埠 25，將電子郵件傳送至所屬的郵件伺服器 (MTA) 中，這些郵件會被暫時存放在佇列 (Queue) 中。
經郵件伺服器的判斷，若收件者為遠端網路的使用者，則伺服器會先跟 DNS 伺服器要求解析遠端伺服器的 IP。
如果成功的解析遠端伺服器的 IP 時，則本地端的郵件伺服器 (MTA) 將利用 SMTP 通訊協定將郵件傳送到遠端的郵件伺服器。但若解析失敗，則無法進行郵件的傳遞。
SMTP 會嘗試與遠端的郵件伺服器連行連接，如果連接成功，則將郵件傳送至遠端的伺服器，收件者即可利用 POP 或 IMAP 的通訊協定，連接至收件者的郵件伺服器下載或直接讀取郵件。但若是遠端郵件伺服器無法接受郵件，則這些郵件會繼續停留在 Queue 中，然後在指定的時間內再次嘗試連接，直到成功或放棄傳送為止。
:::

:::info
SMTP 簡單郵遞傳送協定（英語：Simple Mail Transfer Protocol，縮寫：SMTP）
POP3 郵局協議（英語：Post Office Protocol，縮寫：POP）
IMAP 網際網路資訊存取協定（英語：Internet Message Access Protocol，縮寫：IMAP)

明文
SMTP 寄信 25
POP3 收信 110
IMAP 收信 143

加密
SMPTs 587 465
POP3s 995
IMAPs 993

Webmail 443 <- 可定義
微軟 MAPI 443

DNS，也就是網域名稱系統，它將人們可讀取的網域名稱 (例如，www.amazon.com) 轉換為機器可讀取的 IP 地址 (例如，192.0.2.44)。

:::



# 建立郵件主機somail_iso檔

下載iso檔 SomailCD_5.42.iso
用WMware Worksation 新增虛擬機 命名Mail 掛載iso檔(不能卸載不然會有異常)


是否要格式化

SWAP 是RAM2倍 所以是4096

進入畫面

==網址ping https://192.168.200.227:88 預設帳密admin adminpw==
進入網頁畫面

郵件伺服器> STMP服務設定> 設定 伺服器名稱 test17.com
pop3/imap 服務設定> 開啟
SMTP歡迎詞 > 
允許Relay來源 > 預設都沒設，因為設定來源很容易被駭客入侵，通常都是設定 印表機IP


網路設定>WAN介面設定>IPV4>主機名稱 mail.test17.com

## 新增帳號

使用者管理>新增帳號 uesr10 & uesr11 & uesr12


用微軟瀏覽器 連https://192.168.200.227  登入user10  1qaz@wsx
編寫新郵件 寄給user11，登user11 看是否收到郵件。


登入user10
寄給你自己的gmail信箱，登自己的gmail 信件會放置在spam(垃圾桶)，自己無法回信

==登入admin
郵件紀錄器>紀錄查詢> 可以看到所有使用者寄件的內容&附件==

## 郵件過濾器

郵件過濾器 > 過濾器設定 
新增>規則名稱 薪水，信件內文 薪水 ，執行動作>直接刪除
結論: user10 寄郵件 有打薪水的內文給 user11 ，會被直接刪除。



新增 規則名稱 待遇，收件者 user11，主要動作>阻擋待審核 審核人員admin


## 系統設定 > 管理員任務分派

系統設定 >管理員任務分派
使用者管理 user10
郵件記錄器 user12


https://192.168.200.227:88
登入 user10 權限只有 使用者管理
登入 user12 權限只有 郵件記錄器


## 使用者管理 > 帳號整合

新增window Server命名 Window AD，新增角色AD，IP 192.168.200.15  網域test.com 新增成員user1 & user2 & user3
新增 Window AD 


https://192.168.200.227
登入 帳密 user1 1qaz@wsx user2 & user3
使用者admin 就可以看到 匯進的window AD的user1 uesr2 user3


## 系統設定 > 規劃備援機

新增 郵件主機 命名 Mail2(配置跟Mail 一樣) 掛載ISO檔
192.168.200.227(Mial)，本機角色為主要。
192.168.200.234 (Mail2)，為備援機器 admin adminpw


## 新增office

新增2台Windows 10 NAT > 做sysprep(如果第2台是Clone第一台就要用)
安裝 WM tools  > 安裝office 2016
Win10-1 


搜尋 outlook > 設定outlook連線至一個電子郵件帳戶


[e-mail] (AD 網域)
192.168.200.227(Mail IP)
(本來應該要用備援機192.168.200.234才對，但Mail2的SMTP無法啟動改成 Mail ip 做)



新增 user11 > IMAP  


user10 寄信給gmail帳號，沒辦法寄出網域外，因為沒有驗證。


user10 帳戶設定 > 其他設定 > 外寄伺服器 > 驗證
再寄給gmail帳戶，就可以寄出，但會被gmail擋下來，找不到信件。



# 微軟 Exchange server
:::info
Microsoft Exchange Server是微軟公司開發與銷售的一套群組軟體。除傳統的電子郵件的存取、儲存、轉發作用外，在新版本的產品中亦加入了一系列輔助功能，如語音郵件、郵件過濾篩選和Outlook Web Access（基於Web的電子郵件存取）。Exchange Server支持多種電子郵件網絡協議，如SMTP、NNTP、POP3和IMAP4。Exchange Server能夠與微軟公司的活動目錄完美結合。

Exchange Server是個消息與協作系統，Exchange server可以被用來構架應用於企業、學校的郵件系統甚至於免費郵件系統。也可以用於開發工作流、知識管理系統、Web系統或者是其他消息系統。
Exchange Server是用MAPI 443port，還是有支援POP3 IMAP
:::
談談Exchange二十年來架構進化
https://www.twblogs.net/a/5c4bed40bd9eee6e7e06e08f

:::info
客戶端訪問角色（CAS），郵箱服務器角色（MBX），集線器傳輸角色（Hub Transport）,統一消息角色（UM）,還有邊緣傳輸角色（Edge），每個角色各司其職，CAS負責客戶端接入，Mailbox用於存儲郵件和公共文件夾，Hub負責內外網傳輸郵件，UM負責語音郵件和語音訪問，Edge負責與外網SMTP服務器傳遞郵件，並負責反垃圾和反病毒。

Exchange Server 2016角色再次被合併，CAS和MBX也被合併在一起，但所有功能仍舊被保留，UM功能也還在，並且可以和OFFICE 365中的Exchange Online完成更好地混合部署，開始大步挺進雲端。
:::

exchange server 2016硬體需求 Mailbox 8GB
https://learn.microsoft.com/zh-tw/exchange/plan-and-deploy/system-requirements?view=exchserver-2016
到了 exchange server 2019硬體需求 Mailbox 128GB
所以教學教exchange server 2016

很多公司之所以很慢更新exchange server，因為會牽扯到很多環境需求要更新，升級費用過大。

# 新增WS2016 命名exchange

VMware Workstation 新增虛擬機 > 4core 記憶體16G 硬碟60G 100G 網路NAT
掛載iso檔 Win_Srv_2016_Molp_CHT_1607(2018.2)-001.ISO
安裝VMware tools 電腦名稱 exchange  加入網域test17.com(之前設定過的) IP 192.168.200.16 
格式化100G磁碟 

192.168.200.2 指向WMware NAT
## 用Windows PowerShell 新增角色

老師給的 新增exchange操作方法
:::spoiler

Install-WindowsFeature RSAT-ADDS


Install-WindowsFeature NET-Framework-45-Features, RPC-over-HTTP-proxy, RSAT-Clustering, RSAT-Clustering-CmdInterface, RSAT-Clustering-Mgmt, RSAT-Clustering-PowerShell, Web-Mgmt-Console, WAS-Process-Model, Web-Asp-Net45, Web-Basic-Auth, Web-Client-Auth, Web-Digest-Auth, Web-Dir-Browsing, Web-Dyn-Compression, Web-Http-Errors, Web-Http-Logging, Web-Http-Redirect, Web-Http-Tracing, Web-ISAPI-Ext, Web-ISAPI-Filter, Web-Lgcy-Mgmt-Console, Web-Metabase, Web-Mgmt-Console, Web-Mgmt-Service, Web-Net-Ext45, Web-Request-Monitor, Web-Server, Web-Stat-Compression, Web-Static-Content, Web-Windows-Auth, Web-WMI, Windows-Identity-Foundation, RSAT-ADDS


To check the .Net Version on Windows Server 2016 – It recommended to patch the .net to latest supported version and then install Exchange
(Get-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\NET Framework Setup\NDP\v4\Full' ).Release


Install .Net 4.8
https://go.microsoft.com/fwlink/?linkid=2088631



Install
Visual C++ Redistributable Package for Visual Studio 2012
Visual C++ Redistributable Package for Visual Studio 2013

Install UCMA 4.0

.\setup /PrepareSchema /IAcceptExchangeServerLicenseTerms
.\setup /Preparead /IAcceptExchangeServerLicenseTerms /OrganizationName:"Enter Exchange Org Name"
.\setup /Preparedomain /IAcceptExchangeServerLicenseTerms
.\setup /Preparealldomains /IAcceptExchangeServerLicenseTerms
Run as Administrator – setup.exe

:::
.
exchange安裝步驟
:::spoiler

先下載 ndp48-x86-x64-allos-enu 和 UcmaRuntimeSetup 和 vcredist_x64 檔案到exchange，
登入網域test17\administrator

系統管理員 Windows Power Shell 
打 Install-WindowsFeature RSAT-ADDS
打 Install-WindowsFeature NET-Framework-45-Features, RPC-over-HTTP-proxy, RSAT-Clustering, RSAT-Clustering-CmdInterface, RSAT-Clustering-Mgmt, RSAT-Clustering-PowerShell, Web-Mgmt-Console, WAS-Process-Model, Web-Asp-Net45, Web-Basic-Auth, Web-Client-Auth, Web-Digest-Auth, Web-Dir-Browsing, Web-Dyn-Compression, Web-Http-Errors, Web-Http-Logging, Web-Http-Redirect, Web-Http-Tracing, Web-ISAPI-Ext, Web-ISAPI-Filter, Web-Lgcy-Mgmt-Console, Web-Metabase, Web-Mgmt-Console, Web-Mgmt-Service, Web-Net-Ext45, Web-Request-Monitor, Web-Server, Web-Stat-Compression, Web-Static-Content, Web-Windows-Auth, Web-WMI, Windows-Identity-Foundation, RSAT-ADDS  
上面的指令是新增腳色功能

  


Install .Net 4.8
安裝 ndp48-x86-x64-allos-enu 
重新開機


安裝 vcredist_x64
Visual C++ Redistributable Package for Visual Studio 2013
重新開機



安裝 UcmaRuntimeSetup
Install UCMA 4.0



掛載ISO檔 ExchangeServer2016-x64-CU20
系統管理員PowerShell
打 D:
打 .\setup /PrepareSchema /IAcceptExchangeServerLicenseTerms


打 .\setup /Preparead /IAcceptExchangeServerLicenseTerms /OrganizationName:"frist17"
命名 frist17


打 .\setup /Preparedomain /IAcceptExchangeServerLicenseTerms
只有這個網域 


本機 > D槽 點選安裝(已經掛載ISO)


實務上 要選連線到網域網路並更新




停止惡意程式掃描，因為會在另外安裝
檢查皆通過
==安裝約40min左右(有14個步驟要跑，步驟7會跑比較久，不是掛了)==
若未做前置準備則會一直需要安裝欠缺的元件
:::

.

檢查是否安 安裝成功
伺服器管理員 > 工具 > 服務 > 看Microsoft Exchange的部分 啟動類型>自動，狀態要執行中，通知代理人除外


2023.3.8
開啟WS2016-AD & WS2016-exchange

外網
網址打 https://192.168.200.16/ecp (exchange自己的IP)

選取時區 +8台北


新增使用者信箱 > 現有的使用者user01 user02 user03 ，登入WS2016-AD user01-03 就會有電子郵件信箱
新增使用者信箱 > 新增使用者 命名user05，登入WS2016-AD 就會看到user05





測試使用者可以互相收發信件
https://192.168.200.16
登入test17/user01 寄信給user02
登入test17/user02 是否接收到信件


## 勿刪使用者 怎麼補救

使用者都要登入過

在AD端勿刪使用者，就救不回來了 使用者跟信箱
在exchange端勿刪使用者，可以救回信箱，但要找其他使用者帳號(沒有信箱)去連線

勿刪user






## 停用使用者

AD端 停用使用者，不會影響exchange端 因為是郵件信箱
exchange端 停用使用者，只會影響AD端的郵件信箱 

## 郵件流程 > 傳送連接器
建立傳送連接器確認Exchange可以對Internet發送信件

user03 寄信件給welcomefir1001Gmail.com，gmail收不到信件
登入https://192.168.200.16/ecp 登入administrator 1qaz@wsx
郵件流程 > 傳遞回報 > 搜尋user03 點選寄給Gmail的信件，找不到連接器

新增傳送連結器

:::spoiler





user03寄給gmail的信件 是有成功寄送出去的

:::

新增群組

通訊群組 com 組員user01 user02
安全群組 sec 組員user03
動態通訊群組 



AD端
使用者與電腦 查看群組

發布群組:只能發布資訊
安全性群組: 可以設定權限
動態通訊群組:設定的是部門 IT ，只要是部門IT 都在這DyIT群組內。
user01 就加入DyIT群組了



:::success
資源
新增meet1 meet2 會議室
:::

user01


:::success
聯絡人
新增郵件使用者，意思是 給外派人員 或 駐點人員用的
新增聯絡人，意思是 給上下游廠商名單 外部信箱
:::


:::success
公用
新增共用信箱 user01 user02邀進去

使用 新增共用信箱 得目的是user01寄給user02
:::


user01 寄信到support共用資料夾
user02 只會在support收到user01的信件

伺服器
EXCHANGE 編輯


Win-AD端 
DNS > 新增主機mail 192.168.200.16(exchange)


:::info
虛擬目錄 > 編輯 把框起來的名稱，內部外部IP都要exchange改成mail，才不會有問題

:::


Win10-domain IP 192.168.200.20 從外網下載Office 2016 64bit 
加入網域test17.com 登入test17\user01
開啟Outlook

自動會搜尋到電子郵件


登入使用者user01
exchange好用的地方就是全域通訊清單
確認你有連線到Microsoft Exchange
## AD 新增 AD憑證服務

AD端
新增 AD憑證服務

:::spoiler







:::

## 新增Exchange憑證

Win10 在test17.com網域 DNS 192.168.8.15
網頁打https://192.168.200.16/ecp  test\administrator 1qaz@wsx
新增Exchange憑證





框框內 都要在新增mail.test17.com網域(自動探索 從網際網路存取 不要更改)


在exchange端 
新增資料夾 Share 共享資料夾 everyone 可讀可寫

新增Exchange憑證 儲存的檔案路徑

exchange端 的 Share就有憑證 EXCA.REQ



EXCA要用記事本開啟
複製到Base-64編碼裡

下載的憑證 放在share > cernew


2023.3.13

exchange-CA > 狀態 > 完成
要求匯入憑證 > 匯入來源檔案 

certnew.cer(cer憑證的副檔名)


exchange-CA > 編輯 > 服務 > 新增SMTP & IIS 指派服務




win10 在test17.com網域 DNS 192.168.8.15
因為在網域裡 自己從開機，會自動派送根憑證
打exchange.test17.com
就不會出現憑證問題



如果公司幾百人，不可能一台一台去做 或是 網路不穩定 就要用群組原則去派送根憑證
AD端
https://192.168.200.15/certsrv 去下載CA憑證

:::spoiler

群組原則管理 gpo> 把root憑證匯入進去 > 受信任的發行者
下載到桌面 命名root





:::

# Outlook Anywhere

在國外如何登到你這台伺服器
==pfSense 簡易版的軟體防火牆or軟體路由器==

新增虛擬機 命名 FW other>other 64bit,2core 2G 50GB NAT 新增網卡 LAN segment > LAN1
掛載iso檔 pfSense-CE-2.6.0-RELEASE-amd64.iso




FW端
安裝 pfSense

:::spoiler









:::

Win10-donmain 
網卡選LAN1 , 自動取得IP，ping 192.168.1.1 是否成功連到
網頁打192.168.1.1

==預設帳密 admin \ pfsense，初始設定==
:spoiler





==不要勾，會擋到你私有IP網段==

更改密碼1qaz@wsx
:::


Win10-domain 網頁登入192.168.1.1(FW) admin\1qaz@wsx 新增DNS server 192.168.1.15(AD)

AD端  網卡換成LAN1 改IP 192.168.1.15/24 GW 192.168.1.1網路停用在啟用 
伺服器 > DNS > 改IP 192.168.1.16

exchange端 網卡換成LAN1 改IP 192.168.1.16/24 GW 192.168.1.1 DNS 192.168.1.15 網路停用在啟用

Win10-domain 自動取得IP 自動取得DNS  
要ping 192.168.1.1 & 1.15 & 1.16 都要會通 


Win10-domain
Win10-domain
網頁打 https://mail.test17.com

AD端
要允許遠端桌面連線

Win10-domain
https://192.168.1.1  admin \ 1qaz@wsx
新增 NAT 



要按 Apply Changes 再會執行
Win10-domain 遠端連192.168.1.15(AD)，就可以連到了

Win10-domain
System > Advanced > 改成4443 port > save

Firewall > NAT > 新增NAT 433 port 192.168.8.16(exchange)




外網 https://192.168.200.243

local

hosts 把檔案移到桌面做編輯>開啟檔案>word pad >
新增 192.168.200.243 mail.test17.com & 192.168.200.243 test17.com
放回原位置

[e-mail]才對

登入Outlook 成功登入

exchange端
搜尋 > 服務

啟動 狀態改自動

W10-domain端
Outlook 新增


==POP3 設定==



==IMAP 設定==




如果 公司不要加密 走明文
W10-domin
走內網 https://192.168.1.16/ecp  test17\administrator 1qaz@wsx
伺服器 > exchange > 更改POP3 > 登入方式 > 基本驗證(沒有加密)


重新啟動
Outlook > 帳戶設定
設定[e-mail] POP
內送伺服器:設定預設值 995
測試功能

2023.3.29

## 郵件流程 接收連接器
Client Frontend EXCHANGE
Client Frontend EXCHANGE 是走587port

Default Frontend EXCHANGE
Default Frontend EXCHANGE 是走25port
新增 Exchange 使用者，讓其他人也走25port

驗證

## 伺服器 資料庫

改名稱 DB1 底下的路徑沒辦法直接改
要下指令更改路徑
到虛擬機exchange > 下command指令

移動DB路徑指令

Move-DatabasePath -Identity "MyDatabase01" -EdbFilePath "C:\NewFolder\MyDatabase01.edb"
Move-DatabasePath -Identity "Mailbox Database 1807152110" -LogFolderpath "D:\MailBox\DefaultDB\"





新增資料庫
DB2 路徑選擇 E:

exchange E槽就有DB2

每個資料庫 可以限制使用量的大小

## 收件者 > 移轉
user06 到DB2



檔案越大移轉越慢


## 郵件流程 規則
名稱 審核 當user06寄信給別人，都要user01的審核通過，才會寄出。


## 和規性管理。日誌規則
紀錄信件的紀錄

新增規則，建完之後寄的信件，才會紀錄
所有郵件 都傳給administrator

user06寄信

##

2023.3.29 AD 和 exchange 關機做快照 等等做壞才不會要在重新做AD 和 exchange

# 新增WS2016 命名Exchange2
ws2016 做sysprep
規格 HD100G要同規格 IP 磁碟格式化E: 加網域test17.com 登入網域



==安裝exchange==

:::spoiler

先下載 ndp48-x86-x64-allos-enu 和 UcmaRuntimeSetup 和 vcredist_x64 檔案到exchange，
登入網域test17\administrator

系統管理員 Windows Power Shell 
打 Install-WindowsFeature RSAT-ADDS
打 Install-WindowsFeature NET-Framework-45-Features, RPC-over-HTTP-proxy, RSAT-Clustering, RSAT-Clustering-CmdInterface, RSAT-Clustering-Mgmt, RSAT-Clustering-PowerShell, Web-Mgmt-Console, WAS-Process-Model, Web-Asp-Net45, Web-Basic-Auth, Web-Client-Auth, Web-Digest-Auth, Web-Dir-Browsing, Web-Dyn-Compression, Web-Http-Errors, Web-Http-Logging, Web-Http-Redirect, Web-Http-Tracing, Web-ISAPI-Ext, Web-ISAPI-Filter, Web-Lgcy-Mgmt-Console, Web-Metabase, Web-Mgmt-Console, Web-Mgmt-Service, Web-Net-Ext45, Web-Request-Monitor, Web-Server, Web-Stat-Compression, Web-Static-Content, Web-Windows-Auth, Web-WMI, Windows-Identity-Foundation, RSAT-ADDS  
上面的指令是新增腳色功能

  


Install .Net 4.8
安裝 ndp48-x86-x64-allos-enu 
重新開機


安裝 vcredist_x64
Visual C++ Redistributable Package for Visual Studio 2013
重新開機



安裝 UcmaRuntimeSetup
Install UCMA 4.0



掛載ISO檔 ExchangeServer2016-x64-CU20
系統管理員PowerShell
打 D:
打 .\setup /PrepareSchema /IAcceptExchangeServerLicenseTerms


第2台不用再做組織名稱
打 .\setup /Preparead /IAcceptExchangeServerLicenseTerms /OrganizationName:"frist17"(第一台要做的)

打 .\setup /Preparedomain /IAcceptExchangeServerLicenseTerms
只有這個網域 


本機 > D槽 點選安裝(已經掛載ISO)


實務上 要選連線到網域網路並更新




停止惡意程式掃描，因為會在另外安裝
檢查皆通過
==安裝約40min左右(有14個步驟要跑，步驟7會跑比較久，不是掛了)==
若未做前置準備則會一直需要安裝欠缺的元件

檢查是否安 安裝成功
伺服器管理員 > 工具 > 服務 > 看Microsoft Exchange的部分 啟動類型>自動，狀態要執行中，通知代理人除外

:::

Win10-domain
網址打 https://192.168.1.17/ecp (exchange-2自己的IP)
帳密 test17/administrator 1qaz@wsx

WS2016.200.15-AD
新增 DNS > 郵件交換器 > mail. 192.168.1.17 >



CMD > ping mail.test17.com
就會自動搜尋192.168.1.16 或是192.168.1.17

登入網頁https://mail.test17.com/ecp/
帳密test17\administrator 1qaz@wsx

# 微軟資料庫可用性群組DAG
官網 https://learn.microsoft.com/zh-tw/exchange/high-availability/database-availability-groups/database-availability-groups?view=exchserver-2019
EX1 和 EX2 要相同的設定 才能做DAG

郵件流程>傳送連接器>internet >來源伺服器>新增EX2

郵件流程>接收連接器 >EX2

伺服器 > 伺服器 >EX2



伺服器 > 虛擬目錄 > 更改







伺服器 > 憑證
把EX1的憑證 匯出 > 匯入EX2






EX1 ，EX2 增加網卡 lan2
設定 EX1 IP 10.10.10.1/24,EX2 IP 10.10.10.2/24
都把DNS進階把登入位置取消

虛擬機AD
Administrators 新增成員 Exchange Trusted Subsystem

網頁 https://192.168.1.17(EX2)
見證伺服器(AD的電腦名稱)
虛擬機 AD C:就會出現資料夾 DAG

新增伺服器 EX1 EX2

DAG > 停止複寫 MapoDagNetwork

修改路徑


虛擬機EX2 E:

伺服器 > 資料庫 > DB1 DB2 DB3 都要複寫EXCHANGE 和 EX2



做失敗

AD ping mail.test17.com 如果回復你的IP是192.168.1.16(EX1)，那就把虛擬機EX1給關閉網路，等幾秒後，在ping mail.test17.com 回復你的是IP是192.168.1.17(EX2)就成功了
網址打https://ping mail.test17.com 也可以看到