Folyamat automatikus felfedezése Office 365 környezetben | 1#3 rész | 29. rész #36

Az Autodiscover folyamat egy Office 365 alapú környezetben lenyűgöző folyamatnak tekinthető, mivel az Autodiscover ügyfél megtalálja az Autodiscover végpontját, amely számos fordulatot tartalmaz.

Folyamat automatikus felfedezése Office 365 környezetben | A cikksorozat

Ez a cikk az első cikk egy három cikkből álló sorozatból, amelyek az Autodiscover folyamat részletes leírását célozzák egy olyan környezetben, amelyet „csak felhőként” jellemezhetünk.

A sorozat további cikkei:

• Folyamat automatikus felfedezése Office 365 környezetben | 2. rész#3 | 30. rész #36
• Folyamat automatikus felfedezése Office 365 környezetben | 3. rész#3 | 31. rész #36

Az első cikk az Office 365 alapú környezetben megvalósított Autodiscover folyamat logikájának és összetevőinek bemutatására szolgál.

A következő két cikkben áttekintjük az Office 365 alapú környezetben megvalósított Autodiscover folyamatot a Microsoft webalapú eszközével, a Microsoft Remote Connectivity Analyzer (ExRCA) segítségével.

A Microsoft Remote Connectivity Analyzer (ExRCA) eszköz használatáról a következő cikkben olvashat bővebben: Microsoft Remote Connectivity Analyzer (ExRCA) | Autodiscover hibaelhárító eszközök | 2. rész#4 | 22. rész #36

Az Autodiscover speciális karakterei Office 365 alapú környezetben működnek

Az Office 365 alapú környezetben megvalósított Autodiscover folyamat nagyon különbözik az Exchange on-Premise környezetben megvalósított „szokásos” automatikus felfedezési folyamattól.

Az Office 365 alapú környezet Autodiscover folyamatának főbb jellemzői a következők:

• Az automatikus felfedezés folyamata, beleértve strukturált módon a hibaeseményt is. Egyszerűen fogalmazva, az Autodiscover kliens olyan Autodiscover végpontot fog megcímezni, amely nem létezik ” vagy nem tudja megadni a szükséges Autodiscover információkat.
• Az automatikus felfedezés folyamata néhány csomóponton és „ugrásokon” fog alapulni, amíg az Autodiscover kliens el nem éri végső célját, vagyis azt az Automatikus felfedezési végpontot, amely képes biztosítani a szükséges automatikus felfedezési információkat.
• Egyes csomópontok, amelyek magukban foglalják az Autodiscover folyamatot, nem adják meg a „szokásos Autodiscover információkat”, hanem egy Autodiscover átirányítási üzenetet adnak, amely „irányítja” az Autodiscover klienst további Autodiscover végpontokhoz.

Ez az információ nagynak hangzik és nem olyan egyértelmű?

Ha a válasz „Igen”, akkor üdvözöljük a klubban!

Exchange Online és „csak felhőalapú környezet”

Az Exchange Online környezetben az Autodiscover folyamat más módon valósul meg, mint a „szokásos” automatikus felfedezési folyamat, mint az Exchange on-Premises környezetben.

Az Exchange on-Premises környezetben az Autodiscover ügyfél egy adott tartományt képviselő Autodiscover végpontot keres.

Például egy olyan forgatókönyvben, amelyben egy felhasználó, aki e-mail címe - Bob@o365info.com, megpróbál új Outlook levelezési profilt létrehozni; az Autodiscover folyamat a következő módon valósul meg:

Az Autodiscover Endpoint lekérdezi a DNS-t, és egy o365info.com nevű gazdagépet keres. Ha az Autodiscover kliensnek nem sikerül csatlakoznia a megadott gazdagépnévhez, az Autodiscover Endpoint a 2. lépésre lép, amelyben az Autodiscover kliens megpróbálja megtalálni a potenciális Autodiscover végpontot a gazdagépnév használatával -
autodiscover.o365info.com

Az alapfeltevés az, hogy egy Exchange on-Premises alapú környezetben a szervezet kioszt egy nyilvános Exchange CAS-kiszolgálót, amely a domain név - o365info.com és - képviselőjeként fog szolgálni. az FQDN -autodiscover.o365info.com , amely ehhez a nyilvános Exchange-kiszolgálóhoz van hozzárendelve.

Amikor az Autodiscover ügyfélnek sikerül megtalálnia az Autodiscover végpontot, az Autodiscover kliens felkéri az Autodiscover végpontot, hogy „igazolja személyazonosságát” egy nyilvános szervertanúsítvány megadásával.

Az Autodiscover Endpoint biztosítja a szükséges tanúsítványt, az Autodiscover kliens pedig ellenőrzi, hogy a szervertanúsítvány tartalmazza-e a domain nevet - o365info.com (a helyettesítő karakteres tanúsítvány forgatókönyve esetén) vagy a gazdagép neve - autodiscover.o365info.com.

Az Exchange Online környezetben a leírt forgatókönyv nem valósítható meg egy nagyon egyszerű ok miatt:

A valóságban a „felhő-infrastruktúra” (Office 365 és Exchange Online) nem tud külön nyilvános tanúsítványt kijelölni az Office 365 bérlőinek és az Office 365-ben regisztrált összes nyilvános domainnek.

Az Exchange Online-ban egy adott Exchange-kiszolgáló (vagy Exchange Online-kiszolgálók tömbje) egyszerre száz vagy ezer különböző tartományt képviselhet.

Az a koncepció, amelyben az Autodiscover Endpoint (az Exchange-kiszolgáló) olyan nyilvános tanúsítványt biztosít, amely hivatkozást tartalmaz az adott ügyféltartományra, nem valósítható meg!

Tehát a nagy kérdés az: hogyan oldjuk meg azt a problémát, amely lehetővé teszi az Autodiscover ügyfelek számára, hogy hozzáférjenek Exchange Online postafiókjukhoz?

És a válasz: „átirányítás”.

DNS-átirányítási módszer CNAME rekord használatával

Az Office 365 és az Exchange Online környezet más jellegű, mint az Exchange on-Premises környezet.
Ezért fontos, hogy ismerjük az Office 365 infrastruktúra alapvető logikáját.

Az Office 365 (amely az Exchange Online-t levelezőinfrastruktúraként használja) egy SaaS (Software as a Service).
Az Office 365-előfizetők mindegyikét „bérlőnek” nevezik; hogy magánterületet bérel az Office 365 „Big Building”-ben.

Az Exchange on-Premises környezetben a szervezet egy dedikált nyilvános Exchange-kiszolgálót használ, amely a szervezet nyilvános domain nevének „képviselőjeként” szolgál.

A „felhőkörnyezet” (Office 365) nem tudja biztosítani az ilyen típusú „dedikált Exchange-kiszolgálót”, amely az Office 365 bérlő adott tartománynevét képviseli.

Például arra az esetre, ha új Outlook levelezési profilt kell létrehoznunk egy címzettnek, amelynek e-mail címe - Bob@o365info.com, akkor az Autodiscover kliens (Outlook), mindig úgy indítja el az Autodiscover folyamatot, hogy megkeres egy - o365info.com
nevű gazdagépet, és ha nem találja vagy nem tud kommunikálni vele, megpróbálja megkeresni az Autodiscover végpontot named - autodiscover.o365info.com

Az igazi válasz, hogy az Office 365 környezetben nincs olyan „valódi szerver” - autodiscover.o365info.com , amely rendelkezik a domain névre való hivatkozást tartalmazó nyilvános tanúsítvánnyal - < span class="highlight4i">o365info.com

Elméletileg az Autodiscover folyamatnak sikertelennek kell lennie.

A válasz erre a problémára: a megszemélyesítés.

A megoldás az, hogy hagyjuk, hogy az Autodiscover kliens „gondolja”, hogy egy adott gazdagéppel kommunikál, miközben a gyakorlatban egy másik elemmel kommunikál, amely úgy „megjeleníti” magát, mint amilyennek az Autodiscover kliens gondolja.

Összeesküvésnek hangzik?
Igen, egy kicsit

„Csak felhőkörnyezetben” (teljesen felhőben tárolt levelezési infrastruktúra) az Office 365-előfizetőnek frissítenie kell nyilvános DNS-ét egy új CNAME rekord hozzáadásával.

A „varázslatot” alkotó DNS-rekordok egy egyszerű CNAME-rekord, amely az Autodiscover-ügyfélkérelmek újbóli észlelésére szolgál egy Office 365 „elemhez”, amely kiadja magát a keresett „valódi gazdagépnek”.

Automatikus felfedezés és a DNS CNAME rekord (DNS átirányítás)

A CNAME rekord „trükkje” a következőképpen valósul meg:

A szervezet nyilvános domainnevét tároló nyilvános DNS-kiszolgálón létrehozunk egy új CNAME rekordot, amely átirányítja a gazdagépnévre vonatkozó kéréseket - Autodiscover egy másik vagy másik gazdagépnévre.

Az a gazdagépnév, amelyre az Autodiscover-kérelmek át lesznek irányítva: autodiscover.o365info.com

Például a tartománynevet (o365info.com ) üzemeltető nyilvános DNS-kiszolgálón egy új CNAME rekordot adunk hozzá, amelynek hatására a DNS-kiszolgáló megadja a domain IP-címét. az autodiscover.outlook.com webhelyet minden olyan DNS-klienshez tárolja, amely kérni fogja az autodiscover.outlook.com IP-címét

Például, amikor egy Autodiscover kliens megpróbál kommunikálni egy - autodiscover.o365info.com nevű gazdagéppel, akkor a DNS-től az Autodiscover kliensnek visszaküldött IP-cím „vezet” ” az Autodiscover-ügyfelet az Office 365 - autodiscover.outlook.com nevű gazdagépeihez.

Ki az autodiscover.outlook.com?

Az autodiscover.outlook.com egy „Office 365 elem”, amely „logikai útválasztóként” szolgál az Autodiscover ügyfelek és az Exchange Online infrastruktúra között.

Az Office 365-felhasználók (azok a felhasználók, akiket postafiókjuk az Exchange Online-ban tárolt) automatikus felfedezési folyamata a -
autodiscover.outlook.com Office 365-gazdagépekkel való kommunikációval kezdődik.

Az „autodiscover.outlook.com komponens elfogadja az Autodiscover kliens kéréseit, de ahelyett, hogy igazolná a szükséges Autodiscover információkat, a gazdagép autodiscover .outlook.com, küldjön válaszként egy „átirányítási üzenetet”, amely az Autodiscover klienst más Offices 365 Autodiscover végpontokhoz „vezeti”.

autodiscover.o365info.com egyetlen gazdagép vagy logikai összetevők. Elméletileg az Office 365-objektumok, amelyek átirányítják az Autodiscover Endpoint-ot a szükséges Exchange Online-kiszolgálójukra, egyetlen gazdagép, melynek neve autodiscover.o365info.com.

A valóságban az autodiscover.outlook.com csak egy logikai objektum, amelyet több tucat vagy akár több száz szerver képvisel, amelyek szétszóródtak a világon.

Amikor egy Autodiscover kliens megpróbálja lekérni a gazdagépnév IP-címét - autodiscover.outlook.com, az Autodiscover kliens által kapott válasz (IP-cím + gazdagépnév) attól függ, hogy földrajzi elhelyezkedése.

Például egy Autodiscover kliens, amely fizikailag Európában található, pontos információkat kap, amelyek különböznek a fizikailag az Egyesült Államokban található Autodiscover kliensektől.

Ennek a folyamatnak a bemutatóját láthatjuk egy egyszerű ping parancs használatával.
A következő képernyőképen láthatjuk a - autodiscover.o365info nevű gazdagéphez adott ping parancs eredményét. com címen

A DNS-szervertől kapott „válasz ” egy másik gazdagépre irányít bennünket, melynek neve
autodiscover-emeaeast.outlook.com

Abban az esetben, ha kíváncsi arra, hogy miért látjuk a gazdagépnevet-
autodiscover-emeaeast.outlook.com a gazdagépnév helyett, amelyről beszélünk - autodiscover.outlook.com, a válasz valószínűleg azért van, mert az Office 365 DNS-infrastruktúrája „GeoDNS-en” alapul.

A GeoDNS opció használatakor a DNS-szerver felismeri a DNS-kliens IP-címét, és megállapítja, hogy mi a DNS-kliens földrajzi elhelyezkedése.

Ezen információk alapján a DNS-kiszolgálók a DNS-kliens földrajzi helyének megfelelő választ (IP-cím és gazdagépnév) adnak.
Példánkban a fizikai tartózkodási helyemet „EMEA”-nak (Európa, Közel-Kelet és Afrika), és emiatt az Office 365 Autodiscover összetevője - fizikailag az EMEA-ban található gazdagép.

HTTP és HTTPS átirányítási módszer

Egy további átirányítási módszer, amelyet az Office 365-környezetben az Autodiscover szolgáltatásokhoz valósítanak meg, a HTTP-átirányítás és a HTTPS-átirányítási módszerek.

Az előző részben megemlítettük, hogy az Autodiscover kliens, amely lekérdezi a DNS-kiszolgálót a potenciális Autodiscover végpontról, „át lesz irányítva ” egy másik gazdagépnévre
(autodiscover.outlook.com).

Az Autodiscover kliens „gondolja”, hogy ez az „elem”, amely megadhatja számára a szükséges információkat, de ez a „feltevés” téves.

Amikor az Autodiscover kliens megpróbál csatlakozni a - autodiscover.outlook.com nevű Autodiscover végponthoz, a végeredmény egy további átirányítás lesz, amelyet a HTTP-protokoll valósít meg a következő címre: < u>további automatikus felfedezés végpontja.

Ha úgy gondolja, hogy ez a „történet vége”, csalódni fog!
(Vagy pontosabban fogalmazva, az Autodiscover kliens csalódni fog).

A HTTP-átirányítás fázisa után, amikor az Autodiscover kliens megpróbálja megszólítani az „új gazdagépet” (a potenciális Autodiscover végpontot), az eredmény további átirányítás, de ezúttal az átirányítás módszer a HTTPS protokollon alapul.

Az Autodiscover kliens Autodiscover „útja” Office 365 környezetben

Az Office 365 Autodiscover kliensének Autodiscover munkafolyamatát „Utazás”-ként írtam le, mert a tündérmesékhez hasonlóan, ahol a herceg sok nehézségen megy keresztül, hogy elérje Princess-t, az Autodiscover kliensnek is sok körön kell keresztülmennie.

Megjegyzés - Nem részletezünk minden egyes „lépést”, amelyet az Autodiscover ügyfélnek teljesítenie kell, mert a következő cikkben az Automatikus felfedezés folyamata Office 365 környezetben | 2. rész#3 | A 30. rész 36. részében alaposan áttekintjük ezeket a lépéseket.

A következő ábrán láthatjuk a „magas szintű nézetet” azokról az „elemekről”, amelyekkel az Autodiscover kliens útközben találkozni fog.

A DNS-kiszolgálót a diagram tetejére kell helyeznem, mert minden alkalommal, amikor az Autodiscover kliens a „következő ugrásra” irányítja át, az Autodiscover kliensnek létre kell hoznia egy DNS-lekérdezést, amely megkéri annak a gazdagépnek az IP-címét, amely megjelenik az átirányítási üzenetet.

Az Office 365-ös környezet automatikus felfedezési folyamatának további áttekintése

Az a folyamat, amelyben az Autodiscover Endpoint „készül”, hogy biztosítsa az Autodiscover kliens számára a szükséges információkat (az Autodiscover válasz), csak két szabály alkalmazása esetén hajtható végre:

1. szabály - Kölcsönös hitelesítés
A szervernek igazolnia kell személyazonosságát az Autodiscover kliensnek, hogy az Autodiscover kliens biztos legyen abban, hogy a szerver (Autodiscover Endpoint) „megbízható információforrás”.

Az Autodiscover ügyfélnek felhasználói hitelesítő adatainak megadásával kell igazolnia személyazonosságát az Autodiscover Endpoint felé.

2. szabály - Biztonságos kommunikációs csatorna

Az Autodiscover Endpoint és az Autodiscover kliens közötti kommunikációs csatornán átvitt adatokat titkosítani kell.

Ismernünk kell ezeket a „kötelező szabályokat”, hogy megértsük az Office 365 környezetben tapasztalható „furcsa Autodiscover folyamatot”.

A következő részben arra a kérdésre válaszolok, hogy „mi szükség van egy ilyen bonyolult Autodiscover infrastruktúra megvalósítására az Office 365 környezetben?”

1. fázis

Ahogy korábban említettük, a mi forgatókönyvünkben az Autodiscover kliens egy - autodiscover.o365info.com nevű gazdagépet keres.

A DNS válasza megadja az Autodiscover kliensnek a gazdagép autodiscover.outlook.com IP-címét.

Az Autodiscover kliens megpróbál kommunikálni (HTTPS használatával) ezzel a gazdagéppel.

A gazdagép - autodiscover.outlook.com, nem tud HTTPS-sel kommunikálni, mert nem ő az „igazi” Autodiscover-végpont, és nem rendelkezik a gazdagép nevét tartalmazó szervertanúsítvánnyal. - autodiscover.o365info.com

Mivel a HTTPS kommunikációs teszt sikertelen, az Autodiscover kliens új HTTP-kérelmet hoz létre, amelyben „átirányítást” kér a szükséges Autodiscover végpontra, amely a HTTPS protokoll használatával képes biztosítani a szükséges Autodiscover szolgáltatásokat.

Az autodiscover.outlook.com
webhely „HTTP-átirányítási válasza” tartalmazza az Autodiscover végpont nevét - autodiscover-s.outlook. com címen

2. fázis

Az Autodiscover-ügyfél HTTPS-protokoll használatával próbál kommunikálni az „új Autodiscover végponttal” (autodiscover-s.outlook.com).

A jó hír az, hogy a gazdagép autodiscover.outlook.com tud kommunikálni HTTPS használatával, de a kevésbé jó hír az, hogy az autodiscover.outlook. com nyilvános tanúsítvány csak az „outlook.com” domainhez tartozó gazdagépnevekhez tartalmaz „engedélyt”.

Az Autodiscover ügyfél a szervertanúsítványban a gazdagépnevet - autodiscover.o365info.com várja, és ez az elvárás nem teljesülhet, mert az Office 365 környezetben nincs olyan mechanizmus, amely biztosítaná egy dedikált nyilvános tanúsítvány az Office 365 bérlői nyilvános domain névhez.

Tehát most van egy „problémánk”.

Az Autodiscover kliens nem tudja befejezni a folyamatot, mert nem találja az autodiscover.o365info.com gazdagépnevet a szervertanúsítványban, és technikailag az automatikus feltárási folyamat meghiúsulhat.

A jó hír pedig az, hogy az Autodiscover módszernek van egy „trükkje”, a HTTPS-átirányítás.

Az Autodiscover Endpoint - autodiscover.outlook.com nem felel meg az Autodiscover kliens feltételeinek, hanem azért, mert az
autodiscover.outlook.com igazolhatja személyazonosságát azáltal, hogy megadja az ügyfélnek a tanúsítványát, az Autodiscover kliens „megbízhat” a gazdagépben
autodiscover.outlook.com, és megbízható partnerként viszonyul hozzá információforrás.

Az autodiscover.outlook.com által az Autodiscover ügyfél számára biztosított információ nem az Autodiscover információi (az Autodiscover konfigurációs beállításai), hanem egy további Autodiscover-végpontra való átirányítást tartalmaznak.

A „további automatikus felfedezés végpontja” az Exchange Online CAS-kiszolgáló, amely képes lesz biztosítani az Autodiscover ügyfél számára a szükséges Autodiscover-információkat.

Konkrét forgatókönyvünk szerint az autodiscover.outlook.com által biztosított információ (az XML-átirányítási üzenet) tartalmazza a következő gazdagép nevét - pod5149.outlook.com

Megjegyzés: az Exchange Online CAS-kiszolgáló neve a mi forgatókönyvünkben: pod51049.outlook.com.
Technikailag a név számos tényező, például az Office 365 adatközpontok miatt változhat és változni fog. amelyben az Office 365 bérlő található, az elérhető Exchange Online CAS-kiszolgálók és így tovább.

3. fázis

Az Autodiscover ügyfél hajlandó elfogadni az átirányítási információkat, és megpróbál kommunikálni az Autodiscover végponttal - pod51049.outlook.com

A jó hír az, hogy most az Autodiscover folyamat befejeződhet.

A nyilvános tanúsítvány, amelyet a pod51049.outlook.com biztosít, egy helyettesítő karakteres tanúsítvány, amely a outlook.com domain név.

Az Autodiscover kliens megkapja a pod51049.outlook.com tanúsítványt, ellenőrzi, hogy a tanúsítványt egy megbízható CA-tól kapta-e meg, ellenőrzi a gazdagépnevet vagy a domain nevet (a mi forgatókönyvünk szerint: outlook.com) jelenik meg a nyilvános tanúsítványban.

Ez egy „jel” az Autodiscover kliens számára, hogy mostantól biztonságosan megadhatja személyazonosságát a „kiszolgálónak” az Office 365 felhasználói hitelesítő adatainak megadásával.

A kölcsönös hitelesítési folyamat befejezése után egy biztonságos kommunikációs kapcsolat jön létre, és a „szerver” (pod5149.outlook.com) biztosítja az Autodiscover kliens számára a kívánt autodiscover.xml fájlt. fájlt.

Az aktuális cikksorozat következő cikke

Folyamat automatikus felfedezése Office 365 környezetben | 2. rész#3 | 30. rész #36