各位先進大家好!
先說明一下我的環境：
AAA主機(SBS 2003) ； 網域：AAA ； Email Domain：AAA.com
BBB主機(SBS 2003) ； 網域：BBB ； Email Domain：BBB.com
最近在我們公司使用BBB server的人常抱怨他們的Server不好用，mail不是漏信就是delay，我們老闆想把這些User轉移到目前公司較穩定的ServerAAA上。
但是他們是使用另外一個Email Domain(BBB.com)在收信的，我自己規畫的方法如下：
讓這些User加入AAA網域，建立新的公認的網域，也就是這些User所使用的Email Domain(BBB.com)，然後用電子郵件地址原則，套用到這些User。
然後原本他們使用的Email Domain所對應的IP位址，就要去更改為AAA主機所在的位址。
請問上面這樣的方法有沒有問題呢? 兩個Email Domain都是同一個IP有沒有可能互相衝突?
再者這些User處在AAA網域，但是卻使用BBB.com的Email Domain會不會有問題呢?
感謝!
已邀請的邦友 {{ invite_list.length }}/5
可以, 沒有問題. 讓 BBB 的人, 在 AAA 網域內, 採用別名的方式收發信即可.
raytracy先進您好!
感謝您的回應! 聽到您的認同，我安心許多。
我還有另外一個問題在別的討論串，也可以請您看一下嗎?
http://ithelp.ithome.com.tw/question/10065602?#ooa_hash
感謝您!
您那個問題很複雜, 牽涉: OWA, ISA, DNS 三者之間的問題, 因資訊不足, 無法判斷.
先釐清:
raytracy先進您好!
我之前有注意過憑證失效的問題，不過當初我以為內網能通，那憑證失效應該也沒關係，今天聽您說才知道有可能是ISA的問題。
不過我剛剛仔細看了一下，憑證一共有兩個：
內網用https://AAA/exchange 是使用憑證A，主體別名有AAA名稱在裡頭
外網用https://owa.bbb.com.tw/exchange 是使用憑證B，發給的主體只有owa.bbb.com.tw這個名稱
而上面這兩個憑證都是在2011年1月底一樣的時間失效的，因為我是去年也就是2010年11月中旬才剛來我們公司上班，據說在這之前OWA外部的服務就壞掉了。
可是照您所說的，現在看來又比較可能是ISA的問題沒有錯，總之我會先試著去把憑證重發看看，謝謝!
另外關於內外部DNS的設定，這部分我不太了解，請問內部和外部DNS設定有相關性嗎?
內部是供內部網路查詢，對內部來說只要能解析出AAA的內部IP就好?
外部是供外部網路的查詢，對外部來說要能知道owa.bbb.com.tw是哪一台主機?
可是好像在DNS Server上的這些設定都是放在一起的，沒有錯吧?
感謝您!
conandexter提到：
內部是供內部網路查詢，對內部來說只要能解析出AAA的內部IP就好?
外部是供外部網路的查詢，對外部來說要能知道owa.bbb.com.tw是哪一台主機?
可是好像在DNS Server上的這些設定都是放在一起的，沒有錯吧?
前兩句話是對的, 但最後一句話則有待討論...
通常我會建兩台 DNS Server, 一台專門給外面查詢用, 一台專門給內部查詢用.
如果您只用一台來解決, 或許也可以, 但此時就要小心, 不知您在 DNS 中的 NS 紀錄是如何設定? 是給內部 IP? 還是外部 IP?
raytracy先進您好!
謝謝您!
我似乎只有一台DNS Server，裡頭的設定是長這樣：
<pre class="c" name="code">
名稱 類型 資料
(和父系資料夾相同) 啟動授權 (SOA) [22], AAA.bbb.local., hostmaster.bbb.local.
(和父系資料夾相同) 名稱伺服器 (NS) AAA.bbb.local.
(和父系資料夾相同) 名稱伺服器 (NS) bbb.com.tw.
(和父系資料夾相同) 名稱伺服器 (NS) bbb.local.
(和父系資料夾相同) 主機 (A) 123.123.123.123
(和父系資料夾相同) 郵件交換程式 (MX) [10] bbb.com.tw.
www 別名 (CNAME) AAA.bbb.local.
其中的123.123.123.123是外部IP沒有錯，不知道是不是您所說的部分?
感謝您!
補充一下!
我到命令提示字元那裡使用nslookup查詢結果如下：
這是查詢bbb.com.tw的結果
<pre class="c" name="code">
Default Server: AAA.bbb.local
Address: 192.168.0.1
> set type=ns
> bbb.com.tw
Server: AAA.bbb.local
Address: 192.168.0.1
bbb.com.tw nameserver = AAA.bbb.local
bbb.com.tw nameserver = bbb.com.tw
bbb.com.tw nameserver = bbb.local
AAA.bbb.local internet address = 192.168.0.1
AAA.bbb.local internet address = 123.123.123.123
bbb.com.tw internet address = 123.123.123.123
bbb.local internet address = 192.168.0.1
但是查詢AAA.bbb.com.tw查不到，不知道當初建立的人為什麼沒有加AAA這台主機上去，因為之前是用https://AAA.bbb.com.tw/exchange這個網址來連OWA的。
至於之前都能正常使用，那麼表示不設定也可以?
感謝您!
# (和父系資料夾相同) 名稱伺服器 (NS) AAA.bbb.local.
(和父系資料夾相同) 名稱伺服器 (NS) bbb.com.tw.
(和父系資料夾相同) 名稱伺服器 (NS) bbb.local.
這裡會有一些問題:
由於 NS 宣告包含了 .local 的 FQDN (從您的 nslookup 查詢也證實), 因此外界的 DNS Server, 有可能拿這三台來當作 Authoritative DNS. 但實際上, bbb.local 會解析出 Private IP, 外界無法拿來查詢, 而 aaa.bbb.local 則同時解析出 Private 和 Public IP, 外界可能有一半的機會, 無法查到正確的 DNS.
此時當外界要來取得 DNS 資料時, 會有幾種狀況:
正確的作法, 應該是只給外面 Public IP 的 NS 宣告, 但是因為您這台 DNS 也同時給內部使用, 所以如果把 .local NS 標定成 Public IP, 反而會造成內部網域的用戶出問題 (找不到 DC, 無法登入).
如果您把 .local 的 NS 直接刪掉, 此時因為您的 DNS 是 AD 整合模式, 系統過一段時間, 還是會自己把 .local NS 加上去. 這些問題, 只用一台 DNS 是很難得到兩邊都滿意的解決方式.
而上面這些問題, 都有可能造成外面的 browser 無法正確解析到 OWA 網址.
這就是為何我們需要把 DNS Server 拆成兩台的主因.
raytracy先進您好!
謝謝您!
所以說，通常會設定一個對外的FQDN比如像我用的AAA.bbb.com.tw給OWA使用(https://AAA.bbb.com.tw/exchange)，所以也有可能會因為DNS的關係，就算我直接使用外部IP(https://123.123.123.123/exchange)也會對應不到提供OWA服務的主機這樣嗎?
那麼我該如何著手把現在的DNS拆成兩台呢?
把目前與AD整合的的DNS server中的bbb.com.tw的NS刪掉，就讓它單純供內部查詢用，然後另外建立一個DNS Server設定bbb.com.tw這個區域，來當給外部查詢用的Server這樣嗎? 還有什麼要注意的?
另外，ISA的部分是不是就不是造成OWA對外不通的真正原因了嗎?
感謝您!
raytracy先進您好!
另外請教您一個跟原本開串題目比較有關的內容。
就是可不可能讓一個使用者用同一個信箱收兩種Email Domain的信?
而且還能讓使用者自己隨時任意選擇要用哪一種Email Domain寄信?
感謝您!
補充一下：
還有一件事情要跟您確認，就是在：
1.新增公認的網域
2.新增電子郵件原則，且套用
3.Email Domain去跟中華電信申請改IP
這三個步驟之後，應該還有
4.修改DNS的MX記錄
對吧?
感謝您!
conandexter提到：
所以說，通常會設定一個對外的FQDN比如像我用的AAA.bbb.com.tw給OWA使用(https://AAA.bbb.com.tw/exchange)，所以也有可能會因為DNS的關係，就算我直接使用外部IP(https://123.123.123.123/exchange)也...(恕刪)
不一定, 要看狀況.
如果你的 OWA 在 IIS 裡面, 是採用 Name-based Virtual Host 的方式來建站的話, 那用 IP 就會看不到, 一定要打 FQDN. 通常如果沒有自己去修改 IIS, 是讓 Exchange 自己建出 OWA 的話, 一般都會用 IP-based Virtual Host, 所以可以用 IP 來連. 但如果這個 IIS 又兼有其他任務的話, 很可能會被管理人員改成用 Name-based Virtual Host 方式, 要看公司的管理.
即使你的 OWA 本身是採用 IP-based Virtual Host, 但是經由 ISA Server 發佈出去的時候, ISA 又會再改一次組態. 而通常 ISA 的預設是採用 Name-based Virutal Host (除非你自己把公用名稱改成用「*」才會有類似 IP-based 的效果), 此時外界就一定要用 FQDN 才能連到 OWA.
conandexter提到：
把目前與AD整合的的DNS server中的bbb.com.tw的NS刪掉，就讓它單純供內部查詢用，然後另外建立一個DNS Server設定bbb.com.tw這個區域，來當給外部查詢用的Server這樣嗎? 還有什麼要注意的?
你可以用同一台 DNS Server 就解決掉...
DNS Server 裡面, 原來的 bbb.local 維持在「整合 AD」的類型, 但是外界用的 bbb.com.tw 則把類型修改成「主要區」, 如下圖, 這是對內的 AD Integrated Zone:
這是對外的 Primary Zone:
兩者可以並存在同一台 DNS Server 裡面.
前面我說要架兩台, 是因為我的內部和外部, 都使用相同的 xxx.com.tw 這個網域, 無法並存在同一台上面, 所以拆成兩台. 但是您的內部和外部不同, 用同一台就可以解決了.
conandexter提到：
另外，ISA的部分是不是就不是造成OWA對外不通的真正原因了嗎?
不敢這麼肯定的說, 但是 ISA 的嫌疑很大...
conandexter提到：
就是可不可能讓一個使用者用同一個信箱收兩種Email Domain的信?
這個沒有問題, 在電子郵件地址那邊, 多設一個別名, 然後在公認網域那邊加入另一個網域, 這樣就可以同時收到兩個不同網域的信件. 但是發信時會一律用第一個主帳號.
conandexter提到：
而且還能讓使用者自己隨時任意選擇要用哪一種Email Domain寄信?
這個, 用標準的設定方法做不到. 但是你可以變通一下:
先按正常作業, Outlook 的 Exchange 帳號, 設定成跟主要的登入帳號一樣, 並用這個當作主帳號.
接下來, 先設定 Exchange 可以讓內部的使用者, 以 SMTP 的方式透過 Exchange 發信出去.
然後在 Outlook 新增第二個帳號, 但是選用 POP3 的類型來設定帳號, 且設定的內容有些變動:
現在, 這個用戶在發信的時候, 發信者的地方, 就可以拉下來選兩種不同的名稱來使用.
回信的時候, Outlook 會根據對方所寫的郵件地址, 自動決定回信時要選用哪一個帳號.
而信件的流程則會這樣跑:
raytracy先進您好!
真不好意思隔了那麼久才有最新進度，我為了能聽得懂您所說的話，做了一些研究，很幸運的我找到這一篇教學「Publishing Exchange 2003 Outlook Web Access (OWA) with ISA Server 2000」：http://www.isaserver.org/tutorials/pubowa2003toc.html
而剛好小弟的系統就是Exchange 2003再加上ISA 2000，真是太棒了!
仔細研究後再對照我目前的系統，我確認了一些事情：
1.AAA這台主機上的憑證授權單位不見了，不確定是否從來沒安裝過，憑證有可能是別台發的嗎? 所以我要重新安裝憑證授權單位，然後重發憑證對嗎?
2.有兩個憑證，一個叫「publishing.bbb.local」，另一個叫「AAA.bbb.com.tw」，前者應該是只給內部使用的，後者也就是外部user所使用來連OWA的FQDN。
3.ISA Server的確有使用「AAA.bbb.com.tw」這個憑證：
ISA→AAA→Policy Elements→Destination Sets與
ISA→AAA→Publishing→Web Publishing Rules兩邊針對OWA的設定也都沒有錯，
只是Rules這邊除了OWA還有其他人，而且似乎是有先後次序的，請問這裡會有影響嗎? 因為我的OWA排在到處第2位。
4.我的ISA→AAA→Publishing→Web Publishing Rules→OWA Web Site的內容中
→Action這欄裡面沒有「Allow delegation of basic authentic credentials」可以給我打勾，這是我參考上面的資料裡面part5的第7點，資料裡面是要我打勾的。
5.我的DNS的確怪怪的，bbb.local區域和bbb.com.tw兩個區域都是設定為AD整合模式，但是我要將bbb.com.tw改為主要區域，按了沒反應，請問為什麼會這樣呢?
感謝您!
另外還有一件事情，我找到的資料裡頭有提到，照著他所說的一步一步的做完(還沒包含DNS的部分)，就能讓OWA外部user來使用，但是內部的使用者如果要連，則會一樣先跑去ISA的介面，然後在連進來，他有提到這樣很浪費資源，我想他是指內部user一樣使用http://AAA.bbb.com.tw/exchange來連的時候吧?
所以他教了Split DNS的做法，也就是您說的把內部和外部的DNS分開設定。
另外一個做法，他說只要把c:\WINDOWS\system32\drivers\etc裡頭的hosts檔案最底下加上一行，如圖：
以我的情況就是加上「192.168.0.1 AAA.bbb.com.tw」這一行對吧?
這是等於在內部跟自己講AAA.bbb.com.tw對應到哪個內部IP嗎?
感謝您!
conandexter提到：
1.AAA這台主機上的憑證授權單位不見了，不確定是否從來沒安裝過，憑證有可能是別台發的嗎? 所以我要重新安裝憑證授權單位，然後重發憑證對嗎?2.有兩個憑證，一個叫「publishing.bbb.local」，另一個叫「AAA.bbb.com.tw」，前者應該是只給內部使用...(恕刪)
這樣必須要重新安裝 Root CA, 並重發憑證. 這樣看來, 當初無法登入的原因就很清楚了: 應該是 ISA 找不到 Root CA 所致....
conandexter提到：
只是Rules這邊除了OWA還有其他人，而且似乎是有先後次序的，請問這裡會有影響嗎? 因為我的OWA排在到處第2位。
我不熟 ISA 2000, 但我認為應該沒有影響. 如果以前也是這樣做的話, 沒有道理會改變...
conandexter提到：
「Allow delegation of basic authentic credentials」可以給我打勾，這是我參考上面的資料裡面part5的第7點，資料裡面是要我打勾的。
這個就奇怪了, 這裡確實應該要打勾的....
我用 TMG 2010 的觀念來解釋, 您可能要自己找找看 ISA 2000 相對應的選項...
TMG 在接聽 HTTP 認證要求時, 有三種選擇可以選: 不驗證, 使用表單驗證, 使用 HTTP 驗證. 必須要選擇「 HTTP 驗證」之後, 才可再選是要用: 基本驗證, 還是 NTLM. 而這個「基本驗證」, 就是您上面所說的那個選項.
所以, 前提是: 您的 ISA 允許使用者傳送 HTTP 驗證, 之後您才可以勾選那個選項.
由於您提到還有其他的 Web 也共用同一個 Publish Rule, 我懷疑是否有其他的網頁必須使用其他的驗證, 導致這個選項被關閉?
conandexter提到：
5.我的DNS的確怪怪的，bbb.local區域和bbb.com.tw兩個區域都是設定為AD整合模式，但是我要將bbb.com.tw改為主要區域，按了沒反應，請問為什麼會這樣呢?
你的 Microsoft Domain 是用哪一個? 若是用 bbb.com.tw 那他就不能變更....
conandexter提到：
以我的情況就是加上「192.168.0.1 AAA.bbb.com.tw」這一行對吧?這是等於在內部跟自己講AAA.bbb.com.tw對應到哪個內部IP嗎?
對, 這也是一種解法, 缺點是: 您必須到每一台電腦上面去設定, 而且將來如果有變更時, 也必須記得去改每一台電腦.....
但您前面有提到: publishing.bbb.local, 內部用戶應該可以用這個 FQDN 來上..
raytracy先進您好!
您說的這句小弟不是很了解：
由於您提到還有其他的 Web 也共用同一個 Publish Rule, 我懷疑是否有其他的網頁必須使用其他的驗證, 導致這個選項被關閉?
可以的話麻煩您先看一下這兩份資料，就是我上面提到的教學。
Part4：http://isaserver.org/tutorials/pubowa2003part4.html
Part5：http://isaserver.org/articles/pubowa2003part5.html
在資料中的Part 4,Step10與Part 5,Step 11，這裡各別是ISA Server中Destination Set和Publishing Rule的設定方法。
我的理解是前者設定好目的網址的FQDN後，在後者則是可以設定要給使用者如何來使用這個網頁(http還是SSL等)。
至於資料中有說到在Destination Set設定時，AAA.bbb.com.tw後面接的三筆：
/exchange
/exchweb
/public
這些都是連OWA的網址沒有錯，我也不懂為什麼要有三個?
不知道您說的共用是不是就是這三個?
感謝您!
raytracy先進您好!
今天我把新的憑證授權單位、Root CA給裝起來了，然後在IIS重新申請了憑證，主體別名就叫「AAA.bbb.com.tw」，然後也將這個憑證匯出，匯入到本機之後(總之我只有一台AAA主機)，再讓ISA Server這邊去使用這個憑證(Part4,Step 9)，全部都按照上面的資料設定好了。
但是就差這個：
(這張圖在Part5,Step 11,第7項)
圖中框起來的部分就是上面您說應該要勾的部分，但是我看到的這個畫面，那地方是一片空白。
而且我看過其他的Rule在同樣的地方也是空白。
看來好像只要這個能勾起來就能動了，雖然現在高興太早了。
感謝您!
raytracy先進您好!
我今天早上又埋首研究，我的ISA版本是ISA Server 2000 SP2，跟資料裡面所使用的SP1版本不同。
或許上面這個選項可能已經在SP2中改成預設勾選了，所以才沒顯示出來。
以上純屬我的猜測~
不過這樣一來應該不會不通才對，不過我有發現到一個地方，就是下圖：
這張圖就是設定後的Web Publishing Rule的內容，其中這個網址以我為例的話應該是設定成「AAA.bbb.com.tw」。
但是我沒辦法用瀏覽(Brose)來選取「AAA.bbb.com.tw」，這個名稱在我的內部網路是解析不到的，在我變更前，這裡的設定就是「publishing.bbb.local」。
所以我在想如果「publishing.bbb.local」在以前能通，那麼就表示這裡的確是要設成內部找的到的位址，似乎這裡的位址跟憑證上所使用的主體名稱就沒有關係了。
不論如何，我想就先維持原樣，但是在c:\WINDOWS\system32\drivers\etc裡頭的hosts檔案中，我想就先加入「192.168.0.1 AAA.bbb.com.tw」這行，先讓ISA自己找的到「AAA.bbb.com.tw」對應的主機，這樣應該可行吧?
另外我對憑證的概念也很亂，目前我就只有在IIS申請新增「AAA.bbb.com.tw」這份新的憑證而已，沒有再另外申請一個「publishing.bbb.local」，好像也不能同時使用兩份憑證，對嗎?
感謝您!
raytracy先進您好!
我做了這段後：
在c:\WINDOWS\system32\drivers\etc裡頭的hosts檔案中，我想就先加入「192.168.0.1 AAA.bbb.com.tw」這行
就通了!
原來真的是這個原因，只是憑證一樣顯示有錯誤，但是可以從外部連OWA進來了，收發信都正常。
真的很感謝您的幫忙! 終於讓我解決了這個困擾已久的問題!
感謝您!
恭喜您找到解決的方案, 同時也非常感佩您孜孜不倦地研究精神, 能契而不捨持續實驗....
raytracy先進您好!
目前還有一個問題，今天早上我用自己家的網路連公司的OWA，想說測試一下。
結果解析不到AAA.bbb.com.tw 因為趕著上班我就沒詳細去查我的DNS是哪台了
不過我用的網路是第四台的光纖，而昨天我在公司的外網測試可以連，我們公司網路是用中華的。
很怕只有中華的網路才解析的到，請問這該怎麼解決呢?
感謝您!
iThome鐵人賽
看影片追技術