为企业Exchange制定DCAR方案

部署邮件DCAR解决方案（discovery——邮件寻找，compliance——法规遵循，archiving——邮件存档，retention——邮件保存）实际上就像重建一所房子。您需要有一张蓝图；里面列出了具体实施“重建”计划的步骤——像如何设计，它的组成部份和实施的步骤。就像承担房屋重建计划的承包商一样，您还应该具备在规定的预算和时间之内把蓝图变成现实的能力。同样的，您还应该明白实施DCAR方案就像房屋重建一样，它会在一定程度上破坏现有的邮件系统，但是它最终目的还是为现有系统加入新的功能，并使您的Exchange管理工作更加简单。幸运的是，Exchange内置了一些功能——像邮件监控，备份和恢复应用程序编程接口，邮件传输安全性——它们可以为部署DCAR提供一个框架。同时，我们还将使用到Exchange提供的其它功能，像事件池（event sinks）、协议日志（protocol logs）、邮件跟踪（message tracking）；并且研究它们如何更好地为DCAR所用。

邮件监控（message journaling）
从英文字面上，我们可能很难判断出Archiving和Journaling的具体区别。通过查阅资料，您会发现它们非常相似，都是从邮件系统中取出数据。但是从Exchange的技术角度，我们需要了解它们具体的不同，这样做不仅仅可以帮助我们正确地实施DCAR方案，而且还可以判断何种第三方产品更适合自己的环境。
Archiving（也叫存档）是指把邮箱内容从邮件系统中移除到需要长期存储的其它系统中（一般都是指某种类型的数据库）的过程。这些从邮箱里面移除的邮件一般都符合一定的条件，像邮件在邮箱内的存放超过了一定时间，邮件所占的空间超过了一定大小。邮件被存档以后，用户仍然可以使用网络或者是基于邮箱扩展的访问方式来访问这些数据。这种技术会被应用到DCAR的三个阶段当中，即邮件寻找、邮件存档和邮件恢复。邮件存档对于邮箱管理也是很有帮助的，它可以通过整合及压缩一份数据的多个备份来减少服务器上的存储空间，同时也保存了公司的资料。
Journaling（也叫日志，在本文中，根据它的用途，我们把它称为监视）是指当邮件进入或者离开您的邮件系统时复制这封邮件并且确保这份拷贝被存储在集中区域的过程。所有的邮件备份将会组成一个可以搜索的文档库，在这里面系统管理员或者监视者可以找到任何内部用户发送或者接收到的邮件。邮件监视技术主要被应用在DCAR方案的法规遵循部分当中；它也是最常见的三种方法之一。虽然邮件监视本身并不会为终端用户带来任何便利，但是它确是DCAR方案中不可或缺的一部份。
尽管Exchange并不内置邮件存档功能，但是自从Exchange Server 5.5 Service Pack 1（SP1）开始，Exchange服务器便开始提供邮件监视功能。这么多年来，微软一直在新的Exchange版本、Service Pack甚至是补丁中，尝试去增强监视功能。今天，Exchange已经包括如下三种类型的监视：
• 简单监视（即只拷贝邮件本身内容） 
• Bcc监视 
• 信封监视（envelope journaling） 
这三种类型的监视都使用同样的原理：几乎每一封进入Exchange组织的邮件都要被检查，它的收件人是否需要被实行邮件监视。如果答案是肯定的，第一台处理这封邮件的Exchange服务器的分类器（Categorizer）组件将会为这封邮件创建一个备份——这个过程被称为分叉（bifurcation）。这封备份邮件就被立即送往指定的目标邮箱或者公用文件夹。唯一不会被监视的邮件是系统信息，比如说AD复制邮件，共用文件夹复制邮件，以及监视产生的备份邮件。
这里需要注意的是，尽管您可以指定一个公用文件夹来存储所监视邮件的备份，但是微软建议我们使用专用的邮箱。这是因为当这封邮件备份被发送到公用文件夹时，它会遗漏一些信息；但是被发送到邮箱的邮件备份不会。虽然您可以管理对哪些用户的邮件进行监视，但是您应当知道在现有的Exchange版本当中，这样的操作并没有细化到我们想象的程度。具体来说，在Exchange 2000和2003服务器中，监视功能只能启用在每个邮箱存储（mailbox store）上，而不是基于某个单独用户的。在启用了监视功能的邮箱存储里面的所有邮箱都将被监视，所有产生的邮件备份都被发送到同一个目标邮箱当中（尽管您可以为不同的邮箱存储创建不同的目标邮箱）。
在Exchange 5.5中，您可以为整个组织启用监视功能，也可以选择监视功能基于单个站点或者服务器。您还需要知道Exchange仅仅定位于那些经过系统传输的邮件。如果内部用户在邮箱内修改一封邮件，很明显它将不会被记录。我至少知道一件官司，其中一方的律师思想僵化，他们并不知道所看到的邮件已经被修改，来试图掩盖犯罪的证据；但是反方律师却提供了原始的、未经修改的电子邮件。下面，我们来具体看看这三种类型的邮件监视，以便于更好地部署DCAR方案。
简单监视（Simple Journaling）
简单监视的功能首先出现在Exchange 5.5 SP1中。当简单监视的功能被启用以后，第一台处理这封邮件的Exchange服务器的分类器（Categorizer）组件将会为这封邮件粘贴一个类型为P2的头信息，它被包含在原始的邮件中，用来标明这封邮件的收件人所在的邮箱存储上是否启用了监视功能。对于发件人和收件人都在组织内部，并且使用MAPI（Messaging API）、RPC over HTTP、OWA或其它HTTP的形式所发送的邮件，第一台处理这封邮件的Exchange服务器就是发件人所在的服务器。否则，这台服务器将是接收SMTP或者Exchange MTA（Message Transfer Agent）的桥头服务器。这台服务器将会把所监视邮件的备份发送到指定的目标邮箱中。如图1所示，您可以在邮箱存储的属性界面启用简单监视功能。

图1：在邮箱存储的属性界面启用简单监视功能

让我们来看一个例子。想象一个Exchange组织有四台邮件服务器，EXCH01到EXCH04。每一个邮件服务器都有两个邮箱存储，一个存储普通用户的邮箱，另一个专门用来放置被监视邮件的备份。每一个普通邮箱存储都启用了监视功能，并且指定把监视邮件的备份发送到同一台服务器的另一个邮箱存储的目标邮箱上。除此之外，有一台SMTP桥头服务器专门负责处理通过SMTP进出的邮件。
这时候，一封从外网发来的邮件进入您的Exchange组织，并且发送给4个用户：Adam、Barbara、Charlie和Denise。非常偶然的，这4个人的邮箱分别存储在不同的四台服务器上。桥头服务器除了把邮件的原件发送到这4个用户的邮箱之外，它还需要把邮件备份发送到4个目标邮箱当中。这就需要额外的网络带宽、磁盘读写以及CPU的使用。如果您的这些Exchange服务器分布在世界上不同的地方并使用低带宽进行连接，抑或您的Exchange组织在性能表现上已经接近瓶颈，这些操作就会给您的Exchange组织的性能雪上加霜。
您可能会奇怪，即使一份邮件的收件人再多，Exchange 2000/2003应该只会在物理上保留一份邮件；那为什么邮件监视功能需要额外的带宽呢？这是因为在分叉过程中，被监视邮件的邮件备份会在头信息中包含额外的信息；所以从技术上来说，邮件备份实际上应该算作一封单独的邮件。在您设计您的DCAR方案时，应当把这个因素考虑在内。
简单监视还有一些其它的限制，这主要是因为它使用了P2头信息。简单监视不能做以下事情：
• 捕捉Bcc收件人。这个限制降低了或者说消除了监视的作用，因为这样就不能真正跟踪一封邮件的收件人。
• 在配置了地址重定向（address rewriting）的组织中捕捉邮件。
• 统一扩展分布组（distribution list）的成员列表。这个限制将会使监视人员只能在备份邮件中看到分布组的邮件地址而不是其中所包含成员的列表。这样，您将很难去提供当这份邮件通过Exchange服务器时，这个组所包含的成员。要是这个组经常添加和删除成员怎么办呢？想想这样的限制将会如何影响一个具有复杂AD复制环境的Exchange组织。
Exchange 5.5中的简单监视功能还有另外的瑕疵。备份邮件仅仅复制了显示名而非真正的Email地址。非常关键的是，您不能证明一个用户名和一个Email地址完全匹配；您只能保证这封特定的邮件在特定的时间发送给了这个特定的用户名。

Bcc监视（Bcc Journaling）
Bcc监视实际上就是“服用了类固醇”（on steroids）的简单监视（译者注：意指比简单监视提供的功能稍强），没有直接的图形界面供用户来启用Bcc监视。相反，我们要使用以下注册表键值来启用Bcc监视。在HKEY_LOCAL_MACHINE\System\Current ControlSet\Services\MSExchange Transport\Parameters下，您需要指定JournalBCC（REG_DWORD类型）的值为0x01（启用）或者0x00（禁用）。
在改变之后，我们需要重启SMTP和Exchange Information Store服务。当Exchange存储在重启之后监测到注册表的变化，它就启用Bcc监视，并在备份邮件中记录下这条信息。
需要注意的是，您要求确保所有组织内的Exchange服务器均使用了同样的监视方式。如果您在一台服务器上使用了Bcc监视，确保您也在其它需要监视的服务器上启用了Bcc监视。
虽然微软是在Exchange Server 2003 RTM版本中加入Bcc监视功能，但是扩展分布组成员列表仍然无效。直到Exchange Server 2003 SP1，我们才看到这项功能。如果您的组织中还有Exchange 2000服务器，您可以通过以下方式增加这项功能：确保您的Exchange 2000服务器安装了最新的SP3，然后安装以下这篇文章提到的补丁：“Bcc信息会丢失对journaled邮件在 Exchange 2000”（http://support.microsoft.com/?kbid=810999）。 
在Exchange 5.5中，没有升级或者补丁可以帮助用户添加此项功能。

信封监视（envelope journaling）
微软在Exchange Server 2003 SP1中提供了信封监视功能。它通过使用P1头信息避免了在简单监视和Bcc监视中的限制。像Bcc监视一样，信封监视也被加入到Exchange 2000中，它必须被运行在Exchange 2000 SP3以及安装了post–SP3 Update Rollup的机器上。关于rollup package的更多信息，请参阅以下文章：“更新汇总可用于启用Exchange2000Server中信封日记功能”（http://support.microsoft.com/kb/834634/zh-cn）。
同样的，也没有可适用于Exchange 5.5的补丁。
在许多方面，信封监视和简单监视一样，它也是由第一台Exchange服务器的分类器（Categorizer）来处理，也是在每个邮箱存储的属性界面上进行配置。最重要的区别在于简单监视使用的是P2头信息，而信封监视使用的是P1头信息。相比较简单监视和Bcc监视，后一种方法具备了以下几种优势：
• 捕捉显示名和真正的SMTP地址。
• 记录Bcc收件人。
• 允许扩展分布组成员列表，甚至包括隐藏的成员。
• 记录所有的具有Email地址的对象：包括公用文件夹、联系人、Email地址不存在于GAL的用户（ad hoc recipients）、自动转发收件人（alternate recipients）以及基于查询的通讯组（query based Distribution List）。
• 捕捉传输报告（delivery reports）、未抵达报告（nondelivery reports）、阅读回执（read receipts）以及外出助理信息（out-of-office messages）。
不是去简单复制原始邮件并发送到目标邮箱，信封监视创建一封单独的监视报告，原始邮件被复制并作为附件放在其中。这种方法可以保存一份原始邮件而不修改，它包含原始邮件的头信息，分布组也不会被修改，在原始邮件中未显示的Bcc收件人也会出现在监视报告中。
这可能听起来很不错，但是在实施当中，您会发现信封监视经常会导致多份监视报告（每份都包含原始邮件作为附件）被发送到目标邮箱。这实际上就是使用了P1头信息之后可以预计的到的结果。第一台处理这封邮件的Exchange服务器的分类器可能不能够包含能够辨别所有收件人身份的信息。这样的话，它就会产生一封不完全的监视报告，再把它发送到其它服务器进行处理。具体过程如下：

1. 当最初的服务器不能扩展分布组成员列表时，它就把这封邮件发送到这个分布组的扩展服务器。
2. 这台扩展服务器产生一份新的监视报告，它现在包含了这个分布组所有成员信息。
3. 每个分布组的扩展服务器都会产生一封监视报告，来说明原始邮件已被传输。
这就造成了最后您会看见很多份的监视报告出现在目标邮箱中。所有这些邮件备份都包含了这封原始邮件中所有收件人的一部分。这些邮件都被标示了同一个邮件ID，这就意味着无论何时当您需要监视邮件传输的时候，您都必须去检查所有这些监视报告。
如果您的Exchange组织跨越了多个物理站点并通过低速的广域网相连接，信封监视将会对性能表现产生巨大影响。下面这些步骤能够帮您减轻信封监视可能带来的负面影响。

1. 首先，确保您的所有Exchange 2000服务器至少运行Exchange 2000 SP3 和post–SP3 Update，Exchange Server 2003服务器至少运行Exchange Server 2003 SP1。否则，您可能会感觉系统性能不连贯。
2. 到以下网址下载Exchange邮件监视高级配置工具（exejcfg.exe）：http://www.microsoft.com/downloads/details.aspx?familyid=e7f73f107933-40f3-b07e-ebf38df3400d&displaylang=en。
3. 如果您现在正在使用Bcc监视，请在所有启用监视功能的服务器上移除前面提到的JournalBCC注册表键值，重启SMTP和Exchange Information Store 服务来激活修改。
4. 打开命令行工具，使用exejcfg.exe工具在整个组织内启用信封监视。这个工具会在AD中做一个小小的改变，它能够告诉所有的Exchange服务器去修改它们用来执行监视功能的AD属性。
在这里，您不需要重启服务。随着AD复制的结束，您组织内的所有服务器将会检测到被改变的属性，然后开始新的邮件监视行为。
备份和还原应用程序接口（Backup and Restore APIs）
如果您像大部分的Exchange管理员一样，您的备份和还原计划将会占据您的整个Exchange组织日常运营的很大比例。表面上看，备份和还原计划好像和我们前面提到的DCAR方案没有直接的关系，但是如果您仔细想一想，您就会发现事实不是这样的。下面我们来看看它们是怎么关联的：
• 一些管理条例规定企业必须具备恢复数年内邮件的能力。所以一项出色的灾难恢复计划对于展示您企业的决心是很有必要的。
• 未经授权而私自使用磁带备份可能会泄露企业保密信息。不妥善管理磁带备份也可能会是法规遵循的梦魇。
• 在把邮箱内容转移到存档系统之前，备份可以说是保护邮箱现有内容的最佳方式。现在许多的存档系统实际上并不是为恢复邮箱内容而设计的。
• 当您的邮件保存策略（retention policies）不能满足实际情况的时候，特别是如果您不能立刻检测出系统故障的时候，备份将是可以恢复误删除邮件的唯一方式。
如果您使用了或者准备使用某种类型的邮件监视功能，您将需要修改您的备份还原计划。邮箱监视将会在短时间内产生大量的网络流量，这样可能会影响您的备份和还原操作的运行。如果您是按照最佳配置方案来把您的Exchange监视所用的目标邮箱放置在单独一个邮箱存储上，您还需要备份这些邮箱存储。
无论采用何种形式的备份和还原，您一定要确保它是支持Exchange的。从很多方面来说，直接从Windows文件夹来备份Exchange数据库文件（甚至是一些第三方厂商提供的快照复制方案）都不是一个明智的选择。这样说不仅仅是因为直接备份物理文件不能保证数据库的完整性，更是考虑到这样做不能处理在空间上迅速增长的Exchange事务日志文件（Transaction Log）。一种支持Exchange的备份是使用已经建立的应用程序接口；在一次成功的备份之后，它会删除不必要的老的日志文件，这样做也减少了还原的时间（在还原一次备份之后所需要还原的日志文件减少了），而且还节省了磁盘空间。
如果您要使用基于快照复制的备份计划并且您使用的是Exchange 2000和Windows Server 2003，您就可以充分利用微软提供的卷影复制功能（Microsoft Volume Shadow Copy Service，VSS）。通过使用VSS，Windows操作系统可以提供一项经过测试的并且支持的快照功能，它可以让备份系统对于您的Exchange数据库进行一次完整的备份。
有时候，为Exchange设计一个复杂的备份方案并不一定是件好事。如果说Windows系统自带的备份程序（也称为NTBackup）对于Exchange数据库已经足够好了，您是否还会考虑其它产品呢？您可以使用NTBackup为Exchange数据库创建备份，然后再使用您的企业备份软件来转移这些备份到其它媒体上。这样一种磁盘到磁盘（disk-to-disk）的备份策略可以帮助您减少对于低速的、不可靠的技术的依赖，同样也使您的备份还原计划能够更加快速地被执行。
不要拿您的备份作赌注！您应该主动搭建一个生产环境的复制品，来测试您的备份还原方案，这样您就知道了当危机出现的时候，这个计划是可行的。确保您的备份计划是支持Exchange的并且被微软支持。同时也不要忘了Exchange Server 2003的新功能——恢复存储组（Recovery Storage Group，RSG）——它可以更加流畅地还原备份。

邮件和传输的安全性（Message and Transport Security）
邮件安全性包括两个方面：邮件加密（使用加密算法来保护真实的邮件内容不被未经授权地查看）和传输加密（使用加密算法来保护系统中不同组件的连接）。
邮件加密。DCAR方案也涉及到邮件的安全性。比如说，您可以考虑一下下面这几个问题：
• 如果您使用了Exchange所支持的S/MIME（安全多用途因特网邮件扩展协议），您的存档系统是否支持它呢？
• 您的存档系统是否支持存储老的证书，这样就让您仍然可以查看使用这些老证书加密的邮件？
• 您该如何保护、备份、还原为S/MIME使用的PKI（Public Key Infrastructure，公共密钥基础结构）？尽管PGP——Pretty Good Privacy（一个基于RSA公匙加密体系的邮件加密软件）——对于Exchange并非最佳选择，但是一旦使用，您是否能够保护、备份、还原PGP加密的您的用户的密匙环？
• 您用来遵守法规的策略软件是否支持加密邮件？
• 您是否在网络上的每一个站点都能够保证邮件不会被修改？
• 对于攻击者来说，无论是来自内网或者外网，他们是否可以窃取未经加密的传输信息？
Exchange Server 2003和Exchange 2000都完全支持S/MIME。甚至于Exchange Server 2003的OWA版本也支持S/MIME。但是，从实际操作的角度来说——部署和管理PKI，实施内容监视，或存档钥匙——使用S/MIME都不是那么吸引人，除非是强制要求（像政府机构）。
传输加密。对于Windows和Exchange来说，部署传输加密显得很简单，它们可以和一些使用在DCAR方案中的第三方的组件很好地兼容。Exchange 2000和之后的版本都支持像Secure Sockets Layer（SSL）或Transport Layer Security（TLS）协议的安全套接字。Windows 2000 及之后的版本也内置了IPsec的功能。不要依赖于MAPI加密来保护Outlook和Exchange之间的通信；您应该部署IPsec，或者升级到Exchange Server 2003和Outlook 2003的环境，这样您就可以使用RPC over HTTP的功能了。
根据我的经验，微软ISA服务器（Microsoft Internet Security and Acceleration Server）2006版本是最值得购买的产品，它能用来更好地保护您的Exchange组织和Internet进行邮件传输的安全性。把ISA服务器放置在DMZ（demilitarized zone，隔离区），这样就可以避免把Exchange直接曝露在Internet之下，也可以大大简化防火墙的配置。除此之外，ISA还支持SSL桥接（SSL bridging），这样您就能够实现为协议预设的代理传输和过滤SMTP，HTTP连接，同时还可以为每个连接的信号传输提供加密。

其它技术
其它一些Exchange的技术和功能虽然不是和DCAR直接相关，但仍然可以为我们的Exchange组织增加亮点，同时也会使环境部署和问题解决变得更加容易。

• 事件池（Event sinks）——事件池提供了强大的机理来扩大Exchange的功能。许多DCAR组件都需要把事件池嵌入到Exchange服务器中，用来在邮件经过Exchange组件之前拦截它们。一般使用在这样几种情况当中：邮件监视的备选方案，内容监督，为发往Internet的邮件插入公司签名。
• 协议日志（Protocol logs）——尽管协议日志默认是被关闭的，但是我们可以很轻松地开启Exchange内置的、强大的、基于每个虚拟服务器的、协议级别的日志功能。这些日志文件为通过每个虚拟服务器的通讯提供了详细的记录，这样可以使我们更加容易查出问题的根源，以及进行一些更加细化的监督功能。
• 邮件追踪（Message tracking）——Exchange自带的邮件追踪功能默认也是被关闭的。它可以让我们快速地追踪到一封邮件在您的Exchange组织里的整个传输过程。尽管使用邮件追踪会占用一小部分系统性能，但是它却足以让我们很轻松地找出任意一封丢失的邮件到哪去了，特别是它对于解决在部署DCAR的过程中出现的问题也很有用。
• 清洁邮件（Message hygiene）——Exchange Server 2003提供的防止垃圾的功能令人印象深刻，它可以在很大程度上帮助我们减少垃圾邮件对于您的组织的攻击。同样的，垃圾邮件的减少也减轻了我们的DACR组件（法规遵循、邮件存档、邮件保存）的工作量。除此之外，Exchange还提供了全面的防止邮件病毒的应用程序接口，可以被用来阻止蠕虫、病毒和木马等等。

完成部署
从上面的介绍可以看出，在设计DCAR方案的时候，您可以使用很多Exchange内置的功能，像邮件监督、Exchange Server 2003支持的卷影复制快照服务、邮件和传输加密，还有其它相关的功能，如邮件追踪等等。但是，记住Exchange并不提供其它一些在DCAR方案中要使用的关键的功能，像邮件存档和PST管理。要完成您的Exchange DCAR方案，您还需要去寻找一些满足您的需求的第三方工具。

关于Exchange DCAR方案的更多信息
邮件查找和法规遵循：
制定邮件查询的方案（Build an Email-Discovery Plan）
http://www.windowsitpro.com/Article/ArticleID/49896/49896.html?Ad=1 
法规遵循（Regulatory Compliance）
http://www.windowsitpro.com/Articles/ArticleID/46946/46946.html 
电子邮件法规遵循——按需型网络研讨会（Email Compliance Requirements: Getting Started, and Preventing the IT Search Party: Be Prepared for E-Discovery—on-demand Web seminars）
http://www.windowsitpro.com/events
Exchange备份和还原：
备份和还原中易犯的6个错误（6 Common Backup and Restore Mistakes） 
http://www.windowsitpro.com/Windows/Article/ArticleID/49828/49828.html 
Exchange Server 2003中还原存储组的最佳实践（Best Practices for Recovery Storage Groups and Exchange Server 2003） 
http://www.windowsitpro.com/Windows/Article/ArticleID/48878/48878.html 
我应该如何备份我的Exchange存储组和数据库？（How can I back up my Microsoft Exchange Server storage groups and databases） 
www.windowsitpro.com/Article/ArticleID/41820/41820.html 
Exchange Server 2003数据备份和卷阴影复制服务（Exchange Server 2003 data backup and Volume Shadow Copy Service） 
http://support.microsoft.com/?kbid=822896
微软内部Exchange Server 2003备份策略：微软Exchange Server 2003群集的备份过程（Microsoft's in-house Exchange Server 2003 backup strategy: “Backup Process Used with Clustered Exchange Server 2003 Servers at Microsoft”）
http://www.microsoft.com/technet/itsolutions/msit/operations/exchbkup.mspx
Exchange邮件监视：
Exchange Server 2003邮件监视入门（An Exchange Server 2003 Journaling Primer）
www.windowsitpro.com/MicrosoftExchangeOutlook/Article/ArticleID/45348/45348.html 
Exchange Server 2003高级邮件监视（Exchange Server 2003 Advanced Journaling）
www.windowsitpro.com/Article/ArticleID/45644/45644.html 
Exchange Server 2003支持何种类型的邮件监视功能？（What message journaling options does Microsoft Exchange Server 2003 support?）
www.windowsitpro.com/Article/ArticleID/93060/93060.html 
解决Exchange Server 2003和Exchange 2000服务器中消息日记（Troubleshooting message journaling in Exchange Server 2003 and Exchange 2000 Server）http://support.microsoft.com/?kbid=843105 
Exchange内置的垃圾邮件阻止功能：
了解Exchange反垃圾工具（Get the Most from Exchange Antispam Tools）
www.windowsitpro.com/Article/ArticleID/93520/93520.html 
Exchange安全：
邮件安全（Messaging Security）
www.windowsitpro.com/WindowsSecurity/Article/ArticleID/93965/93965.html 
用S/MIME保护邮件（Secure Email with S/MIME）
www.windowsitpro.com/Article/ArticleID/49878/49878.html