Office Communications Server 2007 R2 的 TLS 和 MTLS

上一次修改主题： 2009-03-10

TLS 和 MTLS 协议提供了 Internet 上的加密通信和终结点验证。Office Communications Server 可使用这两项协议来创建受信任的服务器网络，并确保网络上的所有通信都进行了加密。服务器之间的所有 SIP 通信都通过 MTLS 进行。从客户端到服务器的 SIP 通信都通过 TLS 进行。

利用 TLS，用户可以通过其客户端软件对他们连接到的 Office Communications Server 2007 R2 服务器进行验证。在 TLS 连接上，客户端会从服务器请求有效证书。有效证书必须满足以下条件：由受客户端信任的 CA 颁发，且服务器的 DNS 名称必须与证书上的 DNS 名称一致。如果证书有效，则客户端信任服务器并打开连接。生成的连接将会受到信任，之后再不会受到其他受信任的服务器或客户端的质询。在此上下文中，可将用于 Web 服务的安全套接字层 (SSL) 视为是基于 TLS 的。

服务器到服务器的连接依赖相互 TLS (MTLS) 来进行相互验证。在 MTLS 连接上，发出消息的服务器将与接收消息的服务器通过相互信任的 CA 交换证书。证书可向一台服务器证明另一台服务器的身份。在 Office Communications Server 2007 R2 部署中，所有内部客户端和服务器都会自动认为由企业 CA 颁发的证书是有效证书。在联盟方案中，发证 CA 必须得到双方联盟伙伴的信任。如果需要，任一伙伴均可以使用不同的 CA，但该 CA 要同时获得另一个伙伴的信任。通过在边缘服务器的受信任的根 CA 中包含伙伴的根 CA 证书，或通过使用双方信任的第三方 CA，可以很轻松地建立此信任。

TLS 和 MTLS 有助于防止窃听攻击和中间人攻击。在中间人攻击中，攻击者将通过其计算机重新路由两个网络实体之间的通信，而这两个网络实体对此毫不知情。虽然 TLS 和安全服务器列表可在应用层上部分减轻受到中间人攻击的风险，但根据最佳做法，最终还是必须保护网络基础结构（此示例中为企业 DNS）。Office Communications Server 假定 DNS 服务器受信任的方式与域控制器和全局编录受信任的方式相同。

下图在一个较高的层面上演示了 Office Communications Server 如何使用 MTLS 创建受信任的服务器网络。

图 1. Office Communications Server 2007 R2 网络中受信任的连接