通过

Lync Server 2013 中的前端池配对数据安全

  • 项目

 

上次修改的主题： 2014-10-07

备份服务是 Lync Server 2013 中引入的数据复制机制，用于在两个数据中心之间连续传输用户数据和会议内容，以实现灾难恢复。 用户数据包含用户 SIP URI 以及联系人列表和设置。 会议内容包括Microsoft PowerPoint 2010上传以及会议中使用的白板。 从源池中，用户数据和会议内容从本地存储导出、压缩、传输到目标池，在目标池中解压缩并导入到本地存储。 备份服务假定两个数据中心之间的通讯链路位于公司网络内部，并且具有 Internet 保护。 它不加密两个数据中心之间的传输数据，也不在安全协议（如 HTTPS）中以本机方式封装。 因此，企业网络内部人员可能会进行中间人攻击。

评估安全风险

任何跨多个数据中心部署 Lync Server 2013 并使用灾难恢复功能的企业都必须确保跨数据中心流量受其公司 Intranet 的保护。 关心内部攻击保护的企业必须保护数据中心之间的通信链接。

企业的数据中心受企业 Intranet 保护的假设是标准的。 在这些数据中心之间传输了许多其他类型的公司敏感数据。 如果这些跨数据中心链接不受保护，企业 IT 基础结构将面临严重风险。

当公司网络内存在中间人攻击的风险时，比较而言，它相当于包含将流量公开到 Internet。 具体而言，备份服务 (（例如 SIP URI) ）公开的用户数据通过其他方式（例如，通过 Exchange 的全局通讯簿或其他目录软件）正式提供给公司内的所有员工。 因此，当备份服务用于在两个配对池之间复制数据时，重点应放在保护两个数据中心之间的 WAN 上。

缓解安全风险

可通过多种方式加强对备份服务流量的安全保护，从限制对数据中心的访问到保护两个数据中心之间的 WAN 传输。 在大多数情况下，部署 Lync Server 2013 的企业可能已经具备了所需的安全基础结构。 对于寻求指导的企业，Microsoft 提供了解决方案作为如何构建安全 IT 基础结构的示例。 但是，这并不意味着它是唯一的解决方案，也并不意味着它是 Lync Server 的首选解决方案。 我们建议企业客户根据其 IT 安全基础结构和要求选择适合其特定需求的解决方案。示例 Microsoft 解决方案使用 IPSec 和 组策略进行服务器和域隔离。 有关详细信息，请参阅 https://go.microsoft.com/fwlink/p/?LinkId=268544。 有关问题和评论，请联系 secwish@microsoft.com。

另一个可能的解决方案是仅使用 IPSec 来帮助保护由备份服务本身发送的数据。 如果选择此方法，您应该为以下服务器配置 SMB 协议的 IPSec 规则，其中，池 A 和池 B 是两个配对前端池。

  • SMB 服务 (TCP/445) 从池 A 中的每个前端服务器到由池 B 使用的文件存储。

  • SMB 服务 (TCP/445) 从池 B 中的每个前端服务器到由池 A 使用的文件存储。

警告

IPsec 不专门用于代替应用程序级别的安全，例如，SSL/TLS。 使用 IPsec 的一个优势是，可为现有应用程序提供网络流量安全，但无需更改它们。 只想在两个数据中心之间提供传输保护的企业应该咨询其相应的网络硬件供应商，以了解有关通过使用供应商的设备建立安全 WAN 连接的方法。