Transportoptionen in Exchange-Hybridbereitstellungen

Eine Hybridbereitstellung enthält Postfächer in einem lokalen Exchange-organization sowie in einem Exchange Online organization. Weitere Informationen zu Hybridbereitstellungen finden Sie unter Exchange Server Hybridbereitstellungen.

Eine entscheidende Komponente, um diese beiden getrennten Organisationen als eine Einheit erscheinen zu lassen, ist der hybride Verkehr. Nachrichten, die zwischen Empfängern in einer der beiden Organisationen gesendet werden, werden mithilfe von Transport Layer Security (TLS) authentifiziert, verschlüsselt und übertragen. Diese Nachrichten werden für Exchange-Komponenten als "intern" angezeigt (z. B. als Transportregeln, Journale und Antispamrichtlinien). Der Assistent für die Hybridkonfiguration konfiguriert den Hybridtransport in Exchange 2013 automatisch.

Damit der Hybridtransport mit dem Hybridkonfigurations-Assistenten funktioniert, muss es sich bei dem lokalen SMTP-Endpunkt, der Verbindungen von Exchange Online akzeptiert, um einen der folgenden Exchange-Server handeln:

• Exchange 2016 Kumulatives Update 8 (CU8) oder höher:
  • Postfachserver
  • Edge-Transport-Server.
• Exchange 2013 Kumulatives Update 15 (CU15) oder höher:
  • Clientzugriffsserver.
  • Edge-Transport-Server.
• Exchange 2010 Service Pack 3 (SP3) mit Updaterollup 11 (RU11) oder höher:
  • Hub-Transport-Server.
  • Edge-Transport-Server.

Wichtig

Platzieren Sie keine SMTP-Hosts oder -Dienste zwischen Microsoft 365 und dem lokalen Endpunkt der Exchange-Organization. Informationen, die für den Hybridtransport wichtig sind, werden aus Nachrichten entfernt, die einen Endpunkt passieren, auf dem eine nicht unterstützte Version von Exchange oder ein generischer SMTP-Host ausgeführt wird.

Hybride Routingoptionen

Sie müssen auswählen, wie eingehende und ausgehende E-Mails weitergeleitet werden sollen, wenn Sie Ihre Hybridbereitstellung planen und konfigurieren:

• Möchten Sie eingehende E-Mails von externen Internetabsendern über Microsoft 365 oder über Ihre lokale Exchange-Organization an lokale und Cloudempfänger weiterleiten? Die Konfiguration hängt von verschiedenen Faktoren ab:

  • Befinden sich die meisten Ihrer Postfächer in der Cloud oder in lokalen Exchange-Umgebungen?
  • Möchten Sie das integrierte Sicherheits-Add-On für lokale Postfächer verwenden, um Ihre lokale Exchange-organization zu schützen?
  • Wo ist Ihre Complianceinfrastruktur konfiguriert?

  Die Route für eingehende Nachrichten an beide Organisationen hängt davon ab, ob Sie den zentralen E-Mail-Transport in Ihrer Hybridbereitstellung aktivieren.

• Möchten Sie ausgehende E-Mails von Exchange Online-Absendern über Ihre lokale Organization (zentraler E-Mail-Transport) oder direkt zum Internet an externe Empfänger weiterleiten?

  Beim zentralisierten E-Mail-Transport werden alle E-Mails von Exchange Online-Absendern durch die lokale Organization geleitet, bevor sie im Internet zugestellt werden. Diese Vorgehensweise ist in Complianceszenarien wichtig, in denen lokale Server alle E-Mails verarbeiten müssen, die an das und aus dem Internet gesendet werden. Alternativ können Sie Nachrichten von Exchange Online-Absendern an externe Empfänger direkt im Internet senden.

  Hinweis

  Wir empfehlen den zentralisierten E-Mail-Transport nur für Organisationen mit bestimmten Compliance-bezogenen Transportanforderungen. In der Regel wird empfohlen, den zentralisierten E-Mail-Transport aufgrund der erhöhten Bandbreite und des Mehraufwands für die E-Mail-Verarbeitung in Ihrer lokalen Organization nicht zu verwenden.

• Möchten Sie in Ihrer lokalen Organisation einen Edge-Transport-Server bereitstellen?

  Wenn Sie Ihre domänengebundenen, internen Exchange-Server nicht direkt im Internet verfügbar machen möchten, können Sie unterstützte Edge-Transport-Server in Ihrem Umkreisnetzwerk bereitstellen. Weitere Informationen finden Sie unter Edge-Transport-Server mit Hybridbereitstellungen.

Unabhängig von Ihrer Auswahl verwenden alle Nachrichten, die zwischen dem lokalen Exchange-organization und dem Exchange Online organization gesendet werden, einen sicheren Transport. Weitere Informationen finden Sie unter "Vertrauenswürdige Kommunikation" weiter unten in diesem Artikel.

Weitere Informationen dazu, wie diese Optionen das Nachrichtenrouting in Ihrer Organisation beeinflussen, finden Sie unter Transportweiterleitung in Exchange-Hybrid-Bereitstellungen.

Integrierte Cloudsicherheitsfunktionen in Hybridbereitstellungen

Alle Microsoft-Cloudorganisationen mit Cloudpostfächern verfügen über integrierte Sicherheitsfeatures zum Schutz der Empfänger vor Viren, Spam, betrügerischen Phishing-Versuchen und Richtlinienverstößen. Dieselben integrierten Sicherheitsfeatures sind auch zum Schutz lokaler E-Mail-Umgebungen (nicht nur Exchange) im integrierten Sicherheits-Add-On für lokale Postfächer verfügbar.

Die integrierten Sicherheitsfunktionen für alle Cloudpostfächer sind die Eingangstür zu Ihrem Exchange Online organization. Alle eingehenden Nachrichten (unabhängig von ihrem Ursprung) durchlaufen diese integrierten Sicherheitsfeatures, bevor sie Empfänger in Ihrer Cloud-Organization erreichen. Alle von Ihrer Exchange Online organization gesendeten Nachrichten durchlaufen diese integrierten Sicherheitsfunktionen, bevor sie das Internet erreichen.

Vertrauenswürdige Kommunikation

Der Nachrichtenfluss zwischen dem lokalen organization und dem Exchange Online organization ist für die Verwendung von erzwungenem TLS konfiguriert. Durch diese Konfiguration wird sichergestellt, dass Nachrichten, die zwischen den Organisationen gesendet werden, nicht abgefangen werden. Der sichere E-Mail-Transport verwendet TLS-Zertifikate, die von einer vertrauenswürdigen kommerziellen Zertifizierungsstelle bereitgestellt werden.

Beim erzwungenen TLS-Transport prüfen der sendende und der empfangende Server die Zertifikate des jeweils anderen. Das Feld "Antragsteller " oder " Alternativer Antragstellername " (SAN) des Zertifikats muss den FQDN enthalten, der den anderen Server identifiziert.

Beispielsweise ist die Exchange Online organization so konfiguriert, dass Nachrichten akzeptiert und gesichert werden, die vom FQDN mail.contoso.com gesendet werden. Das TLS-Zertifikat auf dem lokalen Quellclientzugriffsserver oder Edge-Transport-Server muss mail.contoso.com im Feld "Antragsteller " oder "Alternativer Antragstellername" (SAN) enthalten. Andernfalls verweigert Microsoft 365 die Verbindung.

Tipp

Der FQDN muss nicht mit dem E-Mail-Domänennamen von Empfängern übereinstimmen. Das Feld "Antragsteller " oder " Alternativer Antragstellername " (SAN) des Zertifikats muss den FQDN enthalten, den der empfangende oder der sendende Server akzeptieren soll.

Zusätzlich zur Verwendung von TLS werden Nachrichten zwischen der lokalen und der Cloudorganisation als "intern" behandelt. Dieser Ansatz ermöglicht es Nachrichten, einige Bedrohungsschutzfilter- und andere Dienste zu umgehen.

Weitere Informationen finden Sie unter Zertifikatanforderungen für Hybridbereitstellungen und Grundlegendes zu TLS-Zertifikaten.