本方案由青岛赛诺普信息技术有限公司技术部创建，该方案所有技术指标遵循微软公司技术
指标，相关方案设计解释权归青岛赛诺普信息技术有限公司所有。
XXXXX
Exchange 电子邮件系统解决方案
整体解决方案
Administrator
用户需求
因考虑 XXXX 网络处于改造阶段，相关网络情况不明了，该方案为建议性
解决方案，如方案中需规模性改造企业网络，我们会根据最终网络拓扑和实际网
络情况进行相应的方案改进，并最终形成可行性解决方案。
XXXX 需求如下：
1、 Microsoft Exchange 邮件服务器；
2、 邮箱空间限制在 100MB，当空间使用率达到 80%，提醒用户；
3、 邮件附件大小限制在 30MB 以内；
4、 要求设置密码策略，密码使用周期小于 3 个月，密码不能少于 8 位，
并遵循密码复杂度要求（必须包含数字、字母和特殊符号）；
5、 OWA 模式邮件收发方式；
6、 继续接受旧服务器邮件；
7、 建立全球通讯录；
8、 使用 HTTP 连接到 Microsoft Exchange；
9、 域管理：实现开发环境标准化、提高信息和网络安全；
10、 未来域模式规划；
名词解释
Microsoft Exchange 2010：微软新一代电子邮件服务系统。
Active Directory：Active Directory（活动目录）动目录（Active Directory）是
面 向 Windows Standard Server、 Windows Enterprise Server 以 及 Windows
Datacenter Server 的目录服务。（Active Directory 不能运行在 Windows Web
Server 上，但是可以通过它对运行 Windows Web Server 的计算机进行管理。）
Active Directory 存储了有关网络对象的信息，并且让管理员和用户能够轻松地查
找和使用这些信息。Active Directory 使用了一种结构化的数据存储方式，并以此
作为基础对目录信息进行合乎逻辑的分层组织。
反垃圾邮件网关：用于针对已有垃圾邮件进行过滤和阻断的设备。
备份系统：传统机制的备份系统无法对现在使用的应用平台做完整细粒度
备份，一旦应用发生灾难性损坏，后果将不堪设想，我们利用专业备份系
统来弥补这个问题的空白。
方案拓扑
建议方案 1
建议方案 2
方案推介
分析 XXXX 的目前情况，综合需求，我们认为 XXXX 的企业信息化实施应该分为三个阶段：
1、基础架构实现阶段；
2、信息化实现阶段；
3、信息安全（包括端点安全、数据安全和服务安全）提升阶段；
基础架构实现阶段是为后期 XXXX 的信息化建设做底层架构策略，完善底层架构将会完成
企业信息化基础架构的标准，利用该标准来规划以后的信息化方向；
信息化实现阶段是我们利用之前所创建的基础架构，来完善信息化，根据企业需求来实现实
际应用；
当我们的信息化上升到一定规模，我们的信息安全将面临考验，我们需要采用切实可行的企
业安全策略来保护我们企业的信息安全。
本方案中我们将完成的是基础架构建设的起步，利用微软公司提供的解决方案来规划我们的
企业信息架构：
本方案将利用的解决方案包括：Microsoft Active Directory、Microsoft Exchange 电子邮件及
反垃圾邮件系统、Symantec 数据备份系统。
本次方案旨在定义企业基础架构模型，结合企业行政管理架构来定义企业用户在企业中的位
置，并规划相关权限，为后期客户端以域管理模式进入企业网络做准备。前期将规划相关事
项的定义（网络定义需结合网络产品供应商），其中包括：
服务器群组的计算机名定义、服务器管理组和用户组权限定义、IP 地址范围定义、VLAN
定义、DMZ 区域定义等；
客户端群的计算机名定义、用户名定义、IP 定制定义、VLAN 定义、VLAN 互访策略
定义、客户端实际使用权限定义等；
邮件服务器的邮箱容量定义、又将收发规则定义、梭子鱼反垃圾邮件策略、邮箱访问方
式等。
Microsoft Active Directory
方案规划 XXXX 采用单林单域方式，组织单元规划根据企业实际行政规划来设计。
AD 明细如下：
地址分配
地址分配即 IP 地址的分配和管理。
目前公司的 IP 地址分配采用静态方式，其添加和维护工作由 IT 人员在
现场手工完成。如果某个用户想要访问 Internet，需事先让网络管理员在防
火墙上开启对某个 IP 地址的路由，然后告知用户该 IP 地址。
我们可以根据实际情况来确定 IP 的获取方式，根据部门来划分静态 IP
和 DHCP 的数量级和安全级别。
名称解析
名称解析是指在访问网络资源（包括文件服务器和打印机）时，如何将
资源的名称转换成对应的 IP 地址的服务。
目前公司的内部用户在访问网络资源时通过直接的 IP 地址来定位资源，
这样带来的问题时每个用户必须记住要访问资源的 IP 地址，使用效率不高
而且管理成本较高。
通过 DNS 和 WINS 的服务，相关的服务器会自动将某个名称转换成实
际的 IP 地址，用户只需记住容易辨识的资源名称即可进行相应的访问。这
样网络资源的共享和使用效率将得到很大程度的提高。
DNS
我们将在公司的 DC1、DC2 两台 DNS 服务器。该服务器同时也是域控
制器。公司内部网络的域名为： 或 (company
是指公司名称或其缩写)
DNS 服务器包含两个区域，以下是它们的技术参数：
Name: .
Type: Active Directory-Integrated
Replication: To All DNS servers in the Active Directory forest
Dynamic updates: Nonsecure and secure
Name: .
Type: Active Directory-Integrated
Replication: To All DNS servers in the Active Directory domain
Dynamic updates: Nonsecure and secure
DNS 服务器都将 DNS 数据放在本地的 AD 数据库中，但是作为独立的
Application Partition 来参与域控制器之间的目录复制(Directory Replication)
从而同步 DNS 数据库。
所有域控制器都将主域控设为首选的 DNS 服务器
外部(Internet)名称解析
在 DC1，将本地 ISP 的 DNS 服务器设为转发器。将所有非内部网的域
名解析请求转发至 Internet 上
所有公司内的客户端都将通过 DNS 来进行名称解析。包括登入域和访问文件服
务器或其他客户端。每一个加入域的客户端都通过动态注册在 DNS 服务器上注
册自己的主机纪录(A)和指针纪录(PTR)。管理员在服务器上可以轻松的了解所有
客户端的注册情况。此外，在 DC1 的 DNS 服务出现暂时不可用的情况时，可以
依靠其它额外 DC (DNS 服务器)来进行必要的名称解析。
域结构
域结构设计是活动目录中最重要，也是最基础的工作，是多种因素权衡的结果，
它既要尽可能贴近用户的管理模式和组织结构，也要考虑网络情况及今后的各种
变化。目前山东外运超过 60%的微机和超过 55%的管理人员集中于青岛总部地
区，这意味着外地机构分布较广而各地的人员和微机数量都比较少，并且各地区
也有固定的专线线路连入总部。此外，山东外运 IT 部门的最终目标是能够实现
完全集中管理。因此此次在山东外运环境内采用单域结构。
以下是单域结构相对于其他结构的优缺点：
优点
集中管理整个集团的安全策略。
集中管理整个集团的组策略。
完全利用组织单元反映集团的管理结构。
当公司机构重组时可以非常灵活的进行调整。
当资源和用户需要在组织机构内迁移时可以非常灵活的调整。
不需要 GC 服务器 – 因为所有的 DC 都拥有 AD 的全备份。
相对其它方案，可以使用较少的域控制器。
简单的名字空间设计 – 只需要 1 个 DNS 名字后缀.
用户在查找 AD 内的信息时相对简单。
单一的组策略更容易实施。.
缺点
在 IT 系统管理权限相对分散的组织结构中，难以区分“管理权”。
整个公司集团只能实行一种安全策略，例如统一的口令策略。.
所有的域控制器(DC)都拥有整个 AD 的数据的备份，AD 的任何更改也要反映到
域内的所有 DC 上，这对每台 DC 的硬件配置要提出更高的要求，同时对那些广
域网带宽有限的区域会带来效率上的问题。对于 DC 服务器本身的安全也提出更
高的要求。
组织单元结构
组织单元的设计将遵循两点原则：
反映企业内部的组织结构
有利于通过组策略进行细化的终端管理
目前公司的组织结构简图如下：
见附录 2
由于用户帐号（在这里包括用户组账号）和计算机账号分数两种不同的资源类型，
所以也需要分开管理。因此，我们将组织单元设计成以下结构：
第一级：资源类型
第二级：地理位置
第三级：事业部名称
第四级：部门名称
请参考下图以了解这个结构的模型：
一一一一
一一一一一一
一一一
QHJ. ADMI N
一一一一
SSGC. ADMI N
一一一一
HYZX. ADMI N
一一一一
HBHY. ADMI N
一一一一
JFZC. ADMI N
一一一
GBL. ADMI N
一一一一
CSHY. ADMI N
一一一一
LYGS. ADMI N
一一一
GOLF. ADMI N
一一一一一
WGY. ADMI N
一一一一
DHDC. ADMI N
一一一一
GYGS. ADMI N
一一一一
HJJD. ADMI N
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一
一一一一一一
一一一一一一
账号和口令管理
账号管理可以分为个人账号管理、组账号管理和机器账号管理。
个人账号可以分为两类：
第一类为普通账号，采用一人一号的方式，为每一位员工建立自己
的账号。当员工加入或者离开时，按照一定的规则增加或者删除用户的账号。
第二类为特殊账号，通常不属于某一位员工，而是为了满足某些特
殊的功能，比如系统管理、匿名访问等等。特殊账号有以下几个：
Administrator，系统管理员账号，具有最高的权限，可以进行任何管理
操作，该账号不能被删除，只能更改用户名。为了提高系统的安全性，
建议将管理员账号的用户名更改，比如 hqadmin（仅仅是建议，系统管
理员可以自行决定）。
Guest，匿名登录的账号，为了提高系统的安全性，建议将 Guest 账号禁
止。
服务的账号，在 Windows 2008 中，每一个服务都需要一个账号，通常这
些账号采用系统账号，我们无须关心，但有一些服务需要特殊的用户账
号。
每个个人账号都有一个口令来保护，为了防止口令被盗用和攻击，
我们将在整个域中启用相应的密码策略以保证每个密码都符合一定的复杂
度，具体要求如下：
长度不得小于 8 个字符
必须包含大写和小写字母
必须包含特殊字符（例如：~!@#$%^&*()_+）
密码有效期<=3 个月
个人账号的命名规则
用户名称将使用中文名，帐号名称为:
采用姓名的拼音全称，如有重复则在末尾加用户所在部门名称的首字母，
若仍有重复则在末尾加数字以示区别。
例如：姓名 姓名拼音 帐户名
张刚(工程实际部)
张钢(财务部)
计算机账号管理
所有加入到域中的计算机都需要一个计算机账号，通过该帐号，我们可以对计算
机的各种配置进行管理。公司目前的计算机命名规则为：事业部+部门+序号。例
如：SJ-BMB-001（设计保密部第一台计算机）。
组账号管理
分组管理是重要而有效的管理策略。在 Windows 2008 中有三种组帐户：通用组
（Universal Group）、全局组（global group）和域本地组（Domain local group），
全局组可以包括本域的用户帐户（user account），域本地组可以包括本域和资源
域的用户帐户和全局组帐户，通用组的使用则没有任何限制。(公司如采用单域
结构，则没有使用 Universal 组的必要)
良好的分组策略可以降低管理的复杂性，避免安全上的漏洞，大大提高管理的可
靠性。
我们采用这样的分组策略：
1. 按照职位分组。
2. 按职能分组，例如所有的财务人员，所有的科技人员，所有的系统管理员等
等。
3. 对员工分类，比如普通员工，临时员工等等。
4. 按照部门分组.
由于维护用户和组账号是一项日常的工作，这项工作将由公司的人员，
依据管理的需求来创建。此次项目中，将为每一个部门创建一个管理员组，
用来进行一些日常的管理工作，包括安装额外的硬件，共享文件和打印机，
等等。
目前，公司的所有用户都已被分到各个不同的组织单元(OU)下面。每
个组织单元下还包含一个用户组，该用户组的成员即是该组织单元内的所有
用户，这样可以较为轻松的管理用户资源。
Microsoft Exchange
为企业安装部署企业级邮件系统 Exchange2007。
配置 Exchange2007 的 OWA 功能，使之能够让用户采用 WEB 方式访问企业邮箱，
以此我们可以通过 HTTP 方式来访问邮件服务器收发邮件并处理相关信息；
配置开放 Exchange2007 的 POP3 的协议解析功能，使之实现对 Outlook 和其它第
三方邮件收发软件的支持；
定制防火墙对邮件系统的发布策略；
发布邮件系统到 INTERNET 网络；
定制邮件系统的反垃圾邮件的策略（梭子鱼策略）；
定制邮件系统的反攻击安全策略（梭子鱼策略）；
根据企业需要，定制邮箱大小策略，邮件大小策略，邮件发送策略等一系列邮箱设
置策略；
根据企业需要，定制全球通讯录，部门通讯录等各种脱机通讯录；
配置邮件系统，为邮件进行 128 位的 SSL 加密，保证邮件传输安全；
规划邮件系统，合理定制邮件的存放周期及备份周期。
Symantec Backup Exec For Windows Server
备份过程中要用到大量的存储介质，随着时间的推移，介质上备份数据的作
用会越来越小，除非要特意恢复到某一历史时刻的状态，都会用最新的备份数据
来进行恢复。所以在制定备份策略时，要根据数据的运作和使用情况，来确定数
据的最长有效期、可容忍的数据丢失时间，从而确定执行备份的时间、每次备份
的种类、使用空介质和重用老介质的方法。
AD 服务器作为重要的运营系统和宝贵的信息库，承担着日常的网络与数据
中枢的角色，其长期运行过程中积累下来的数据具有重要的价值。基于此，对于
这些服务器的备份，应从整体、系统、长期的角度来制定备份策略，做到既能快
速的进行日常备份，又能完备的保留一定历史时期内的数据。
备份策略
对数据进行备份，是出于保证数据的安全性、对系统信息做历史记录、在灾
难发生时恢复系统等多方面考虑的。若要详细、历史的记录数据，并在特定情况
下恢复特定时期的数据，就要保证数据备份的频率、以及备份介质上数据的保存
时间符合预期设计的目标。目前，国内外大型企业对资源数据的备份都是每天进
行一次的，并且采用完全备份和差量备份结合的方式，给数恢复带来便利。由于
采用了先进的软、硬件配置，这种日常备份操作都可以在晚间系统负载较轻时定
时、自动、快速进行，对系统日间使用不会造成任何影响。
考虑到本系统的具体情况，我们认为做每日备份是极为合理的方案。由于系
统中的每台服务器数据交换和信息更新都极为频繁，每天都有大量的信息数据、
那么做每日备份，记录每日系统的最新信息是极为必要的。对系统做完全备份是
出于恢复方便考虑，系统管理员不必使用任何其它历史资料，就可以对系统进行
完全恢复，简单便捷。若是只对应用数据进行备份，那么一但系统崩溃，需要使
用最近一次完全备份恢复系统，再使用最近一次应用备份恢复具体应用，操作及
为不便。如果应用在系统配置文件中的一些信息较最近一次完全备份时有所不同，
那么即使恢复了系统也难以正常运行，或者造成不可见的故障隐患
备份策略的定义
定义好备份资源以后，我们必须根据实际需要配置备份策略。定义备份策略，涉
及到以下内容：
a) 在什么时间（备份时间，如下午 6:00）、
b) 将什么数据（备份内容，数据库数据）、
c) 以什么方式（备份方式，如全备份或增量备份）、
d) 通过哪组磁盘驱动器、
e) 备份到磁盘哪一个位置
在我们对每一组数据、数据库都根据需要定义好备份策略后，系统就会自动的按
照我们定义的时间、方式、将需要备份的数据备份到我们指定的磁盘中去。
而 备 份 的 方 式 可 以 分 为 三 种：全 备 份 、 增 量 备 份 、 累 计 增 量 备 份 。
全备份
每次备份定义的所有数据，优点是恢复快，缺点是备份数据量大，数据多时可能
做一次全备份需很长时间
增量备份
备份自上一次备份以来更新的所有数据，其优点是每次备份的数据量少，缺点是
恢复时需要全备份及多份增量备份
差分备份
备份自上一次全备份以来更新的所有数据。
我们可以结合这三种方式，灵活应用。比如：
数据量少时，我们可以每次都用全备份备份数据，这样，恢复时，只需
要指定一个数据源即可。
数据量大时，如果每天作全备份，效率会很低。我们可以结合全备份和
增量备份方式。比如每星期作一次全备份（如星期天），其它时间，每天
作一个增量备份（如:星期一到星期六）。恢复时，只要依次恢复最多七
个备份介质即可。（如：上周日、星期一、星期二 ...，直到出事前一天
的数据。）
数据量特别大时，每星期作全备份对系统的压力也会很大。这时，我们
可以结合全备份、累计增量备份、增量备份三种方式，提供相对效率高，
恢复有快的备份手段。比如每个月作一次全备份（如每月初），然后每星
期日作一次累计增量备份，其它时间，每天作一次增量备份。恢复时，
先恢复月初的全备份，再恢复上周日的累计增量备份，在依次恢复以后
每一天的增量备份，如星期一、星期二 ...，直到出事前一天的数据。（最
多恢复 8 份数据，相对的如果不采用累计增量备份方式，恢复时最多可
能需要恢复 31 份数据，恢复速度和复杂程度都会不理想）。
由此我们认为，对系统进行每日备份是必要的，可以更好的提高系统的安全
性和可靠性。
灾难恢复的备份策略
安装完所有服务器的 VERITAS 及其选件和代理后，对所有要进行灾难恢复的服
务器进行一次全备份。当 Windows NT 系统出现依靠启动软盘无法恢复的系统损
毁时，依靠系统全备份文件恢复整个系统，然后用最新的内容更新系统的内容。
介质使用及命名规则
为了更好的管理介质，我们对所有磁盘按统一的规则来命名：
备份类型 – 集合名 – 日期
备份类型：
— F 完全备份
— A 部分备份
集合名：
— 使用者指定的唯一性名字
日期：
— 使用该介质进行备份的时间
— MM/DD/YY 格式
如：某一磁带可以命名为：F-ICBCOA-2/1/99
产品推荐
服务器
产品用途 产品编号 产品数量 产品描述
电子邮件服务器
HP DL 388 G7
（E5620*1,32G 内存，
300GB*3 RAID5）
1 2 颗物理 CPU+4GB 内存
AD 服务器
HP DL 160
G6(E5506*1,2GB 内存，
146GB*2 RAID1)
2 1 颗物理 CPU+2GB 内存
备份服务器
HP DL 160
G6(E5506*1,2GB 内存，
146GB*2 RAID1)
1 1 颗物理 CPU+2GB 内存
软件
产品类别 产品名称 产品数量 产品描述
Server
Windows Server 2008 简
体中文标准版
3 服务器操作系统
Server
Exchange Server 2010 简
体中文标准版
1 电子邮件系统
CAL Exchange Server CAL 待定 电子邮件系统访问许可
Recovery
Symantec Backup Exec
2010 For Windows 主模
块
1 数据备份
Recovery
Symantec Backup Exec
2010 Agent For Exchange
1 数据备份
Server
Recovery
Symantec Backup Exec
2010 Agent For Microsoft
Active Directory
2 数据备份
其他
产品类别 产品名词 产品数量 产品描述
Gateway
梭子鱼邮件防火墙
Model 300
1 网关硬件设备
产品简介
Windows Server 2008 简体中文标准版
Windows Server 2008 是微软最新一个服务器操作系统的名称，它继承
Windows Server 2008 。 Windows Server 2008 在 进 行 开 发 及 测 试 时 的 代 号 为
"Windows Server Longhorn"。
Windows Server 2008 是一套相等于 Windows Vista(代号为 Longhorn)的服务
器系统，两者很可能将会拥有很多相同功能；Vista 及 Server2008 与 XP 及
Server2008 间存在相似的关系。（XP 和 Server 2008 的代号分别为 Whistler 及
Whistler Server）
Microsoft Windows Server 2008 代表了下一代 Windows Server。使用 Windows
Server 2008，IT 专业人员对其服务器和网络基础结构的控制能力更强，从而可重
点关注关键业务需求。Windows Server 2008 通过加强操作系统和保护网络环境
提高了安全性。通过加快 IT 系统的部署与维护、使服务器和应用程序的合并与
虚拟化更加简单、提供直观管理工具，Windows Server2008 还为 IT 专业人员提
供了灵活性。Windows Server 2008 为任何组织的服务器和网络基础结构奠定了
最好的基础。
Microsoft Windows Server2008 用于在虚拟化工作负载、支持应用程序和保
护网络方面向组织提供最高效的平台。它为开发和可靠地承载 Web 应用程序和
服务提供了一个安全、易于管理的平台。从工作组到数据中心，Windows
Server2008 都提供了令人兴奋且很有价值的新功能，对基本操作系统做出了重大
改进。
更强的控制能力
使用 Windows Server 2008，IT 专业人员能够更好地控制服务器和网络基础
结构，从而可以将精力集中在处理关键业务需求上。增强的脚本编写功能和任务
自动化功能（例如，WindowsPowerShell）可帮助 IT 专业人员自动执行常见 IT
任务。通过服务器管理器进行的基于角色的安装和管理简化了在企业中管理与保
护多个服务器角色的任务。服务器的配置和系统信息是从新的服务器管理器控制
台这一集中位置来管理的。IT 人员可以仅安装需要的角色和功能，向导会自动
完成许多费时的系统部署任务。增强的系统管理工具（例如，性能和可靠性监视
器）提供有关系统的信息，在潜在问题发生之前向 IT 人员发出警告。
增强的保护
WindowsServer2008 提供了一系列新的和改进的安全技术，这些技术增强了
对操作系统的保护，为企业
的运营和发展奠定了坚实的基础。WindowsServer2008 提供了减小内核攻击
面的安全创新（例如 PatchGuard），因而使服务器环境更安全、更稳定。通过保
护关键服务器服务使之免受文件系统、注册表或网络中异常活动的影响，
Windows 服务强化有助于提高系统的安全性。借助网络访问保护(NAP)、只读域
控制器(RODC)、公钥基础结构(PKI)增强功能、Windows 服务强化、新的双向
Windows 防火墙和新一代加密支持，WindowsServer2008 操作系统中的安全性也
得到了增强。
Network Access Protection (NAP)：这是一个新的框架，允许 IT 管理员为网
络定义健康要求，并限制不符合这些要求的计算机与网络的通信。NAP 强制执
行管理员定义的、用于描述特定组织健康要求的策略。例如，健康要求可以定义
为安装操作系统的所有更新，或者安装或更新反病毒或反间谍软件。以这种方式，
网络管理员可以定义连接到网络时计算机应具备的基准保护级别。
Microsoft BitLocker 在多个驱动器上进行完整卷加密，为您的数据提供额外
的安全保护，甚至当系统处于未经授权操作或运行不同的操作系统时间、数据和
控制时也能提供安全保护。
Read-Only Domain Controller (RODC)：这是 Windows Server 2008 操作系统
中的一种新型域控制器配置，使组织能够在域控制器安全性无法保证的位置轻松
部署域控制器。RODC 维护给定域中 Active Directory 目录服务数据库的只读副
本。在此版本之前，当用户必须使用域控制器进行身份验证，但其所在的分支办
公室无法为域控制器提供足够物理安全性时，必须通过广域网 (WAN) 进行身份
验证。在很多情况下，这不是一个有效的解决方案。通过将只读 Active Directory
数据库副本放置在更接近分支办公室用户的地方，这些用户可以更快地登录，并
能更有效地访问网络上的身份验证资源，即使身处没有足够物理安全性来部署传
统域控制器的环境。
Failover Clustering：这些改进旨在更轻松地配置服务器群集，同时对数据和
应用程序提供保护并保证其可用性。通过在故障转移群集中使用新的验证工具，
您可以测试系统、存储和网络配置是否适用于群集。凭借 Windows Server 2008
中的故障转移群集，管理员可以更轻松地执行安装和迁移任务，以及管理和操作
任务。群集基础结构的改进可帮助管理员最大限度地提高提供给用户的服务的可
用性，可获得更好的存储和网络性能，并能提高安全性。
更大的灵活性
WindowsServer2008 的设计允许管理员修改其基础结构来适应不断变化的业
务需求，同时保持了此操作的灵活性。它允许用户从远程位置（如远程应用程序
和终端服务网关）执行程序，这一技术为移动工作人员增强了灵活性。Windows
Server 2008 使用 Windows 部署服务(WDS)加速对 IT 系统的部署和维护，使用
WindowsServer 虚拟化(WSv)帮助合并服务器。对于需要在分支机构中使用域控
制器的组织，Windows Server 2008提供了一个新配置选项：只读域控制器(RODC)，
它可以防止在域控制器出现安全问题时暴露用户帐户。
自修复 NTFS 文件系统
从 DOS 时代开始，文件系统出错就意味着相应的卷必须下线修复，而在
WS2K8 中，一个新的系统服务会
在后台默默工作，检测文件系统错误，并且可以在无需关闭服务器的状态下
自动将其修复。
有了这一新服务，在文件系统发生错误的时候，服务器只会暂时停止无法访
问的部分数据，整体运行基本不受影响，所以 CHKDSK 基本就可以退休了。
快速关机服务
Windows 的一大历史问题就是关机过程缓慢。在 Windows XP 里，一旦关机
开始，系统就会开始一个 20 秒钟的计时，之后提醒用户是否需要手动关闭程序，
而在 Windows Server 里，这一问题的影响会更加明显。
到了 Windows Server 2008，20 秒钟的倒计时被一种新服务取代，可以在应
用程序需要被关闭的时候随时、一直发出信号。开发人员开始怀疑这种新方法会
不会过多地剥夺应用程序的权利，但现在他们已经接受了它，认为这是值得的。
Windows 硬件错误架构(WHEA)
最终，微软决定将错误规范化，确切地说是应用程序向系统汇报发现错误的
协议要实现标准化了。
目前错误报告的一大问题就是设备报错的方式多种多样，各种硬件系统之间
没有一种标准，因此编写应用程序的时候很难集合所有的错误资源，并统一呈现，
这就意味着要编写许多特定代码，针对各种特定情况。
而在 Windows Server 2008 里，所有的硬件相关错误都使用同样的界面汇报
给系统，第三方软件就能轻松管理、消除错误，管理工具的发展也会更轻松。
Microsoft Exchange Server 2010
1. 为法规遵循和邮件保留所提供的邮件记录功能
安全，法规遵循和邮件保留是邮件系统规则管理的核心。邮件记录是法规遵
循的一个重要组成部分。某些管理规则需要具备对邮件组用户所收到的邮件进行
审计的功能，该功能对于组织的内部策略或审计非常有用。Exchange Server 2010
记录的邮件可以保存在 Exchange 数据库中，SharePoint 站点或者可以发送到任何
由第三方邮件记录公司使用的外部 SMTP 地址。在 Exchange Server 2010 中，可
以通过设定记录范围来决定记录哪些邮件。设定的范围可以是单个邮箱、一个邮
件分发组，一个数据库或者整个组织。语音邮件信息和未接来电提醒可以排除在
记录之外。而且一份邮件记录的详细报告包括了诸如收件栏，发件栏，抄送栏，
密送栏的信息和邮件组信息，以及其它元数据。
2. 最佳的可用性
提高 Exchange 邮箱服务器可用性的一个方法（不再是唯一方法了）是使用
Exchange 群集技术。使用两个或多个节点组成一个 Windows 群集，由 Exchange
提供冗余服务器，这样如果一个节点或一个节点上的服务出现故障，其它节点可
以进行接管并继续提供 Exchange 服务。Exchange 群集技术中 Exchange 服务是冗
余的，但 Exchange 邮箱数据库却不是。因此，Exchange 群集技术是通过对
Exchange 服务增加冗余来提高可用性；到目前为止，数据库的冗余只能使用第
三方的硬件或软件解决方案。Exchange Server 2010 提供了新的群集选项，它允
许服务和数据库在出现故障时都转移到某个被动节点，因而同时提供了对服务和
数据库的备份。Exchange Server 2010 使用了相同的群集技术在多个节点间复制
数据库，它也允许一台单独的服务器在本地复制其数据库，提供了本地信息存储
的最新副本，如果主数据库宕掉，可以用该副本进行安装。
3. 内置多引擎的防病毒系统
对于用户自行管理和维护的病毒防护，反病毒软件提供商和客户可以从
Exchange Server 2010 提供的新的传输代理 API 中获益。通过该 API，软
件提供商可以编写反病毒代理来与 Exchange 内建的传输代理直接交互。
因为信息是通过边缘传输服务器或中心传输服务器进入组织的，传输服
务器可以调用反病毒代理来检查信息并过滤那些包含病毒的信息。
Exchange Server 2010 还提供了一个全面的反病毒解决方案。Exchange
Server 的 Forefront Security 为 Exchange 边缘传输角色、中心传输角色和
邮箱角色提供了全面的病毒保护功能。Exchange Server 的 Forefront
Security 使用带有内容过滤功能的多重扫描引擎，提供了层次化的保护来
抵御带有病毒的信息。
4. 内置豪华垃圾邮件过滤组件
Exchange Server 2010 扩展了早先版本 Exchange 的反垃圾邮件功能提供了多
层保护措施，以多种不同的方式来阻止垃圾邮件。
安全发件人集合：为了减少将合法邮件误判为垃圾邮件的概率，Outlook
用户创建的安全发件人列表会传送到中心传输服务器，然后再传送到边
缘传输服务器（在 DMZ 区中），来自这些用户的消息将会被直接路由进
入组织。
Outlook 电子邮戳：Outlook 2007 可以为每一封邮件创建一个问题和答案，
这称为邮戳，它被附加到每一封要发出的邮件中。邮戳的创建和解密需
要花费一定的 CPU 周期。垃圾邮件发送者通常没有时间或计算资源来把
每一个复杂的问题和答案附加到数千封要发出的邮件中，所以他们不会
使用问题和答案。因此，当 Exchange 接收到一封带有邮戳的邮件时，
Exchange 会通过验证它的问题和答案来判断邮件是否是垃圾邮件。邮戳
越复杂，邮件是垃圾邮件的可能性就越小。
垃圾邮件隔离：除了 Outlook 和 OWA 客户端带的 Outlook 垃圾邮件隔离
功能外，现在管理员可以复查并隔离可疑的垃圾邮件。然后从隔离的邮
件中删除或释放用户的邮件。
发件人的信誉：发件人的信誉是动态分析并更新的。当边缘服务器侦测
到来自某一域的相应趋势时，它会采取具体的行动来处理，包括隔离信
息或拒绝信息进入企业内网。
边缘服务器上的内容过滤：当垃圾邮件发送者改变策略并使用新的方法
来避免被检测时，这时垃圾邮件内容过滤器会自动更新来保持对垃圾邮
件的控制，因此它可以保护用户的组织，而不会增加用户的工作量。
Microsoft Forefront for Exchange：除了提供下述的全面的病毒保护功能，
该服务每天都会会对病毒代码，IP 信誉服务和反垃圾过滤器进行数次更
新。
5. 多种访问方式，一致的使用体验（可选择开放）
在 Exchange Server 2010 强大的移动特性的支持下，用户可以通过 Outlook
客户端、Web 浏览器、手机、普通电话、POP3 或者 IMAP4 客户端来访问和管
理自己的邮件、日程安排、任务和联系人。所有这些客户端，无论从用户界面、
操作方式还是从提供的功能来看都和 Outlook 非常接近，这不仅为用户提供了良
好的使用体验，同时也减轻了企业的系统维护和管理人员的培训工作量。
Outlook：使用 Outlook 可以获得最为强大和丰富的功能，包括本地缓存
模式、本地的全球地址簿、共享日历、联系人等。无论在线还是脱机都
可以正常工作。当用户在外出差时，还可使用 Outlook 无处不在功能在
局域网外安全地连接 Exchange 服务器。
Web 浏览器（Outlook Web Access）：通过 Web 浏览器（如 IE）就可以
直接访问 Exchange，Outlook Web Access 提供了 Outlook 客户端的 98％
的功能，如收件人地址的自动完成功能、日程安排通过鼠标拖拽就可更
改日程时间等。
智能掌上设备：
普通电话：通过 Exchange Server 2010 新增的强大的统一消息功能，用户
既可以在邮箱中接收到自己的语音留言和传真，还可以通过普通电话来
访问自己的邮箱，让 Exchange Server 2010 为用户读出你的新邮件、语音
留言和日程安排，并可以用声音控制 Exchange Server 2010 发语音留言、
变更日程安排和拨打联系人电话。
POP3 和 IMAP4 客户端：Exchange Server 2010 支持传统的 POP3 和 IMAP4
客户端访问方式。
6. 保证复杂网络环境下用户的使用体验
优化的握手协议和数据压缩能够减小网络数据流量，给窄带环境下的用户更
流畅的使用体验；Outlook 的 Exchange 缓存模式能够自动在离线/在线状态间切
换，减少对用户工作的打断；Exchange Server 2010 独有的 Outlook 无处不在功能
使得企业不必部署 VPN/RAS 也能让外网（例如在家或出差）的用户能够使用
Outlook 安全地连接到位于企业内网的 Exchange 邮件服务器，而开放的端口仅仅
是 80/443（HTTP/HTTPS）。
7. 强大的日程管理功能
用户可以通过日程管理功能简化并自动化对人员与资源的日程安排。
日程助手：日程助手根据与会人员和资源的日程安排分析他们的忙闲状
态，以颜色编码的用户界面显示全自动的为会议发起人建议举行会议的
日期和时间。
日历助手运行在 Exchange 2010 服务器上，不需要任何最终用户的交互，
它将收件人日历中的会议请求标记为临时请求，一直到用户提交该请求
为止。同时，日历助手会删除同一个会议请求的历史版本，确保了用户
邮箱中的日历请求是最新版本的。
资源预定助手 也运行在 Exchange 2010 服务器上，不需要任何最终用户
的交换，它管理着资源的可用性并允许使用资源策略，如可用的小时数
和日程权限。
8. Web 方式查看文档
包含在 Outlook Web App 2010 中，它能把多种文档格式——包括 Microsoft
Word，Microsoft Excel，Microsoft PowerPoint 以及 PDF 文件——从它们原来的
格式转换为 HTML 格式，这样即使客户端没有安装创建文档的应用软件，也可
以在客户端浏览器中查看它们。这一功能使用户可以在几乎任何一台机器上获得
高效的生产力并保证所查看文档的安全性，甚至是在公共计算机上，因为 Outlook
Web Access 会在用户退出或会话超时时删除 HTML 文档。
9. 在垃圾邮件和病毒到达用户的组织之前进行防护
微软还可以通过微软 Exchange Hosted Filtering 服务为用户的组织提供反
垃圾和反电子邮件病毒保护。该服务是微软 Exchange Hosted Services 服
务套件的一部分，通过 Exchange Hosted Filtering 服务，用户可以获得与
使用了带有 Forefront Security 的边缘服务器同样的效益，但是对这些服
务的管理是由微软来完成的。在信息到达用户的组织之前会对它们进行
垃圾邮件和病毒的清理。Exchange Hosted Filtering 使用多重过滤为用户
的企业提供主动保护，使企业远离垃圾邮件、病毒、仿冒和违规的电子
邮件的影响。
10. 消息传输和认证的安全性
Exchange Server 2010 使用 SMTP 在组织内部的 Exchange 服务器之间传
输信息。所有在Exchange Server 2010组织内传输的信息缺省就是加密的。
服务器与服务器间的传输使用传输层安全协议（TLS），Outlook 的连接
使用加密的远程过程调用（RPC），客户端访问（Outlook Web App，微
软® Exchange ActiveSync®和 Web 服务）使用 SSL 协议。这种方法阻止
了欺骗并保护了信息的机密性。
Kerberos 认证服务用来进行认证，简化的安全传输层协议用来进行加密。
TLS 在 Exchange Server 2010 中进行了简化，因为它使用自身指定的 SSL
认证。因为每一台 Exchange 服务器都自动配置了 SSL 证书，内部的
Exchange 服务器不仅能用 SSL 对信息进行加密，而且可以加密发送给外
部 SMTP 服务器的消息进行加密，只要接收邮件的外部 SMTP 服务器也
被配置为可以使用 TLS 收发信息即可。
11. 简化 Exchange 的管理
Exchange Server 2010 的一个主要目标是使 Exchange 管理员的工作变得更简
单和更高效。日复一日的维护，监控和故障排除工作在小型或大型组织中可能会
成为一种负担。Exchange Server 2010 提供了新的工具和特性，旨在简化 Exchange
的管理，以满足服务等级协议（Service Level Agreements）的要求，并通过预先
维护和监控避免问题的产生。
改进管理方式的工具：Exchange Server 2010 引入了一个基于模块服务器
角色的架构，以解决企业对于改变信息的需求。同样，Exchange Server
2010 包含了一个新的图形化管理工具。Exchange 管理控制台是一个基
于 Microsoft 管理控制台 (MMC) 的工具，它反映了架构的变化，可以
对服务器角色进行独立管理，可以实现新的管理模型，而无需管理组或
路由组。
强大的脚本工具——Exchange 管理外壳程序：Exchange 管理控制台使用
了一个功能强大的脚本技术，叫作 Exchange 管理外壳程序。Exchange
管理外壳程序基于 Windows PowerShellTM 技术，它是一个命令行工具，
用户可以通过它操作功能强大的命令集，这些命令集由动词-名词对组成。
通过 PowerShell，用户可以用最少的代码编写复杂的任务脚本或者在外
壳程序提示符下交互式地执行任务。凭借外壳程序，用户可以通过执行
命令来访问并影响许多不同的资源，包括邮箱数据库，注册表以及 Active
Directory。
使用自动发现功能简化 Outlook 的配置：在过去，Outlook 的 profile 设置比
较困难，因为大多数用户都不知道用于解析他们 profile 的 Exchange 服务器的名
字。有了新的自动发现功能，用户只需要记住他们的用户名，密码和电子邮件地
址就可以配置 Outlook profile。
12. 手机直推邮件（可选功能）
无须额外服务器和服务，Exchange Server 2010 默认支持手机（如智能手机、
Pocket PC 等）实时获取和更新用户邮件、日程安排和联系人的信息。服务器一
有新邮件抵达，立刻推送至手机上。结合移动办公解决方案，管理人员可以摆脱
计算机的束缚，直接在手机上批复公文。
13. 统一消息（可选功能）
Exchange Server 2010 不再只是存放邮件、日程信息和联系人，组织的语音
留言和传真也都可以被 Exchange Server 2010 统一管理起来。用户只需要通过访
问收件箱，就可以访问到邮件、日程安排、联系人、语音留言和传真。同时，
Exchange Server 2010 还是一个会听话并且能说话的邮件系统。用户可以通过普
通电话来访问邮件系统，并语音控制它读取邮件或者日程安排。Exchange Server
2010 会依据邮件的编码选择合适的语言将邮件内容由文字转换成语音的方式，
通过电话读给用户听。
梭子鱼邮件防火墙
强大的、企业级解决方案
单台梭子鱼垃圾邮件防火墙能支持 25000 个活跃的电子邮件帐户，每天处理两千
五百万封电子邮件。梭子鱼垃圾邮件防火墙是强大的企业级解决方案。产品支持
多台堆叠，达到更高性能及高可靠性。
梭子鱼垃圾邮件防火墙采用了强大的十二层防护的技术:
拒绝服务攻击防护
IP 阻断清单
速率控制
DNS MX 记录查找
两层病毒过滤
图片识别(OCR)
关键字阻断
垃圾邮件指纹识别
邮件意图分析
发件人识别及收件人认证
贝叶斯数据库分析
基于规则评分系统
梭子鱼垃圾邮件防火墙的十二层过滤架构优化了每封电子邮件的处理，使产
品处理能力达到每天百万封以上邮件。相对于软件来说，梭子鱼垃圾邮件防火墙
能够极大地减少病毒和垃圾邮件对邮件服务器带来的负荷。
除此之外，梭子鱼垃圾邮件防火墙还包括附件扫描，病毒过滤，比率控制等
技术，保证接收邮件都是合法无毒的。
易于使用
因为不需要安装软件也不需要对即有的邮件系统进行任何修改，所以梭子鱼
垃圾邮件防火墙安装极其简单，通常只需要 5 分钟时间。一旦安装完成，系统管
理员采用一个易于学习的 WEB 管理界面进行监控和维护。产品维护也是及其简
便的，梭子鱼垃圾邮件防火墙通过高级的技术运行中心自动动态更新产品。在不
增加成本的情况下最大限度的防护垃圾邮件和病毒。在该中心，工程师日以继夜
的监控互联网，查看最新的病毒及垃圾邮件信息。在不增加成本的情况下最大限
度的防护垃圾邮件和病毒。
可承受
梭子鱼垃圾邮件防火墙系列适用于各种类型的企业机构，规模从小到大，在经济
上都能够承受。产品不以用户数量收费，使他成为目前成本效益最高的企业级垃
圾邮件及病毒防护解决方案。
产品型号
Symantec Backup Exec 2010 For Windows
Symantec Backup Exec 2010 是旨在满足企业发展需求的可靠备份和恢复解决方
案。通过集重复数据删除和归档功能于一体的技术，它可以在帮您轻松保护更多
数据的同时，降低存储成本和管理成本。此外，它还可以减少业务中断情况，确
保虚拟或物理系统上的重要信息始终受到保护，并可在几秒钟内进行恢复。
主要功能为物理和虚拟服务器环境（从台式机到服务器）提供市场领先的数据保
护功能 适应性强的集成式重复数据删除功能（采用 NetBackup PureDisk 技术）
统一的归档功能（由 Enterprise Vault 提供支持） 率先上市的虚拟应用程序全面
恢复功能 正在申请专利的全面恢复技术 (GRT) 可以在几秒之内恢复关键
Microsoft 应用程序数据 集中的 3 层设置、报告和补丁程序管理 通过远程代理
和选件提供可伸缩的异构支持。
为 Exchange、文件服务器、SQL Server 服务器和台式机数据提供持续的数据保
护 采用市场领先的技术实现创新的多产品集成 主要优势保护更多数据的同时，
降低存储成本和管理成本 借助集成的重复数据删除技术，最大限度提高物理和
虚拟环境的网络利用率 借助有效的归档和备份功能，通过单一控制台轻松实现
存储和管理自动化，从而节省成本 通过集成式的 VMware 和 Hyper-V 防护功
能消除虚拟环境中 Microsoft Exchange、Active Directory 和 SQL 的冗余备份
通过一次性备份恢复单个 Exchange 邮件、SharePoint 站点内容或文档以及
Active Directory 用户首选项 通过单一控制台轻松管理本地或分布式备份环境
通过持续备份保护功能，消除备份时间，同时确保轻松满足恢复点目标. 新功能
集成的重复数据删除功能（使用 Veritas NetBackup PureDisk 技术）Backup Exec
的新 Deduplication Option 提供了以下集成的可定制重复数据删除功能，可以优
化任何备份战略：客户端重复数据删除功能（删除源或远程服务器上的重复数
据），介质服务器重复数据删除功能（删除介质服务器上的重复数据）,硬件设备
重复数据删除功能（与 OpenStorage 重复数据删除硬件设备相集成）或已经过
重复数据删除的备份集副本（对远程办公室到总部的重复数据进行删除）。节省
时间和存储成本 最大限度缩短备份时间 全面简化了 Backup Exec 操作 可轻
松适应您的环境 统一的归档功能（由 Symantec Enterprise Vault 提供支持）
Backup Exec 新的 Archive Options 专用于从备份副本中归档数据，而不是从数
据源中单独提取数据，为文件和 Exchange 环境提供统一的备份和归档功能。该
Archive Option 可以使管理员减少 Exchange 或文件服务器源中的冗余数据，从
而释放存储空间。总的说来，管理员可以轻松编制数据索引，设置保留期限，从
而有效管理数据生命周期。轻松实现自动化，节省成本 整合数据 减少备份管理
资源 缩短备份与恢复时间 优化 Exchange 和文件服务器性能 保持存储可预测
增强的 VMware vSphere 支持集成了针对联机和脱机 VMware ESX
Update 2 和 vSphere 的备份与重复数据删除支持，此外还为 Microsoft
Exchange、SQL 和 Active Directory 提供了率先上市的新型虚拟应用程序防护功
能。
现在通过一次性备份，管理员可以实现虚拟机应用程序日志的自动截断。通过该
一次性备份，管理员还可以轻松恢复虚拟机，或全面恢复应用程序数据，如
Exchange 邮箱、消息、日历项或单个 Active Directory 用户帐户或对象率先上
市的应用程序全面恢复功能 快速的 Exchange 和 Active Directory 备份与恢复
消除冗余备份，并在几分钟内恢复数据 保护最新的 VMware vSphere 环境 删除
虚拟服务器备份中的重复数据 减少和整合存储 增强的 Microsoft Hyper-V 2008
R2 支持集成了针对联机和脱机 Microsoft Hyper-V 2008 和 Hyper-V 2008 R2
环境的备份与重复数据删除支持，此外还为 Microsoft Exchange、SQL 和 Active
Directory 提供了率先上市的新型虚拟应用程序防护功能。现在通过一次性备份，
管理员可以实现虚拟机应用程序日志的自动截断。通过该一次性备份，管理员还
可以轻松恢复虚拟机，或全面恢复应用程序数据，如 Exchange 邮箱、消息、日
历项或单个 Active Directory 用户帐户或对象。
率先上市的应用程序全面恢复功能 快速的 Exchange 和 Active Directory 备份
与恢复 消除冗余备份，并在几分钟内恢复数据 保护最新的 Hyper-V 和
Hyper-V R2 环境，包括 LiveMigration 删除访客计算机备份中的重复数据 减少
和整合存储 提供 Windows 7、Exchange 2010 和 Windows Server 2008 R2 支持
可为最新的 Windows 台式机、电子邮件和服务器环境提供全面的保护。为
Windows 7 和 Server 2008 R2（包括 VSS Express Writer）提供最新的备份支持，
另外还提供了对 .VHD 文件的间接恢复支持，从而在保护传统物理磁盘数据的
同时可以为虚拟磁盘数据提供简单的保护。集成了对 Exchange 2010 中新的数
据可用性组 (DAG) 的 Exchange 2010 支持，而且提供了增强的全面恢复支持，
可以快速恢复单封电子邮件和单个邮箱，而无需执行额外的邮箱级备份。轻松备
份最新的 Windows 台式机、服务器和电子邮件应用程序环境 借助无与伦比的
备份技术轻松满足您的 Exchange 恢复点目标要求 降低 Exchange 2010 的备
份要求 通过单一控制台管理台式机和服务器备份 用于 Enterprise Vault 的增强
代理可以自动备份和恢复 Enterprise Vault 8 SP2（以及更高版本）基础架构，而
且配置单个作业即可保护整个 Enterprise Vault 基础架构并轻松恢复 Enterprise
Vault 站点或单个索引。
用于 Enterprise Vault 的代理还可以与 Enterprise Vault Migrator 相集成，从而可
将归档的数据迁移到 Backup Exec 磁带上，这样便可通过 Enterprise Vault 管理
界面轻松对这些数据加以管理和控制。为某些或所有 Enterprise Vault 基础框架
提供了简单而又灵活的备份保护 从整个安装到单个索引文件,恢复 Enterprise
Vault 基础架构的方方面面 再次简化了将 Enterprise Vault 数据迁移到磁带或
B2D 文件夹以实现长期保留的迁移过程 自动恢复已迁移到磁带的数据 提供
Lotus Domino 支持支持最新的 Lotus Domino 电子邮件环境，其中包括对
以下对象的支持： Domino Attachment and Object Store (DAOS) 可以从数据库级
备份恢复单个 Domino NLO（DAOS 附件） 可在 64 位 Windows 环境中安
装 32 位 Domino，以便实现更为灵活的 Domino 环境 此外，还改进了恢复浏
览视图，包括新增 Lotus Domino 的具体节点，这就简化了备份选择过程。为
Lotus Domino 的最新发售版本提供保护 备份和恢复 DAOS 存储及相关的
NLO 文件 支持 32 位版本和 64 位版本的 Lotus Domino 增强的虚拟磁带库
(VTL) 支持和授权许可新的 VTL 增强功能可以将每个 VTL 存储环境集成为
一个独一无二的设备，并仅显示对 VTL 有效的磁带功能（例如无保留）。还可
以对 VTL 介质进行修改，以删除已达到其到期日期的数据，从而回收存储空间，
用于存储更关键的数据。此外，Backup Exec 还引入了新的 VTL Unlimited Drive
Option，从而可以为每个 VTL 设备提供无限个 Library Expansion Option。
方案介绍
建议方案一
如图，本方案计划采用 1 台 Exchange 邮件服务器+2 台 AD 服务器，方案设计 AD
服务器两台并行，互备结构信息，当其中 1 台 AD 服务器发生故障，另外一台会
继续为企业提供账户验证、组策略等服务。
因考虑单台 Exchange 服务器运行，Exchange 中的客户端访问服务器角色、边缘
传输服务器角色、中心传输服务器角色、邮箱服务器角色和统一消息服务器角色
在同一台服务器上，而 Exchange 服务器需要对外公开发布，考虑到企业其他内
部服务器的安全性，我们建议将 Exchange 服务器安放在企业的 DMZ 区域中。
同时，多种角色存在于同一台服务器，反垃圾邮件系统不可以在该服务器上运行，
原因是反垃圾邮件服务器（边缘传输服务器角色）会占用大量的系统物理资源，
影响 Exchange 主服务（邮件服务）正常提供服务，因此，我们建议在邮件服务
器和企业防火墙之间加设反垃圾邮件网关（也就是梭子鱼邮件防火墙系统）。
建议方案二
如图，本方案建议采用 2 台服务器提供 Exchange 邮件服务，也就是将 Exchange
边缘传输服务器角色分出，单列一台服务器，提供邮件收发过程中的过滤功能，
也就是替代方案一中的梭子鱼邮件防火墙。
Exchange 服务器角色简介
1.客户端访问服务器角色：
客户端访问服务器角色支持 Microsoft Outlook Web Access 和 Microsoft
Exchange ActiveSync 客户端应用程序以及邮局协议版本 3 (POP3) 和 Internet
邮件访问协议版本 4rev1 (IMAP4) 协议。客户端访问服务器角色还支持一些服
务，例如 Autodiscover 服务和 Web 服务。
客户端访问服务器角色支持各种不同客户端与 Exchange 2007 服务器连接
。Microsoft Outlook Express 和 Eudora 等软件客户端使用 POP3 或 IMAP4 连
接与 Exchange 服务器进行通信。移动设备等硬件客户端使用 ActiveSync、POP3
或 IMAP4 与 Exchange 服务器进行通信。如果用户使用任何非 Microsoft
Outlook 客户端访问其收件箱，则必须在 Exchange 组织中安装客户端访问服务
器角色。
2.边缘传输服务器角色：
注意：在 Microsoft Exchange Server 2007 的预发布版本中，边缘传输服务
器角色称为网关服务器角色。
在 Exchange 2007 中，边缘传输服务器角色在组织的外围网络中作为独立
的服务器进行部署。边缘传输服务器旨在最小化攻击面，并可处理所有面向
Internet 的邮件流，这样可以为 Exchange 组织提供简单邮件传输协议 (SMTP)
中继和智能主机服务。运行在边缘传输服务器上的系列代理提供其他的邮件保护
和安全层，当邮件传输组件处理邮件时，这一系列代理将作用于这些邮件。这些
代理支持的功能可提供病毒和垃圾邮件防范措施，以及应用传输规则来控制邮件
流。
安装了边缘传输服务器角色的计算机不能访问 Active Directory 目录服务。
所有配置和收件人信息都存储在 Active Directory 应用程序模式 (ADAM) 目录
服务中。若要执行收件人查找任务，边缘传输服务器需要驻留在 Active Directory
中的数据。EdgeSync 是一组进程，运行于安装了中心传输服务器角色的计算机
上，可建立将收件人和配置信息从 Active Directory 复制到边缘传输服务器上的
ADAM 实例的单向复制。Microsoft Exchange EdgeSync 服务仅复制边缘传输服
务器执行反垃圾邮件配置任务时所需的信息，以及启用端到端邮件流所需的有关
连接器配置的信息。Microsoft Exchange EdgeSync 服务执行安排的更新，以使
ADAM 中的信息保持最新。
可以在外围网络中安装多个边缘传输服务器。通过部署多个边缘传输服务器
，可以在服务器失败时提供冗余。可以使用域名系统 (DNS)“轮循机制”（这是一
种 DNS 服务器用来共享和分散网络资源负载的简单机制），在边缘传输服务器
之间实现组织的 SMTP 通信负载平衡。可以使用克隆的配置脚本实现多个边缘
传输服务器之间的配置一致性。此外，还提供了一个边缘传输服务器模板，与
Microsoft Windows Server 2008 Service Pack 1 安全配置向导配合使用，以帮助在
基于角色的相应安全级别配置 Windows Server 2008。
下列各部分介绍了可以使用边缘传输服务器角色管理的邮件处理方案。
Internet 邮件流
运行边缘传输服务器角色的服务器接受通过 Internet 进入 Exchange 2007
组织的邮件。边缘传输服务器对邮件进行处理之后，会将它们路由到组织内部的
中心传输服务器。
中心传输服务器对邮件进行处理之后，会将从组织发送到 Internet 的所有邮
件路由到边缘传输服务器。可以将边缘传输服务器配置为使用 DNS 解析外部
SMTP 域的邮件交换器 (MX) 资源记录，也可以将边缘传输服务器配置为将邮
件转发到智能主机以进行 DNS 解析。
反垃圾邮件和防病毒保护
在 Exchange 2007 中，反垃圾邮件和防病毒功能提供的服务可以阻止网络
外围的病毒和垃圾邮件或商业垃圾邮件。大多数病毒都使用类似垃圾邮件的策略
来尝试访问组织，并诱使用户打开电子邮件。如果可以筛选出大多数垃圾邮件，
就更有可能在病毒进入组织之前将其捕获。
垃圾邮件制造者使用多种技术向组织发送垃圾邮件。运行边缘传输服务器角
色的服务器通过提供一组协同工作以提供不同垃圾邮件筛选层和保护层的代理，
以帮助防止组织中的用户接收垃圾邮件。在连接器上建立缓送技术
间隔会使收
集电子邮件尝试无效。
边缘传输规则
边缘传输规则用于控制发送到 Internet 或从其接收的邮件流。边缘传输规则
通过将操作应用于满足指定条件的邮件帮助保护企业网络资源和数据。要在每一
服务上都配置这些规则。边缘传输规则条件以数据为基础，例如，邮件主题、正
文、标题或发件人地址中的特定字词或文本模式，垃圾邮件可信度 (SCL) 或附
件类型。当指定条件为真时，这些操作可确定处理邮件的方式。可能的操作包括
隔离邮件、丢弃或拒绝邮件、附加其他收件人或记录事件。有例外情况（可选）
可以不对特定邮件执行操作。
地址重写
使用地址重写，可以为来自您的 Exchange 2007 组织的邮件的外部收件人
提供一致的外观。针对边缘传输服务器角色配置地址重写代理，可以修改进站和
出站邮件的 SMTP 地址。当具有多个域的新合并组织希望为外部收件人提供一
致的电子邮件地址时，地址重写尤为有用。
3.中心传输服务器角色：
在 Microsoft Exchange Server 2007 中，中心传输服务器角色是必需的。
注意：在 Exchange 2007 的预发布版本中，中心传输服务器角色称为桥头
服务器角色。
中心传输服务器角色部署在 Active Directory 目录服务林内部，用于处理组
织内的所有邮件流、应用传输规则、应用日记策略以及向收件人的邮箱传递邮件
。发送到 Internet 的邮件由中心传输服务器中继到部署在外围网络中的边缘传输
服务器角色。从 Internet 接收的邮件在中继到中心传输服务器之前，由边缘传输
服务器进行处理。如果不具有边缘传输服务器，则可以将中心传输服务器配置为
直接中继 Internet 邮件。还可以在中心传输服务器上安装和配置边缘传输服务器
代理，以便在组织内部提供反垃圾邮件和防病毒保护。
中心传输服务器角色将其所有配置信息都存储在 Active Directory 中。这些
信息包括传输规则设置、日记规则设置和连接器配置。由于此信息存储在 Active
Directory 中，因此可以一次性配置设置，然后由组织中的每个中心传输服务器
应用这些设置。
可以将中心传输服务器角色安装在具有其他任何非群集内部服务器角色的
相同硬件上，或者安装在中心传输服务器角色专用的服务器上。必须将中心传输
服务器角色部署于每个包含邮箱服务器角色的 Active Directory 站点中。通过在
每个站点中部署多个中心传输服务器，可以在发生服务器失败时提供冗余。在
Active Directory 站点中安装多个中心传输服务器后，将使连接分散。
下面几节描述了可以在中心传输服务器角色上管理的邮件处理方案。
内部邮件流
在将邮件传递到收件人的收件箱或路由到组织外部的用户之前，中心传输服
务器角色将处理在 Exchange 2007 组织内部发送的所有邮件。此行为没有例外
情况；邮件始终通过运行中心传输服务器角色的服务器进行传递。
邮件以三种方式提交到中心传输服务器：通过简单邮件传输协议 (SMTP)
提交、从分拣目录分拣，或者当组织内的用户发送邮件时该邮件由“存储驱动器”
（中心传输服务器的一个软件组件，用于将入站邮件传递到“Exchange 存储”，
即包含公用文件夹和邮箱存储的数据库）从该用户的发件箱中进行分拣。
邮件提交到中心传输服务器时，将由分类程序对其进行处理。“分类程序”是
Exchange 传输的一个组件，用于处理所有入站邮件，并根据目标收件人的信息
确定要对邮件执行的操作。在 Exchange 2007 中，中心传输服务器使用分类程
序展开通讯组列表并确定备选收件人和转发地址。分类程序检索到收件人的完整
信息之后，将使用该信息应用策略、路由邮件和执行内容转换。然后，邮件由存
储驱动器在本地传递到收件人邮箱中，或使用 SMTP 将邮件发送到其他传输服
务器，对其进行远程传递。组织中的用户所发送的邮件将由存储驱动器从发件人
的发件箱中分拣，然后放入运行中心传输服务器角色的服务器上的提交队列中。
邮件策略和遵从性功能
传输代理集合使您能配置当邮件进入和离开邮件流组件时应用的规则和设
置。可以创建为符合不同的规范而设计的邮件策略和规则设置，并可针对组织要
求较容易地更改这些策略和设置。基于传输的邮件策略和遵从性功能包括可对其
配置以实施组织的遵从性方案的基于服务器的规则，以及用于执行邮件保留的日
记代理。
反垃圾邮件和防病毒保护
Exchange 2007 内置保护功能为邮件提供了反垃圾邮件和防病毒保护。尽管
这些内置保护功能设计为在外围网络中的边缘传输服务器角色上使用，但也可以
在中心传输服务器上配置边缘传输代理。默认情况下，在中心传输服务器角色上
不启用这些代理。若要在中心传输服务器上使用反垃圾邮件功能，必须在配置文
件中注册该代理，并通过运行所提供的 Exchange 命令行管理程序脚本来启用要
使用的功能。通过单独的操作安装和启用防病毒代理。
4.邮箱服务器角色：
邮箱服务器角色托管邮箱数据库，其中包含用户邮箱。如果计划托管用户邮
箱、公用文件夹或托管两者，则需要邮箱服务器角色。
在 Exchange Server 2007 中，邮箱服务器角色与 Active Directory 目录服务
集成，优于早期版本的 Exchange 中与邮箱功能集成。集成方面的这种改进使部
署和操作任务更加容易。邮箱服务器角色还通过提供更丰富的日历功能、资源管
理以及脱机通讯簿下载，改善信息工作人员的体验。
5.统一消息服务器角色：
在 Microsoft Exchange Server 2007 中，统一消息服务器角色是可在运行
Microsoft Windows Server 2008 的计算机上安装并配置的多个服务器角色之一。
统一消息对于 Exchange 产品线来说是新概念，它的引入为 Exchange 管理员带
来了可能还不熟悉的新的电话概念。
Exchange Server 2007 统一消息将语音邮件、传真和电子邮件组合到一个收
件箱中，用户可以通过电话和计算机来访问该收件箱。统一消息使组织中的
Exchange Server 2007 与电话网络集成在一起，并将在统一消息中找到的功能引
入 Exchange Server 产品线的核心。
