Edge Server 2010 Redundanz

[bits 10]

Hi zusammen

 

Gemäss Artikel Understanding SMTP Failover and Load Balancing in Transport: Exchange 2010 SP1 Help kann man von LAN zu DMZ wo der Edge Server ist mittels DNS RoundRobin redundanz schaffen.

 

Da steht auch einen MX Record der auf meine LoadBalacing Solution zeigt. WAN -> DMZ zu den Edges...

 

Nun gut, im WAN habe ich nur einen MX Eintrag der auf die Public IP zeigt zusätzlich jedoch noch einen Backup MX Eintrag. Leider hat der Kunde nur eine Public IP. Auf der Firewall mit PortForwarding des Port 25 kann ich nicht mehrere IP's angeben.

 

Wie stelle ich das nun an, dass wenn der eine EdgeServer down ist, der Traffic auf den zweiten geht? WAN -> DMZ zu Edge Server. Mit zwei Public IP's ists ja kein Problem.. Jedoch mit einer.. ?!

 

Grüsse Bits

[NorbertFe 2.045]

Wozu hast du denn einen Backup MX und wo zeigt der genau hin?

 

Bye

Norbert

[RobertWi 81]

Moin,

 

ich sehe in dem Artikel ein einziges Mal "DNS round robin" -> "Inbound Internet Messages Among Your Edge Transport Servers". Bei allen anderen wird *nicht* von DNS round robin gesprochen!

 

Von LAN zu DMZ ist auf der Seite nicht ein einziges Mal beschrieben.

 

Du willst nun also "WAN -> DMZ" Redundanz und hast nur eine IP-Adresse? Dann brauchst Du einen Load Balancer zwischen WAN und DMZ, der eingehende Mails auf die einzelnen ET verteilt. Wie sollte es sonst auch anders gehen?

 

Und die Frage nach dem Backup-MX würde mich auch interessieren, ist vermutlich überflüssig und fehlerträchtig.

[bits 10]

Hi zusammen

 

Also, der Backup MX ist der FallbackServer!

 

Ist doch kein Problem. LAN -> DMZ wo die Edge Server stehen einfach im DNS dies so einrichten?

 

Loadbalancer... Das Stichwort!

 

Grüsse

 

Bits ;)

 

PS: FallbackServer sind nie überflüssig! ;)

[RobertWi 81]

Moin,

 

Also, der Backup MX ist der FallbackServer!

 

Du schreibst, der Kunde hat nur eine IP, wie soll das dann mit einem Backup MX sinnvoll gehen?

 

Ist doch kein Problem. LAN -> DMZ wo die Edge Server stehen einfach im DNS dies so einrichten?

 

Könntest Du Dich mal auf eine Richtung einigen?

 

LAN -> DMZ != WAN -> DMZ.

 

Beides braucht unterschiedliche Techniken.

 

PS: FallbackServer sind nie überflüssig! ;)

 

99% der Backup-MX die ich bisher erlebt habe, waren überflüssig. Entweder falsch verstandene Konzepte oder große Fehlerquelle.

[bits 10]

Hi Robert

 

Also. Falls der Exchange Server länger down ist, habe ich bei Dyndns einen Dienst abonniert, welcher die Mails auffängt, während Exchange down ist und dadurch die Mails dann vom Backup Mail Server aufgefangen werden. Im 15 Minuten Takt wird wieder versucht die Mails zuzustellen. Läuft 1A!!

 

Ziel wäre folgendes. Fährt man einen Edge Server down, so müsste der Traffic nicht beeinflusst werden seitens LAN -> DMZ -> LAN. Also dass weiterhin Mails versendet sowie empfangen werden können.

 

Gruss

[RobertWi 81]

Also. Falls der Exchange Server länger down ist, habe ich bei Dyndns einen Dienst abonniert, welcher die Mails auffängt, während Exchange down ist und dadurch die Mails dann vom Backup Mail Server aufgefangen werden. Im 15 Minuten Takt wird wieder versucht die Mails zuzustellen. Läuft 1A!!

 

Das ist überflüssig und nicht Sinn der Sache.

 

Warteschlangen liegen beim Absender. So ein Puffer ist daher nicht notwendig.

 

Im Gegenteil: Jeder denkt, die Mail ist angekommen -> ist sie aber gar nicht, sie liegt ja im Puffer. Besser wäre es, der Absender wird darüber informiert und kann den Empfänger im Falle eines Ausfalls anders kontaktieren.

 

Technisch kommt hinzu, dass Backup-MX nur dann sauber funktionieren, wenn sie zu 100% identisch zum Hauptserver sind - also Empfänger, Domänen, Anti-Spam, usw. Alles andere führt nur zu Problemen und im schlimmsten Fall sogar zu Blacklisten-Einträgen.

 

Und letzendlich benutzen Spamer bevorzugt solche Backup-MX (da RFC sagt, dass die Prio beachtet werden muss, weiß ein Spammer, dass diese Server weniger zu tun haben und meistens auch falsch konfiguriert sind).

 

Nur weil Du bisher keine Probleme hattest, macht es das ganze nicht besser oder richtiger. Ich kann auf einer leeren Autobahn auch auf den linken drei Streifen fahren, ohne ein echtes Problem zu haben - solange kein Gegenverkehr kommt. ;)

 

 

Ziel wäre folgendes. Fährt man einen Edge Server down, so müsste der Traffic nicht beeinflusst werden seitens LAN -> DMZ -> LAN. Also dass weiterhin Mails versendet sowie empfangen werden können.

 

Hmmm... Du sendest Dir die Mails im Kreis?

 

Ich gehe mal davon aus, Du meinst LAN -> DMZ -> WAN (und zurück).

 

LAN -> DMZ -> WAN

2x HT im LAN

2x ET in der DMZ (jeder mit eigenes Edge-Sync)

 

Das reicht.

 

WAN -> DMZ -> LAN

2x IP

2x MX

2x ET (wie oben)

 

SPoF ist dann aber immer noch die Internetleitung.

 

Bei nur einer IP:

1x IP

1x MX

1x Load Balancer

2x ET

 

Wobei man hierbei überlegen kann, gleich ein richtiges Gateway zu nehmen und sich dann die beiden ET+LB zu sparen.

bearbeitet 21. September 2011 von RobertWi
1x MI = 1x MX

[bits 10]

Hey Robert! :)

 

Lach, im Kreis.. Ne, ich wollte einfach damit sagen, dass einer der zwei Server die SMTP Kommunikation übernimmt. . ;)

 

Richtig LAN -> DMZ -> WAN und zurück! Hab mich wohl falsch ausgedrückt. :) Nicht immer leicht das klar zu "outen" ..

 

Klasse! Danke für die Infos!

 

Das mit der "nur" einer IP ist schon ein tick doof. Wobei ja machbar wie Du das aufzeigst.

 

MI = ?

 

Nicht leicht. Macht wohl eher Sinn, LAN -> DMZ -> WAN einzurichten und das "Retour" sein zu lassen mit nur einer IP.

 

So viel Ausfälle gibts ja auch nicht vom Exchange. Zumindest konnte ich nie einen wirklich Live miterleben bei sauberem Monitoring. ;)

 

Danke Euch beiden nochmals!

 

Dieses Forum ist eine kleine Goldgrube an Experten!

 

Cherrs Bits :)

[NorbertFe 2.045]

MI == MX ;) Wobei du Loadbalancer und ET auch zusammenfassen kannst, dann ists nicht soviel. Dann sollte aber das Monitoring noch besser sein, da das WNLB nicht service aware ist.

Zusätzlich kommt SPoF bei Exchange dann eben normalerweise auch externer CAS ZUgang dazu, der wenn er per Firewall/TMG usw. abgesichert wäre ebenfalls redundant abzudecken ist. ;)

Die separate Internetleitung wurde ja bereits erklärt, und spätestens mit dieser wird es dann wirklich komplex, wenn eben alles ohne "Wechsel von IPs" auf dieser redundanten Leitung funktionieren soll.

 

Bye

Norbert