שלבים מרכזיים בהטמעת Exchange
תכנון זהויות ודומיין
מה עושים:
- מאמתים בעלות על הדומיין ברשומת TXT ומגדירים אותו כיעד של הדואר הארגוני.
- מסדרים זהויות ב-Microsoft Entra ID, מיישרים סיומת UPN לשם הדומיין, ומגדירים קבוצות דינמיות והרשאות לפי תפקיד.
- מפעילים אימות רב שלבי לכל המשתמשים ומדיניות גישה מותנית למנהלים ולמשתמשים במידע רגיש.
- מגדירים חשבון חירום ניהולי עם יוצאי דופן מבוקרים ונוהל שימוש.
בדיקות הצלחה:
- התחברות פורטל וקונסולת הניהול עם אימות רב שלבי.
- משתמשים רואים את הדומיין הנכון בתיבת הדואר ובכתובת המענה.
- הרשאות ניהול ורמות גישה לפי עקרון המינימום הנדרש.
תקלות שכיחות:
- סיומת UPN שאינה תואמת לדומיין מובילה לבלבול ואי התאמות בהרשאות.
- העדר חשבון חירום יוצר סיכון תפעולי במקרה של חסימות גישה.
בחירת מסלול הגירה
מסלולים נפוצים:
- Cutover למספר תיבות קטן עד בינוני כאשר אין צורך בדו-קיום ממושך.
- Staged עבור סביבות ישנות או מעבר בשלבים עם טיפול באצוות משתמשים.
- Hybrid כאשר רוצים דו-קיום מלא, שקיפות לוח שנה, העברה הדרגתית ואינטגרציה הדוקה עם השרת המקומי.
- IMAP כאשר המקור אינו Exchange ורוצים להעביר דואר בלבד ללא לוח שנה ואנשי קשר.
שיקולי בחירה:
- נפח תיבות, גרסת השרת הקיים, צורך בדו-קיום, קצבי רשת וזמני השבתה אפשריים.
- האם נדרשת סנכרון ספרייה לענן באמצעות Entra Connect והאם יש תיקיות ציבוריות שיש לשמר.
בדיקות הצלחה:
- הרצת פיילוט העברה לקבוצת משתמשים מייצגת עם בדיקת דואר, לוח שנה, אנשי קשר וכללי תיבה.
- תכנון גלישות בין גלים והגדרת חלון חיתוך ברור.
תצורת DNS ומסנני דואר
מה מגדירים:
- רשומות MX להפניית דואר ל-Exchange Online Protection.
- SPF עם include של היעד המתאים כדי למנוע התחזות.
- DKIM הפעלה בדייר והוספת רשומות ציבוריות.
- DMARC מתחילים במצב ניטור ולאחר מכן מחמירים להסגר ולדחייה.
- Autodiscover להפניית לקוחות Outlook לענן.
- כללי זרימה ארגוניים, חתימות, והחרגות נדרשות למערכות ליבה.
בדיקות הצלחה:
- בדיקות שליחה וקבלה פנימיות וחיצוניות, כולל מסמכים חתומים ומצורפים.
- Message Trace מציג מעבר דרך Exchange Online Protection.
- ניקוד טוב בכלי בדיקה ל-SPF, DKIM ו-DMARC.
תקלות שכיחות:
- שרתי הדפסה וסורקים שלא הוגדרו לשליחה דרך הענן או מחבר ייעודי.
- ספק צד שלישי ששולח בשם הארגון בלי יישור SPF ו-DMARC.
הקשחת אבטחה לפני ההשקה
מה עושים:
- כיבוי מלא של אימות בסיסי בכל הפרוטוקולים והפעלת אימות מודרני בלבד.
- מדיניות גישה מותנית שמונעת כניסה ממכשירים לא תואמים ומחייבת אימות רב שלבי.
- חסימה ברירת מחדל של העברה אוטומטית החוצה והקשחת כללי אנטי-פישינג ואנטי-תוכנה זדונית.
- הפעלת רישום ואודיט בתיבות, התראות על חריגות, וסקירות תקופתיות.
בדיקות הצלחה:
- ניסיון כניסה באפליקציה ישנה נכשל כמצופה.
- יומני אבטחה מציגים אימות מודרני בלבד.
- מבחני פישינג ובדיקות מודרכות מראים יעילות סבירה של ההגנות.
הגירת תיבות ותכולה
צעדי עבודה:
- יצירת נקודות קצה להגירה ובחירת גודל אצווה בהתאם לרוחב הפס ולחלון הזמן.
- העברת תיבות בגלים, עם סנכרון ראשוני ולאחריו סנכרון דלתא עד לחיתוך.
- טיפול בתיבות משותפות, חדרי ישיבות, תיבות ארכיון ותיקיות ציבוריות.
- וידוא כללים, תצוגות, הרשאות לשליחה בשם ושליחה מטעם, ומענה אוטומטי.
בדיקות הצלחה:
- ספירת פריטים לפני ואחרי ומדגם תיקיות קריטיות.
- לוח שנה ואנשי קשר זמינים ומסונכרנים.
- משתמשים שולחים ומקבלים ללא שגיאות, כולל קבוצות עניין ותיבות משותפות.
טיפים:
- הגדירו מדיניות שמירה וארכיון כבר בשלב זה כדי למנוע הפתעות אחרי המעבר.
- כתבו נוהל גלגול אחורה לחיתוך אם מתגלות בעיות קשות.
פריסת לקוחות וניידות
מה עושים:
- פריסת Outlook ומרכיבי Office בערוץ עדכונים אחיד לכלל הארגון.
- יצירת פרופילי Outlook אוטומטית באמצעות Autodiscover.
- בדיקת תוספים חיוניים ותואמי אבטחה.
- ניהול מכשירים ניידים באמצעות Intune, עם מדיניות הגנת נתונים והפרדה בין פרטי לארגוני.
- הפעלה מונחית למשתמשים לייבוא חתימות ותיקיות מועדפות.
בדיקות הצלחה:
- פתיחת פרופיל Outlook ללא קונפיגורציה ידנית.
- Outlook Mobile מתחבר עם אימות רב שלבי והגנת נתונים פעילה.
- חיפוש, ארכיון ותיקיות משותפות פועלים כמצופה.
פיילוט, השקה, תמיכה
פיילוט:
- יחידת ניסיון מייצגת עם משתמשי מפתח.
- תמיכה מוגברת בשבוע ההשקה ומדידת חוויית משתמש.
השקה מדורגת:
- הרחבה לפי אתרים או מחלקות תוך שימוש בגלים ברורים.
- תקשורת מתוזמנת למשתמשים עם צירי זמן, מדריכים קצרים וסרטוני הסבר.
תמיכה ותפעול:
- נוהל טיפול בתקלות נפוצות, תיעוד שאלות ותשובות, ותסריטי עזרה מהירה.
- דשבורד Message Trace, כשלי מסירה, שיעור תלונות ספאם, וזמני תגובה.
- תוכנית לכיבוי התשתית הישנה לאחר תקופת דו-קיום מוסכמת.
מדדי הצלחה מומלצים:
- ירידה בתקלות שליחה וקבלה.
- זמן הקמה ממוצע נמוך לפרופיל Outlook חדש
- שביעות רצון משתמשים בשבוע הראשון לאחר המעבר.
- כיסוי מלא של SPF, DKIM ו-DMARC ללא כשלי יישור.
צ’ק-ליסט מהיר לסיום
- דומיין מאומת וזהויות מסודרות עם אימות רב שלבי.
- מסלול הגירה נבחר ותוזמן פיילוט.
- DNS ואבטחת דואר מוכנים, כולל Exchange Online Protection.
- אימות מודרני מופעל ואימות בסיסי כבוי.
- אצוות הגירה מתוכננות עם נקודות בקרה וסנכרון דלתא.
- Outlook ו-Outlook Mobile נבדקו עם תוספים קריטיים.
- תוכנית תמיכה ותקשורת למשתמשים הוכנה מראש.
מבנה שרת Exchange – מה חשוב לדעת
- תפקידי שרת: מ-Exchange 2016 ומעלה התפקיד המרכזי הוא Mailbox שמכיל שירותי לקוח, תעבורה ומסדי נתונים. תפקיד Edge Transport נמצא ברשת ההיקפית ומטפל בחיבור SMTP נכנס ויוצא.
- זמינות גבוהה: עמידות מבוססת קבוצות זמינות למסדי נתונים, בקיצור DAG. כמה שרתי Mailbox מחזיקים עותקים של מסדי נתונים, עם שחזור אוטומטי ברמת מסד נתונים במקרה תקלה.
- ארכיטקטורה מומלצת: העומס מחולק בין שרתי Mailbox ובין אתרים, ו-DAG מפוזר סימטרית כדי לשמור על שרידות גם בתרחישי כשל.
אם עובדים בהיברידי, הקפידו לעדכן שרתי Exchange המקומיים וליישם הנחיות אבטחה עדכניות, שכן פערי הקשחה בהיבריד עלולים להיחשף.
הגדרות שרת לחשבון Exchange – מה צריך לדעת בפועל
- שיטה מומלצת: להשתמש ב-Autodiscover של Outlook. מזינים דוא״ל וסיסמה והלקוח מושך הגדרות אוטומטית, עם אימות מודרני.
- ActiveSync ולקוחות מייל כלליים:
שרת דואר נכנס IMAP: outlook.office365.com על פורט 993 עם הצפנת SSL או TLS.
שרת דואר נכנס POP: outlook.office365.com על פורט 995 עם SSL או
IMAP ו-POP מספקים גישה בסיסית בלבד ואינם מכסים לוח שנה ואנשי קשר כמו Outlook או Outlook on the web. - שליחה מאפליקציות ומכשירים: SMTP Submission דרך office365.com על פורט 587 עם STARTTLS.
- מדיניות אימות: אימות בסיסי בפרוטוקולי Exchange Online הושבת גלובלית. עבור SMTP Submission, מיקרוסופט הודיעה כי אימות בסיסי יוסר לצמיתות ויידרש OAuth בין מרץ לאפריל 2026. תכננו מעבר.
גרסאות שרת Microsoft Exchange
- Exchange Online: שירות ענן מתעדכן באופן רציף כחלק מ-Microsoft
- Exchange Server 2019 ו-2016: תום התמיכה נקבע ל-14 באוקטובר 2025. מיקרוסופט הכריזה על חלון ESU של חצי שנה לעדכוני אבטחה קריטיים עד 14 באפריל 2026 עבור מי שזקוק לעוד זמן למעבר.
- Exchange Server 2013: סיום תמיכה ב-11 באפריל 2023. מומלץ לשדרג או להגר.
שאלות
מה זה Exchange?
Exchange הוא שרת דואר ארגוני ושירות ענן שמנהל תיבות דוא״ל, לוחות שנה, אנשי קשר וכללי זרימת דואר. בגרסאות המודרניות תפקיד Mailbox מאחד שירותי לקוח, תעבורה ומסדי נתונים, ומנגנון DAG מספק זמינות גבוהה. בענן, Exchange Online משלב את כל אלה עם אבטחה ותאימות של Microsoft 365 וניהול מרכזי ברמת הארגון.
