Возможность шифрования почтового трафика между организациями MS Exchange

[cobion]

Доброго времени суток Уважаемые коллеги!

Стоит задача организовать или рассмотреть несколько решений шифрования почтового трафика между двумя смежными лесами. В одном лесу стоит MS Exchange 2010, в другом 2013. Слышал что есть одно из решений по шифрованию SMTP трафика - использование TLS в коннекторах отправки и приема. Но ни разу такого еще не реализовывал.В связи с этим есть несколько вопросов:

- Нужны ли сертификаты и если нужны, то что проще использовать- свой внутренний CA в каждом лесе или использовать публичный PKI ?

- На какие службы необходимо назначать сертификаты ?

- есть ли еще какие ни будь решения и можно ли где ни будь почитать о таких внедрениях ?

Спасибо!

[Константин Гузнин]

Можно, но это будет нудно и больно, я бы смотрел в сторону IPSec. ЦС можно пользовать внутренние. Для подумать:

1) https://blogs.technet.microsoft.com/exc ... practices/
2) https://technet.microsoft.com/en-us/lib ... .150).aspx
3) http://techgenix.com/securing-smtp-mess ... nizations/
4) https://exchangequery.com/2014/05/22/ex ... -security/
5) http://www.itprotoday.com/security/encr ... nge-server

[cobion]

Константин, доброго дня.
А почему нудно и больно - сложнее настраивать ?
При TLS Domain Security так же можно использовать внутренние CA ?

[Константин Гузнин]

Вы можете использовать внутренние ЦС или любые другие, которым доверяют почтовые сервера. Больше всего подводных камней с сертификатами, вся боль будет там. От себя скажу, что не видел ни одно случая внедрения, обычно всех хватает шифрованных каналов(vpn шифруйте как угодно, хоть ГОСТом).

[cobion]

Константин, доброго дня.
Шифрованные каналы VPN, это все хорошо. Но наша компания и другая , совершенно разные компании со своей инфраструктурой.
Пока не представляю как гонять SMTP через VPN Site-to-Site например, даже если это и получится между разными организациями ?