Exchange Server: desactivar el acceso al Centro de administración de Exchange

SE APLICA A:2016 2019 Edición de suscripción

El Centro de administración de Exchange (EAC) es la interfaz de administración principal de Exchange 2013 o posterior. Para obtener más información, consulte Centro de administración de Exchange en Exchange Server. De forma predeterminada, el acceso al EAC no está restringido, y el acceso a Outlook en la Web (formalmente conocido como Outlook Web App) en un servidor Exchange orientado a Internet también proporciona acceso al EAC. Necesitará credenciales válidas para iniciar sesión en el EAC, pero es posible que las organizaciones deseen restringir el acceso al EAC para conexiones de cliente a través de Internet.

El directorio virtual del EAC se denomina ECP y se administra mediante los cmdlets *- ECPVirtualDirectory . Al establecer el parámetro AdminEnabled en el valor $false del directorio virtual del EAC, se deshabilita el acceso al EAC para las conexiones de cliente internas y externas, sin afectar el acceso a la páginaOpciones de configuración> de Outlook en la Web.

Pero esta configuración presenta un nuevo problema: se deshabilita totalmente el acceso al EAC en el servidor, incluso para los administradores de la red interna. Para corregir este problema, tiene dos opciones:

• Configure un segundo servidor de Exchange Server al que solo se pueda acceder desde la red interna para controlar las conexiones EAC internas.

• En el servidor Exchange existente, cree un nuevo sitio web Internet Information Services (IIS) con nuevos directorios virtuales para el EAC y Outlook en la Web al que solo se pueda acceder desde la red interna.

  Nota: Debe configurar el EAC y Outlook en la Web en el nuevo sitio web, ya que requiere el módulo de autenticación de Outlook en la Web desde el mismo sitio web.

¿Qué necesita saber antes de empezar?

• Tiempo estimado para completar cada procedimiento: 5 minutos.

• Deberá tener permisos asignados para poder llevar a cabo estos procedimientos. Para ver qué permisos necesita, consulte la entrada "Conectividad del Centro de administración de Exchange" en el tema Infraestructura de Exchange y permisos de PowerShell .

• Para obtener información acerca de los métodos abreviados de teclado aplicables a los procedimientos de este tema, consulte Métodos abreviados de teclado en el Centro de administración de Exchange.

Paso 1: Usar el Shell de administración de Exchange para deshabilitar el acceso al EAC

Recuerde que este paso deshabilita el acceso al EAC en el servidor para las conexiones internas y externas, pero sigue permitiendo a los usuarios acceder a supropia páginaOpciones de configuración> en Outlook en la Web.

Para deshabilitar el acceso al EAC en un servidor de Exchange, use la sintaxis siguiente:

Set-ECPVirtualDirectory -Identity "<Server>\ecp (Default Web Site)" -AdminEnabled $false

Este ejemplo deshabilita el acceso al EAC en el servidor denominado MBX01.

Set-ECPVirtualDirectory -Identity "MBX01\ecp (Default Web Site)" -AdminEnabled $false

¿Cómo sabe si este paso funcionó?

Para comprobar que ha deshabilitado el acceso al EAC en el servidor, reemplace <Servidor> por el nombre de su servidor de Exchange y ejecute el siguiente comando para comprobar el valor de la propiedad AdminEnabled :

 Get-ECPVirtualDirectory -Identity "MBX01\ecp (Default Web Site)" | Format-List AdminEnabled

Al abrir https://<servername>/ecp o desde la red interna, se abrirá su propia páginaOpciones de configuración> en Outlook en la Web en lugar del EAC.

Paso 2: Dar acceso al EAC en la red interna

Seleccione una de las siguientes opciones.

Opción 1: configurar un segundo servidor de Exchange al que solo se pueda acceder desde la red interna

El valor predeterminado de la propiedad AdminEnabled se encuentra True en el directorio virtual EAC predeterminado. Para confirmar este valor en el segundo servidor, reemplace <Servidor> por el nombre del servidor y ejecute el siguiente comando:

Get-ECPVirtualDirectory -Identity "<Server>\ecp (Default Web Site)" | Format-List AdminEnabled

Si el valor es False, sustituya <Servidor> por el nombre del servidor y ejecute el siguiente comando:

Set-ECPVirtualDirectory -Identity "<Server>\ecp (Default Web Site)" -AdminEnabled $true

Opción 2: Crear un sitio web en el servidor Exchange existente y configurar EAC y Outlook en la Web en el nuevo sitio web para la red interna

Los pasos necesarios son:

1. Agregue una segunda dirección IP al servidor de Exchange.

2. Cree un nuevo sitio web en IIS que use la segunda dirección IP y asigne permisos de archivo y carpeta.

3. Copie el contenido de los sitios web predeterminados en el nuevo sitio web.

4. Crear nuevos directorios virtuales EAC y de Outlook en la Web para el nuevo sitio web.

5. Reinicie IIS para que los cambios surtan efecto.

Paso 2a: Agregar una segunda dirección IP al servidor Exchange

Puede agregar un segundo adaptador de red y asignar la dirección IP al segundo adaptador de red, o puede asignar una segunda dirección IP al adaptador de red existente.

A continuación, se describen los pasos para asignar una segunda dirección IP al adaptador de red existente.

1. Abra las propiedades del adaptador de red. Por ejemplo:

   a. En una ventana del símbolo del sistema, el Shell de administración de Exchange o el cuadro de diálogo Ejecutar , ejecute ncpa.cpl.

   b. Haga clic con el botón derecho en el adaptador de red y elija Propiedades.

   

2. En las propiedades del adaptador de red, seleccione Protocolo de Internet versión 4 (TCP/IPv4) y haga clic en Propiedades.

3. En la ventana Propiedades del protocolo de Internet versión 4 (TCP/IPv4) que se abre, haga clic en Opciones avanzadas en la pestaña General.

4. En la ventana Configuración avanzada de TCP/IP que se abre, haga clic en Agregar en la sección Direcciones IP de la pestaña Configuración IP y escriba la dirección IP.

   

   Nota: Si agrega un segundo adaptador de red, en la pestaña DNS de la ventana Configuración avanzada de TCP/IP, desmarque Registrar la dirección de esta conexión en DNS.

   

Paso 2b: Crear un nuevo sitio web en IIS que use la segunda dirección IP y asigne permisos de archivo y carpeta

1. Abra el Administrador de IIS en el servidor Exchange. Una manera fácil de hacerlo en Windows Server 2012 o posterior es presionar la tecla Windows + Q, escribir inetmgr y seleccionar el Administrador de Internet Information Services (IIS) en los resultados.

2. Expanda el servidor en el panel Conexiones, seleccione Sitios y haga clic en Agregar sitio web en el panel Acciones.

   

3. En la ventana Agregar sitio web que aparece, configure las siguientes opciones:

   • Nombre del sitio: EAC_Secondary

   • Ruta de acceso física: C:\inetpub\EAC_Secondary

   • Enlace

     • Tipo: https

     • Dirección IP: seleccione la segunda dirección IP que agregó en el paso anterior.

     • Puerto: 443

   • Certificado SSL: elija el certificado que desea usar (por ejemplo, el certificado de Exchange predeterminado denominado Microsoft Exchange).

   Cuando haya terminado, haga clic en Aceptar.

   

4. Crear ecp y owa carpetas en C:\inetpub\EAC_Secondary.

   a. En el Administrador de IIS, seleccione el EAC_Secondary sitio web y, en el panel Acciones , haga clic en Explorar.

   

   b. En la ventana del Explorador de archivos que se abre, cree las siguientes carpetas enC:\inetpub\EAC_Secondary:

   • ecp

   • owa

   Cuando haya terminado, cierre el Explorador de archivos.

5. Asignar permisos de lectura & ejecución al grupo de seguridad local denominado IIS_IUSRS de la C:\inetpub\EAC_Secondary carpeta.

   a. En Administrador de IIS, seleccione el EAC_Secondary sitio web y, en el panel Acciones , haga clic en Editar permisos.

   b. Seleccione la pestaña Seguridad de la ventana Propiedades de EAC_Secondary que se abre y haga clic en Editar.

   c. En la ventana Permisos para EAC_Secondary que se abre, haga clic en Agregar.

   d. En la ventana Seleccionar usuarios, equipos, cuentas de servicio o grupos que se abre, realice los siguientes pasos:

   i. Haga clic en Ubicaciones y en el cuadro de diálogo Ubicaciones que se abre, seleccione el servidor local y haga clic en Aceptar.

   ii. En el cuadro Escriba los nombres de objeto que desea seleccionar , escriba IIS_IUSRS, haga clic en Comprobar nombres y, por último, haga clic en Aceptar.

   

   e. En la ventana Permisos para EAC_Secondary, seleccione IIS_IUSRS y, en la columna Permitir, seleccione Lectura y ejecución (que selecciona automáticamente los permisos Hacer una lista del contenido de la carpeta y Lectura) y después haga clic en Aceptar dos veces.

Paso 2c: Copiar el contenido de los sitios web predeterminados en el nuevo sitio web

• Copie todos los archivos y carpetas del sitio web predeterminado (C:\inetpub\wwwroot) en C:\inetpub\EAC_Secondary. Puede omitir los siguientes archivos que no se pueden copiar:

  • MacCertification.asmx

  • MobileDeviceCertification.asmx

  • decomission.asmx

  • editissuancelicense.asmx

• Copie todos los archivos y carpetas de %ExchangeInstallPath%FrontEnd\HttpProxy\ecp a C:\inetpub\EAC_Secondary\ecp.

• Copie todos los archivos y carpetas de %ExchangeInstallPath%FrontEnd\HttpProxy\owa a C:\inetpub\EAC_Secondary\owa.

Paso 2d: Utilice el Shell de administración de Exchange para crear nuevos directorios virtuales EAC y de Outlook en la Web para el nuevo sitio web

Para obtener información sobre cómo abrir el Shell de administración de Exchange en su organización de Exchange local, consulte Open the Exchange Management Shell.

Reemplace <Servidor> por el nombre del servidor y ejecute los siguientes comandos para crear los nuevos directorios virtuales EAC y de Outlook en la Web para el nuevo sitio web.

New-EcpVirtualDirectory -Server <Server> -Role ClientAccess -WebSiteName EAC_Secondary -Path "C:\inetpub\EAC_Secondary\ecp"

New-OwaVirtualDirectory -Server <Server> -Role ClientAccess -WebSiteName EAC_Secondary -Path "C:\inetpub\EAC_Secondary\owa"

Paso 2e: Reiniciar IIS

1. En el Administrador de IIS, seleccione el servidor en el panel Conexiones.

2. En el panel Acciones, haga clic en Reiniciar.

Nota: Para reiniciar IIS desde la línea de comandos, abra un símbolo del sistema con privilegios elevados (una ventana del símbolo del sistema que abrió seleccionando Ejecutar como administrador) y ejecute los siguientes comandos:

net stop w3svc /y

net start w3svc

¿Cómo sabe si esta tarea funcionó?

Para comprobar que ha deshabilitado correctamente el acceso al EAC en un servidor de Exchange, siga estos pasos:

1. Pruebe la dirección URL interna y externa de su organización para Outlook en la Web. Por ejemplo, si la URL externa es https://mail.contoso.com/owa, y la URL interna es https://mbx01.contoso.com/owa Usa los siguientes procedimientos para verificar tu configuración:

   • Compruebe que los usuarios internos y externos pueden abrir sus buzones mediante Outlook en la Web, incluida la páginaOpcionesde configuración>.

   • Compruebe este comportamiento https://mail.contoso.com/ecp y https://mbx01.contoso.com/ecp devuelva uno de los siguientes resultados:

     • 404: página no encontrada

     • Se redirige al usuario a su página Opciones de configuración> en Outlook en la Web.

2. Compruebe que los administradores puedan tener acceso al EAC en la red interna basada en la selección de la configuración:

   • Segundo servidor Exchange: Si el segundo servidor Exchange se llama MBX02, compruebe que https://mbx02.contoso.com/ecp se abre el EAC.

   • Nuevo sitio web EAC en el servidor Exchange existente: Si la dirección IP del nuevo sitio web EAC es 10.1.1.12, compruebe que https://10.1.1.12/ecp se abre el EAC.