Redondance des clichés instantanés

S’applique à : Exchange Server 2013

La redondance des clichés instantanés a été introduite dans Microsoft Exchange Server 2010 pour fournir des copies redondantes des messages avant leur remise dans les boîtes aux lettres. Dans Exchange 2010, la redondance d’ombre retardait la suppression d’un message de la base de données de transport sur un serveur de transport jusqu’à ce que le serveur vérifie le tronçon suivant dans le chemin d’accès de remise du message terminé la livraison. Si le tronçon suivant échouait avant de signaler la réussite de la remise au serveur de transport, le serveur de transport renvoyait le message au tronçon suivant. Les serveurs Exchange 2010 utilisaient le verbe XSHADOW pour annoncer leur prise en charge de la redondance des clichés instantanés. Si un serveur SMTP ne prend pas en charge la redondance des clichés instantanés, Exchange 2010 utilise un accusé de réception différé basé sur un intervalle de temps configuré sur le connecteur de réception pour effectuer une copie redondante du message.

La principale amélioration apportée à la redondance des clichés instantanés dans Microsoft Exchange Server 2013 est que le serveur de transport effectue désormais une copie redondante de tous les messages qu’il reçoit avant d’accuser réception du message au serveur d’envoi. La prise en charge ou l’absence de prise en charge de la redondance des ombres par le serveur d’envoi n’a pas d’importance. Cela permet de s’assurer que tous les messages du pipeline de transport Exchange 2013 sont rendus redondants pendant leur transit. Si Exchange 2013 détermine que le message d’origine a été perdu en transit, la copie redondante du message est remise à nouveau.

Composants de la redondance des clichés instantanés

Le tableau suivant décrit les composants de la redondance des ombres. Les termes suivants sont utilisés dans cette rubrique.

Exigences relatives à la redondance des clichés instantanés

Bien que cela puisse sembler évident, la redondance des clichés instantanés nécessite plusieurs serveurs de boîtes aux lettres Exchange 2013. Le serveur de boîtes aux lettres peut être des serveurs autonomes, ou des serveurs de boîtes aux lettres et des serveurs d’accès au client installés sur le même ordinateur.

• Si le serveur de boîtes aux lettres n'est pas membre d'un DAG, les autres serveurs de boîtes aux lettres doivent se trouver dans le site Active Directory local.
• Si le serveur de boîtes aux lettres est membre d'un DAG, les autres serveurs de boîtes aux lettres doivent appartenir au même DAG. Les autres serveurs de boîtes aux lettres appartenant au DAG peuvent se trouver dans le site Active Directory local ou dans un site Active Directory distant. Si le DAG s’étend sur plusieurs sites Active Directory, la redondance de cliché instantané préfère créer une copie redondante du message dans un site Active Directory distant pour assurer la résilience du site.

Les situations dans lesquelles la redondance des clichés instantanés ne peut pas protéger les messages en transit sont les suivantes :

• Dans des environnements de serveur Exchange.
• Dans des DAG sous-mis en service.
• Lors de la défaillance simultanée de deux ou plusieurs serveurs de transport impliqués dans la redondance de l’ombre d’un message.

La redondance des clichés instantanés est activée par défaut

Par défaut, la redondance des clichés instantanés est activée globalement dans le service de transport sur tous les serveurs de boîtes aux lettres à l’aide du paramètre ShadowRedundancyEnabled sur l’applet de commande Set-TransportConfig . Par défaut, si le service de transport d’un serveur de boîtes aux lettres ne peut pas créer une copie redondante d’un message, le message n’est pas rejeté. Toutefois, vous pouvez configurer Exchange 2013 pour qu’il rejette un message si une copie redondante du message n’est pas créée à l’aide du paramètre RejectMessageOnShadowFailure sur l’applet de commande Set-TransportConfig . Le message est rejeté avec une défaillance temporaire, mais le serveur d’envoi peut transmettre le message à nouveau. Le code de réponse SMTP est 451 4.4.0 Message failed to be made redundant. Vous devez configurer Exchange 2013 pour qu’il rejette les messages qui ne peuvent pas être rendus redondants uniquement lorsque votre organisation dispose de plusieurs serveurs de boîtes aux lettres Exchange 2013.

Le tableau suivant décrit les paramètres qui activent la redondance des ombres.

Paramètres qui activent la redondance des ombres

Création des clichés instantanés

L’objectif principal de redondance des clichés instantanés est de toujours avoir deux copies d’un message dans une limite de haute disponibilité du transport quand le message est en transit. Le moment et l’emplacement de la copie redondante du message dépendent de l’origine et de la destination du message. Il y a trois facteurs déterminants majeurs :

• Messages reçus de l’extérieur d’une limite de haute disponibilité de transport.
• Messages envoyés à l'extérieur d'une limite de haute disponibilité du transport.
• Messages reçus du service de dépôt de transport de boîte aux lettres d'un serveur de boîtes dans la limite de haute disponibilité du transport.

Une limite de haute disponibilité de transport est l’une des suivantes :

• Un DAG, pour les serveurs de boîtes aux lettres membres d’un DAG. Cela inclut un DAG qui s’étend sur plusieurs sites Active Directory.
• Un site Active Directory, pour les serveurs de boîtes aux lettres qui n’appartiennent pas à un DAG.

La redondance des clichés instantanés n'effectue jamais le suivi des messages instantanés à travers une limite de haute disponibilité du transport. Lorsqu'un message franchit la limite de haute disponibilité du transport, la redondance des clichés instantanés commence ou redémarre. Ceci réduit le trafic de maintenance des messages fantômes et empêche les nouvelles soumissions de messages fantômes au-delà de la limite de haute disponibilité du transport. Les serveurs de transport Hub Exchange 2010 constituent un cas particulier abordé plus loin dans cette rubrique.

Messages reçus en provenance de l’extérieur d’une limite de haute disponibilité du transport

Lorsque le service de transport sur un serveur de boîtes aux lettres Exchange 2013 reçoit un message de l’extérieur de la limite de haute disponibilité de transport, le serveur de boîtes aux lettres n’est pas concerné par la prise en charge ou le manque de prise en charge de la redondance des ombres par le serveur d’envoi. Tant que la redondance des clichés instantanés est activée, le serveur de boîtes aux lettres qui reçoit le message crée une copie redondante de ce dernier sur un autre serveur de boîtes aux lettres dans la limite de haute disponibilité du transport avant d'accuser réception du message au serveur d'envoi. Voici un exemple de la manière dont fonctionne le processus :

1. Un serveur SMTP transmet un message au service de transport sur un serveur de boîtes aux lettres. Le serveur de boîtes aux lettres est le serveur principal, et le message est le message principal.

2. Alors que la session SMTP d’origine avec le serveur SMTP est toujours active, le service de transport sur le serveur principal ouvre une nouvelle session SMTP simultanée avec le service de transport sur un autre serveur de boîtes aux lettres de l’organisation pour créer une copie redondante du message.

   • Si le serveur primaire est membre d'un DAG, le serveur principal se connecte à un autre serveur de boîtes aux lettres dans la même DAG. Si le DAG s’étend sur plusieurs sites Active Directory, il est préférable par défaut d’utiliser un serveur de boîtes aux lettres situé dans un autre site Active Directory. Ce paramètre est contrôlé par le paramètre ShadowMessagePreference sur l’applet de commande Set-TransportService . La valeur par défaut est PreferRemote, mais vous pouvez la remplacer par RemoteOnly ou LocalOnly.
   • Si le serveur principal n’est pas membre d’un DAG, il se connecte à un autre serveur de boîtes aux lettres dans le même site Active Directory, quelle que soit la valeur du paramètre ShadowMessagePreference .

3. Le serveur principal transmet une copie du message au service de transport sur l’autre serveur de boîtes aux lettres et le service de transport sur l’autre serveur de boîtes aux lettres reconnaît que la copie du message a été créée avec succès. La copie du message est le cliché instantané et le serveur de boîtes aux lettres qui le conserve est le serveur de secours pour le serveur principal. Le message existe dans une file d'attente de clichés instantanés sur le serveur de secours.

4. Une fois que le serveur principal a reçu l’accusé de réception du serveur fantôme, il accuse réception du message principal au serveur SMTP d’origine dans la session SMTP d’origine et la session SMTP est fermée.

Messages envoyés à l’extérieur d’une limite de haute disponibilité du transport

Lorsqu’un serveur de transport Exchange 2013 transmet un message en dehors de la limite de haute disponibilité de transport et que le serveur SMTP de l’autre côté accuse réception réussie du message, le serveur de transport déplace le message vers le filet de sécurité. Aucun nouveau dépôt du message à partir de Safety Net ne peut se produire après que le message principal a été transmis avec succès à travers la limite de haute disponibilité du transport. Pour plus d'informations sur Safety Net, consultez la rubrique Safety Net.

Messages transmis à l’intérieur d’une limite de haute disponibilité du transport

Le routage des messages est optimisé dans Exchange 2013 de sorte que, lorsque la destination finale se trouve dans un DAG ou un site Active Directory, plusieurs sauts entre le service de transport sur les serveurs de boîte aux lettres de ce DAG ou de ce site Active Directory ne sont généralement pas nécessaires. Une fois le message accepté par le service de transport sur un serveur de boîtes aux lettres du DAG ou du site Active Directory qui contient la destination finale du message, le tronçon suivant du message est généralement la destination finale lui-même. L’objectif de la redondance fantôme de conserver deux copies d’un message en transit est atteint lorsqu’un cliché instantané du message existe n’importe où dans le DAG ou le site Active Directory. En règle générale, seuls les scénarios de basculement dans un DAG qui nécessitent que l’applet de commande Redirect-Message draine les files d’attente actives sur un serveur de boîtes aux lettres nécessitent plusieurs sauts dans la même limite de haute disponibilité de transport.

Redondance des clichés instantanés avec les serveurs de transport Hub Exchange 2010 dans le même site Active Directory

Lorsqu’un serveur de transport Hub Exchange 2010 transmet un message à un serveur de boîtes aux lettres Exchange 2013 du même site Active Directory, le serveur de transport Hub Exchange 2010 annonce la prise en charge de la redondance des clichés instantanés à l’aide de la commande XSHADOW, mais le serveur de boîtes aux lettres n’annonce pas la prise en charge de la redondance des clichés instantanés. Ce problème empêche le serveur de transport Hub Exchange 2010 de créer un cliché instantané du message sur un serveur de boîtes aux lettres Exchange 2013.

Lorsque le service de transport sur un serveur de boîtes aux lettres Exchange 2013 transmet un message à un transport Hub Exchange 2010 dans le même site Active Directory, le serveur de boîtes aux lettres Exchange 2013 suit le message pour le serveur de transport Hub Exchange 2010. Une fois que le serveur de boîtes aux lettres Exchange 2013 a accusé réception du serveur de transport Hub Exchange 2010 indiquant que le message a été reçu avec succès, il déplace le message traité correctement dans le filet de sécurité. Toutefois, les messages correctement traités et stockés dans le filet de sécurité par la boîte aux lettres Exchange 2013 ne sont jamais soumis à nouveau aux serveurs de transport Hub Exchange 2010.

Délais d’expiration SMTP

Lors de la tentative de création d’une copie redondante du message, la connexion SMTP entre le serveur SMTP d’envoi et le serveur principal ou la session SMTP entre le serveur principal et le serveur fantôme peut expirer. Les connecteurs de réception et les connecteurs d’envoi ont tous deux un paramètre ConnectionInactivityTimeOut pour le moment où les données sont réellement transmises sur le connecteur. Les connecteurs de réception possèdent également un paramètre ConnectionTimeOut absolu.

Si l’une des sessions SMTP expire avant la création réussie et la reconnaissance du cliché instantané du message, le résultat est contrôlé par le paramètre RejectMessageOnShadowFailure sur l’applet de commande Set-TransportConfig . Par défaut, la valeur de ce paramètre est $false, ce qui signifie que le message principal est accepté sans qu’un cliché instantané soit créé. Si la valeur de ce paramètre est $true le message principal est rejeté avec l’erreur 451 4.4.0temporaire .

Si le cliché instantané d’un message est correctement créé, mais que la session SMTP entre le serveur SMTP d’envoi et le serveur principal expire, le serveur principal accepte et traite le message principal. Le serveur SMTP d’envoi remet à nouveau le message avec accusé de réception, mais la détection de messages en double empêche les utilisateurs de boîtes aux lettres Exchange de voir les messages en double. Lorsque le serveur SMTP d’envoi soumet à nouveau le message, le serveur principal crée un autre cliché instantané du message. Il n’existe aucune relation entre les messages instantanés créés lors des resoumissions de messages par le serveur SMTP d’envoi.

Le tableau suivant décrit les paramètres qui contrôlent la création des clichés instantanés

Paramètres de création des messages d’ombre

Maintenance des messages instantanés

Après la création d'un cliché instantané, le travail de redondance des clichés instantanés ne fait que commencer. Le serveur principal et le serveur de secours doivent rester en contact pour suivre la progression du message.

Lorsque le serveur principal transmet correctement le message au saut suivant, et que le saut suivant accuse réception du message, le serveur principal met à jour l'état de suppression du message comme remise complète. L'état ​​de suppression est fondamentalement un message contenant la liste des messages surveillés. Un message remis avec succès n'ayant pas besoin d'être conservé dans une file d'attente de clichés instantanés, une fois que le serveur de secours est informé que le serveur principal a transmis avec succès le message au saut suivant, le serveur de secours déplace le cliché instantané de la file d'attente des clichés instantanés vers Safety Net.

Le serveur de secours détermine l'état de suppression des clichés instantanés dans ses files d'attente de clichés instantanés en interrogeant le serveur principal. Si le serveur fantôme ouvre une session SMTP avec le serveur principal pour une raison quelconque, y compris la transmission d’autres messages non liés, le serveur fantôme émet la commande XQDISCARD pour déterminer le status d’abandon des messages principaux. Si le serveur fantôme n’a pas ouvert de session SMTP avec le serveur principal après un intervalle de temps préconfiguré, il ouvre une session SMTP avec le serveur principal et émet la commande XQDISCARD . L’intervalle de temps est contrôlé par le paramètre ShadowHeartbeatFrequency sur l’applet de commande Set-TransportConfig . La valeur par défaut est 2 minutes. Lorsque le serveur de secours ouvre une session SMTP avec le serveur principal, ce dernier répond par des notifications de suppression pour les messages qui s’appliquent au serveur de secours qui l’interroge. Dans Exchange 2013, les notifications d’annulation sont stockées sur le disque, et non en mémoire. Par conséquent, si le service de transport Microsoft Exchange redémarre, les notifications d’annulation sont conservées. Après le démarrage du service, le serveur principal connaît encore les messages qu’il a traités avec succès, et ces informations sont disponibles pour le serveur de secours.

La communication SMTP entre le serveur de secours et le serveur principal est utilisée en tant que pulsation qui détermine la disponibilité des serveurs. Si le serveur fantôme ne peut pas ouvrir de session SMTP avec le serveur principal après un intervalle de temps préconfiguré, ou si la base de données de transport du serveur principal a un ID de base de données différent, le serveur fantôme se promeut en tant que serveur principal, promeut les messages instantanés en tant que messages principaux et transmet les messages au tronçon suivant. L’intervalle de temps est contrôlé par le paramètre ShadowResubmitTimeSpan sur l’applet de commande Set-TransportConfig . La valeur par défaut est 3 heures.

Le Gestionnaire de redondance des ombres est le composant central d’un serveur de transport Exchange 2013 qui est chargé de gérer la redondance des ombres. Le Gestionnaire de redondance des clichés instantanés est responsable de la gestion des informations suivantes pour tous les messages principaux traités par un serveur :

• Le serveur fantôme pour chaque message principal en cours de traitement.
• État de suppression à envoyer aux serveurs de secours.

Le gestionnaire de redondance des ombres est responsable des éléments suivants pour tous les messages de cliché instantané qu’un serveur fantôme a dans ses files d’attente de clichés instantanés :

• Gestion de la liste des serveurs principaux pour chaque cliché instantané.
• Comparaison de l'ID de base de données originale et de l'ID actuel de la base de données de files d'attente dans laquelle la copie principale du message est stockée.
• Vérification de la disponibilité de chaque serveur principal pour lequel un cliché instantané est mis en file d'attente.
• Traitement des notifications de suppression provenant des serveurs principaux.
• Suppression des clichés instantanés des files d'attentes après réception de toutes les notifications de suppression.
• Choix du moment où le serveur de secours doit acquérir la propriété des clichés instantanés en devenant serveur principal.
• Suivi des bifurcations de message et autres messages d’effet secondaire tels que les notifications de status de remise (DSN) et les rapports de journal pour vérifier que la copie redondante du message n’est pas publiée tant que tous les forks du message n’ont pas été entièrement traités.

Le tableau suivant décrit les paramètres qui contrôlent la façon dont les messages d’ombre sont conservés.

Traitement des messages après une panne

La redondance des ombres minimise la perte de messages due aux pannes de serveur. Lorsqu’un serveur de transport revient en ligne après une panne, il existe deux scénarios :

• Le serveur revient en ligne avec une nouvelle base de données de transport : dans ce scénario, la base de données de transport est irrécupérable en raison de la corruption des données ou d’une défaillance matérielle. Dans ce cas, étant donné que le serveur de transport aura un nouvel ID de base de données, il sera reconnu comme une nouvelle route par les autres serveurs de transport de l’organisation. Cela s’applique également à la situation dans laquelle un serveur n’a pas pu être récupéré et qu’un nouveau serveur a été provisionné en remplacement.

• Le serveur revient en ligne avec la même base de données de transport : dans ce scénario, le serveur de transport particulier n’a pas échoué, mais est resté hors connexion suffisamment longtemps pour que le serveur fantôme assume la propriété des messages et les soumette à nouveau. Par exemple, une défaillance de la carte réseau ou une longue maintenance sur le serveur serait à l’origine de ce scénario.

Le tableau suivant résume la façon dont la redondance des ombres réagit à ces deux scénarios. Pour plus de clarté, supposons que le serveur qui a connu une panne s’appelle Mailbox01.

Traitement des messages dans les scénarios de récupération