我正在将 Exchange 2007 部署到现有的 Exchange 2003 环境中。Microsoft 不支持在外围/DMZ 网络中放置 Exchange 2007 客户端访问服务器 (CAS)。相反，Microsoft 建议在外围/DMZ 网络中放置一个 ISA 服务器，并使用它来将代理请求反向到 CAS 服务器。
与将端口 443 从外部网络通过外围/DMZ 转发到内部网络上的 CAS 服务器相比，使用 ISA 服务器作为反向代理有什么优势？如果我转发端口，我会遇到 SSL 证书问题吗？还有其他需要转发的端口吗？
更新：我在这里 发现了以下两个优点：
当您通过 ISA 服务器发布应用程序时，您正在保护服务器免受外部直接访问，因为用户无法访问服务器的名称和 IP 地址。用户访问 ISA Server 计算机，然后根据服务器发布规则的条件将请求转发给服务器。
SSL 桥接可防止隐藏在 SSL 加密连接中的攻击。对于启用 SSL 的 Web 应用程序，在收到客户端的请求后，ISA Server 会对其进行解密、检查并终止与客户端计算机的 SSL 连接。Web 发布规则确定 ISA 服务器如何将对象请求传递给已发布的 Web 服务器。如果将安全 Web 发布规则配置为使用安全 HTTP (HTTPS) 转发请求，则 ISA 服务器将启动与已发布服务器的新 SSL 连接。因为 ISA Server 计算机现在是 SSL 客户端，所以它要求发布的 Web 服务器使用服务器端证书进行响应。
在问题中添加第二部分，这些是购买第二台服务器、许可、设置、故障排除等的理由吗？您是如何在您的环境中做到这一点的，尤其是在小型（<200 个用户）环境中？
使用 ISA Server 作为反向代理的主要优点是安全性，但是如果您要发布多个应用程序，当然会更有意义；如果您只需要让您的 Exchange CAS 服务器从外部可用，那么购买、实施和管理 ISA 可能有点矫枉过正。
使用 ISA，而不是简单地转发 TCP 端口 443，具有以下优点：
我个人在 2004 年版问世后就停止使用 ISA。虽然与 MS 产品集成的功能和“简易性”是一个优势，但如果配置正确，现有的硬件防火墙也同样安全。
我发现混合中的 ISA 只是增加了另一层复杂性，实际上也引入了一点缓慢。
所以我的建议是使用 MIP（映射 IP）到 CAS 服务器，只为角色所需的端口（80/443 等）。
我听到的论点是，将 ISA 放在中间可以防止人们试图入侵您的 CAS 服务器，但如果您的 CAS 服务器设置良好，特别是如果您在 CAS 服务器上使用 SCW for Windows 是设置和运行，那么如果您在中间有 ISA，那么您真的不需要担心更多的安全问题。
现在……博士。Shinder 和其他人会强烈反对并敦促您放入一个 ISA 盒子，但我觉得有趣的是，大多数网络/防火墙专家“Windows 管理员”之外的人根本不使用它们……这告诉我一些事情.
ISA 的部署成本很高，如果您只将它严格用于入站连接，那么它并没有多大意义。
缓存 1000 个用户的出站请求非常有意义，尤其是对于 Google、MSN、门户网站等大容量页面。但是对于入站，您可以以更少的成本做同样的事情。
正如 TheCleaner 所提到的，您可以很好地锁定您的 Web 服务器/CAS，无论它是 Windows 还是 *nix。
不过，询问 SSL 是明智的。每个 SSL 都需要有自己的 IP 地址 - 原因是您的边缘设备将无法解密任何主机标头，因此您需要将来自 SSL IP 的任何请求映射到 CAS 上的特定 IP 地址，以便CAS 将知道使用哪个证书。
基本总结：如果你已经有一个好的边缘设备，不用担心。如果您不这样做，那么pfSense之类的配置将不会比 ISA 花费更多时间，占用空间要小得多（可以在具有 128Mb RAM 的 VM 中愉快地运行），并且您无需获得 Windows 许可并付费ISA 的附加许可证。