Exchange Server’da TLS 1.0 ve TLS 1.1’i Kapatmadan Önce Neler Kontrol Edilmeli?

TLS 1.0 ve TLS 1.1’i devre dışı bırakmak, Exchange ortamının güvenliğini güçlendirme çalışmalarından biridir. Ancak değişiklik önceden test edilmezse Outlook bağlantılarında, e-posta akışında veya Exchange ile entegre uygulamalarda kesintiye yol açabilir.

Microsoft, eski TLS sürümlerini kapatmadan önce istemci ve uygulamaların kullanılmaya devam edecek protokolleri desteklediğinin doğrulanmasını, değişikliğin önce test ortamında uygulanmasını ve üretime kademeli aktarılmasını öneriyor. Güncel TLS yapılandırma dokümantasyonu Exchange Server 2016, 2019 ve Subscription Edition sürümlerini kapsıyor.

Hangi Exchange servisleri etkilenebilir?

Schannel üzerinden yapılan TLS değişikliği Exchange’in hem gelen hem de giden bağlantılarını etkileyebilir. Kontrol edilmesi gereken başlıca servisler şunlardır:

• Outlook bağlantıları: MAPI/HTTP ve kullanılıyorsa Outlook Anywhere
• Autodiscover
• OWA ve EAC
• Exchange ActiveSync
• Exchange Web Services (EWS)
• SMTP
• POP ve IMAP
• Exchange üzerinden HTTPS ile kullanılan PowerShell
• Exchange ile entegre çalışan üçüncü taraf veya kurum içi uygulamalar

Outlook ve Office sürümleri nasıl kontrol edilmeli?

Office sürümünü envantere ekleyin; ancak TLS 1.2 uyumluluğunu yalnızca Office sürümüne bakarak belirlemeyin. Microsoft’a göre Office istemcileri TLS bağlantıları için Windows’un WinHTTP altyapısını kullanır. Dolayısıyla Office 2010, 2013, 2016, 2019, 2021 veya Microsoft 365 Apps kurulumlarında Office sürümünün yanında Windows sürümü, güncelleme seviyesi ve TLS yapılandırması da kontrol edilmelidir. Bu, tüm eski Office sürümlerinin desteklendiği anlamına gelmez; eski sürümler ayrıca değerlendirilmelidir.

Envanterde aşağıdaki bilgileri birlikte kaydedin:

• Office/Outlook sürümü ve build numarası
• İstemcide kullanılan Windows sürümü
• Windows ve Office güncelleme durumu
• TLS 1.2’nin istemci işletim sisteminde etkin olup olmadığı

Windows 8 ve sonraki sürümlerde TLS 1.2, özel olarak devre dışı bırakılmadıysa kullanılabilir durumdadır. Windows 7’de ise WinHTTP üzerinden TLS 1.2 kullanımı için ek güncelleme ve yapılandırma gerekebilir.

Outlook’ta Ctrl tuşuna basılı tutup bildirim alanındaki Outlook simgesine sağ tıklayarak Connection Status penceresinden bağlantı durumunu ve bağlantı türünü kontrol edebilirsiniz. Bu pencere TLS sürümünü göstermez; Outlook’un Exchange’e bağlanabildiğini doğrulamak için kullanılır.

TLS sürümünü belirlemek için Exchange üzerindeki IIS günlüklerine TLS protokolünü gösteren özel alanlar eklenebilir. TLS bağlantısını yük dengeleyici sonlandırıyorsa, istemci ile yük dengeleyici arasındaki TLS sürümünü yük dengeleyici günlüklerinden kontrol edin.

Pilot testlerde farklı Office ve Windows sürümlerine sahip kullanıcıları kapsayın. Outlook bağlantısı, e-posta gönderme ve alma, Autodiscover, takvim ve adres defteri erişimini doğrulayın.

Diğer kontrol noktaları

Yük dengeleyici, proxy ve güvenlik duvarı

TLS bağlantısının nerede sonlandırıldığını belirleyin: İstemci doğrudan Exchange’e mi bağlanıyor, yoksa TLS yük dengeleyicide sonlandırılıp Exchange’e yeniden mi şifreleniyor? İstemci-yük dengeleyici ve yük dengeleyici-Exchange bağlantılarını ayrı ayrı inceleyin. Bir bağlantıdaki TLS sürümü diğer bağlantının sürümünü göstermez.

SMTP kullanan cihazlar ve uygulamalar

Exchange’e e-posta gönderen veya Exchange’den e-posta alan uygulamaları, yazıcı ve tarayıcıları, izleme ve yedekleme ürünlerini, otomasyon betiklerini ve partner SMTP sunucularını belirleyin. SMTP protokol günlüklerinden bağlantıda kullanılan TLS sürümü incelenebilir. Microsoft’un TLS rehberi bu günlüklerde TLS sürümüne göre aranabilecek değerleri açıklıyor.

EWS, ActiveSync, Autodiscover ve diğer entegrasyonlar

Exchange’e bağlanan mobil cihazları, üçüncü taraf ürünleri ve kurum içi uygulamaları envanterleyin. Özellikle eski .NET Framework kullanan veya uygulama kodunda belirli bir TLS sürümü sabitlenmiş sistemleri ayrıca test edin. Exchange sunucusunda çalışan Exchange dışı uygulamaların gereksinimlerini de üreticileriyle doğrulayın.

POP ve IMAP

POP veya IMAP kullanılıyorsa istemcilerin ve cihazların TLS 1.2 desteğini kontrol edin. Exchange 2010’da POP/IMAP bağlantılarının protokol davranışı daha yeni sürümlerden farklıdır. Eski Exchange sürümlerinde bu servisler için sürüme özel test yapılmadan TLS değişikliğine geçilmemelidir.

Exchange sürümü ve CU seviyesi

Exchange sunucularının sürüm ve CU seviyesini, işletim sistemi güncellemelerini ve .NET yapılandırmasını kontrol edin. Microsoft dokümantasyonuna göre TLS 1.2 desteği Exchange 2013 CU19 ve Exchange 2016 CU8 ile sunulmuştur; Exchange 2019’da varsayılan olarak etkindir. TLS değişikliğinin ardından sunucunun yeniden başlatılması gerekir.

TLS 1.0 ve TLS 1.1’i kapatma

Ön kontroller tamamlandıktan ve TLS 1.2’nin çalıştığı doğrulandıktan sonra TLS 1.0 ve TLS 1.1 Schannel üzerinden devre dışı bırakılabilir. Aşağıdaki kayıt defteri örneği her iki protokolü de istemci ve sunucu tarafında kapatır:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000

Değişiklikten önce kayıt defteri yedeği alın ve mevcut değerleri kaydedin. Ayarlar sunucu yeniden başlatıldıktan sonra etkinleşir. Sorun yaşanması ihtimaline karşı önceki değerleri geri yükleyebileceğiniz bir geri dönüş planı hazırlayın.

Önerilen uygulama sırası

1. Exchange, Office/Outlook, Windows, cihaz ve uygulama envanterini çıkarın.
2. IIS, SMTP ve yük dengeleyici günlüklerinden mevcut TLS kullanımını inceleyin.
3. TLS 1.2 desteğini ve gerekli güncellemeleri doğrulayın.
4. Değişikliği test ortamında veya sınırlı bir pilot grubunda uygulayın.
5. Outlook, SMTP, OWA/EAC, ActiveSync, EWS, Autodiscover ve kullanılan diğer bağlantıları test edin.
6. Sorun görülmezse değişikliği planlı bakım pencerelerinde kademeli uygulayın.
7. Her aşamada servisleri ve günlükleri kontrol edin.

TLS 1.0 ve TLS 1.1’i kapatmadan önce yalnızca Exchange sunucusunu değil, Exchange’e bağlanan istemci ve sistemleri de değerlendirmek gerekir. Office sürümü bu envanterin parçasıdır; ancak TLS uyumluluğunu belirlemek için Windows sürümü, güncelleme durumu ve gerçek bağlantı günlükleriyle birlikte ele alınmalıdır.