6、Lync 安全机制深度解析

Lync 安全机制深度解析

1. 核心安全概述

Lync 从设计之初就遵循微软的安全标准，默认情况下，无论是其设计方式还是使用默认设置的部署方式，都具备安全性。在产品功能设计时，会进行威胁评估，以确定功能可能被破坏的方式。下面将从媒体安全开始，逐步介绍 Lync 的关键安全元素，包括认证和证书等。

2. 媒体和信令安全

Lync 2010 作为一个广泛的通信平台，面临诸多威胁，常见的如伪装（冒充他人）、窃听（查看流量内容）和重播（篡改流量以获取访问权限或更改内容）。通过在可信服务器之间使用相互传输层安全（MTLS）以及客户端与服务器之间使用传输层安全（TLS），可以减轻这些威胁。

TLS 和 MTLS 不仅能加密流量，还能对端点进行认证。Lync 客户端必须验证服务器上的证书，以确保服务器身份的真实性，且该证书由客户端信任的证书颁发机构（CA）颁发。当服务器之间使用 MTLS 时，双方会交换来自可信 CA 的证书，以验证彼此的身份。这种安全机制适用于内部服务器之间，以及与网关设备和边缘服务器的通信。

除了信令流量（如服务器或客户端之间的 SIP），其他类型的流量（如 AV 媒体、网关到中介服务器的流量、反向代理到 Lync 服务器的流量、客户端下载会议内容的流量以及 Lync 与监控和存档服务器之间的流量）也会被加密。反向代理流量使用 SSL 或 TLS 进行加密，中介服务器到网关的流量在网关支持证书的情况下可使用 MTLS 加密，客户端内容下载使用标准的 HTTPS。

媒体流量使用安全实时传输协议（SRPT），这是一种专门的媒体传输协议，支持加密和流量认证。Lync 前端服务器池到监控和存档服务器角色的流量使用 M