Mécanismes de protection automatique de Lync 2010

Ce mécanisme est nommé par Microsoft Federation Safeguards for Lync Server 2010. Ce mécanisme fonctionne comme suit :

•    Si un partenaire fédéré envoie plus de 1 000 requêtes à URI (valides ou non)  vers le domaine local, la connexion est placée dans un premier temps dans une liste spécifique (Watch List). Toutes les requêtes suivantes émanant de ce domaine sont ensuite bloquées par le service Edge d’accès.
•    Si le service Edge d’accès détecte un trafic suspect avec un domaine externe, il limite le taux de messages du partenaire fédéré à 1 message par seconde. Le trafic suspect est détecté en calculant le taux de réponses réussies par rapport au nombre de réponses en échec.
•    Le service Edge d’accès limite également les connexions des partenaires fédérés légitimes (sauf s’ils ont été ajoutés à la liste verte) à 20 messages par seconde. La liste des domaines ayant des connexions suspectes s’affiche sur la console de gestion de l’ordinateur Edge Lync.

La prise en compte des mécanismes est importante et permet de limiter les risques de blocage avec des partenaires identifiés comme étant de confiance.

Ainsi, si vous connaissez par  avance les partenaires fédérés avec lesquels vous pouvez recevoir potentiellement plus de  1 000 demandes ou que votre organisation va recevoir un volume supérieur à 20 messages par seconde, il sera nécessaire d’ajouter ce partenaire fédéré aux partenaires autorisés (dans l’onglet Autoriser de la console de gestion du serveur Lync Edge).

Les domaines SIP mentionnés dans la liste des connexions autorisées ou dans la liste des connexions bloquées, ne sont pas évalués par le mécanisme Federation Safeguards. Après avoir configuré la fédération, il est donc fortement recommandé de gérer l’accès des partenaires fédérés à l’aide de la console d’administration Lync.

La mise à jour de cette liste devra aussi être faite au fur et à mesure de l’évolution de vos liens de fédération. Ces ajouts peuvent se faire aussi bien depuis la console graphique d’administration comme le montre la figure 5 capture 5-DomaineList.jpg  que depuis une ligne de commande powershell avec les cmdlet New-CsBlockedDomain -Identity « sipdomain.com » et Remove-CsBlockedDomain -Identity « sipdomain.com ».