Настройка Lync Mobile 2010

Нюансы настройки Lync Mobile 2010 описаны в официальном гайде MS.

Кроме того, есть пошаговая статья с их форума.

Схематично, порядок действий можно описать так:

Создание DNS-записей для автообнаружения;
Установка обновления Lync 2010 от ноября 2011 года;
Установка Lync Mobility Service и Lync Autodiscover Service;
Изменение сертификатов для поддержки новых имен;
Настройка обратного прокси (reverse proxy);
Настройка push-уведомлений для Windows Phone/Apple iOS;
Настройка мобильной политики для пользователей.
Решение проблем.

Вкратце пройдусь по всем пунктам и резюмирую свой негативный опыт.

1) Создание DNS-записей для автообнаружения

У вас должны быть созданы:

внутренняя A-запись для пула на корпоративном DNS-сервере, например, lyncwebpool01.contoso.local;
внешняя A-запись для пула на публичном DNS-сервере, например, lyncwebextpool01.contoso.com;
в данном контексте подразумевается, что ваш SIP-домен – contoso.com.

Кстати, эти же FQDN должны быть прописаны в настройках вашего Lync-сервера как внутренний и внешний URL.

Для внутреннего пользования вам необходимо создать A/CNAME запись lyncdiscoverinternal.contoso.com, ссылающуюся на внутренний FQDN вашего пула.

Для внешнего пользования – A/CNAME запись lyncdiscover.contoso.com.

Обратите внимание, если вы обслуживаете несколько пулов, для них необходимы различные external URL. Кроме того, внешним URL не может быть lyncdiscover.contoso.com. Точнее, забить такое значение вы можете, но работать оно не будет.

2) Установка кумулятивного обновления на Lync Server

Особых сложностей тут нет. Я ставлю апдейты с Windows Update, можно скачать обновление и установить вручную.

После обновления необходимо будет обновить базу SQL.

Для Lync 2010 Standard Edition – Install-CsDatabase –Update -LocalDatabases;
Для Lync 2010 Enterprise Edition с базами мониторинга/архивации – Install-CsDatabase –Update –ConfiguredDatabases –SqlServerFqdn <SQL Server FQDN>;
Для Lync 2010 Enterprise Edition без баз мониторинга/архивации – Install-CsDatabase –Update –ConfiguredDatabases –SqlServerFqdn <SQL Server FQDN> -ExcludeCollocatedStores.

2.5) Настройка внутренних портов

Set-CsWebServer –Identity lyncwebpool01.contoso.local –McxSipPrimaryListeningPort 5086

Set-CsWebServer –Identity lyncwebpool01.contoso.local –McxSipExternalListeningPort 5087

После этого опубликуйте топологию.

Enable-CsTopology

3) Установка на Lync Server 2010 служб Mobility и Autodiscover

Установите IIS Dynamic Content Compression (в Windows 2008 R2 запустите Powershell и выполните:- Import-Module ServerManager - Add-WindowsFeature Web-Server, Web-Dyn-Compression).
В Windows 2008 выполнитеServerManagerCMD.exe –Install Web-Dyn-Compression
Если у вас IIS 7.0 (Windows 2008), необходимо установить Hotfix для ASP.NET.
Скачиваем дистрибутив, кладем его в путь C:\ProgramData\Microsoft\Lync Server\Deployment\cache\4.0.7577.0\setup. Запускаем C:\Program Files\Microsoft Lync Server 2010\Deployment\Bootstrapper.exe;
Если вы хотите ограничить использование Lync Mobile внутренней сетью, в Lync Management Shell выполните команду Set-CsMcxConfiguration –ExposedWebUrl Internal
Если у вас IIS 7.0, необходимо будет также настроить ASP.NET и перезапустить IIS.

4) Настройка сертификатов

Сертификаты для Lync Mobile должны быть минимум на двух серверах: Lync FrontEnd и Reverse Proxy. При подключении клиент должен доверять этим сертификатам. Соответственно, они либо выданы публичным Certificate Authority (CA), либо сертификат CA уже установлен на клиенте.

Соответственно, помимо Lync Internal FQDN в сертификате на FrontEnd еще должен быть Lync External FQDN, lyncdiscoverinternal.”domain” и lyncdiscover.”domain”. А на Reverse Proxy в свою очередь lyncdiscover.”domain” и Lync External FQDN.

Вообще говоря, для понимания этой мути, мне куда полезнее оказалась статья Jeff Schertz, чем официальный учебник по курсу.

5) Настройка Reverse Proxy.

Задача Reverse Proxy в пробросе порта 80/443 с внешнего интерфейса маршрутизатора в 8080/4443 для внешнего сайта Lync и преобразовании имени.

В общем-то, тут ничего сложного нет. Что в гайде, что в статье из шапки приведена пошаговая публикация линка через Threat Management Gateway (TMG). Если TMG нет, можно обойтись публикацией через IIS.

Ключевые моменты:

– вы используете правило публикации сайта;

– указываете внутреннее имя и внешнее имя (lyncdiscover & lync external url), на которые должно срабатывать правило;

– пересылаете заголовки хоста “Forward the original host header”;

– в настройках listener указываете аутентификацию “No delegation, but client may authenticate directly”.

После создания правила открываете его для редактирования:

– на вкладке To выставляете флаги “Forward the original host header instead of the actual one” и “Requests appear to come from the Forefront TMG computer”;

– на вкладке Bridging выбираете опцию “Redirect requests to SSL port” и указываете порт 4443.

80 порт лучше не пробрасывать, хотя в этом случае вам не нужен геморрой с сертификатами.

6) Настройка push-уведомлений для Windows Phone/Apple iOS.

Так как Windows Phone и Apple iOS – однозадачные ОС, для работы уведомлений в них требуется дополнительная прослойка – облачный сервис Microsoft/Apple.

Общий смысл требований таков:

– на Lync должны быть выданы сертификаты от публичного CA;

– при подключении из корпоративной сети для WiFi-клиентов необходимо открыть порты для подключения к облачным сервисам (Windows – 443, Apple – 5223).

Можно использовать как Lync 2010 Edge, так и OCS2007R2 Edge. Немного отличается настройка:

– в Lync необходимо добавлять провайдера через Shell

New-CsHostingProvider –Identity "LyncOnline" –Enabled $True –ProxyFqdn "sipfed.online.lync.com" –VerificationLevel UseSourceVerification;

– в OCS через панель управления как Federated Partner – sipfed.online.lync.com.

Затем необходимо включить Push-уведомления и федерацию:

Set-CsPushNotificationConfiguration –EnableApplePushNotificationService $True –EnableMicrosoftPushNotificationService $True

Set-CsAccessEdgeConfiguration -AllowFederatedUsers $True

7) Настройка мобильной политики

К примеру, следующий командлет отключает не только мобильных клиентов, но и функционал Call Via Work.

Set-CsMobilityPolicy –EnableMobility $False –EnableOutsideVoice $False

Задавать его можно как глобально, так и на сайт/пользователя.

А следующий командлет разрешает подключение мобильным клиентам не только из WiFi сети, но и через 3G-сети.

Set-CsMcxConfiguration –ExposedWebUrl External

8) Решение проблем.

Основные грабли как раз были связаны:

с непониманием архитектуры решения и необходимости использования ДВУХ разных серверов для внешнего подключения;
с отсутствием сертификатов, выданных публичным CA;
невозможностью использования имени lyncdiscover.”domain” в качестве внешнего URL для Lync;
если SIP и UPN-имя пользователя не совпадают (sip=a.vakhitov@contoso.com, UPN=a.vakhitov@contoso.local), то в клиенте Lync Mobile необходимо кроме SIP’а и пароля в параметрах ввести имя пользователя в формате NETBIOS_DOMAIN\username (LABS\IVAN).

В качестве наводки на траблшутинг можно посоветовать:

Проверить визардом от MS автообнаружение Lync;
Пройтись по этому гайду траблшутинга мобильных подключений.