ExchangeServer

Exchange Edge Transport

Allgemeine Infos

Der Edge-Transport-Server ist neben dem Mailbox-Server die zweite Serverrolle von Exchange Server SE. Er steht im Perimeternetz (DMZ), ist kein Mitglied der Active-Directory-Domäne und speichert seine Konfiguration in einer lokalen AD-LDS-Instanz. So kommt der gesamte Internet-Mailverkehr nicht direkt mit den internen Servern in Berührung.

Laut Microsoft minimiert die Rolle die Angriffsfläche, ergänzt Schutz gegen Viren und Spam und kann Transportregeln auf den Mailfluss anwenden. Sie wird mit Exchange SE weiter ausgeliefert und unterstützt.

In der Praxis ist die Rolle seltener geworden, weil Cloud-Filter wie Exchange Online Protection, Microsoft Defender for Office 365 oder Drittanbieter-Gateways die Annahme und Filterung übernehmen. Im Hybridbetrieb kann ein Edge-Server trotzdem den Mailflow zwischen lokaler Organisation und Exchange Online übernehmen.

Funktionsweise & Details

Ein Edge-Server wird so eingebunden:

  1. Installation auf einem Windows-Server im Perimeternetz ohne Domänenmitgliedschaft, mit eigenem DNS-Suffix.
  2. Edge-Abonnement (Edge Subscription): Auf dem Edge-Server mit New-EdgeSubscription eine XML-Datei erzeugen und auf einem Mailbox-Server importieren.
  3. Der Microsoft-Exchange-EdgeSync-Dienst repliziert danach Empfänger, akzeptierte Domänen und Konfiguration verschlüsselt per LDAP auf TCP-Port 50636 in die AD-LDS-Instanz.
  4. Send-Connectoren zum Internet und zur internen Organisation entstehen automatisch.
  5. Anti-Spam-Agents wie Verbindungsfilter, Absenderfilter, Empfängerfilter mit Empfängerprüfung gegen die replizierten Daten und Absenderreputation verarbeiten die Mails.

Vorteile & Nutzen

  • Trennung der Internet-Mailannahme vom internen Netz, weil der Edge-Server keine Domänenanmeldedaten kennt.
  • Empfängerfilterung gegen die replizierte Empfängerliste weist Mails an nicht existierende Adressen schon am Rand ab.
  • Transportregeln am Perimeter greifen, bevor Mails das interne Netz erreichen.
  • Kein zusätzlicher Gateway-Hersteller nötig, die Verwaltung bleibt im Exchange-Werkzeugkasten.

Praxisbeispiel

Ein Rüstungszulieferer darf laut Vorgaben seines Auftraggebers keine Mails über Cloud-Dienste filtern lassen. Er betreibt zwei Edge-Transport-Server mit Exchange SE in der DMZ, die eingehende Mails annehmen, prüfen und über das Edge-Abonnement an die interne DAG weitergeben. Die Firewall erlaubt nur SMTP aus dem Internet zu den Edge-Servern sowie SMTP und EdgeSync zwischen DMZ und internem Netz.

Worauf sollte man achten?

  • Edge-Server brauchen eigene Updates und eigene Zertifikate; plane sie in Patch- und Zertifikatsprozesse ein.
  • Nach Änderungen an Connectoren oder einem neuen Produktschlüssel das Edge-Abonnement neu erstellen.
  • Edge-Server akzeptieren laut Microsoft-MVP-Übersicht nur die Standard- oder Testedition als Schlüssel.
  • Die Edge-Rolle nicht mit der Mailbox-Rolle auf einem Server kombinieren, das unterstützt Exchange nicht.
  • Prüfen, ob ein Cloud-Filter denselben Schutz mit weniger Betriebsaufwand liefert.

Lizenz & Verfügbarkeit

Die Edge-Transport-Rolle ist Bestandteil von Exchange Server SE. Für Edge-Server gelten die Lizenzregeln von Exchange SE mit Serverlizenz und Software Assurance oder Abo; als Produktschlüssel akzeptiert die Rolle laut Übersicht in der Microsoft Tech Community nur die Standard- oder Testedition. Stand: Oktober 2026.

Fazit

Edge Transport ist eine Lösung für Umgebungen mit strengen Vorgaben zur Mailannahme im eigenen Haus. Für die meisten Mittelständler erfüllt ein Cloud-Filter denselben Zweck mit weniger Aufwand.

Weiterführende Links

Verwandte Artikel