Co to jest Microsoft Exchange ActiveSync i jak działa synchronizacja poczty?

Microsoft Exchange ActiveSync to protokół oparty na języku XML, który komunikuje się przez protokół HTTP, żeby synchronizować w czasie rzeczywistym pocztę e-mail, kalendarze i kontakty między serwerem a urządzeniami mobilnymi. Mechanizm ten działa w oparciu o technologię Direct Push, co oznacza, że serwer utrzymuje otwarte połączenie z telefonem i natychmiast wypycha nowe dane, gdy tylko pojawią się w skrzynce, zamiast czekać na zapytanie od klienta.

To jest po prostu ciągła wymiana żądań HTTP POST. Serwer i klient dogadują się co do stanu skrzynki pocztowej za pomocą unikalnych kluczy synchronizacji. Zajmowałem się tym we wtorek o trzeciej nad ranem, kiedy padł nam węzeł na produkcji. Użytkownicy masowo zgłaszali brak nowych maili na iPhone’ach. Okazało się, że load balancer ubijał długotrwałe sesje HTTP, co całkowicie psuło mechanizm Ping używany przez ActiveSync. Serwer próbował trzymać otwarte drzwi dla telefonu, a infrastruktura sieciowa brutalnie te drzwi zamykała. I tyle. Skutek był taki, że telefony przechodziły w tryb paniki i zaczynały odpytywać serwer co kilka sekund, zarzynając procesory na maszynach wirtualnych.

Jak dokładnie działa mechanizm Direct Push i wymiana komend?

Zasada działania opiera się na komendzie Ping. Smartfon wysyła do serwera Exchange żądanie Ping z określonym czasem życia, na przykład na 900 sekund. Serwer odbiera ten komunikat i wstrzymuje odpowiedź. Czeka. Jeżeli w ciągu tych 15 minut do skrzynki wpadnie nowy e-mail, serwer natychmiast przerywa ciszę i odsyła odpowiedź HTTP 200 OK z informacją, w którym folderze zaszła zmiana. Telefon wtedy inicjuje komendę Sync, pobiera samą wiadomość, po czym od nowa wysyła Ping. Cykl się zamyka.

Jeżeli przez 900 sekund nic się nie wydarzy, serwer odsyła pusty status. Klient wie, że wszystko działa poprawnie i po prostu ponawia żądanie. Całość jest kompresowana do formatu WBXML. To binarna wersja języka XML. Znacznie zmniejsza objętość przesyłanych danych, co ma ogromne znaczenie na łączach komórkowych o słabym zasięgu. Chociaż prawdę mówiąc brakuje nam twardych danych za wczoraj, więc wydaje się to tylko jedną z możliwych hipotez na najbliższy kwartał przed spowolnieniem rynku, że to właśnie kompresja WBXML ratuje stare instalacje przed całkowitym zapchaniem rur.

Prawda jest zresztą absolutnie taka, że zasady bezpieczeństwa EAS to często fikcja w małych firmach. Wymuszamy na użytkownikach kody PIN, a potem i tak ktoś zgłasza, że nie może odebrać maila od prezesa. Siedzisz nad logami z IIS, patrzysz na te błędy HTTP 403 i masz ochotę rzucić to wszystko. Zamiast spokoju mamy ciągłe użeranie się z certyfikatami SSL, które wygasają w najmniej odpowiednim momencie, blokując komunikację w firmie na pół dnia. Ale protokół zakłada proces Provisioningu. Urządzenie musi zaakceptować politykę bezpieczeństwa narzuconą przez administratora. Dopóki tego nie zrobi, serwer odpowiada kodem HTTP 449 Retry with. To twardy zakaz dostępu do danych.

Dlaczego Direct Push wygrywa z tradycyjnym odpytywaniem serwera?

Odpowiedź leży w zarządzaniu zasobami radia w telefonie komórkowym. Protokół IMAP w klasycznym wydaniu po prostu cyklicznie łączy się z serwerem. Pyta o nowe wiadomości co 15 minut. ActiveSync odwraca ten model.

• Urządzenie usypia antenę transmisyjną zaraz po wysłaniu komendy Ping, utrzymując jedynie niskopoziomowy nasłuch na porcie TCP. Bateria w smartfonie nie jest drenowana ciągłym nawiązywaniem sesji kryptograficznych TLS. Kiedy pojawia się nowa wiadomość, serwer po prostu pcha pakiet w dół otwartego tunelu.
• Mniejsze zużycie transferu.

Powyższa asymetria wymusza na administratorach poprawne skonfigurowanie limitów czasu bezczynności na zaporach sieciowych. Domyślny limit w systemach to często zaledwie 5 minut. ActiveSync wymaga co najmniej 15 lub nawet 30 minut. Jeśli firewall utnie sesję wcześniej, klient zinterpretuje to jako awarię połączenia. Wymusi to ponowne pełne nawiązanie sesji SSL, co zabije baterię urządzenia w kilka godzin. A użytkownicy zaczną zrzucać winę na aktualizację iOS lub Androida.

Jak telefon znajduje właściwy serwer za pomocą Autodiscover?

Proces konfiguracji konta pocztowego na urządzeniu mobilnym sprowadza się obecnie do podania adresu e-mail i hasła. Użytkownik nie wpisuje nazw serwerów. Odpowiada za to mechanizm Autodiscover. Telefon pobiera domenę z adresu e-mail i próbuje odpytać z góry określone adresy URL w poszukiwaniu pliku konfiguracyjnego XML.

Najpierw klient uderza pod adres oparty bezpośrednio o domenę. Potem dodaje przedrostek. Jeśli to zawiedzie, szuka rekordu SRV w strefie DNS. Kiedy w końcu znajdzie działający punkt końcowy, wysyła żądanie uwierzytelnione danymi użytkownika. Serwer oddaje plik XML zawierający adres URL usługi ActiveSync, identyfikatory katalogów i ustawienia uwierzytelniania. Zmieniliśmy te zasady na robocie w zeszłym miesiącu. Mieliśmy problem z błędnie skonfigurowanym rekordem CNAME, który kierował ruch z urządzeń mobilnych prosto w ślepą uliczkę. Zmiana wpisu w DNS naprawiła problem w 15 minut dla prawie pięćdziesiąt procent naszych użytkowników z oddziału w Katowicach.

Co się dzieje z identyfikatorami folderów i wiadomości?

Architektura poczty opiera się na ciągach znaków zwanych SyncKey. Kiedy klient łączy się po raz pierwszy, wysyła SyncKey o wartości 0. To sygnał dla serwera, żeby wygenerować nowy, unikalny klucz i odesłać go do telefonu. Ten klucz służy do śledzenia stanu synchronizacji. Telefon prosi o listę folderów za pomocą komendy FolderSync. Serwer odpowiada, podając identyfikator każdego folderu, na przykład „Katalog Główny” dostaje ID 1, „Skrzynka odbiorcza” ID 2.

Wtedy klient wykonuje komendę Sync dla konkretnego folderu. Serwer wysyła pakiet wiadomości i nowy SyncKey. Przy następnym połączeniu telefon podaje ten nowy klucz. Serwer porównuje go ze swoją bazą danych. Wie dokładnie, które maile użytkownik przeczytał, które usunął, a które przeniósł od czasu ostatniej synchronizacji. Pobiera z bazy tylko różnice zwane w slangu technicznym deltą. Jeżeli SyncKey się rozjedzie z powodu błędu aplikacji na telefonie, serwer wymusza pełną resynchronizację. Urządzenie musi pobrać wszystkie nagłówki od nowa.

Jakie problemy występują na styku klienta poczty i infrastruktury sieciowej?

Exchange ActiveSync działa na protokole HTTP, więc korzysta z tych samych kodów błędów co zwykłe strony internetowe. To bardzo ułatwia diagnozowanie problemów, pod warunkiem, że wiesz, czego szukasz w logach IIS na serwerach Windows. Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze? Sam się nad tym borykałem dzisiaj u siebie we wtorek. Widzisz błąd 401 Unauthorized i wiesz, że użytkownik zmienił hasło w domenie Active Directory, ale stary telefon wciąż dobija się ze starymi poświadczeniami, blokując ostatecznie konto w systemie.

Błąd 503 Service Unavailable oznacza przeciążenie puli aplikacji na serwerze pocztowym. Zbyt wiele urządzeń próbuje synchronizować dane w tym samym czasie. Wystarczy, że firma wyśle masowy mailing do wszystkich pracowników. Telefony dostają powiadomienie z Apple Push Notification Service lub Firebase Cloud Messaging, wybudzają się i uderzają w serwer w jednej sekundzie setkami żądań Sync. Load balancer nie wytrzymuje. Leci timeout. Pula wątków się wyczerpuje.

Apple i Google wdrożyły własne powiadomienia push, aby jeszcze bardziej oszczędzać baterię. Zamiast utrzymywać ciągłe połączenie HTTP bezpośrednio z firmowym serwerem Exchange, serwer wysyła krótki ping do chmury Apple lub Google. Chmura budzi telefon. Telefon nawiązuje połączenie z firmą i pobiera maila. Zdejmuje to obciążenie z sieci komórkowej, przenosząc je na infrastrukturę gigantów technologicznych. Zoptymalizowanie tej ścieżki w środowiskach on-premises wymaga otwarcia określonych portów na zewnątrz, co często spotyka się z oporem działów bezpieczeństwa.

Porównanie protokołów dostępu do skrzynki pocztowej

Rozumiemy już podstawy. Zobaczmy, jak to rozwiązanie wypada na tle starszych standardów, które wciąż plączą się po korporacyjnych sieciach.

Polityki bezpieczeństwa i zdalne zarządzanie urządzeniami mobilnymi

Wdrożenie poczty firmowej na prywatnych smartfonach pracowników to koszmar dla inspektorów ochrony danych. Exchange ActiveSync posiada wbudowane mechanizmy MDM na podstawowym poziomie. Administrator może wymusić hasło blokady ekranu, zablokować używanie aparatu fotograficznego lub całkowicie wyczyścić urządzenie do ustawień fabrycznych w przypadku jego zgubienia. To tak zwany Remote Wipe. Wysyłasz komendę z konsoli. Gdy telefon tylko połączy się z siecią i wyśle żądanie Ping, serwer odpowiada rozkazem destrukcji danych. Telefon wykonuje twardy reset.

To działa dobrze na sprzęcie w pełni zarządzanym przez firmę. Na urządzeniach prywatnych BYOD sprawa się komplikuje. Zdalne wyczyszczenie telefonu kasuje prywatne zdjęcia i wiadomości pracownika. Dlatego nowsze wersje systemów operacyjnych stosują konteneryzację. ActiveSync czyści tylko profil roboczy. Reszta danych pozostaje nietknięta. Użytkownik widzi po prostu, że zniknęła mu ikona firmowej poczty i kalendarza. To radykalnie obniża opór przed podpinaniem prywatnych komórek do korporacyjnego Exchange.

Zmienia to układ sił na linii IT a pracownicy. Wcześniej każdy bał się kliknięcia „Wyczyść” przez pomyłkę w helpdesku. Teraz procesy te są często zautomatyzowane. Pracownik wpisuje błędne hasło 10 razy, a jego kontener pocztowy ulega samozniszczeniu. Musi dzwonić na wsparcie techniczne, aby zresetować status urządzenia w systemie pocztowym.

Formatowanie wiadomości i obsługa załączników

Protokół potrafi negocjować format pobieranych danych. Kiedyś telefony nie radziły sobie z wiadomościami HTML. ActiveSync pozwalał na konwersję w locie do czystego tekstu na serwerze. Dziś to relikt przeszłości. Smartfony renderują skomplikowane maile lepiej niż stare klienty na komputerach stacjonarnych. Skupiono się na obsłudze załączników.

Załączniki nie są pobierane automatycznie w całości. Synchronizacja obejmuje tylko ich nazwy i rozmiar. Dopiero gdy użytkownik kliknie plik PDF, telefon wysyła żądanie ItemOperations. Serwer wyciąga ten konkretny plik z bazy i przesyła na urządzenie. Oszczędza to ogromne ilości miejsca w pamięci flash telefonu. Użytkownik przegląda setki maili z prezentacjami, ale fizycznie na dysku lądują tylko te, które faktycznie otworzył. A i tak potrafią one zapchać pamięć po kilku miesiącach intensywnej pracy handlowca w terenie.

Wersjonowanie protokołu i rozwój technologii komunikacyjnej

Protokół ewoluował przez lata. Wersja 14.0 wprowadziła obsługę wyszukiwania wiadomości bezpośrednio na serwerze bez konieczności pobierania ich na telefon. Wersja 16.0 dodała wsparcie dla synchronizacji folderu wersji roboczych. Zaczynasz pisać maila w pociągu na telefonie, tracisz zasięg, chowasz telefon. Wracasz do biura, otwierasz Outlooka na laptopie, a rozpoczęta wiadomość już tam na ciebie czeka w folderze Kopie robocze. Magia polega po prostu na natychmiastowym wypchnięciu komendy Sync zaraz po odzyskaniu połączenia z siecią bez czekania na cykl odpytywania.

Microsoft powoli odchodzi od rozwijania tego protokołu na rzecz nowego Microsoft Graph API w środowiskach chmurowych Office 365. Graph jest architekturą opartą na REST i formacie JSON. Znacznie lżejszy i bardziej uniwersalny dla programistów tworzących aplikacje webowe. Ale w setkach tysięcy lokalnych serwerowni na całym świecie ActiveSync pozostanie standardem komunikacji jeszcze przez wiele lat. Bo ten protokół ma swoje za uszami, ale po prostu działa w najbardziej opresyjnych warunkach sieciowych.

Zrób test na własnej infrastrukturze. Otwórz wiersz poleceń, wrzuć odpowiednie polecenia PowerShell i sprawdź, ile martwych urządzeń blokuje ci sesje na IIS. Obetnij sieroty. Zobaczysz spadek obciążenia CPU o kilkanaście procent.

Najczęściej zadawane pytania (FAQ)

• Co to jest Exchange ActiveSync?
  Exchange ActiveSync to oparty na języku XML protokół komunikacyjny stworzony przez firmę Microsoft, który służy do bezpośredniej synchronizacji poczty e-mail, kontaktów, kalendarzy i zadań między serwerem pocztowym a urządzeniami mobilnymi w czasie rzeczywistym.
• Na czym polega technologia Direct Push?
  Direct Push polega na utrzymywaniu aktywnego, niskopoziomowego połączenia sieciowego między smartfonem a serwerem. Kiedy na serwer trafia nowa wiadomość, jest ona natychmiast wypychana na urządzenie bez konieczności cyklicznego odpytywania serwera przez telefon.
• Czy ActiveSync obsługuje synchronizację kalendarza?
  Oczywiście. Protokół posiada natywną, wbudowaną obsługę synchronizacji elementów kalendarza oraz kontaktów, eliminując potrzebę korzystania z dodatkowych protokołów takich jak CalDAV czy CardDAV.
• Jaki port sieciowy jest używany przez ActiveSync?
  Komunikacja odbywa się za pośrednictwem standardowego protokołu HTTPS, co oznacza, że wykorzystywany jest port TCP 443. Zapewnia to szyfrowanie przesyłanych danych za pomocą certyfikatów SSL/TLS.
• Jak działa mechanizm Autodiscover?
  Autodiscover to usługa automatycznej konfiguracji. Urządzenie na podstawie wpisanego adresu e-mail odpytuje rekordy DNS w celu znalezienia odpowiedniego pliku konfiguracyjnego XML, który zawiera adres serwera pocztowego i wymagane parametry połączenia.
• Czy można zdalnie wyczyścić telefon przez ActiveSync?
  Tak. Protokół obsługuje podstawowe polityki MDM, w tym funkcję Remote Wipe. Pozwala ona administratorowi na zdalne wyczyszczenie danych z urządzenia lub z samego kontenera pocztowego w przypadku kradzieży bądź zgubienia sprzętu.

Bibliografia

1. Microsoft Learn – https://learn.microsoft.com
2. Internet Engineering Task Force (IETF) – https://www.ietf.org
3. CERT Polska – https://cert.pl
4. Baza wiedzy Apple Support – https://support.apple.com
5. Dokumentacja Android Enterprise – https://developer.android.com