Exchange 2010 - Postfix Relay - Forefront TMG 2010 für OWA und Active Sync

Hallo Leute,

ich brauche mal einfach einige Meinungen zu meinem Vorhaben bzw. meinen Ideen. Kurz vorweg, wir haben bei uns in der Firma die Email Kommunikation von einem einfachen Imap / Pop3 Server unter Linux auf Exchange 2010 umgestellt. Um die unterbrechungen so klein zu halten wie möglich, habe ich nach und nach die Postfächer auf unseren Exchange übernommen, und dann auf dem alten Server ein redirect auf die postfächer zu den internen namen wie z.B. user@domain.local gelegt. Soweit so gut, funktioniert. Der Exchange Server befindet sich in unserem internen Netz, der Linux "relay" Server befindet sich in der DMZ. Die Mails kommen direkt per MX Eintrag auf dem Linux Server an. Also kein pop3 fetch oder ähnliches.
Ebenfalls befindet sich un unserer DMZ noch ein Forefront TMG 2010 als reverse Proxy für OWA und Active Sync (Smartphone)
Jetzt zum eigentlichen Problem:
Natürlich soll der alte Linux Server in der nächsten Zeit komplett entfallen, also brauche ich eine andere Maschine, die die Email vom Internet entgegennimmt.
Soll ich den Forefront TMG diese Sache übernehmen lassen ? Stichwort Exchange Edge Transport Rolle.... bietet sich ja an, da die Maschine eh vorhanden ist und sich in der DMZ befindet. Ich hatte bisher ehrlich gesagt immer ein bisschen Muffe davor, einen Windows Mailer ans Internet zu hängen. Auch wenn mit Exchange 2010 sich seehr viel getan hat, was meint ihr? Ausserdem sehe ich noch Probleme bei der Spamassasin Konfiguration !

Als Alternative würde ich ein Postfix relay auf einer anderen vorhandenen Maschine einrichten. Dabei sehe ich 2 Probleme...

Lasse ich Postfix die gültigkeit der Email Adressen nicht gegen unser AD prüfen, nimmt er erst einmal alles an und leitet es an Exchange weiter. Wenn dieser dann merkt Email Konto nicht vorhanden, haut er eine von sich generierte Nachricht raus. Also auch für jeden SPAM. Eigentlich sollte man ja ungülige Adressen bzw. Konten erst gar nicht annehmen.

Lasse ich jedoch Postfix gegen unser AD prüfen, muss ich ja in einer Konfigurationsdatei einen Zugang zum internen AD mit USER und KENNWORT hinterlegen. Dazu noch die Ports in der Firewall öffnen. Da stellen sich grad so ein bisschen meine Nackenhaare auf.

Was meint ihr dazu ? Auch auf die Konfiguration von Spamassasin bezogen. Unter Linux kenne ich den sehr gut. Bei Exchange bzw. in der Edge Rolle fehlen mir da so einige Konfig Möglichkeiten. Wie z.B. zusätzliche scripte zu Prüfung einbinden.

Bin für jeden Rat dankbar.