TLS 암호화를 사용하여 CRES 보안 암호화 서비스 메시지 회신 구성

소개

이 문서에서는 Secure Envelope 첨부 파일 대신 CRES 인바운드 보안 회신에 대한 TLS 암호화를 구성하는 작업에 대해 설명합니다.

Cisco RES: TLS를 사용하여 암호화되지 않은 RES 응답을 보호하는 방법

기본적으로 보안 이메일에 대한 회신은 Cisco RES에 의해 암호화되어 메일 게이트웨이로 전송됩니다. 그런 다음 최종 사용자가 Cisco RES 자격 증명으로 열 수 있도록 암호화된 메일 서버로 전달됩니다.

Cisco RES 보안 메시지 응답을 열 때 사용자 인증이 필요하지 않도록 하기 위해 Cisco RES는 TLS(Transport Layer Security)를 지원하는 메일 게이트웨이에 "암호화되지 않은" 형식으로 전달합니다. 대부분의 경우 메일 게이트웨이는 Cisco ESA(Email Security Appliance)이며 이 문서가 적용됩니다.

그러나 외부 스팸 필터와 같이 ESA 앞에 있는 다른 메일 게이트웨이가 있는 경우 ESA에서 인증서/TLS/메일 플로우 컨피그레이션을 수행할 필요가 없습니다. 이 경우 이 문서의 솔루션 섹션에서 1~3단계를 건너뛸 수 있습니다. 암호화되지 않은 회신이 이 환경에서 작동하려면 외부 스팸 필터(메일 게이트웨이)가 TLS를 지원해야 하는 어플라이언스입니다. TLS를 지원하는 경우 Cisco RES에서 이를 확인하도록 하고 보안 이메일에 대한 "암호화되지 않은" 회신을 설정하도록 할 수 있습니다.

발신자 정책 프레임워크

SPF(Sender Policy Framework) 확인 실패를 방지하려면 SPF 레코드에 이 값을 추가합니다.

CRES(Cisco Registered Envelope Service) SPF 레코드 값은 이 테이블의 IP/호스트 이름인 "Hostnames and IP Addresses"와 일치합니다.

Cisco 제공 SPF 메커니즘을 사용하는 출력:

~ dig txt res.cisco.com +short
"v=spf1 mx:res.cisco.com exists:%{i}.spf.res.cisco.com -all"

기존 SPF 레코드에 이 메커니즘을 추가합니다.

include:res.cisco.com

새로운 res.cisco.com 메커니즘이 포함된 FAKE/테스트 SPF 레코드의 예:

"v=spf1 mx:sampleorg1.com ip4:1.2.3.4 include:res.cisco.com -all"

Cisco RES를 SPF 레코드에 추가하는 위치 및 방법은 네트워크 토폴로지 내에서 DNS(Domain Name System)가 구현되는 방식에 따라 달라집니다. 자세한 내용은 DNS 관리자에게 문의하십시오.

DNS가 Cisco RES를 포함하도록 구성되지 않은 경우 보안 작성 및 보안 회신이 생성되어 호스트된 키 서버를 통해 전달되면 발신 IP 주소가 수신자 끝에 나열된 IP 주소와 일치하지 않아 SPF 확인이 실패합니다.

호스트 이름 및 IP 주소

참고: 호스트 이름과 IP 주소는 서비스/네트워크 유지 관리 또는 서비스/네트워크 증가에 따라 변경될 수 있습니다. 모든 호스트 이름 및 IP 주소가 서비스에 사용되는 것은 아닙니다. 참고할 수 있도록 제공됩니다.

솔루션

• ESA에서 서명된 인증서 및 중간 인증서를 가져오고 설치합니다.
  
  

  참고: 어플라이언스에서 제공되는 데모 인증서로 인해 CRES 확인 프로세스가 실패하므로 서명 기관으로부터 중간 인증서를 받아야 합니다.

• 새 메일 플로우 정책을 생성합니다.
  1. GUI에서 를 선택합니다Mail Policies > Mail Flow Policies > Add Policy.
  2. 이름을 입력하고 'Security Features: TLS'를 제외한 모든 항목을 기본값으로 둡니다. 이 값을 Required(필수)로 설정합니다.
• 새 Sender Group 생성:
  1. GUI에서 를 선택합니다Mail Policies > HAT Overview > Add Sender Group.
  2. 이름을 입력하고 주문 번호를 #1로 설정합니다. 선택 사항인 설명을 입력할 수도 있습니다. 2단계에서 생성한 메일 플로우 정책을 선택합니다. 다른 것은 모두 비워 두세요.
  3. andSubmit 를Add Senders 클릭합니다.
• Sender(발신자) 필드에 다음 IP 범위 및 호스트 이름을 입력합니다.

  .res.cisco.com
  .cres.iphmx.com
  208.90.57.0/26 (current CRES IP network range)
  204.15.81.0/26 (old CRES IP network range)

• 변경 사항을 제출하고 커밋합니다.

• ESA가 Cisco RES 서버에서 TLS 암호화를 협상할 준비가 되었다고 확신하면 CRES 관리 포털의 단계를 따르십시오. 내 도메인이 Cisco RES를 사용하는 TLS를 지원하는지 테스트하려면 어떻게 합니까?

관련 정보

• Cisco RES: 키 서버의 IP 주소 및 호스트 이름
• Cisco Email Security Appliance − 엔드 유저 가이드
• 기술 지원 및 문서 − Cisco Systems