Microsoft 365 configureren met beveiligde e-mail

Inleiding

In dit document worden de configuratiestappen beschreven om Microsoft 365 te integreren met Cisco Secure Email voor levering van inkomende en uitgaande e-mail.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Cisco Secure Email Gateway of Cloud Gateway
• CLI-toegang (Command Line Interface) tot uw Cisco Secure Email Cloud Gateway-omgeving:
  Cisco Secure Email Cloud Gateway > CLI-toegang (Command Line Interface)
• Microsoft 365
• Simple Mail Transfer Protocol (SMTP)
• Domain Name Server of Domain Name System (DNS)

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Dit document kan worden gebruikt voor gateways op locatie of voor Cisco Cloud-gateways.

Als u een Cisco Secure Email Administrator bent, bevat uw welkomstbrief uw Cloud Gateway IP-adressen en andere relevante informatie. Naast de brief die u hier ziet, wordt er een versleutelde e-mail naar u gestuurd die u aanvullende informatie geeft over het aantal Cloud Gateway (ook bekend als ESA) en Cloud Email and Web Manager (ook bekend als SMA) dat is meegeleverd voor uw toewijzing. Als u geen exemplaar van de brief hebt ontvangen of niet in het bezit hebt, neem dan contact op ces-activations@cisco.com met uw contactgegevens en domeinnaam onder de service.

     

     

Elke client heeft speciale IP's. U kunt de toegewezen IP-adressen of hostnamen gebruiken in de Microsoft 365-configuratie.

Opmerking: het is ten zeerste aan te raden om te testen vóór een geplande conversie van de productie-mail, omdat configuraties tijd nodig hebben om te repliceren in de Microsoft 365 Exchange-console. Laat minimaal een uur staan om alle wijzigingen van kracht te laten worden.

Opmerking: de IP-adressen in de schermopname zijn evenredig met het aantal cloudgateways dat is geleverd aan uw toewijzing. Bijvoorbeeld, xxx.yy.140.105  is het Gegevens 1 interfaceIP adres voor Gateway 1, en xxx.yy.150.1143  is het Gegevens 1 interfaceIP adres voor Gateway 2. Gegevens 2 interface IP-adres voor gateway 1 is xxx.yy.143.186 , en gegevens 2 interface IP-adres voor gateway 2 is xxx.yy.32.98. Als uw welkome brief geen informatie voor Gegevens 2 (Uitgaande interface IPs) omvat, neem contact op met Cisco TAC om de Data 2-interface aan uw toewijzing toe te voegen.

Microsoft 365 configureren met beveiligde e-mail

Inkomende e-mail vanuit Cisco Secure Email configureren in Microsoft 365

Spamfilterregel omzeilen

1. Log in op het Microsoft 365 Admin Center (https://portal.microsoft.com).
2. In het linker menu vouwt u het programma uit Admin Centers.
3. Klik op de knop Exchange.
4. Navigeer vanuit het linkermenu naar Mail flow > Rules.
5. Klik om een nieuwe regel [+] aan te maken.
6. Kies Bypass spam filtering... uit de vervolgkeuzelijst.
7. Voer een naam in voor uw nieuwe regel: Bypass spam filtering - inbound email from Cisco CES.
8. Voor *Deze regel toepassen als..., kies The sender - IP address is in any of these ranges or exactly matches.
   1. Voeg voor de pop-up gespecificeerde IP-adresbereiken de IP-adressen toe die in uw welkomstbrief voor Cisco Secure Email worden verstrekt.
   2. Klik op de knop OK.
9. Voor *Doe het volgende..., de nieuwe regel is vooraf geselecteerd: Set the spam confidence level (SCL) to... - Bypass spam filtering.
10. Klik op de knop Save.

Een voorbeeld van hoe uw regel eruit ziet:

Ontvangende connector

1. Blijf in het Exchange-beheercentrum.
2. Navigeer vanuit het linkermenu naar Mail flow > Connectors.
3. Klik om een nieuwe connector [+] te maken.
4. Kies in het pop-upvenster Selecteer het scenario voor de e-mailstroom:
   1. Van: Partner organization
   2. in: Office365
5. Klik op de knop Next.
6. Voer een naam in voor uw nieuwe connector: Inbound from Cisco CES.
7. Voer desgewenst een beschrijving in.
8. Klik op de knop Next.
9. Klik op de knop Use the sender's IP address.
10. Klik op de knop Next.
11. Klik op [+] en voer de IP-adressen in die worden aangegeven in uw welkomstbrief voor beveiligde e-mail van Cisco.
12. Klik op de knop Next.
13. Kiezen Reject email messages if they aren't sent over Transport Layer Security (TLS).
14. Klik op de knop Next.
15. Klik op de knop Save.



Een voorbeeld van hoe uw verbindingsconfiguratie eruit ziet:

E-mail van Cisco Secure Email naar Microsoft 365 configureren

Besturingselementen voor bestemming

Stel een self-throttle op aan een bezorgingsdomein in uw Bestemmingscontroles. Natuurlijk kunt u de gaspedaal later verwijderen, maar dit zijn nieuwe IPs naar Microsoft 365, en u wilt geen gaspedaal door Microsoft vanwege zijn onbekende reputatie.

1. Meld u aan bij uw gateway.
2. Naar navigeren Mail Policies > Destination Controls.
3. Klik op de knop  Add Destination.
4. Gebruik:
   1. Bestemming: Voer uw domeinnaam in
   2. Gelijktijdige verbindingen: 10
   3. Maximum aantal berichten per verbinding: 20
   4. TLS-ondersteuning: Preferred
5. Klik op de knop Submit.
6. Klik rechtsboven Commit Changes in de gebruikersinterface om de wijzigingen in de configuratie op te slaan.

Een voorbeeld van hoe uw Bestemmingscontroletabel eruit ziet:

Toegangstabel voor ontvangers

Stel vervolgens de Recipient Access Table (RAT ofwel Toegangstabel voor ontvangers) in om e-mail voor uw domeinen te accepteren:

1. Naar navigeren Mail Policies > Recipient Access Table (RAT).

   Opmerking: Zorg ervoor dat de Luisteraar voor Inkomende Luisteraar, IncomingMail of MailFlow is, gebaseerd op de feitelijke naam van uw Luisteraar voor uw primaire mailstroom.

2. Klik op de knop Add Recipient.
3. Voeg uw domeinen toe in het veld Ontvankelijk adres.
4. Kies de standaardactie van Accept.
5. Klik op de knop Submit.
6. Klik Commit Changes in de rechterbovenhoek van de UI om uw configuratieveranderingen op te slaan.

Een voorbeeld van hoe uw RAT-vermelding eruit ziet:

     

SMTP-routes

Stel de SMTP-route in om e-mail te leveren vanuit Cisco Secure Email naar uw Microsoft 365-domein:

1. Naar navigeren Network > SMTP Routes.
2. Klik op de knop Add Route...
3. Domein ontvangen: voer uw domeinnaam in.
4. Bestemmingshosts: voeg uw originele Microsoft 365 MX-record toe.
5. Klik op de knop Submit.
6. Klik Commit Changes in de rechterbovenhoek van de UI om uw configuratieveranderingen op te slaan.

Een voorbeeld van hoe uw SMTP-routeinstellingen eruit zien:

Configuratie van DNS (MX-record)

U bent klaar om het domein te doorsnijden via een Mail Exchange (MX) record wijziging. Werk samen met uw DNS-beheerder om uw MX-records op te lossen naar de IP-adressen voor uw Cisco Secure Email Cloud-exemplaar, zoals voorzien in uw welkomstbrief voor Cisco Secure Email.

Controleer ook de wijziging van het MX-record van uw Microsoft 365-console:

1. Meld u aan bij de Microsoft 365 Admin-console (https://admin.microsoft.com).
2. Naar navigeren Home > Settings > Domains.
3. Kies uw standaard domeinnaam.
4. Klik op de knop Check Health.

Dit biedt de huidige MX Records van hoe Microsoft 365 uw DNS- en MX-records opzoekt die aan uw domein zijn gekoppeld:

Opmerking: in dit voorbeeld wordt het DNS gehost en beheerd door Amazon Web Services (AWS). Als beheerder, verwacht een waarschuwing te zien als uw DNS ergens buiten de Microsoft 365-account wordt gehost. Je kunt waarschuwingen als: "We hebben niet gedetecteerd dat je nieuwe records hebt toegevoegd aan your_domain_here.com. Zorg ervoor dat de records die u bij uw host hebt gemaakt overeenkomen met de hier weergegeven records..."  Met de stapsgewijze instructies worden de MX-records opnieuw ingesteld op wat aanvankelijk was geconfigureerd om naar uw Microsoft 365-account te worden doorgestuurd. Dit verwijdert de Cisco Secure Email Gateway uit de inkomende verkeersstroom.

Inkomende e-mail testen

Test inkomende mail naar uw Microsoft 365 e-mailadres. Controleer vervolgens of het in je Microsoft 365 email inbox aankomt.

Valideren van de e-maillogbestanden in het berichtentraceren op uw Cisco Secure Email and Web Manager (ook bekend als SMA) die bij uw exemplaar wordt geleverd.

U kunt e‑maillogboeken als volgt bekijken in uw SMA:

1. Meld u aan bij uw SMA (https://sma.iphmx.com/ng-login).
2. Klik op de knop  Tracking.
3. Voer de gewenste zoekcriteria in en klik op Search; en verwacht dergelijke resultaten te zien:

U kunt e‑maillogboeken als volgt bekijken in Microsoft 365:

1. Log in op het Microsoft 365 Admin Center (https://admin.microsoft.com).
2. Uitbreiden Admin Centers.
3. Klik op de knop Exchange.
4. Naar navigeren Mail flow > Message trace.
5. Microsoft geeft standaardcriteria om mee te zoeken. Kies bijvoorbeeld Messages received by my primary domain in the last day om uw zoekopdracht te starten.
6. Voer de gewenste zoekcriteria voor ontvangers in en klik op Search en verwacht resultaten te zien die vergelijkbaar zijn met:

Uitgaande e-mail van Microsoft 365 configureren in Cisco Secure Email

RELAYLIST configureren op Cisco Secure Email Gateway

Raadpleeg uw welkomstbrief voor Cisco Secure Email. Bovendien wordt een secundaire interface gespecificeerd voor uitgaande berichten via uw gateway.

1. Meld u aan bij uw gateway.
2. Naar navigeren Mail Policies > HAT Overview.
   
   

   Opmerking: Zorg ervoor dat de Luisteraar is voor Uitgaande Luisteraar, UitgaandeMail, of MailFlow-Ext, gebaseerd op de feitelijke naam van uw Luisteraar voor uw externe/uitgaande e-mailstroom.

3. Klik op de knop  Add Sender Group...
4. Configureer de afzendersgroep als volgt:
   1. Naam: RELAY_O365
   2. Opmerking: <<voer een opmerking in als u de groep van afzenders wilt noteren>
   3. Beleid: RELAYED
   4. Klik op de knop  Submit and Add Senders.
   5. Afzender: .protection.outlook.com
      

      Opmerking: De . (punt) aan het begin van de naam van het afzenderdomein is vereist.

   6. Klik op de knop Submit.
   7. Klik Commit Changes in de rechterbovenhoek van de UI om uw configuratieveranderingen op te slaan.

Een voorbeeld van hoe uw Sender Group Settings eruit ziet:

TLS inschakelen

1. Klik op de knop <<Back to HAT Overview.
2. Klik op het E-mailstroombeleid met de naam: RELAYED.
3. Blader naar beneden en kijk in het Security Features gedeelte naar Encryption and Authentication.
4. Kies het volgende voor TLS: Preferred.
5. Klik op de knop Submit.
6. Klik Commit Changes in de rechterbovenhoek van de UI om uw configuratieveranderingen op te slaan.

Een voorbeeld van hoe uw Mail Flow Policy-configuratie eruit ziet:

E-mail configureren van Microsoft 365 naar CES

1. Log in op het Microsoft 365 Admin Center (https://admin.microsoft.com).
2. Uitbreiden Admin Centers.
3. Klik op de knop Exchange.
4. Naar navigeren Mail flow > Connectors.
5. Klik op [+] om een nieuwe connector te maken.
6. Kies in het pop-upvenster Selecteer het scenario voor de e-mailstroom:
   1. Van: Office365
   2. in:Partner organization
7. Klik op de knop Next.
8. Voer een naam in voor uw nieuwe connector: Outbound to Cisco CES.
9. Voer desgewenst een beschrijving in.
10. Klik op de knop Next.
11. Wanneer wilt u deze connector gebruiken?:
    1. Kies: Only when I have a transport rule set up that redirects messages to this connector.
    2. Klik op de knop Next. 
12. Klik op de knop Route email through these smart hosts.
13. Klik [+] en voer de uitgaande IP-adressen of hostnamen in die u in uw CES welkomstbrief hebt opgegeven.
14. Klik op de knop  Save.
15. Klik op de knop  Next.
16. Voor Hoe kan Office 365 verbinding maken met de e-mailserver van uw partnerorganisatie?
    1. Kies: Always use TLS to secure the connection (recommended).
    2. KiesAny digital certificate, including self-signed certificates.
    3. Klik op de knop Next.
17. Het bevestigingsscherm verschijnt.
18. Klik op de knop  Next.
19. Gebruik dit [+] om een geldig e-mailadres in te voeren en klik op OK.
20. Klik op Validate de validatie en laat deze uitvoeren.
21. Klik nadat u het programma hebt voltooid op Close.
22. Klik op de knop Save.

Een voorbeeld van hoe uw uitgaande connector eruit ziet:



Een e-mailstroomregel maken

1. Meld u aan bij uw Exchange-beheercentrum (https://outlook.office365.com).
2. Klik op mail flowhet tabblad Regels.
3. Klik op [+] om een nieuwe regel toe te voegen.
4. Kiezen Create a new rule.
5. Voer een naam in voor uw nieuwe regel: Outbound to Cisco CES.
6. Voor *Deze regel toepassen als..., kies: The sender is located...
   1. Kies voor het pop-upvenster Scanderlocatie: Inside the organization.
   2. Klik op de knop OK.
7. Klik op de knop More options...
8. Klik op add condition de knop en voer een tweede voorwaarde in:
   1. Kiezen The recipient...
   2. Kies: Is external/internal.
   3. Kies voor het pop-upvenster Scanderlocatie: Outside the organization .
   4. Klik op de knop OK.
9. Voor *Doe het volgende..., kies: Redirect the message to...
   1. Selecteer: de volgende connector.
   2. Selecteer uw optie Uitgaand naar Cisco CES-connector.
   3. Klik op OK.
10. Ga terug naar "*Doe het volgende..." en voer een tweede handeling in:
    1. Kies: Modify the message properties...
    2. Kies: set the message header
    3. Stel de berichtkop in: X-OUTBOUND-AUTH.
    4. Klik op de knop  OK.
    5. Stel de waarde in: mysecretkey.
    6. Klik op de knop OK.
11. Klik op de knop Save.

Opmerking: Om te voorkomen dat onbevoegde berichten van Microsoft worden verzonden, kan een geheime x-header worden afgestempeld wanneer berichten uw Microsoft 365-domein verlaten; deze header wordt geëvalueerd en verwijderd voor levering op het internet.

Een voorbeeld van hoe uw Microsoft 365 Routing-configuratie eruit ziet:



Open tot slot de opdrachtregelinterface voor de Cisco Secure Email Gateway.  

Opmerking: Cisco Secure Email Cloud Gateway > Command Line Interface (CLI) access.

Maak een berichtfilter om de aanwezigheid en de waarde van de x-header te controleren en verwijder de header als deze bestaat. Als er geen header is, wijs het bericht dan af.

1. Meld u aan bij uw Gateway via de CLI.
2. Start de Filters opdracht.
3. Als uw Gateway geclusterd is, tik op Return om de filters in Cluster-modus te bewerken.
4. Gebruik de New opdracht om een Berichtenfilter, -kopie en -plak te maken:
   
   

   office365_outbound: if sendergroup == "RELAYLIST" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }

5. Druk één keer op Enter om een nieuwe lege regel te maken.
6. Voer [.] op de nieuwe regel uw nieuwe berichtfilter in.
7. Klik op return een keer om het menu Filters te verlaten.
8. Voer de Commit opdracht uit om de wijzigingen in de configuratie op te slaan.

     

Uitgaande e-mail testen

Test uitgaande post van uw Microsoft 365 e-mailadres naar een externe domeinontvanger. U kunt de Berichttracering vanuit uw Cisco Secure Email and Web Manager bekijken om er zeker van te zijn dat deze correct wordt verzonden.

Opmerking: controleer uw TLS-configuratie (systeembeheer > SSL-configuratie) op de gateway en de algoritmen die voor uitgaande SMTP worden gebruikt. Aanbevolen door Cisco Best Practices:



HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

       

Een voorbeeld van Tracking (Tracering) met succesvolle levering:

Klik More Details om de volledige berichtdetails te zien:

Een voorbeeld van berichttracering waarbij de x-header niet overeenkomt:

Gerelateerde informatie 

Cisco Secure E-mail gateway-documentatie

• Release-opmerkingen
• Gebruikershandleiding
• CLI-referentiegids
• API-programmeerhandleidingen voor Cisco Secure Email Gateway
• Open bron die in Cisco Secure Email Gateway wordt gebruikt
• Installatiehandleiding voor Cisco Content Security virtuele applicatie (inclusief vESA)

Documentatie voor beveiligde e-mail met Cloud Gateway

• Release-opmerkingen
• Gebruikershandleiding

Cisco Secure Email en Web Manager-documentatie

• Releaseopmerkingen en compatibiliteitsmatrix
• Gebruikershandleiding
• API-programmeerhandleidingen voor Cisco Secure Email and Web Manager
• Installatiehandleiding voor Cisco Content Security virtuele applicatie (inclusief vSMA)

Cisco beveiligde productdocumentatie

• Cisco Secure-portfolio-naamgevingsarchitectuur