تكوين ردود رسائل خدمة التشفير الآمن ل CRES باستخدام تشفير TLS

المقدمة

يصف هذا المستند الإجراءات اللازمة لتكوين تشفير TLS لردود CRES الآمنة الواردة بدلا من مرفق مظروف آمن.

Cisco RES: كيفية إستخدام TLS لتأمين ردود RES غير المشفرة

بشكل افتراضي، يتم تشفير الردود على بريد إلكتروني آمن بواسطة Cisco RES وإرسالها إلى عبارة البريد الخاصة بك. ثم يمر يمر إلى خوادم البريد الخاصة بك المشفرة للمستخدم النهائي ليفتح باستخدام بيانات اعتماد Cisco RES الخاصة به.

لتقليل الحاجة إلى مصادقة المستخدم عند فتح رد آمن على رسالة Cisco RES، يقدم Cisco RES في نموذج "غير مشفر" إلى عبارات البريد التي تدعم أمان طبقة النقل (TLS). في معظم الحالات، تكون عبارة البريد هي جهاز أمان البريد الإلكتروني من Cisco (ESA)، ويتم تطبيق هذه المقالة.

ومع ذلك، إذا كانت هناك بوابة بريد أخرى موجودة أمام ESA مثل عامل تصفية البريد العشوائي الخارجي، فلا حاجة لتكوين تدفق الشهادة/TLS/البريد على ESA. في هذه الحالة، يمكنك تخطي الخطوات 1 - 3 في قسم الحل في هذا المستند. بالنسبة للردود غير المشفرة للعمل في هذه البيئة، فإن عامل تصفية البريد العشوائي الخارجي (عبارة البريد) هو الجهاز الذي يحتاج إلى دعم TLS. إذا كانت تدعم TLS، فيمكنك أن تجعل Cisco RES تؤكد هذا وتدعوك إلى الإعداد للردود "غير المشفرة" لتأمين رسائل البريد الإلكتروني.

إطار عمل نهج المرسل

لتجنب حالات فشل التحقق من صحة إطار عمل نهج المرسل (SPF)، قم بإضافة هذه القيم إلى سجل SPF الخاص بك.

تتطابق قيمة سجل SPF لخدمة Cisco Registered Envelope (CRES) مع أسماء IP/hostname لهذا الجدول، "أسماء المضيف وعناوين IP".

الإنتاج باستخدام آلية SPF التي توفرها Cisco:

~ dig txt res.cisco.com +short
"v=spf1 mx:res.cisco.com exists:%{i}.spf.res.cisco.com -all"

إضافة هذه الآلية إلى سجل SPF الحالي:

include:res.cisco.com

نموذج لسجل SPF مزيف/إختباري يحتوي على آلية res.cisco.com الجديدة:

"v=spf1 mx:sampleorg1.com ip4:1.2.3.4 include:res.cisco.com -all"

يعتمد مكان وكيفية إضافة Cisco RES إلى سجل SPF الخاص بك على كيفية تنفيذ نظام اسم المجال (DNS) داخل مخطط الشبكة الخاصة بك. تأكد من الاتصال بمسؤول DNS للحصول على مزيد من المعلومات.

إذا لم يتم تكوين DNS لتضمين Cisco RES، فعندما يتم إنشاء التكوين الآمن والردود الآمنة وتسليمها من خلال خوادم المفاتيح المستضافة، لا يتطابق عنوان IP الصادر مع عناوين IP المدرجة في نهاية المستلم، مما ينتج عنه فشل التحقق من SPF.

أسماء المضيف وعناوين IP

ملاحظة: يخضع اسم المضيف وعناوين IP للتغيير استنادا إلى صيانة الخدمة/الشبكة أو نمو الخدمة/الشبكة. لا يتم إستخدام جميع أسماء المضيف وعناوين IP للخدمة. وقد تم توفيرها هنا للرجوع إليها.

الحل

• الحصول على شهادة موقعة وشهادة وسيطة وتثبيتها على ESA.
  
  

  ملاحظة: يجب أن تحصل على الشهادة الوسيطة من سلطة التوقيع الخاصة بك لأن شهادة العرض التوضيحي الواردة على الجهاز تتسبب في فشل عملية التحقق من CRES.

• إنشاء نهج تدفق بريد جديد:
  1. من واجهة المستخدم الرسومية، أختر Mail Policies > Mail Flow Policies > Add Policy.
  2. أدخل اسما واترك الكل الآخر بشكل افتراضي باستثناء 'ميزات الأمان: TLS'. تعيين هذا إلى مطلوب.
• إنشاء مجموعة مرسل جديدة:
  1. من واجهة المستخدم الرسومية، أختر Mail Policies > HAT Overview > Add Sender Group.
  2. أدخل اسما وقم بتعيين رقم الطلب على #1. يمكنك أيضا إدخال تعليق إختياري. أختر نهج تدفق البريد الذي قمت بإنشائه في الخطوة 2. أترك كل شيء آخر فارغ.
  3. طقطقة Submit وAdd Senders.
• في حقل "المرسل"، أدخل أسماء نطاقات IP وأسماء المضيف التالية:

  .res.cisco.com
  .cres.iphmx.com
  208.90.57.0/26 (current CRES IP network range)
  204.15.81.0/26 (old CRES IP network range)

• إرسال التغييرات وتنفيذها.

• بعد أن تكون واثقا من أن ESA مستعد للتفاوض على تشفير TLS من خوادم Cisco RES، اتبع الخطوات ضمن مدخل إدارة CRES كيف يمكنني إختبار ما إذا كان مجالي يدعم TLS باستخدام Cisco RES؟

معلومات ذات صلة

• Cisco RES: عناوين IP وأسماء المضيف للخوادم الأساسية
• جهاز أمان البريد الإلكتروني من Cisco - أدلة المستخدم النهائي
• الدعم التقني والمستندات - Cisco Systems