Configuración de Microsoft 365 con correo electrónico seguro

Introducción

Este documento describe los pasos de configuración para integrar Microsoft 365 con Cisco Secure Email para la entrega de correo electrónico entrante y saliente.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Cisco Secure Email Gateway o Cloud Gateway
• Acceso mediante la interfaz de línea de comandos (CLI) al entorno de Cisco Secure Email Cloud Gateway:
  Cisco Secure Email Cloud Gateway > Acceso con interfaz de línea de comandos (CLI)
• Microsoft 365
• Protocolo Simple Mail Transfer (SMTP)
• Servidor de nombres de dominio o sistema de nombres de dominio (DNS)

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Este documento se puede utilizar para gateways in situ o para gateways de la nube de Cisco.

Si es administrador de Cisco Secure Email, su carta de bienvenida incluye las direcciones IP de su gateway de la nube y otra información pertinente. Además de la carta que ve aquí, se le envía un correo electrónico cifrado que le proporciona detalles adicionales sobre el número de Cloud Gateway (también conocido como ESA) y Cloud Email and Web Manager (también conocido como SMA) aprovisionados para su asignación. Si no ha recibido o no tiene una copia de la carta, póngase en contacto con  ces-activations@cisco.com con su información de contacto y nombre de dominio en servicio.

     

     

Cada cliente tiene direcciones IP dedicadas. Puede utilizar las direcciones IP o los nombres de host asignados en la configuración de Microsoft 365.

Nota: se recomienda encarecidamente realizar la prueba antes de la transición al correo de producción planificada, ya que las configuraciones tardan en replicarse en la consola de Microsoft 365 Exchange. Como mínimo, espere una hora para que todos los cambios surtan efecto.

Nota: las direcciones IP de la captura de pantalla son proporcionales al número de gateways de nube proporcionados a su asignación. Por ejemplo,  xxx.yy.140.105  es la dirección IP de la interfaz de datos 1 para la puerta de enlace 1, y  xxx.yy.150.1143  es la dirección IP de la interfaz de datos 1 para la puerta de enlace 2. La dirección IP de la interfaz de datos 2 para la puerta de enlace 1 es  xxx.yy.143.186 y la dirección IP de la interfaz de datos 2 para la puerta de enlace 2 es xxx.yy.32.98. Si su carta de bienvenida no incluye información para Data 2 (IP de interfaz saliente), póngase en contacto con el TAC de Cisco para que se agregue la interfaz de Data 2 a su asignación.

Configuración de Microsoft 365 con correo electrónico seguro

Configurar el correo electrónico entrante en Microsoft 365 desde Cisco Secure Email

Omitir regla de filtrado de correo no deseado

1. Inicie sesión en el Centro de administración de Microsoft 365 (https://portal.microsoft.com).
2. En el menú de la izquierda, expanda Admin Centers.
3. Haga clic en Exchange.
4. En el menú de la izquierda, vaya a Mail flow > Rules.
5. Haga clic en [+] para crear una nueva regla.
6. Elegir Bypass spam filtering... en la lista desplegable.
7. Introduzca un nombre para la nueva regla: Bypass spam filtering - inbound email from Cisco CES.
8. Para *Aplicar esta regla si..., elija The sender - IP address is in any of these ranges or exactly matches.
   1. Para la ventana emergente especificar intervalos de direcciones IP, agregue las direcciones IP proporcionadas en la carta de bienvenida de Cisco Secure Email.
   2. Haga clic en OK.
9. Para *Realice lo siguiente..., se ha preseleccionado la nueva regla: Set the spam confidence level (SCL) to... - Bypass spam filtering.
10. Haga clic en Save.

Un ejemplo de cómo se ve la regla:

Conector de recepción

1. Permanecer en el Centro de administración de Exchange.
2. En el menú de la izquierda, vaya a Mail flow > Connectors.
3. Haga clic en [+] para crear un nuevo conector.
4. En la ventana emergente Seleccione su escenario de flujo de correo, elija:
   1. Desde: Partner organization
   2. A: Office365
5. Haga clic en Next.
6. Introduzca un nombre para el nuevo conector: Inbound from Cisco CES.
7. Si lo desea, ingrese una descripción.
8. Haga clic en Next.
9. Haga clic en Use the sender's IP address.
10. Haga clic en Next.
11. Haga clic en [+] e introduzca las direcciones IP que se indican en la carta de bienvenida de Cisco Secure Email.
12. Haga clic en Next.
13. Elegir Reject email messages if they aren't sent over Transport Layer Security (TLS).
14. Haga clic en Next.
15. Haga clic en Save.
    
    

Un ejemplo de cómo se ve la configuración del conector:

Configurar el correo desde Cisco Secure Email a Microsoft 365

Controles de destino

Imponga un autoacelerador a un dominio de entrega en los controles de destino. Por supuesto, puede eliminar el acelerador más adelante, pero estas son nuevas IP para Microsoft 365, y no desea ninguna limitación por parte de Microsoft debido a su reputación desconocida.

1. Inicie sesión en el gateway.
2. Desplácese hasta Mail Policies > Destination Controls.
3. Haga clic en Add Destination.
4. Uso:
   1. Destino: introduzca su nombre de dominio
   2. Conexiones simultáneas: 10
   3. Cantidad máxima de mensajes por conexión: 20
   4. Compatibilidad con TLS: Preferred
5. Haga clic en Submit.
6. Haga clic en Commit Changes en la parte superior derecha de la interfaz de usuario (IU) para guardar los cambios de configuración.

Un ejemplo de cómo se ve la tabla de control de destino:

Tabla de acceso de destinatarios

A continuación, defina la tabla de acceso de destinatarios (RAT) para que acepte el correo de sus dominios:

1. Desplácese hasta Mail Policies > Recipient Access Table (RAT).

   Nota: Asegúrese de que Listener es para Receptor Entrante, Correo Entrante o MailFlow, basándose en el nombre real de Listener para el flujo de correo principal.

2. Haga clic en Add Recipient.
3. Agregue sus dominios en el campo Dirección del destinatario.
4. Elija la acción predeterminada de Accept.
5. Haga clic en Submit.
6. Haga clic en Commit Changes en la parte superior derecha de la interfaz de usuario para guardar los cambios de configuración.

Un ejemplo de cómo se ve tu entrada RAT:

     

Rutas SMTP

Establezca la ruta SMTP para enviar correo de Cisco Secure Email a su dominio de Microsoft 365:

1. Desplácese hasta Network > SMTP Routes.
2. Haga clic en Add Route...
3. Dominio de recepción: introduzca el nombre de dominio.
4. Hosts de destino: agregue su registro MX de Microsoft 365 original.
5. Haga clic en Submit.
6. Haga clic en Commit Changes en la parte superior derecha de la interfaz de usuario para guardar los cambios de configuración.

Un ejemplo de cómo se ve la configuración de la ruta SMTP:

Configuración de DNS (registro MX)

Ya puede cortar el dominio mediante un cambio de registro de intercambio de correo (MX). Póngase en contacto con el administrador de DNS para resolver los registros MX en las direcciones IP de la instancia de Cisco Secure Email Cloud, tal y como se proporciona en la carta de bienvenida de Cisco Secure Email.

Compruebe también el cambio en el registro MX de la consola de Microsoft 365:

1. Inicie sesión en la consola de administración de Microsoft 365 (https://admin.microsoft.com).
2. Desplácese hasta Home > Settings > Domains.
3. Elija el nombre de dominio predeterminado.
4. Haga clic enCheck Health.

Esto proporciona los registros MX actuales de cómo Microsoft 365 busca sus registros DNS y MX asociados con su dominio:

Nota: en este ejemplo, el DNS está alojado y administrado por Amazon Web Services (AWS). Como administrador, debe ver una advertencia si su DNS está alojado en cualquier lugar fuera de la cuenta de Microsoft 365. Puede ignorar advertencias como: "No detectamos que agregó nuevos registros a your_domain_here.com. Asegúrese de que los registros que ha creado en su host coinciden con los que se muestran aquí..."  Las instrucciones paso a paso restablecen los registros MX a lo que se configuró inicialmente para redirigir a su cuenta Microsoft 365. Esto elimina Cisco Secure Email Gateway del flujo de tráfico entrante.

Probar correo electrónico entrante

Pruebe el correo entrante en su dirección de correo electrónico de Microsoft 365. A continuación, compruebe que aparece en la bandeja de entrada de correo electrónico de Microsoft 365.

Valide los registros de correo en Rastreo de mensajes de su Cisco Secure Email and Web Manager (también conocido como SMA) proporcionado con su instancia.

Para ver los registros de correo en su SMA:

1. Inicie sesión en el SMA (https://sma.iphmx.com/ng-login).
2. Haga clic en Tracking.
3. Introduzca los criterios de búsqueda necesarios y haga clic en Search; y espera ver estos resultados:

Para ver los registros de correo en Microsoft 365:

1. Inicie sesión en el Centro de administración de Microsoft 365 (https://admin.microsoft.com).
2. Expandir Admin Centers.
3. Haga clic en Exchange.
4. Desplácese hasta Mail flow > Message trace.
5. Microsoft proporciona los criterios predeterminados con los que buscar. Por ejemplo, elija Messages received by my primary domain in the last day para iniciar la búsqueda.
6. Introduzca los criterios de búsqueda necesarios para los destinatarios y haga clic en Search y espera ver resultados similares a los siguientes:

Configurar el correo electrónico saliente desde Microsoft 365 a Cisco Secure Email

Configure RELAYLIST en Cisco Secure Email Gateway

Consulte la carta de bienvenida de Cisco Secure Email. Además, se especifica una interfaz secundaria para los mensajes salientes a través de la puerta de enlace.

1. Inicie sesión en el gateway.
2. Desplácese hasta Mail Policies > HAT Overview.



   Nota: Asegúrese de que Listener es para Receptor saliente, Correo saliente o MailFlow-Ext, basándose en el nombre real de Listener para el flujo de correo externo/saliente.

3. Haga clic en Add Sender Group...
4. Configure el grupo emisor como:
   1. Nombre: RELAY_O365
   2. Comentario:  <<enter a comment if you wish to notate your sender group>>
   3. Política: RETRANSMITIDA
   4. Haga clic en Submit and Add Senders.
   5. Remitente: .protection.outlook.com
      

      Nota: El . (punto) al comienzo del nombre de dominio del remitente es obligatorio.

   6. Haga clic en Submit.
   7. Haga clic en Commit Changes en la parte superior derecha de la interfaz de usuario para guardar los cambios de configuración.

Un ejemplo de cómo se ve su configuración de Grupo de Remitentes:

Activar TLS

1. Haga clic en < .
2. Haga clic en la política de flujo de correo denominada: RELAYED.
3. Desplácese hacia abajo y busque en el Security Features sección para Encryption and Authentication.
4. Para TLS, elija: Preferred.
5. Haga clic en Submit.
6. Haga clic en Commit Changes en la parte superior derecha de la interfaz de usuario para guardar los cambios de configuración.

Un ejemplo de cómo se ve la configuración de la política de flujo de correo:

Configurar el correo de Microsoft 365 a CES

1. Inicie sesión en el Centro de administración de Microsoft 365 (https://admin.microsoft.com).
2. Expandir Admin Centers.
3. Haga clic en Exchange.
4. Desplácese hasta Mail flow > Connectors.
5. Haga clic en [+] para crear un nuevo conector.
6. En la ventana emergente Seleccione su escenario de flujo de correo, elija:
   1. Desde: Office365
   2. A:Partner organization
7. Haga clic en Next.
8. Introduzca un nombre para el nuevo conector: Outbound to Cisco CES.
9. Si lo desea, ingrese una descripción.
10. Haga clic en Next.
11. Para ¿Cuándo desea utilizar este conector?:
    1. Elija: Only when I have a transport rule set up that redirects messages to this connector.
    2. Haga clic en Next. 
12. Haga clic en Route email through these smart hosts.
13. Haga clic en [+] e introduzca las direcciones IP salientes o los nombres de host proporcionados en la carta de bienvenida de CES.
14. Haga clic en Save.
15. Haga clic en Next.
16. Para ¿Cómo debe conectarse Office 365 al servidor de correo electrónico de su organización partner?
    1. Elija: Always use TLS to secure the connection (recommended).
    2. ElegirAny digital certificate, including self-signed certificates.
    3. Haga clic en Next.
17. Aparecerá la pantalla de confirmación.
18. Haga clic en Next.
19. Uso [+] para introducir una dirección de correo electrónico válida, haga clic en OK.
20. Haga clic en Validate y permitir que se ejecute la validación.
21. Una vez completada, clamer Close.
22. Haga clic enSave.

Un ejemplo de cómo se ve el conector de salida:

Crear una regla de flujo de correo

1. Inicie sesión en el centro de administración de Exchange (https://outlook.office365.com).
2. Haga clic en mail flow; asegúrese de en la ficha reglas.
3. Haga clic en [+] para agregar una nueva regla.
4. Elegir Create a new rule.
5. Introduzca un nombre para la nueva regla: Outbound to Cisco CES.
6. Para *Aplicar esta regla si..., elija: The sender is located...
   1. Para la ventana emergente de selección de ubicación del remitente, seleccione: Inside the organization.
   2. Haga clic en OK.
7. Haga clic en More options...
8. Haga clic en add condition e inserte una segunda condición:
   1. Elegir The recipient...
   2. Elija: Is external/internal.
   3. Para la ventana emergente de selección de ubicación del remitente, seleccione: Outside the organization .
   4. Haga clic en OK.
9. Para *Haga lo siguiente..., elija: Redirect the message to...
   1. Seleccione: el siguiente conector.
   2. Y seleccione el conector Outbound to Cisco CES.
   3. Click OK.
10. Vuelva a "*Haga lo siguiente..." e inserte una segunda acción:
    1. Elija: Modify the message properties...
    2. Elija: set the message header
    3. Defina el encabezado del mensaje: X-OUTBOUND-AUTH.
    4. Haga clic en OK.
    5. Defina el valor: mysecretkey.
    6. Haga clic en OK.
11. Haga clic en Save.

Nota: para evitar mensajes no autorizados de Microsoft, se puede estampar un x-encabezado secreto cuando los mensajes salen de su dominio de Microsoft 365; este encabezado se evalúa y se quita antes de enviarlo a Internet.

Un ejemplo de cómo se ve su configuración de Microsoft 365 Routing:

Por último, acceda a la CLI de su Cisco Secure Email Gateway.

Nota: Cisco Secure Email Cloud Gateway > Acceso mediante interfaz de línea de comandos (CLI).

Cree un filtro de mensajes para inspeccionar la presencia y el valor del x-encabezado y eliminar el encabezado si existe. Si no existe un encabezado, descarte el mensaje.

1. Inicie sesión en la puerta de enlace mediante la CLI.
2. Ejecute el Filters comando.
3. Si la puerta de enlace está agrupada en clústeres, pulse Volver para editar los filtros en modo de clúster.
4. Use el comando New para crear un filtro de mensajes, copiar y pegar:
   
   

   office365_outbound: if sendergroup == "RELAYLIST" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }

5. Presione Volver una vez para crear una nueva línea en blanco.
6. ingrese [.] en la nueva línea para finalizar el nuevo filtro de mensajes.
7. Haga clic en return una vez para salir del menú Filtros.
8. Ejecute el Commit para guardar los cambios en la configuración.

     

Probar correo electrónico saliente

Pruebe el correo saliente de su dirección de correo electrónico de Microsoft 365 a un destinatario de dominio externo. Puede revisar el rastreo de mensajes desde Cisco Secure Email and Web Manager para asegurarse de que se enruta correctamente hacia el exterior.

Nota: Revise la configuración de TLS (Administración del sistema > Configuración SSL) en la puerta de enlace y los cifrados utilizados para SMTP saliente. Las prácticas recomendadas de Cisco recomiendan:

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

       

Un ejemplo de seguimiento con entrega exitosa:

Haga clic en More Details para ver los detalles completos del mensaje:

Un ejemplo de seguimiento de mensajes donde el encabezado x no coincide:

Información Relacionada 

Documentación de Cisco Secure Email Gateway

• Release Notes
• Guía del usuario
• Guía de referencia de CLI
• Guías de programación de API para Cisco Secure Email Gateway
• Código abierto utilizado en Cisco Secure Email Gateway
• Guía de instalación del appliance virtual de seguridad de contenido de Cisco (incluye vESA)

Documentación de Secure Email Cloud Gateway

• Release Notes
• Guía del usuario

Documentación de Cisco Secure Email and Web Manager

• Notas de la versión y matriz de compatibilidad
• Guía del usuario
• Guías de programación de API para Cisco Secure Email y Web Manager
• Guía de instalación del appliance virtual de seguridad de contenido de Cisco (incluye vSMA)

Documentación de productos de Cisco Secure

• Arquitectura de nomenclatura de la cartera Cisco Secure