TLS暗号化を使用したCRESセキュア暗号化サービスのメッセージ応答の設定

はじめに

このドキュメントでは、セキュアエンベロープの添付ファイルの代わりにCRES着信セキュア応答のTLS暗号化を設定するアクションについて説明します。

Cisco RES:TLSを使用して暗号化されていないRES応答を保護する方法

デフォルトでは、セキュリティ保護された電子メールへの返信はCisco RESによって暗号化され、メールゲートウェイに送信されます。その後、エンドユーザがCisco RESクレデンシャルで開けるように暗号化されたメールサーバにパススルーします。

Cisco RESのセキュアメッセージ応答を開くときにユーザ認証が不要になるように、Cisco RESは「暗号化されていない」形式で、Transport Layer Security(TLS)をサポートするメールゲートウェイに配信します。 ほとんどの場合、メールゲートウェイはCisco Eメールセキュリティアプライアンス(ESA)であり、この記事が適用されます。

ただし、外部スパムフィルタなど、ESAの前に別のメールゲートウェイがある場合は、ESAで証明書/TLS/メールフロー設定を行う必要はありません。この場合、このドキュメントの「ソリューション」セクションのステップ1 ～ 3は省略できます。この環境で暗号化されていない応答が動作するには、TLSをサポートする必要があるアプライアンスが外部スパムフィルタ（メールゲートウェイ）になります。TLSがサポートされている場合は、Cisco RESに確認してもらい、セキュリティで保護された電子メールに対する「暗号化されていない」応答を設定できます。

送信者ポリシーフレームワーク

Sender Policy Framework(SPF)検証エラーを回避するには、SPFレコードに次の値を追加します。

Cisco Registered Envelope Service(CRES)のSPFレコード値が、このテーブルのIP/ホスト名「Hostnames and IP Addresses」と一致しています。

シスコが提供するSPFメカニズムを使用した出力は次のとおりです。

~ dig txt res.cisco.com +short
"v=spf1 mx:res.cisco.com exists:%{i}.spf.res.cisco.com -all"

既存のSPFレコードに次のメカニズムを追加します。

include:res.cisco.com

新しいres.cisco.comメカニズムを含むFAKE/test SPFレコードの例：

"v=spf1 mx:sampleorg1.com ip4:1.2.3.4 include:res.cisco.com -all"

SPFレコードにCisco RESを追加する場所と方法は、ネットワークトポロジ内でのドメインネームシステム(DNS)の実装方法によって異なります。詳細については、DNS管理者に問い合わせてください。

DNSがCisco RESを含めるように設定されていない場合、セキュアな作成およびセキュアな応答が生成され、ホストされたキーサーバを介して配信されると、発信IPアドレスが受信者の末尾にリストされたIPアドレスと一致しないため、SPF検証が失敗します。

ホスト名とIPアドレス

注：ホスト名とIPアドレスは、サービス/ネットワークメンテナンスまたはサービス/ネットワークの拡張に基づいて変更されることがあります。すべてのホスト名とIPアドレスをサービスに使用するとは限らない。ここでは参考のために説明します。

解決方法

• ESAで署名付き証明書と中間証明書を取得してインストールします。
  
  

  注：アプライアンスに付属のデモ証明書によってCRES検証プロセスが失敗するため、署名機関から中間証明書を取得する必要があります。

• 新しいメールフローポリシーを作成します。
  1. GUIで、を選択しMail Policies > Mail Flow Policies > Add Policyます。
  2. 名前を入力し、「セキュリティ機能： TLS」以外はすべてデフォルトのままにします。これをRequiredに設定します。
• 新しい送信者グループを作成します。
  1. GUIで、を選択しMail Policies > HAT Overview > Add Sender Groupます。
  2. 名前を入力し、注文番号を#1に設定します。オプションのコメントを入力することもできます。ステップ2で作成したメールフローポリシーを選択します。他はすべて空白のままにします。
  3. andをクリックSubmit しますAdd Senders。
• Senderフィールドに、次のIP範囲とホスト名を入力します。

  .res.cisco.com
  .cres.iphmx.com
  208.90.57.0/26 (current CRES IP network range)
  204.15.81.0/26 (old CRES IP network range)

• 変更を送信し、保存します。

• ESAがCisco RESサーバからTLS暗号化をネゴシエートする準備ができていると確信できたら、CRES管理ポータル内の手順を実行します。ドメインがCisco RESでTLSをサポートしているかどうかをテストするにはどうすればよいですか。

関連情報

• Cisco RES：キーサーバのIPアドレスとホスト名
• Cisco E メール セキュリティ アプライアンス：エンドユーザ ガイド
• テクニカル サポートとドキュメント - Cisco Systems