実稼働ESAからのトラフィックを受け入れるようにベータESAを設定する

はじめに

このドキュメントでは、テスト用に実稼働ESAからコピーされたメールフローを受信するように、ベータ版のCisco Eメールセキュリティアプライアンス(ESA)を設定する方法について説明します。

バックグラウンド情報

この手順では、ベータESAリスナー、リレー権限、およびSimple Mail Transfer Protocol(SMTP)ルートを設定した後、実稼働ESAメッセージフィルタを設定して、メッセージのBCCコピーをベータESAに送信し、mail_logsで配信を確認します。期待される結果：ベータESAは、テストのために実稼働ESAからのコピーされた着信および発信トラフィックを受け入れます。

前提条件

環境

• 1つの実稼働用Cisco Eメールセキュリティアプライアンス(ESA)と1つのベータESA。
• ベータ版ESAリスナー：TCPポート25のパブリックリスナー、TCPポート26（または追加のインターフェイスが使用可能な場合のみポート25）のプライベートリスナー。 CES Hosted Betaでは、ポート587はアウトバウンドメール用に予約されています。
• 本番ESAメッセージフィルタ(BCC)を使用して本番ESAからベータESAにコピーされたインバウンドおよびアウトバウンドメールフローに適用されます。

要件

ESA GUIおよびCLIへの管理アクセスが必要です。

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

ベータアプライアンスの設定

ベータESA用のリスナー設定

Listenerの初期設定は、ベータ版ESAで行います。

1. GUIで、Network > Listenersの順に移動します。
2. Add Listener...を選択します。
3. リスナー名を入力し、TCPポート25でパブリックリスナーを設定します。
4. [Submit] を選択します。
5. 2番目のリスナーを追加するには、手順2から4を繰り返します。
6. リスナー名を入力し、TCPポート26でプライベートリスナーを設定します。このリスナーは、送信メールに使用されます。ポート25は、追加のインターフェイスが使用可能で、環境に対して設定されている場合にのみ使用できます。CES Hosted Betaでは、ポート587はアウトバウンドメール用に予約されています。
7. Submitを実行して、リスナーへの変更を保存します。
8. Commitを使用して、設定に対するすべての変更を保存します。

ベータESAの送信者グループ

中継されたトラフィックまたは発信メッセージについては、ベータESAが実稼働ESAからのメッセージを受け入れて中継できるように、ベータESAの適切なIPアドレスを追加します。

1. GUIから、Mail Policies > HAT Overviewの順に移動します。
2. 適切な名前のリレー送信者グループを選択します。（通常はRELAYまたはRELAYLISTという名前です）。
3. Add Sender...を選択します。
4. Senderには、実稼働ESAのIPアドレスを使用します。
5. 必要に応じて、管理に関するコメントを入力します。
6. Submitを選択し、リレー送信者グループへの変更を保存します。
7. Commitを使用して、設定に対するすべての変更を保存します。

ベータESA用のSimple Mail Transfer Protocol(SMTP)ルート

このSMTPルートをベータESAで設定します。

1. GUIで、Network > SMTP Routesの順に移動します。
2. 現在のSMTPルートが存在する場合は、続行する前にそれらを選択して削除する必要があります。必ず『ベータラボセットアップガイド』を参照してください。
3. Add Route...を選択します。
4. 「Receiving Domain」に「cisco.com」、「Destination」に「USEDNS」と入力します。
5. [Submit] を選択します。
6. ステップ3 ～ 5を繰り返して、2番目のSMTPルートを追加します。
7. 「Receiving Domain」に「ironport.com」、「Destination」に「USEDNS」と入力します。
8. [Submit] をクリックします。
9. All Other Domains for Receiving Domainを選択します。
10. [Destination]に/dev/nullと入力します。これにより、設定されていないドメインに対するベータESAからのルーティングメールが防止されます。
11. [Submit] を選択します。
12. Commitを使用して、設定に対するすべての変更を保存します。

ベータESAのSMTPルートは、次の図のように表示されます。

注：必要に応じて、ドメインのテストエンドユーザに電子メールを配信するための適切なルートを追加します。

ベータESAの着信リレー（オプション）

着信リレーにより、ベータESAは接続IPアドレスを評価し、実稼働ESAで使用できる範囲を超えるSenderBaseレピュテーションスコア(SBRS)を取得できます。

ほとんどの導入では1ホップが必要です。

1. GUIで、Network > Incoming Relayの順に移動します。
2. Enableチェックボックスを選択します。
3. Add Relayを選択します。
4. Nameフィールドに、わかりやすい名前を入力します。
5. IP Addressフィールドに、メールをベータESAに配信する実稼働ESAのIPアドレスを入力します。複数のホストがメールを配信する場合にのみ、部分的なホスト名を使用します。
6. Hopフィールドに1と入力します。
7. Submitをクリックし、次にCommitをクリックします。

着信リレー：無効状態。

着信リレー：有効な状態、白色

着信リレー：サンプルテンプレート

受信リレー：送信後の概要ビュー。

サンプルメールログエントリ：

Mon Apr 8 12:48:28 2019 Info: MID 2422822 IncomingRelay(PROD_hc2881-52): Header Received found, IP 10.11.1.1 being used, SBRS 3.5 country United States

メールログでスパム判定をキャプチャするためのログヘッダーの有効化（オプション）

1. GUIで、System Administration > Log Subscriptionsの順に移動します。
2. ページの下部にあるGlobal Settingsを選択します。
3. HeadersセクションでAddを選択する。
4. X-IronPort-Anti-Spam-Resultと入力します。
5. [Submit] を選択します。
6. Commitをクリックします。

メールログにスパムヘッダーを記録する

ベータ側の構成が終了しました。

実稼働アプライアンスの設定

注意：本番ESAを変更しようとしています。現在の設定を必ずバックアップしてください。

1. Web UIで、System Administration > Configuration Fileの順に移動します。
2. Current Configurationセクションから、現在の設定をファイルとしてバックアップするためのオプションを1つ選択します。 
   • 表示または保存に使用するローカルコンピュータにファイルをダウンロード.
   • 電子メールの宛先：<your_email_address@domain.com>
3. [Submit] をクリックします。

実稼働ESAのSMTPルート

SMTPルートを追加して、実稼働ESAからベータESAへのすべての着信および発信メールのBCCコピーを許可します。この例では、inbound.beta.comおよびoutbound.beta.comが使用されます。

1. GUIで、Network > SMTP Routesの順に移動します。
2. Add Route...を選択します。
3. 「Receiving Domain」に「inbound.beta.com」と入力します。
4. 宛先ホスト用に以前に作成したベータESAパブリックリスナーのIPアドレスを入力します。
5. ポートに25を入力します。
6. [Submit] を選択します。
7. 手順2 ～ 5を繰り返して2番目のルートを追加します。
8. 「Receiving Domain」に「outbound.beta.com」と入力します。
9. 宛先ホスト用に以前に作成したベータESAプライベートリスナーのIPアドレスを入力します。
10. ポートに26を入力します。
11. [Submit] を選択します。
12. Commitを使用して、設定に対するすべての変更を保存します。

実稼働ESAのSMTPルートは、次の図のように表示されます。

バウンスプロファイルの作成

バウンスプロファイルと宛先制御プロファイルを組み合わせることで、ベータホストにメッセージが配信される際の遅延や障害から本番メールフローを保護します。この設定は、ベータメッセージにのみ適用されます。

1. Web UIで、Network > Bounce Profiles > Add Bounce Profileの順に移動します。
2. 最大再試行回数：15
3. キュー内最大時間：130
4. メッセージあたりの初期待ち時間：60
5. メッセージあたりの最大待ち時間：60
6. ハードバウンスメッセージの送信：いいえ
7. 遅延警告メッセージの送信：いいえ
8. バウンスおよび遅延メッセージにドメインキー署名を使用する：NO
9. Submitをクリックして、この新しいバウンスプロファイルへの変更を保存します。
10. Commitを選択して、設定に対するすべての変更を保存します。

バウンスプロファイルの作成

注：ベータホストへの配信が中断された場合に配信キューのバックアップを防止するために、数値は積極的に設定されます。この値は任意に変更できます。通知設定は、ユーザ通知がBCCフィルタから配信されないように、意図的にNOに設定します。 

宛先制御プロファイルの作成

1. Web UIで、Mail Policies > Destination Controls > Add Destinationの順に移動します。
2. 宛先：inbound.beta.com
3. バウンス検証： >アドレスタギングの実行：NO >またはデフォルト(NO)
4. バウンスプロファイル： BETA_BOUNCE
5. 管理者プリファレンスに基づいて、残りの値を設定します。
6. Submitを選択し、この新しい宛先制御プロファイルへの変更を保存します。
7. ステップ2 ～ 6を繰り返し、宛先にはoutbound.beta.comを使用します。
8. Submitを選択し、この新しい宛先制御プロファイルへの変更を保存します。
9. Commitを使用して、設定に対するすべての変更を保存します。

宛先制御プロファイルの追加
新しい宛先制御プロファイルの要約ビュー。

実稼働ESAのメッセージフィルタの構築

本番ESAのコマンドラインインターフェイス(CLI)から、電子メールのBCCコピーをベータESAの適切なリスナーに送信するメッセージフィルタを作成します。

1. Filters > NEWの順に移動します。
2. 次のメッセージフィルタの例をコピーして貼り付け、必要に応じて値を更新します。

   bcc-EFT: if sendergroup == "RELAY" {
    bcc ("$enveloperecipients", "$Subject", "$EnvelopeFrom", "outbound.beta.com");
    log-entry("<=====BCC COPY TO BETA ESA=====>");
    } else {
    bcc ("$enveloperecipients", "$Subject", "$EnvelopeFrom", "inbound.beta.com");
    log-entry("<=====BCC COPY TO BETA ESA=====>");
   }
   .

3. メインCLIプロンプトに戻るまでreturnします。
4. Commitを使用して、設定に対するすべての変更を保存します。

注： sendergroup、recv-listener、mail-from、またはその他の使用可能なルールと構文に基づいて、メッセージフィルタにコピーされるトラフィックを制限します。完全なメッセージフィルタルールとフィルタルールの要約については、『ESA User Guide』を参照してください。

確認

このセクションでは、設定が想定どおりに動作していることを確認します。

ベータESAが実稼働ESAからの電子メールトラフィックを受け入れることを確認するには、ベータESAのCLIから次のコマンドを実行します。

tail mail_logs

Wed Mar 23 17:28:43 2016 Info: New SMTP ICID 2 interface Management (172.18.250.222) address 172.18.250.224 reverse dns host dhcp-172-18-250-224.cisco.com verified yes
Wed Mar 23 17:28:43 2016 Info: ICID 2 RELAY SG RELAY match 172.18.250.1/24 SBRS not enabled
Wed Mar 23 17:28:43 2016 Info: Start MID 2 ICID 2
Wed Mar 23 17:28:43 2016 Info: MID 2 ICID 2 From: <test@test.com>
Wed Mar 23 17:28:43 2016 Info: MID 2 ICID 2 RID 0 To: <example@ironport.com>
Wed Mar 23 17:28:43 2016 Info: MID 2 Message-ID '<a033ed$2@9.9.5-038.local>'
Wed Mar 23 17:28:43 2016 Info: MID 2 Subject 'TEST 2'
Wed Mar 23 17:28:43 2016 Info: MID 2 ready 320 bytes from <test@test.com>
Wed Mar 23 17:28:43 2016 Info: MID 2 matched all recipients for per-recipient policy DEFAULT in the outbound table
Wed Mar 23 17:28:43 2016 Info: MID 2 queued for delivery
Wed Mar 23 17:28:43 2016 Info: New SMTP DCID 3 interface 172.18.250.222 address 173.37.93.161 port 25
Wed Mar 23 17:28:43 2016 Info: Delivery start DCID 3 MID 2 to RID [0]
Wed Mar 23 17:28:44 2016 Info: Message done DCID 3 MID 2 to RID [0]
Wed Mar 23 17:28:44 2016 Info: MID 2 RID [0] Response '2.0.0 u2NHSipG018673 Message accepted for delivery'
Wed Mar 23 17:28:44 2016 Info: Message finished MID 2 done
Wed Mar 23 17:28:48 2016 Info: ICID 2 close
Wed Mar 23 17:28:49 2016 Info: DCID 3 close

SMTP通信は172.18.250.222（ベータアプライアンス）で確立されます。 トラフィックは172.18.250.224（実稼働アプライアンス）から送信されます。

通信を受信する送信者グループは、172.18.250.1/24ネットワークからの中継トラフィックのRELAYです。

残りのエントリは、TEST 2メッセージの処理を示します。

実稼働ESAで、次のコマンドを実行して、処理されたMIDを確認します。

tail mail_logs

実稼働ESAには次の出力が表示されます。

Wed Mar 23 14:50:10 2016 Info: MID 242 was generated based on MID 241 by bcc filter 'bcc-EFT'

この出力では、メッセージが重複していないことが明確に示されており、メッセージがベータESAとテストエンドユーザに意図したとおりにBCCでコピーされたことが示されています。

トラブルシュート

検証が失敗した場合は、両方のESAのリスナー設定、送信者グループエントリ、SMTPルート、着信リレー設定、およびメッセージフィルタ設定を確認します。また、両方のアプライアンスでmail_logsを確認し、接続、リレー、および配信イベントを確認します。

追加情報（オプション）

コンテンツフィルタを使用すると、テストのエンドユーザの実稼働EメールトラフィックとベータEメールトラフィックを区別するのに役立ちます。

1. ベータESAのWeb UIから、Mail Policies > Incoming Content FiltersまたはMail Policies > Outgoing Content Filtersに移動します。
2. ヘッダーの追加/編集アクションを実行する基本コンテンツフィルタを作成します。
3. [Submit] を選択します。
4. Mail Policies > Incoming Mail PoliciesまたはMail Policies > Outgoing Mail Policiesに移動します。
5. 新しいコンテンツフィルタを有効にし、ポリシーに追加します。
6. [Submit] を選択します。
7. Commitをクリックして、設定へのすべての変更を保存します。

この手順を完了すると、ベータESAのコンテンツフィルタが次の図のように表示されます。

ベータESAが電子メールメッセージを処理すると、次の図に示すように[Subject]行が表示されます。

関連情報

• ステージング更新のためのESA/SMAの設定方法

• テクニカル サポートとドキュメント – Cisco Systems