프로덕션 ESA의 트래픽을 허용하도록 베타 ESA 구성

소개

이 문서에서는 테스트를 위해 프로덕션 ESA에서 복사한 메일 흐름을 수신하도록 베타 Cisco ESA(Email Security Appliance)를 구성하는 방법에 대해 설명합니다.

배경 정보

이 절차에서는 Beta ESA 리스너, 릴레이 권한 및 SMTP(Simple Mail Transfer Protocol) 경로를 구성한 다음, 메시지의 BCC 복사본을 Beta ESA로 전송하도록 프로덕션 ESA 메시지 필터를 구성하고 mail_logs의 전달을 확인합니다. 예상 결과: 베타 ESA는 테스트를 위해 프로덕션 ESA에서 복사한 인바운드 및 아웃바운드 트래픽을 수락합니다.

사전 요구 사항

환경

• 하나의 프로덕션 Cisco ESA(Email Security Appliance) 및 하나의 베타 ESA입니다.
• 베타 ESA 리스너: TCP 포트 25의 퍼블릭 리스너 TCP 포트 26(또는 추가 인터페이스를 사용할 수 있는 경우에만 포트 25)의 프라이빗 리스너 CES Hosted Beta에서 포트 587은 아웃바운드 메일에 사용됩니다.
• 프로덕션 ESA 메시지 필터(BCC)를 사용하여 프로덕션 ESA에서 베타 ESA로 복사한 인바운드 및 아웃바운드 메일 흐름에 적용됩니다.

요구 사항

ESA GUI 및 CLI에 대한 관리 액세스가 필요합니다.

사용되는 구성 요소

이 문서는 특정 소프트웨어 및 하드웨어 버전으로 한정되지 않습니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

베타 어플라이언스 구성

베타 ESA에 대한 리스너 컨피그레이션

초기 리스너 컨피그레이션은 베타 ESA에서 완료되어야 합니다.

1. GUI에서 Network(네트워크) > Listeners(리스너)로 이동합니다.
2. 리스너 추가...를 선택합니다..
3. 리스너 이름을 입력하고 TCP 포트 25에서 퍼블릭 리스너를 구성합니다.
4. 제출을 선택합니다.
5. 두 번째 리스너를 추가하려면 2~4단계를 반복합니다.
6. 리스너 이름을 입력하고 TCP 포트 26에서 프라이빗 리스너를 구성합니다. 이 리스너는 아웃바운드 메일에 사용됩니다. 환경에 대해 추가 인터페이스가 사용 가능하고 구성된 경우에만 포트 25를 사용할 수 있습니다. CES Hosted Beta에서 포트 587은 아웃바운드 메일에 사용됩니다.
7. 리스너에 대한 변경 사항을 저장하기 위해 제출합니다.
8. 컨피그레이션에 대한 모든 변경 사항을 저장하려면 커밋합니다.

Beta ESA용 발신자 그룹

릴레이된 트래픽 또는 아웃바운드 메시지의 경우 프로덕션 ESA의 메시지를 수락 및 릴레이하도록 베타 ESA에 적절한 IP 주소를 추가합니다.

1. GUI에서 Mail Policies(메일 정책) > HAT Overview(HAT 개요)로 이동합니다.
2. 적절하게 명명된 Relay Sender Group을 선택합니다. (이 이름은 일반적으로 RELAY 또는 RELAYLIST입니다.)
3. 발신인 추가...를 선택합니다..
4. 발신자의 경우 프로덕션 ESA의 IP 주소를 사용합니다.
5. 필요에 따라 관리 설명을 입력합니다.
6. Relay Sender Group의 변경 사항을 저장하려면 Submit(제출)을 클릭합니다.
7. 컨피그레이션에 대한 모든 변경 사항을 저장하려면 커밋합니다.

베타 ESA에 대한 SMTP(Simple Mail Transfer Protocol) 경로

베타 ESA에서 이 SMTP 경로를 구성합니다.

1. GUI에서 Network(네트워크) > SMTP Routes(SMTP 경로)로 이동합니다.
2. 현재 SMTP 경로가 있는 경우 계속 진행하기 전에 해당 경로를 선택하고 삭제해야 할 수 있습니다. Beta Lab 설치 가이드를 검토해야 합니다.
3. 경로 추가...를 선택합니다..
4. Receiving Domain(수신 도메인)에 cisco.com을 입력하고 Destination(대상)에 USEDNS를 입력합니다.
5. 제출을 선택합니다.
6. 두 번째 SMTP 경로를 추가하려면 3~5단계를 반복합니다.
7. Receiving Domain(수신 도메인)에 ironport.com을 입력하고 Destination(대상)에 USEDNS를 입력합니다.
8. Submit(제출)을 클릭합니다.
9. Receiving Domain(수신 도메인)에 대한 All Other Domains(기타 모든 도메인)를 선택합니다.
10. Destination에 /dev/null을 입력합니다. 이렇게 하면 구성되지 않은 도메인에 대해 베타 ESA에서 메일을 라우팅할 수 없습니다.
11. 제출을 선택합니다.
12. 컨피그레이션에 대한 모든 변경 사항을 저장하려면 커밋합니다.

이 이미지에 표시된 대로 베타 ESA의 SMTP 경로가 나타납니다.

참고:  필요에 따라 최종 사용자에게 도메인에 대한 테스트 이메일을 전달할 적절한 경로를 추가합니다.

Beta ESA용 수신 릴레이(선택 사항)

수신 릴레이를 사용하면 베타 ESA에서 연결 IP 주소를 평가하고 프로덕션 ESA에서 사용할 수 있는 범위를 초과하는 SBRS(SenderBase Reputation Score)를 검색할 수 있습니다.

대부분의 구축에는 하나의 홉이 필요합니다.

1. GUI에서 Network(네트워크) > Incoming Relay(수신 릴레이)로 이동합니다.
2. Enable(활성화) 확인란을 선택합니다.
3. Add Relay를 선택합니다.
4. 이름 필드에 설명이 포함된 이름을 입력합니다.
5. IP Address(IP 주소) 필드에 Beta ESA에 메일을 전달하는 프로덕션 ESA의 IP 주소를 입력합니다. 여러 호스트가 메일을 전달하는 경우에만 부분 호스트 이름을 사용합니다.
6. Hop(홉) 필드에 1을 입력합니다.
7. Submit(제출)을 클릭한 다음 Commit(커밋)을 클릭합니다.

수신 릴레이: Disabled State(비활성화 상태)입니다.

수신 릴레이: 사용 상태, 흰색으로 표시됩니다.

수신 릴레이: 샘플 템플릿

수신 릴레이: 제출 후 요약 보기

샘플 메일 로그 항목:

Mon Apr 8 12:48:28 2019 Info: MID 2422822 IncomingRelay(PROD_hc2881-52): Header Received found, IP 10.11.1.1 being used, SBRS 3.5 country United States

메일 로그에서 스팸 판정을 캡처할 로그 헤더 활성화(선택 사항)

1. GUI에서 System Administration(시스템 관리) > Log Subscriptions(로그 서브스크립션)로 이동합니다.
2. 페이지 하단에서 전역 설정을 선택합니다.
3. Headers(헤더) 섹션에서 Add(추가)를 선택합니다.
4. X-IronPort-Anti-Spam-Result를 입력합니다.
5. 제출을 선택합니다.
6. Commit(커밋)을 클릭합니다.

메일 로그에 스팸 헤더 기록

베타 측 컨피그레이션의 끝입니다.

프로덕션 어플라이언스 구성

주의: 프로덕션 ESA를 변경하려고 합니다. 현재 컨피그레이션을 백업해야 합니다.

1. 웹 UI에서 System Administration(시스템 관리) > Configuration File(컨피그레이션 파일)로 이동합니다.
2. Current Configuration(현재 컨피그레이션) 섹션에서 현재 컨피그레이션을 파일로 백업할 옵션 중 하나를 선택합니다. 
   • 파일을 로컬 컴퓨터로 다운로드하여 보거나 저장합니다.
   • 이메일로 파일 보내기: <your_email_address@domain.com>
3. Submit(제출)을 클릭합니다.

프로덕션 ESA의 SMTP 경로

SMTP 경로를 추가하여 프로덕션 ESA에서 베타 ESA로의 모든 인바운드 및 아웃바운드 이메일의 BCC 사본을 허용합니다. 이 예에서는 inbound.beta.com 및 outbound.beta.com이 사용됩니다.

1. GUI에서 Network(네트워크) > SMTP Routes(SMTP 경로)로 이동합니다.
2. 경로 추가...를 선택합니다..
3. 수신 도메인에 inbound.beta.com을 입력합니다.
4. 대상 호스트에 대해 이전에 생성한 Beta ESA 퍼블릭 리스너의 IP 주소를 입력합니다.
5. 포트에 25를 입력합니다.
6. 제출을 선택합니다.
7. 두 번째 경로를 추가하려면 2~5단계를 반복합니다.
8. 수신 도메인에 outbound.beta.com을 입력합니다.
9. 대상 호스트에 대해 이전에 생성한 Beta ESA 프라이빗 리스너의 IP 주소를 입력합니다.
10. 포트에 26을 입력합니다.
11. 제출을 선택합니다.
12. 컨피그레이션에 대한 모든 변경 사항을 저장하려면 커밋합니다.

프로덕션 ESA의 SMTP 경로가 이 이미지에 표시된 대로 표시됩니다.

바운스 프로파일 생성

바운스 프로파일과 대상 제어 프로파일을 함께 사용하면 메시지가 베타 호스트로 전달될 때 지연 또는 실패로부터 프로덕션 메일 흐름을 보호할 수 있습니다. 이 컨피그레이션은 베타 메시지에만 적용됩니다.

1. 웹 UI에서 Network(네트워크) > Bounce Profiles(반송 프로필) > Add Bounce Profile(반송 프로필 추가)로 이동합니다.
2. 최대 재시도 횟수: 15
3. 최대 대기열 시간: 130
4. 메시지당 초기 대기 시간: 60
5. 메시지당 최대 대기 시간: 60
6. 하드 바운스 메시지 보내기: 아니요
7. 지연 경고 메시지 보내기: 아니요
8. 바운스 및 지연 메시지에 도메인 키 서명 사용: 아니요
9. 이 새 반송 프로필의 변경 사항을 저장하려면 제출을 클릭합니다.
10. 컨피그레이션에 대한 모든 변경 사항을 저장하려면 Commit을 선택합니다.

바운스 프로파일 생성

참고: 번호가 매겨진 값은 베타 호스트에 대한 전송이 중단된 경우 전송 큐 백업을 방지하기 위해 매우 적극적으로 구성됩니다. 값을 기본 설정으로 수정할 수 있습니다. 알림 설정은 BCC 필터에서 사용자 알림이 전달되지 않도록 하기 위해 의도적으로 NO로 설정됩니다. 

대상 도메인 프로파일 생성

1. 웹 UI에서 Mail Policies(메일 정책) > Destination Controls(대상 제어) > Add Destination(대상 추가)으로 이동합니다.
2. 대상: inbound.beta.com
3. 바운스 확인: > 주소 태깅 수행: 아니요 > 또는 기본값(아니요)
4. 바운스 프로파일: BETA_바운스
5. 관리자 기본 설정에 따라 나머지 값을 구성합니다.
6. 이 새 대상 제어 프로필의 변경 사항을 저장하려면 제출을 클릭합니다.
7. 2~6단계를 반복하고 Destination에 outbound.beta.com을 사용합니다.
8. 이 새 대상 제어 프로필의 변경 사항을 저장하려면 제출을 클릭합니다.
9. 컨피그레이션에 대한 모든 변경 사항을 저장하려면 커밋합니다.

대상 제어 프로파일을 추가합니다.
새 대상 제어 프로필의 요약 보기

프로덕션 ESA의 메시지 필터 구성

프로덕션 ESA의 CLI(Command Line Interface)에서 Beta ESA의 해당 리스너에 이메일의 BCC 복사본을 전송하는 메시지 필터를 생성합니다.

1. Filters(필터) > NEW(새로 만들기)로 이동합니다.
2. 이 메시지 필터 예제를 복사하여 붙여 넣고 필요에 따라 값을 업데이트합니다.

   bcc-EFT: if sendergroup == "RELAY" {
    bcc ("$enveloperecipients", "$Subject", "$EnvelopeFrom", "outbound.beta.com");
    log-entry("<=====BCC COPY TO BETA ESA=====>");
    } else {
    bcc ("$enveloperecipients", "$Subject", "$EnvelopeFrom", "inbound.beta.com");
    log-entry("<=====BCC COPY TO BETA ESA=====>");
   }
   .

3. 기본 CLI 프롬프트로 돌아갈 때까지 돌아갑니다.
4. 컨피그레이션에 대한 모든 변경 사항을 저장하려면 커밋합니다.

참고:  sendergroup, recv-listener, mail-from 또는 기타 사용 가능한 규칙 및 구문을 기반으로 메시지 필터에서 복사되는 트래픽을 제한합니다. 전체 메시지 필터 규칙 및 필터 규칙 요약은 ESA 사용 설명서를 참조하십시오.

다음을 확인합니다.

이 섹션을 사용하여 컨피그레이션이 예상대로 작동하는지 확인합니다.

베타 ESA가 프로덕션 ESA의 이메일 트래픽을 수락하는지 확인하려면 베타 ESA의 CLI에서 다음 명령을 실행합니다.

tail mail_logs

Wed Mar 23 17:28:43 2016 Info: New SMTP ICID 2 interface Management (172.18.250.222) address 172.18.250.224 reverse dns host dhcp-172-18-250-224.cisco.com verified yes
Wed Mar 23 17:28:43 2016 Info: ICID 2 RELAY SG RELAY match 172.18.250.1/24 SBRS not enabled
Wed Mar 23 17:28:43 2016 Info: Start MID 2 ICID 2
Wed Mar 23 17:28:43 2016 Info: MID 2 ICID 2 From: <test@test.com>
Wed Mar 23 17:28:43 2016 Info: MID 2 ICID 2 RID 0 To: <example@ironport.com>
Wed Mar 23 17:28:43 2016 Info: MID 2 Message-ID '<a033ed$2@9.9.5-038.local>'
Wed Mar 23 17:28:43 2016 Info: MID 2 Subject 'TEST 2'
Wed Mar 23 17:28:43 2016 Info: MID 2 ready 320 bytes from <test@test.com>
Wed Mar 23 17:28:43 2016 Info: MID 2 matched all recipients for per-recipient policy DEFAULT in the outbound table
Wed Mar 23 17:28:43 2016 Info: MID 2 queued for delivery
Wed Mar 23 17:28:43 2016 Info: New SMTP DCID 3 interface 172.18.250.222 address 173.37.93.161 port 25
Wed Mar 23 17:28:43 2016 Info: Delivery start DCID 3 MID 2 to RID [0]
Wed Mar 23 17:28:44 2016 Info: Message done DCID 3 MID 2 to RID [0]
Wed Mar 23 17:28:44 2016 Info: MID 2 RID [0] Response '2.0.0 u2NHSipG018673 Message accepted for delivery'
Wed Mar 23 17:28:44 2016 Info: Message finished MID 2 done
Wed Mar 23 17:28:48 2016 Info: ICID 2 close
Wed Mar 23 17:28:49 2016 Info: DCID 3 close

SMTP 통신은 172.18.250.222(베타 어플라이언스)에서 설정됩니다. 트래픽은 172.18.250.224(프로덕션 어플라이언스)에서 전송됩니다.

통신을 수신하는 발신자 그룹은 172.18.250.1/24 네트워크에서 릴레이된 트래픽에 대한 RELAY입니다.

나머지 항목은 TEST 2 메시지의 처리 과정을 보여줍니다.

프로덕션 ESA에서 다음 명령을 실행하여 처리된 MID를 확인합니다.

tail mail_logs

Production ESA에는 다음 출력이 표시됩니다.

Wed Mar 23 14:50:10 2016 Info: MID 242 was generated based on MID 241 by bcc filter 'bcc-EFT'

이 출력은 메시지의 명확한 중복을 확인하고 메시지가 Beta ESA 및 테스트 최종 사용자에게 의도대로 BCC 복사되었음을 보여줍니다.

문제 해결

확인이 실패할 경우 두 ESA의 리스너 컨피그레이션, 발신자 그룹 항목, SMTP 경로, 수신 릴레이 설정 및 메시지 필터 컨피그레이션을 검토합니다. 또한 두 어플라이언스에서 mail_logs를 검토하여 연결, 릴레이 및 전달 이벤트를 확인합니다.

추가 정보(선택 사항)

콘텐츠 필터를 사용하여 테스트 최종 사용자를 위해 프로덕션 및 베타 이메일 트래픽을 구별할 수 있습니다.

1. Beta ESA의 웹 UI에서 Mail Policies(메일 정책) > Incoming Content Filters(수신 콘텐츠 필터) 또는 Mail Policies(메일 정책) > Outgoing Content Filters(발신 콘텐츠 필터)로 이동합니다.
2. 헤더 추가/편집 작업을 수행하는 기본 콘텐츠 필터를 만듭니다.
3. 제출을 선택합니다.
4. Mail Policies(메일 정책) > Incoming Mail Policies(수신 메일 정책) 또는 Mail Policies(메일 정책) > Outgoing Mail Policies(발신 메일 정책)로 이동합니다.
5. 새 콘텐츠 필터를 활성화하고 정책에 추가합니다.
6. 제출을 선택합니다.
7. 컨피그레이션에 대한 모든 변경 사항을 저장하려면 Commit을 클릭합니다.

이 단계를 완료하면 Beta ESA의 콘텐츠 필터가 이 이미지에 표시된 대로 나타납니다.

Beta ESA에서 이메일 메시지를 처리한 후 이 이미지에 표시된 대로 제목 줄이 나타납니다.

관련 정보

• 스테이징 업데이트를 위해 ESA/SMA를 구성하는 방법

• 기술 지원 및 문서 − Cisco Systems