使用安全邮件配置Microsoft 365

邮件流策略配置示例如下：

配置从 Microsoft 365 发送到 CES 的邮件

1. 登录到Microsoft Exchange管理中心。
2. 导航至。Mail flow > Connectors
3. 单击[+ Add a connetor]，创建新的连接器。
4. 在“选择邮件流方案”弹出窗口中，选择：
   1. From（发件人）： Office365
   2. 更改为：Partner organization
5. 点击 Next.
6. 输入新连接器的名称： Outbound to Cisco CES.
7. 输入说明（可选）。
8. 点击 Next.
9. 对于“何时要使用此连接器？”：
   1. 选择： Only when I have a transport rule set up that redirects messages to this connector.
   2. 点击 Next. 
10. 点击 Route email through these smart hosts.
11. 点击[+]并输入您的CES欢迎信中提供的出站IP地址或主机名。
12. 点击 Save.
13. 点击 Next.
14. 对于“Office 365如何连接到您的合作伙伴组织的电子邮件服务器？”：
    1. 选择： Always use TLS to secure the connection (recommended).
    2. 选择Any digital certificate, including self-signed certificates.
    3. 点击 Next.
15. 系统将显示确认屏幕。
16. 点击 Next.
17. 使用[+]输入有效的邮件地址，然后单击 OK.
18. 点击Validate并允许运行验证。
19. 完成后，单击
20. 点击Save.

出站连接器外观示例：

创建邮件流规则

1. 登录您的Exchange管理中心。
2. 点击Mail Flow;并确保您位于rules选项卡上。
3. 点击[+]以添加新规则。
4. 选择 Create a new rule.
5. 输入新规则的名称： Outbound to Cisco CES.
6. 对于*如果出现以下情况，则应用此规则……，请选择： The sender is located...
   1. 对于select sender location弹出窗口，选择： Inside the organization.
   2. 点击 OK.
7. 点击 More options...
8. 单击该add condition按钮并插入第二个条件：
   1. 选择 The recipient...
   2. 选择： Is external/internal.
   3. 对于select sender location弹出窗口，选择： Outside the organization.
   4. 点击 OK.
9. 对于*执行以下操作……，选择： Redirect the message to...
   1. 选择:以下连接器。
   2. 并选择您的Outbound to Cisco CES连接器。
   3. Click OK.
10. 返回“*执行以下操作……” 并插入第二个操作：
    1. 选择： Modify the message properties...
    2. 选择： set the message header.
    3. 设置邮件信头： X-OUTBOUND-AUTH.
    4. 点击 OK.
    5. 设置值： mysecretkey.
       1. mysecretkey is simply a placeholder. Please customize this so it is specific to your environment.
    6. 点击 OK.
11. 点击 Save.

注意：为了防止来自Microsoft的未授权邮件，可以在邮件离开您的Microsoft 365域时标记密码x信头；此报头在传送到Internet之前会进行评估和删除。

Microsoft 365路由配置的示例如下：

防止开放中继

警告：这是关键的一步。保护传出侦听程序对于防止未经授权的用户通过设备转发邮件至关重要。

下面列出了两个选项。对于不熟悉CLI（命令行界面）的用户，建议使用消息过滤器(CLI)或内容过滤器(GUI)。 

选项 1：通过GUI防止开放中继

在GUI中创建两个内容过滤器：

• 第一个过滤器对没有X-OUTBOUND-AUTH标头或不包含以前在Microsoft Office 365中配置的值的邮件执行操作。
• 第二个过滤器适用于从Microsoft Office 365租户发送的合法电子邮件。此过滤器会删除X-OUTBOUND-AUTH报头，以便将来不会滥用它。

1. 在GUI中，导航到Mail Policies >> Outgoing Content Filters >>选择Stop_O365_OpenRelay（如果不提供，请选择Add Filter...）。
2. 确保配置了第一个内容过滤器：
   • 名称：<这可以是任何内容>
   • 描述:<这可以是任何内容>
   • 应用规则：仅当所有条件都匹配时
   • 条件
     • 其他标题：
       • 报头名称：<输入之前在Microsoft Office 365上创建邮件流规则期间列出的信头名称)(例如， X-OUTBOUND-AUTH).
         • 某些客户可能使用报头值X-IronPort-Tenant预定义此配置。虽然也可以使用此功能，但关键部分只是确保在“内容过滤器”条件中输入的报头值与Microsoft Office 365的邮件流规则中配置的报头值相匹配。 
       • 报头值（不等于）：<输入之前在Microsoft Office 365上创建邮件流规则期间列出的信头的值（例如mysecretkey）。
     • 接收监听程序(Is):传出
   • 操作
     • 添加日志条目：$Header["X-OUTBOUND-AUTH"]
       • 某些客户可能使用报头值X-IronPort-Tenant预定义此配置。虽然也可以使用此功能，但关键部分是要确保在“内容过滤器”条件中输入的报头值与Microsoft Office 365的邮件流规则中配置的报头值相匹配。 
     • 隔离区：<选择相应的隔离区> 
   • 请避免使用之前列出的字符以外的任何特殊字符(例如*、(、 |等)，因为它们可能导致误报匹配，并可能导致合法邮件被隔离。
   • 单击 submit。
3. 然后，选择Strip_Secret_Header Content Filter并配置：（如果不可用，请选择Add Filter...）：
   • 名称：<这可以是任何内容>
   • 描述:<这可以是任何内容>
   • 条件
     • 其他标题：
       • 报头名称：<输入之前在Microsoft Office 365上创建邮件流规则期间列出的信头名称(例如， X-OUTBOUND-AUTH).
         • 某些客户可能使用报头值X-IronPort-Tenant预定义此配置。虽然也可以使用此功能，但关键部分是要确保在“内容过滤器”条件中输入的报头值与Microsoft Office 365的邮件流规则中配置的报头值相匹配。
       • 报头值（等于）：<输入之前在Microsoft Office 365上创建邮件流规则期间列出的信头的值（例如mysecretkey）。
   • 操作
     • 剥离信头 
       • 报头名称：<输入之前在Microsoft Office 365上创建邮件流规则期间列出的信头名称)(例如， X-OUTBOUND-AUTH).
         • 某些客户可能使用报头值X-IronPort-Tenant预定义此配置。虽然也可以使用此功能，但关键部分只是确保在“内容过滤器”条件中输入的报头值与Microsoft Office 365的邮件流规则中配置的报头值匹配。
         • 单击Submit，然后导航到Mail Policies >> Outgoing Mail Policies。
4. 确保在Default Policy和任何其他所需的策略下启用新创建的内容过滤器。
   • 确保Strip_Secret_Header内容过滤器在邮件策略中的顺序正确。 它必须放在Stop_O365_OpenRelay内容过滤器之后，否则可能会影响邮件流和/或内容过滤器可能不会按预期工作。 
5. 提交>>提交更改。
6. 继续测试您的外发电子邮件流量。

提示：测试成功完成且邮件传送按预期工作正常后，建议将内容过滤器中的操作从“quarantine”更改为“drop”。

Stop_O365_OpenRelay内容过滤器

Strip_Secret_Header内容过滤器

选项 2：通过CLI防止开放中继

访问思科安全邮件网关的CLI。

注意:Cisco Secure Email Cloud Gateway > Command Line Interface(CLI)Access。

创建邮件过滤器以检查x报头的存在和值，并删除报头（如果存在）。 如果不存在信头，则丢弃该消息。

1. 通过CLI登录网关。
2. 运行 命令。filters
3. 如果您的网关已集群，请点击return以在“集群”模式下编辑过滤器。
4. 使用命New令创建邮件过滤器、复制并粘贴：
   
   

   office365_outbound: if sendergroup == "RELAYLIST" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }

5. 按回车键一次以创建新的空白行.
6. 在新[.]行上输入，结束新的邮件过滤器。
7. 单击return一次以退出“过滤器”菜单。
8. 运行命commit令以保存对配置的更改。

注意：避免使用密钥的特殊字符。消息过滤器中显示的^和$是正则表达式字符，如示例中所示。

注意：请复习如何配置RELAYLIST的名称。可以使用备用名称进行配置，也可以根据中继策略或邮件提供商设置特定名称。

测试出站邮件

测试从您的Microsoft 365电子邮件地址发送到外部域收件人的出站邮件。您可以从思科安全邮件和网络管理器查看邮件跟踪，以确保邮件被正确路由到出站。

注意：检查网关上的TLS配置（系统管理>SSL配置）以及用于出站SMTP的密码。思科最佳实践建议：

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

成功传送的跟踪示例：

More Details单击查看完整的消息详细信息：

x报头不匹配的邮件跟踪示例：

相关信息 

思科安全电子邮件网关文档

• 发行说明
• 用户指南
• CLI参考指南
• 思科安全邮件网关的API编程指南
• 思科安全邮件网关中使用的开源
• 思科内容安全虚拟设备安装指南（包括vESA）

安全邮件云网关文档

• 发行说明
• 用户指南

Cisco Secure Email and Web Manager文档

• 版本说明和兼容性列表
• 用户指南
• Cisco Secure Email and Web Manager的API编程指南
• 思科内容安全虚拟设备安装指南（包括vSMA）

Cisco Secure产品文档

• 思科安全产品组合命名架构