发现在ESA的被伪装的电子邮件消息并且创建允许伪装的发送器的例外

创建消息过滤器

其次，您将需要创建消息过滤器为了有效利用被创建的词典， “VALID_INTERNAL_DOMAINS” ：

1. 对ESA的命令行界面(CLI)的连接。
2. 运行命令过滤器。
3. 运行new命令创建一台新的消息过滤器。
4. 若需要复制和插入以下过滤器示例，做为您的实际发送器组名编辑：
   
   
   

   mark_spoofed_messages:
   if(
        (mail-from-dictionary-match("VALID_INTERNAL_DOMAINS", 1)) 
    OR  (header-dictionary-match("VALID_INTERNAL_DOMAINS","From", 1))) 
    AND ((sendergroup != "RELAYLIST") 
    AND (sendergroup != "MY_TRUSTED_SPOOF_HOSTS")
     ) 
   {
   insert-header("X-Spoof", "");
   } 

   
   
   
   
5. 返回到主要CLI提示并且运行进行保存配置。
6. 连接对GUI >邮件策略>流入的内容过滤器
7. 创建采取对欺骗头X欺骗的行动的流入的内容过滤器：
   1. 添加其他头
   2. 头名字：X欺骗
   3. 头存在单选按钮
   4. 添加动作：重复项检疫(“策略")。 
      

      Note: 显示的复制消息功能此处将保留消息的复制，并且继续传送原始消息到接收人。 

      
      
      
      
      
      
8. 与流入的邮件策略连接内容过滤器在GUI >邮件Policies>流入的邮件策略
9. 提交并且确认更改

添加欺骗例外到MY_TRUSTED_SPOOF_HOSTS

最后，您将需要添加欺骗例外(IP地址或主机名)对MY_TRUSTED_SPOOF_HOSTS sendergroup。 

1. 通过Web GUI连接： 邮寄策略>帽子概述
2. 点击并且打开MY_TRUSTED_SPOOF_HOSTS发送器组。
3. 点击“添加发送器…”添加IP地址、范围、主机名或者部分主机名。
4. 点击提交保存发送器更改。
5. 最后，请点击进行更改保存配置。

示例：

验证

验证被伪装的消息被检疫

发送指定你的一个域的一个测试消息作为包发送器。验证过滤器工作正如所料在执行在该消息的消息跟踪旁边。预期结果是消息将获得检疫，因为我们未创建任何例外，允许伪装的那些发送器的。 

Thu Apr 23 07:09:53 2015 Info: MID 102 ICID 9 RID 0 To: <test_user@domain.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 Subject 'test1'
Thu Apr 23 07:10:07 2015 Info: MID 102 ready 177 bytes from <user_1@example.com>
Thu Apr 23 07:10:07 2015 Info: MID 102 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:10:11 2015 Info: MID 102 interim verdict using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 using engine: CASE spam negative
Thu Apr 23 07:10:11 2015 Info: MID 102 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:10:11 2015 Info: MID 102 antivirus negative
Thu Apr 23 07:10:12 2015 Info: MID 102 quarantined to "Policy" (message filter:quarantine_spoofed_messages)
Thu Apr 23 07:10:12 2015 Info: Message finished MID 102 done

验证消息提供欺骗例外

“欺骗例外”发送器是在上面过滤器参考的您的发送器组的IP地址。

因为ESA用于发送outbound邮件， RELAYLIST被参考。RELAYLIST被发送的消息是典型地outbound邮件，和不包括此将创建上面过滤器被检疫的错误肯定或者出局的消息。

被添加到MY_TRUSTED_SPOOF_HOSTS “欺骗例外” IP地址的消息跟踪示例。期望的动作是传送和没有检疫。(此IP允许伪装)。

Thu Apr 23 07:25:57 2015 Info: Start MID 108 ICID 11
Thu Apr 23 07:25:57 2015 Info: MID 108 ICID 11 From: <user_1@example.com>
Thu Apr 23 07:26:02 2015 Info: MID 108 ICID 11 RID 0 To: <test_user@domain.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 Subject 'test2'
Thu Apr 23 07:26:10 2015 Info: MID 108 ready 163 bytes from <user_1@example.com>
Thu Apr 23 07:26:10 2015 Info: MID 108 matched all recipients for per-recipient policy DEFAULT in the inbound table
Thu Apr 23 07:26:10 2015 Info: MID 108 interim AV verdict using Sophos CLEAN
Thu Apr 23 07:26:10 2015 Info: MID 108 antivirus negative
Thu Apr 23 07:26:10 2015 Info: MID 108 queued for delivery
Thu Apr 23 07:26:10 2015 Info: Delivery start DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: Message done DCID 16 MID 108 to RID [0]
Thu Apr 23 07:26:11 2015 Info: MID 108 RID [0] Response '2.0.0 t58EVG9N031598 Message accepted for delivery'
Thu Apr 23 07:26:11 2015 Info: Message finished MID 108 done

相关信息

• ESA被伪装的邮件过滤
• 欺骗保护使用发送器验证