Caution

如果您无法使用串行接口或管理接口上的默认设置通过默认的 Admin 用户账户重新连接到 Web 界面或 CLI，则请勿重置为出厂默认设置。

当对邮件网关进行物理传输时，您可能希望从出厂默认值开始。重置为出厂设置是极其具有破坏性的，仅当传输装备或最近重新进行了排序以解决配置问题时才重置为出厂设置。重置为出厂默认设置会断开您与 Web 界面或 CLI 的连接，从而禁用您用来连接至邮件网关（FTP、SSH、HTTP、HTTPS）的服务，甚至会删除您已创建的其他用户账号。您可以通过如下方式重置为出厂默认设置：

• 在 Web 界面上，单击系统管理 (System Administration) > 配置文件 (Configuration File) 页面上的“重置”按钮，或单击系统管理 (System Administration) > 系统设置向导 (System Setup Wizard) 中的“重置配置”(Reset Configuration) 按钮。
• 在 CLI 上，使用 resetconfig 命令。

Note	仅当邮件网关处于离线状态时，resetconfig 命令才有效。重置为出厂设置后，邮件网关将恢复在线状态。

要确定邮件网关上当前安装的 AsyncOS 版本，请使用 Web 界面上“监控”(Monitor) 菜单上的“系统概述”(System Overview) 页面（请参阅系统状态），或使用 CLI 中的 version 命令。

• 添加和管理功能密钥

• 自动执行功能密钥下载和激活

• 过期的功能密钥

在云邮件网关上，请避免更改功能密钥设置。

• 概述

• 启用智能软件许可

• 向思科智能软件管理器注册邮件网关

• 申请许可证

• 从思科智能软件管理器注销邮件网关

• 向智能思科软件管理器注册邮件网关

• 更改传输设置

• 续约授权和证书

• 更新智能代理

• 警报

• 群集模式下的智能许可

虚拟邮件网关许可证到期之后，邮件网关将会继续传送邮件，但不会获得 180 天的安全服务。在此期间，不会进行安全服务更新。

许可证到期之前的 180 天、150 天、120 天、90 天、60 天、30 天、15 天、5 天、1 天和 0 秒将会发出警报，并且在宽限期结束之前会按照相同的间隔发出警报。这些警报属于“系统”(System) 类型，严重性级别为“严重”(Critical)。要确保收到这些警报，请参阅添加警报收件人。

这些警报也会记录在系统日志中。

各个功能密钥可能会先于虚拟邮件网关许可证到期。当这些密钥接近其到期日期时，您也会收到警报。

• 可以从一个邮件网关下载现有的配置文件，对其更改，再将其上传到另一个邮件网关。这样，您可以更轻松地管理多个邮件网关的安装。目前，您尚不能将配置文件从 C/X 系列邮件网关加载到 M 系列思科安全管理器邮件和网络网关。
• 您可以将从一个邮件网关下载的现有配置文件分成多个子部分。可以修改所有邮件网关间通用的部分（在多邮件网关环境中）并在更新子部分时将其加载到其他邮件网关。

例如，可以在测试环境中使用邮件网关来测试“全局取消订用”(Global Unsubscribe) 命令。如果您认为已经正确配置了“全局取消订用”(Global Unsubscribe) 列表，则可以将“全局取消订用”(Global Unsubscribe) 配置部分从测试邮件网关加载到所有生产邮件网关。

要在您的在邮件网关上管理配置文件，请依次单击“系统管理”(System Administration) >“配置文件”(Configuration File)。

“配置文件”(Configuration File) 页面包含以下部分：

• 当前配置 (Current Configuration) - 用于保存和导出当前配置文件。
• 加载配置 (Load Configuration) - 用于加载完整或部分配置文件。
• 最终用户安全列表/阻止列表数据库(垃圾邮件隔离区) - 有关信息，请参阅使用安全列表和阻止列表基于发件人控制邮件发送和备份和恢复安全列表/阻止列表。
• 重置配置 (Reset Configuration) - 用于将当前配置重置回出厂默认设置（应在重置配置之前先保存配置）。

Note	具有加密密码的配置文件以未加密的 PEM 格式随附私钥和证书。

您只能使用 showconfig 命令查看配置文件详细信息。showconfig 命令可将当前配置打印到屏幕。

mail3.example.com> showconfig


Do you want to include passphrases? Please be aware that a configuration without
passphrases will fail when reloaded with loadconfig.
<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE config SYSTEM "config.dtd">
<!--
Product: IronPort model number Messaging Gateway Appliance(tm)
Model Number: model number
Version: version of AsyncOS installed
Serial Number: serial number

Current Time: current time and date

[The remainder of the configuration file is printed to the screen.]

您可以通过在邮件网关上您的部署所用的功能之间分配磁盘空间来优化磁盘的使用。

其他配额包括系统数据和用户数据。您无法删除系统数据。您可以管理的用户数据包括以下类型的文件：

当其他磁盘使用量达到配额的 75% 时，您会开始收到警告级别的系统警报。在收到这些警报时，您应采取措施。

要确保收到这些警报，请参阅警报。

磁盘空间管理只能在计算机模式下进行，不能在组或集群模式下进行。

有关引擎回滚和禁用自动更新的信息将发布到以下日志：

• 更新程序日志：包含关于引擎回滚和自动更新引擎的信息。大多数信息处于信息或调试级别。

  有关详细信息，请参阅更新程序日志示例。

将 AsyncOS 升级和更新文件分配至您的邮件网关的方式有如下几种：

• 每台邮件网关都可直接从思科更新服务器下载文件。此为默认方法。
• 您可以从思科下载一次文件，然后从网络中的服务器将其分配到邮件网关。请参阅从本地服务器升级和更新。

要选择和配置某种方法，请参阅配置服务器设置以下载升级和更新。

邮件网关直接连接到思科更新服务器，以查找并下载升级和更新：

思科更新服务器使用动态 IP 地址。如果您有很强的防火墙策略，可能需要改为配置静态位置。有关详细信息，请参阅配置邮件网关以在严格的防火墙环境中获取升级和更新。

创建一个防火墙规则以允许从端口 80 和 443 的思科更新服务器下载升级。

要下载 AsyncOS 升级和更新文件，您的内部网络中必须有系统可满足以下条件：

• 对系统更新服务器的互联网访问权限。

• Web 浏览器（请参阅浏览器要求）。

  Note	对于此版本，如果您需要配置防火墙设置以允许通过 HTTP 访问此地址，则必须使用 DNS 名称而不是特定 IP 地址对其进行配置。

对于托管 AsyncOS 更新文件，您的内部网络中必须有一个满足以下条件的服务器：

• Web 服务器（例如 Microsoft IIS (Internet Information Services) 或 Apache 开源服务器），该服务器应：
  • 支持目录或文件名显示超出 24 个字符
  • 已启用目录浏览
  • 已配置用于匿名（无身份验证）或基本（“简单”）身份验证
  • 至少包含 350MB 可用磁盘空间，用于每个 AsyncOS 更新映像

在设置本地服务器后，转至 http://updates.ironport.com/fetch_manifest.html 以下载升级映像的压缩文件。要下载映像，请输入您的序列号（对于物理邮件网关）或 VLN（对于虚拟邮件网关设备）以及邮件网关的版本号。然后，系统将显示您可用的升级列表。单击要下载的升级版本，在本地服务器上解压根目录中的 ZIP 文件，但目录结构应保持完整。要使用升级映像，请在“编辑更新设置”页面中（或在 CLI 中使用 updateconfig）将邮件网关配置为使用本地服务器。

本地服务器还会托管 XML 文件，用于将网络中邮件网关的可用 AsyncOS 升级限制为下载的升级映像。此文件称为“清单”。证明文件位于升级映像 ZIP 文件的 asyncos 目录内。解压了本地服务器根目录中的 ZIP 文件后，在“编辑更新设置”页面中（或在 CLI 中使用 updateconfig）输入 XML 的完整 URL，包括文件名。

有关远程升级的详细信息，请参阅知识库或联系思科支持提供商。

默认情况下，邮件网关配置为直接连接到思科更新服务器接收更新。此连接通过 HTTP 在端口 80 上进行，并且内容已加密。如果不希望在防火墙中打开此端口，可以定义代理服务器以及邮件网关可以从其接收更新的规则的特定端口。

如果选择使用代理服务器，可以指定一个可选的身份验证和端口。

Note	如果定义了代理服务器，该代理服务器将自动用于配置为使用代理服务器的所有服务更新。无法为任何单个服务的更新关闭代理服务器。

每当邮件网关与更新程序服务器进行通信时，邮件网关均可检查思科更新程序服务器证书的有效性。如果配置了此选项并且验证失败，则不会下载更新，并在更新程序日志中记录详细信息。

使用 updateconfig 命令配置此选项。以下示例显示了如何配置此选项。

mail.example.com> updateconfig
Service (images):                                    Update URL:
------------------------------------------------------------------------------------------
Feature Key updates                                  http://downloads.ironport.com/asyncos
Timezone rules                                       Cisco IronPort Servers
Enrollment Client Updates                            Cisco IronPort Servers
Support Request updates                              Cisco IronPort Servers
Cisco IronPort AsyncOS upgrades                      Cisco IronPort Servers
Service (list):                                      Update URL:
------------------------------------------------------------------------------------------
Timezone rules                                       Cisco IronPort Servers
Enrollment Client Updates                            Cisco IronPort Servers
Support Request updates                              Cisco IronPort Servers
Service (list):                                      Update URL:
------------------------------------------------------------------------------------------
Cisco IronPort AsyncOS upgrades                      Cisco IronPort Servers
Update interval: 5m
Proxy server: not enabled
HTTPS Proxy server: not enabled
Choose the operation you want to perform:
- SETUP - Edit update configuration.
- VALIDATE_CERTIFICATES - Validate update server certificates
- TRUSTED_CERTIFICATES - Manage trusted certificates for updates
[]> validate_certificates
Should server certificates from Cisco update servers be validated?
[Yes]>
Service (images):                                    Update URL:
------------------------------------------------------------------------------------------
Feature Key updates                                  http://downloads.ironport.com/asyncos
Timezone rules                                       Cisco IronPort Servers
Enrollment Client Updates						     Cisco IronPort Servers
Support Request updates                              Cisco IronPort Servers
Cisco IronPort AsyncOS upgrades                      Cisco IronPort Servers
Service (list):                                      Update URL:
------------------------------------------------------------------------------------------
Timezone rules                                       Cisco IronPort Servers
Enrollment Client Updates                            Cisco IronPort Servers
Support Request updates                              Cisco IronPort Servers
Service (list):                                      Update URL:
------------------------------------------------------------------------------------------
Cisco IronPort AsyncOS upgrades                      Cisco IronPort Servers
Update interval: 5m
Proxy server: not enabled
HTTPS Proxy server: not enabled
Choose the operation you want to perform:
- SETUP - Edit update configuration.
- VALIDATE_CERTIFICATES - Validate update server certificates
- TRUSTED_CERTIFICATES - Manage trusted certificates for updates
[]>

如果使用非透明代理服务器，则可以添加 CA 证书用于为邮件网关的代理证书签名。这样，邮件网关将会信任代理服务器通信。

使用 updateconfig 命令配置此选项。以下示例显示了如何配置此选项。

mail.example.com> updateconfig
...
...
...
Choose the operation you want to perform:
- SETUP - Edit update configuration.
- VALIDATE_CERTIFICATES - Validate update server certificates
- TRUSTED_CERTIFICATES - Manage trusted certificates for updates
[]> trusted_certificates
Choose the operation you want to perform:
- ADD - Upload a new trusted certificate for updates.
[]> add
Paste certificates to be trusted for secure updater connections, blank to quit
Trusted Certificate for Updater:
Paste cert in PEM format (end with '.'):
-----BEGIN CERTIFICATE-----
MMIICiDCCAfGgAwIBAgIBATANBgkqhkiG9w0BAQUFADCBgDELMAkGA1UEBhMCSU4x
DDAKBgNVBAgTA0tBUjENM............................................
-----END CERTIFICATE-----
.
Choose the operation you want to perform:
- ADD - Upload a new trusted certificate for updates.
- LIST - List trusted certificates for updates.
- DELETE - Delete a trusted certificate for updates.
[]>

在邮件网关上使用 revert 命令是一项极具破坏性的操作。此命令会销毁所有配置日志和数据库。仅会保留管理接口上的网络信息保留，其余网络配置都将删除。此外，在重新配置邮件网关之前，恢复操作还会中断邮件处理。由于此命令会破坏网络配置，因此在您希望发出 revert 命令时，可能需要对邮件网关进行物理本地访问。

Caution

您必须具有要恢复到的版本的配置文件。配置文件不反向兼容。

可以针对以下严重性级别发送警报：

• 严重：需要立即注意。
• 警告 (Warning)：需要进一步监控并可能需要立即注意的问题或错误
• 信息：此设备的例行运行当中生成的信息。

为了使思科能够更好地支持和设计未来的系统变更，可以将邮件网关配置为向思科系统发送系统生成的所有警报邮件的副本。此功能称为“自动支持”，是允许我们的团队主动支持您的需求的有效方式。“自动支持”还发送每周报告，说明系统正常运行时间、status 命令的输出和使用的 AsyncOS 版本。

默认情况下，设置为接收“参考”(Information) 严重性级别的“系统”(System) 警报类型的警报收件人，会收到发往思科的每封邮件的副本。如果您不希望内部每周发送警报邮件，可以禁用此功能。要启用或禁用此功能，请参阅配置警报设置。

从邮件网关发送到“警报收件人”(Alert Recipients) 中指定地址的警报，遵循为这些目标定义的 SMTP 路由。

由于警报邮件可用来通知邮件网关中的问题，因此不使用 AsyncOS 正常的邮件传送系统发送它们。相反，警报邮件通过独立而并行的电子邮件系统传递，即便在 AsyncOS 存在重大系统故障时也会运行。

警报邮件系统不与 AsyncOS 共享相同的配置，这意味着警报邮件的传送可能与其他邮件的传送不太一样：

• 警报邮件通过标准 DNS MX 和 A 记录查找传送。

  • 它们确实会缓存 DNS 条目 30 分钟，缓存每 30 分钟刷新一次，所以如果 DNS 出现故障，警报将停止。

• 警报邮件不通过工作队列传递，所以不对它们病毒扫描或垃圾邮件。另外，它们也不受邮件过滤器或内容过滤器约束。

• 警报邮件不通过传送队列传递，因此不受退回配置文件或目标控制限制的影响。

Note	[可选 - 仅当使用 alertconfig CLI 命令启用了 TLS 支持并在 SSL 配置设置页面中启用了 FQDN 验证时]：检查服务器证书中是否存在“公共名称”(Common Name)、“SAN：DNS 名称”(SAN: DNS Name) 字段或两者同时存在，以及是否为 FQDN 格式。

Note	[可选 - 仅在使用 alertconfig CLI 命令启用了 TLS 支持并在 SSL 配置设置页面中启用了 X 509 验证时]：检查服务器证书的签名算法。

邮件网关会保存最新的警报，因此如果丢失或删除了警报邮件，可以在 GUI 和 CLI 中进行查看。这些警报无法从邮件网关下载。

要查看最新警报的列表，请单击“警报”(Alerts) 页面上的查看排名靠前的警报 (View Top Alerts) 按钮或使用 CLI 中的 displayalerts 命令。可以在 GUI 中按日期、级别、文本和收件人排列警报。

默认情况下，邮件网关最多保存 50 条警报以显示在排名靠前的警报 (Top Alerts) 窗口中。使用 CLI 中的 alertconfig -> setup 命令编辑邮件网关保存的警报数。如果要禁用此功能，请将警报数更改为 0。

下表按类别列出了警报，包括警报名称（使用的内部描述符）、警报的实际文本、说明、严重性（重要，参考或警告）以及邮件文本中所包含的参数（如果有）。参数值在警报的实际文本将被替换。例如，以下警报邮件可能会在邮件文本中提到“$ip”。生成警报时，“$ip”将替换为实际的 IP 地址。

• 反垃圾邮件警报

• 防病毒警报

• 目录搜集攻击预防 (DHAP) 警报

• 硬件风险通告

• 垃圾邮件隔离区警报

• 安全列表/阻止列表警报

• 系统警告

• 更新程序警报

• 病毒爆发过滤器警报

• 将警报集群化

主机名用于识别系统。您必须输入完全限定的主机名。要更改主机名，请执行以下操作：

• 在 Web 界面上，依次单击“网络”(Network) >“IP 接口”(IP Interfaces)，单击“管理”(Management)，然后在“主机名”(Hostname) 中更改主机名。
• 在 CLI 中，使用 sethostname 命令。

Note	确认更改后，新主机名才会生效。

可以通过 GUI 的“网络”菜单的“DNS”页面或 dnsconfig 命令为邮件网关配置 DNS 设置。

可以配置以下设置：

• 使用 Internet 的 DNS 服务器还是自己的服务器，以及具体使用的服务器
• 用于 DNS 通信的接口
• 反向 DNS 查找超时前等待的秒数
• 清除 DNS 缓存

邮件网关现在支持 SAML 2.0 SSO，以便用户可以使用在其组织内访问其他启用 SAML 2.0 SSO 的服务时使用的相同凭证登录邮件网关设备的 Web 界面。例如，如果您启用 Duo、Microsoft AD FS 或 Azure 作为 SAML 身份提供程序 (IdP)，则可以将邮件网关配置为服务提供商 (SP) 以支持 SAML 2.0 SSO。用户可以一次登录，并访问所有 SAML 2.0 SSO 启用的服务。

SAML 2.0 SSO 工作流显示在下图中：

• 总则

• 注销

• 限制

思科安全邮件网关支持与使用身份提供程序 (IDP) 和 OpenID Connect 1.0 身份验证的应用或客户端集成，以便与邮件网关中可用的 AsyncOS API 进行无缝连接。目前，您的邮件网关仅使用 Microsoft AD FS 进行了 OpenID Connect 认证。

在以下工作流程中，AD FS 会被用作身份提供程序，外部应用程序会被用作客户端，而邮件网关会被用作资源提供程序。

步骤：

1. [一次性活动] 配置邮件网关以验证访问令牌。有关详细信息，请参阅 在邮件网关上配置 OpenID Connect。

2. [一次性活动] 邮件网关根据步骤 1 中的配置获取 OpenID Connect 配置元数据和所需的密钥，以便验证访问令牌。

3. 在使用 AD FS 对外部应用进行身份验证后获取访问令牌。有关如何对访问令牌进行身份验证和接收的详细信息，请参阅身份验证提供程序或身份提供程序文档。

4. 将 API 请求与访问令牌一起发送到邮件网关。

5. 邮件网关会使用从第 2 步检索的密钥集来验证 API 请求中的访问令牌。

6. 邮件网关对访问令牌中的所需的声明（签发者、受众）进行验证。

7. 邮件网关使用角色声明值来授权和分配用户角色权限，以便访问 AsyncOS API。

8. 邮件网关会为 AsyncOS API 请求提供适当的响应。

以下是示例访问令牌的格式：

Header
alg:RSA256
typ:JWT
[...] 
Payload
claim: aud: CiscoEmailAPICaller
claim: iss: http://adfsserver/adfs/services/trust
claim: iat: 1594712147
claim: exp: 1594712807
claim: CustomOrgIdentifier: MyCustomOrgId
claim: LastName: Fernandes
claim: FirstName: Erik
claim: Email: erik.fernandes@customorg.com
claim: Role: LogCollector
claim: Role: ReadOnly
[...]

邮件网关仅支持验证由以下算法签名的访问令牌：

• RSA256

• RSA384

• RSA512

在使用 OpenID Connect 配置邮件网关之前，请确保满足以下前提条件：

• 邮件网关支持您的组织使用的身份验证提供程序。

• 应用可以使用身份验证提供程序进行身份验证并检索访问令牌。

• 邮件网关可以通过 HTTP 连接到身份验证提供程序，以便获取 OpenID Connect 元数据配置。

可以使用以下方法之一编辑邮件网关的时间设置：

• （推荐）使用网络时间协议 (NTP) 设置邮件网关系统时间
• 手动设置邮件网关系统时间

（仅限通过本地身份验证的管理用户。）可以创建最常用的页面的快速访问列表。

在使用国际化域名 (IDN) 功能之前，请确保满足以下前提条件：

• 所有传入邮件都必须使用 UTF-8 编码的 IDN。

  例如：向邮件网关发送邮件的 MTA 必须支持 IDN，并要确保邮件中的域采用 UTF-8 格式。

• 所有传出邮件都必须使用 UTF-8 编码的 IDN，并且目标服务器必须相应地接受和支持 IDN。

  例如：接受来自邮件网关的邮件的 MTA 必须支持以 UTF-8 格式编码的 IDN 和域。

• 在所有适用的 DNS 记录中，必须使用 Punycode 格式来配置 IDN

  例如：在为 IDN 配置 MX 记录时，DNS 记录中的域必须采用 Punycode 格式。

对于此版本，您只能在邮件网关中使用 IDN 域来配置以下功能：

• SMTP 路由配置设置：

  • 添加或编辑 IDN 域。

  • 使用 IDN 域导出或导入 SMTP 路由。

• DNS 配置设置：使用 IDN 域添加或编辑 DNS 服务器。

• 侦听程序配置设置：

  • 为入站或出站侦听程序中的默认域添加或编辑 IDN 域。

  • 在 HAT 或 RAT 表中添加或编辑 IDN 域。

  • 使用 IDN 域导出或导入 HAT 或 RAT 表。

• 邮件策略配置设置

  • 在“传入邮件策略”(Incoming Mail Policies) 中使用 IDN 域添加或编辑发件人（“以下发件人”(Following Senders) 或“非以下发件人”(Following Senders are Not) 选项）和收件人（“以下收件人”(Following Recipients) 或“非以下收件人”(Following Recipients are Not) 选项）的域。

  • 在“传出邮件策略”(Outgoing Mail Policies) 中使用 IDN 域添加或编辑发件人（“以下发件人”(Following Senders) 或“非以下发件人”(Following Senders are Not) 选项）和收件人（“以下收件人”(Following Recipients) 或“非以下收件人”(Following Recipients are Not) 选项）的域。

  • 在传入或传出邮件策略中使用 IDN 域查找的发件人或收件人。

  • 使用 IDN 域定义发件人验证例外表。

  • 使用 IDN 域创建地址列表。

  • 使用 IDN 域添加或编辑目标域以进行目标控制。

• 退回配置文件配置设置：使用 IDN 域添加或编辑备用邮件地址。

• 发件人域信誉配置设置：定义 IDN 域的发件人域信誉得分。

• IP 信誉配置设置：定义 IDN 域的 IP 信誉得分。

• LDAP 配置设置：使用 IDN 域为传入和传出邮件创建 LDAP 组查询、接受查询、路由查询和伪装查询。

• 报告配置设置：查看报告中的 IDN 数据（用户名、邮件地址和域）。

• 邮件跟踪配置设置：查看邮件跟踪中的 IDN 数据（用户名、邮件地址和域）。

• 策略、病毒和爆发隔离区配置设置：

  • 查看可能正在传输恶意软件（由防病毒引擎确定）且包含 IDN 域的邮件。

  • 查看可能作为垃圾邮件或恶意软件由病毒爆发过滤器捕获到且包含 IDN 域的邮件。

  • 查看被邮件过滤器、内容过滤器和 DLP 邮件操作拦截且包含 IDN 域的邮件。

• 垃圾邮件隔离区配置设置：

  • 查看被检测为垃圾邮件或可疑垃圾邮件且包含 IDN 域的邮件。

  • 将包含 IDN 域的邮件地址添加到安全列表和阻止列表类别。

  注	目前，只有在“垃圾邮件隔离区”(Spam Quarantine) 设置页面的“最终用户隔离区访问”(End-User Quarantine Access) 部分中将最终用户身份验证方式设置为“无”(None) 时，包含 IDN 域的收件人才能访问最终用户隔离区。

• SPF 配置设置：使用 IDN 域对邮件执行 SPF 验证。

• DKIM 配置设置：使用 IDN 域对邮件执行 DKIM 签名和验证

• DMARC 配置设置：使用 IDN 域对邮件执行 DMARC 验证。