使用安全電子郵件配置Microsoft 365

郵件流策略配置示例為：

設定從 Microsoft 365 傳至 CES 的郵件

1. 登入到Microsoft Exchange管理中心。
2. 前往 。Mail flow > Connectors
3. 按一下[+ Add a connetor]，建立新的聯結器。
4. 在「選擇郵件流方案」彈出視窗中，選擇：
   1. 寄件者： Office365
   2. 收件者：Partner organization
5. 按一下 Next.
6. 輸入新聯結器的名稱： Outbound to Cisco CES.
7. 輸入說明（可選）。
8. 按一下 Next.
9. 對於「何時要使用此聯結器？」：
   1. 選擇: Only when I have a transport rule set up that redirects messages to this connector.
   2. 按一下 Next. 
10. 按一下 Route email through these smart hosts.
11. 點選[+]並輸入CES歡迎信中提供的出站IP地址或主機名。
12. 按一下 Save.
13. 按一下 Next.
14. 對於「Office 365如何連線到合作夥伴組織的電子郵件伺服器？」：
    1. 選擇: Always use TLS to secure the connection (recommended).
    2. 選擇Any digital certificate, including self-signed certificates.
    3. 按一下 Next.
15. 系統將顯示確認螢幕。
16. 按一下 Next.
17. 使用[+]輸入有效的電子郵件地址，然後按一下 OK.
18. 按一下Validate並允許運行驗證。
19. 完成後，單擊
20. 按一下Save.

Outbound Connector的外觀示例：

建立郵件流程規則

1. 登入到Exchange管理中心。
2. 按一下Mail Flow;並確保您位於規則頁籤中。
3. 單[+]擊新增新規則。
4. 選擇 Create a new rule.
5. 輸入新規則的名稱： Outbound to Cisco CES.
6. 對於*Apply this rule if..，選擇： The sender is located...
   1. 對於「選擇發件人位置」彈出視窗，選擇： Inside the organization.
   2. 按一下 OK.
7. 按一下 More options...
8. 按一下該add condition按鈕並插入第二個條件：
   1. 選擇 The recipient...
   2. 選擇: Is external/internal.
   3. 對於「選擇發件人位置」彈出視窗，選擇： Outside the organization.
   4. 按一下 OK.
9. 對於*執行以下操作……，選擇： Redirect the message to...
   1. 選擇：以下聯結器。
   2. 然後選擇您的Outbound to Cisco CES連接器。
   3. 按一下「OK」（確定）。
10. 返回「*執行以下操作……」 並插入第二個操作：
    1. 選擇: Modify the message properties...
    2. 選擇: set the message header.
    3. 設定郵件標頭： X-OUTBOUND-AUTH.
    4. 按一下 OK.
    5. 設定值： mysecretkey.
       1. mysecretkey is simply a placeholder. Please customize this so it is specific to your environment.
    6. 按一下 OK.
11. 按一下 Save.

注意：為了防止來自Microsoft的未授權郵件，可以在郵件離開您的Microsoft 365域時標籤密碼x標頭；在傳送到Internet之前，將評估並刪除此標頭。

Microsoft 365路由配置的示例如下：

防止開放中繼

警告：這是關鍵的一步。保護傳出監聽程式對於防止未經授權的使用者通過裝置轉發電子郵件至關重要。

下面列出了兩個選項。建議對不熟悉CLI（命令列介面）的使用者使用消息過濾器(CLI)或內容過濾器(GUI)。 

選項 1:通過GUI阻止開放中繼

在GUI中建立兩個內容過濾器：

• 第一個篩選器對沒有X-OUTBOUND-AUTH標頭或不包含以前在Microsoft Office 365中配置的值的電子郵件執行操作。
• 第二個篩選器適用於從Microsoft Office 365租戶傳送的合法電子郵件。此過濾器將刪除X-OUTBOUND-AUTH標頭，以便將來不會誤用。

1. 在GUI中，導航到Mail Policies >> Outgoing Content Filters >> select Stop_O365_OpenRelay(如果此選項不可用，請選擇Add Filter...)。
2. 確保配置了第一個內容過濾器：
   • 名稱:<這可以是任何內容>
   • 說明:<這可以是任何內容>
   • 應用規則：僅當所有條件都匹配時
   • 狀況
     • 其他標題：
       • 標題名稱：<輸入在Microsoft Office 365上建立郵件流規則時之前列出的郵件頭名稱)(例如， X-OUTBOUND-AUTH).
         • 某些客戶可能使用報頭值X-IronPort-Tenant預定義此配置。雖然這也可以使用，但關鍵部分只是確保在「內容過濾器」條件中輸入的報頭值與Microsoft Office 365上郵件流規則中配置的報頭值相匹配。 
       • 標頭值（不等於）：<輸入在Microsoft Office 365上建立郵件流規則時之前列出的標頭值(如mysecretkey)。
     • 接收監聽程式(Is):傳出
   • 動作
     • 新增日誌項:$Header["X-OUTBOUND-AUTH"]
       • 某些客戶可能使用報頭值X-IronPort-Tenant預定義此配置。雖然這也可以使用，但關鍵部分是確保在「內容過濾器」條件中輸入的標頭值與Microsoft Office 365上郵件流規則中配置的標頭值相匹配。 
     • 隔離：<選擇相應的隔離區> 
   • 請避免使用除前面列出的字元之外的任何特殊字元(例如*、(、 |等)，因為它們可能導致誤報匹配，並可能導致合法電子郵件被隔離。
   • 按一下「Submit」。
3. 接下來，選擇Strip_Secret_Header Content Filter並配置：(如果不可用，請選擇Add Filter...):
   • 名稱:<這可以是任何內容>
   • 說明:<這可以是任何內容>
   • 狀況
     • 其他標題：
       • 標題名稱：<輸入先前在Microsoft Office 365上建立郵件流規則期間列出的郵件頭名稱(例如， X-OUTBOUND-AUTH).
         • 某些客戶可能使用報頭值X-IronPort-Tenant預定義此配置。雖然這也可以使用，但關鍵部分是確保在「內容過濾器」條件中輸入的標頭值與Microsoft Office 365上郵件流規則中配置的標頭值相匹配。
       • 報頭值（等於）：<輸入在Microsoft Office 365上建立郵件流規則時之前列出的標頭值(如mysecretkey)。
   • 動作
     • 條帶標題 
       • 標題名稱：<輸入在Microsoft Office 365上建立郵件流規則時之前列出的郵件頭名稱)(例如， X-OUTBOUND-AUTH).
         • 某些客戶可能使用報頭值X-IronPort-Tenant預定義此配置。雖然這也可以使用，但關鍵部分只是確保在「內容過濾器」條件中輸入的標頭值與Microsoft Office 365上Mail Flow Rule中配置的標頭值相匹配。
         • 按一下Submit，然後導航到Mail Policies >> Outgoing Mail Policies。
4. 確保在Default Policy和任何其他所需的策略下啟用新建立的內容過濾器。
   • 確保Strip_Secret_Header內容過濾器在郵件策略上的順序正確。 它必須放在Stop_O365_OpenRelay內容過濾器之後，否則可能會影響郵件流和/或內容過濾器可能不會按預期工作。 
5. 提交>>提交更改。
6. 繼續測試您的傳出電子郵件流量。

提示：測試成功完成並且郵件傳遞如預期一樣正常後，建議將「內容過濾器」中的操作從「隔離」更改為「丟棄」。

Stop_O365_OpenRelay內容過濾器

Strip_Secret_Header內容過濾器

選項 2:通過CLI阻止開放中繼

訪問思科安全電子郵件網關的CLI。

注意:思科安全電子郵件雲網關>命令列介面(CLI)訪問。

建立消息過濾器以檢查x報頭的存在和值，並刪除報頭（如果存在）。 如果沒有任何標頭，請捨棄郵件。

1. 通過CLI登入網關。
2. 執行指令。filters
3. 如果您的網關已集群，請點選return以在集群模式下編輯過濾器。
4. 使用命New令建立郵件過濾器、複製和貼上：
   
   

   office365_outbound: if sendergroup == "RELAYLIST" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }

5. 點擊返回一次，以建立新的空白行.
6. 在新[.]行上輸入以結束新郵件過濾器。
7. 按一下return一次以退出「過濾器」選單。
8. 運行命commit令以儲存對配置的更改。

附註：避免使用金鑰的特殊字元。消息篩選器中顯示的^和$是正規表示式字元，如示例中所示。

附註：請檢視您的RELAYLIST的配置方式名稱。可以使用備用名稱進行配置，也可以根據您的中繼策略或郵件提供商設定特定名稱。

測試出站電子郵件

測試從您的Microsoft 365電子郵件地址傳送到外部域收件人的出站郵件。您可以從思科安全電子郵件和Web管理器檢視郵件跟蹤，以確保郵件被正確路由到出站。

附註：檢查網關上的TLS配置(系統管理> SSL配置)和用於出站SMTP的密碼。思科最佳實踐建議：

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

藉由成功遞進行追蹤的送範例：

More Details按一下檢視完整的消息詳細資訊：

x報頭不匹配的郵件跟蹤示例：

相關資訊 

思科安全電子郵件閘道檔案

• 版本資訊
• 使用手冊
• CLI參考指南
• 思科安全電子郵件網關API程式設計指南
• 思科安全電子郵件網關中使用的開源
• 思科內容安全虛擬裝置安裝指南（包括vESA）

安全電子郵件雲網關文檔

• 版本資訊
• 使用手冊

Cisco Secure Email and Web Manager文檔

• 發行說明和相容表
• 使用手冊
• Cisco Secure Email and Web Manager的API程式設計指南
• 思科內容安全虛擬裝置安裝指南（包括vSMA）

思科安全產品檔案

• 思科安全產品組合命名架構