Vai al contenuto
Avanet

Configurare Sophos Email Gateway con Microsoft 365

Sophos Email

Con Sophos Gateway, il record MX pubblico punta a Sophos. Sophos analizza i messaggi in entrata e li consegna a Exchange Online tramite un connettore partner con restrizioni. Per la posta in uscita, un secondo connettore invia i messaggi da Microsoft 365 allo smart host Sophos.

Percorso rapido sicuro: documenta prima dominio, destinatari, destinazione Microsoft e percorso di rollback. Prepara il connettore in entrata con restrizioni TLS e IP, quindi le relative regole. Crea e valida il connettore in uscita. Solo dopo esegui il cutover di MX e routing in uscita. Modifica SPF in base al percorso che invia realmente, non a uno stato futuro.

Questa procedura riguarda i connettori Gateway configurati manualmente in Gateway Domains. Sophos Mailflow è un’architettura diversa: Sophos gestisce applicazioni, connettori e regole del flusso tramite API Microsoft. Non combinare i due metodi per uno stesso dominio: possono causare scansioni doppie e loop.

Preparare prerequisiti e valori

Servono diritti di amministratore Exchange, accesso DNS, licenza Sophos Email e un dominio Gateway pianificato. Prima delle modifiche, esporta o registra MX, SPF, connettori e regole correnti, incluse priorità e stato.

In Sophos Central apri Global Settings > Products and Services > Email > Gateway Domains e aggiungi o verifica:

  • il dominio email;
  • come destinazione, il FQDN MX previsto mostrato per il dominio in Domains di Microsoft 365;
  • la porta SMTP realmente usata;
  • il valore TXT specifico del dominio da Verify Domain Ownership;
  • tutte le caselle e gli alias protetti.

Mantieni distinte le fonti dei valori: il FQDN di destinazione della consegna proviene da Domains nel tenant Microsoft 365 e Verify Domain Ownership genera il TXT specifico del dominio. Sophos pubblica i valori regionali variabili nelle tabelle degli IP di consegna, MX e SPF. Copia Outbound Relay Host dalle dipendenze esterne del dominio in Sophos Central. Non usare valori di altre regioni o esempi in produzione. Nei nuovi trial Gateway il routing in uscita può essere disattivato: richiedine l’attivazione al partner o commerciale Sophos.

1. Limitare il percorso in entrata prima del cambio MX

Creare il connettore partner

In Exchange admin center > Mail flow > Connectors, crea un connettore:

  1. From: Partner organization; To: Office 365.
  2. Nome chiaro, ad esempio Sophos Email Inbound Connector.
  3. Use the sender’s domain, con * come dominio mittente.
  4. Attiva Reject email messages if they aren’t sent over TLS.
  5. Attiva Reject email messages if they aren’t sent from within this IP address range e inserisci solo gli IP di consegna Sophos Email attuali della tua regione Central.
  6. Controlla e salva; attivalo quando le altre protezioni sono pronte.

Aggiungi gli stessi IP attuali anche ai criteri predefiniti del filtro connessioni nel portale Microsoft 365 Defender. Questa voce identifica le origini Sophos per il filtro; una IP Allow List non chiude un percorso di consegna diretto. Il connettore partner attivo impone il percorso in entrata accettato perché si applica al dominio mittente *, richiede TLS e limita la consegna a tali IP Sophos.

Configurare Enhanced Filtering e bypass EOP

Attiva Enhanced Filtering for Connectors (detto anche skip listing) proprio su questo connettore in entrata. Senza tale impostazione, Microsoft 365 può classificare erroneamente il mittente originale dietro Sophos.

Poi crea in Mail flow > Rules questa regola di trasporto:

  1. Name: Sophos Central EOP Bypass.
  2. Apply this rule if: Apply to all messages.
  3. Do the following: Modify the message properties > Set the spam confidence level (SCL) a -1.
  4. Nessuna eccezione; modalità Enforce, Severity: Low.
  5. Salva e attiva la regola.

Questa regola SCL ampia è accettabile solo se MX e restrizioni TLS/IP garantiscono che la posta Internet arrivi dopo la scansione Sophos. Se resta un percorso diretto o di terzi, interrompi il cutover e chiudilo prima.

2. Creare il connettore in uscita tramite Sophos

In Gateway Domains, seleziona il dominio, imposta Direction su Inbound and Outbound, scegli Microsoft Office 365 in Outbound Gateway e salva. Copia l’Outbound Relay Host da Configure External Dependencies > Outbound Settings.

In Exchange admin center > Mail flow > Connectors, crea:

  1. From: Office 365; To: Partner organization.
  2. Nome come Sophos Email Outbound Connector, con Turn it on.
  3. Only when email messages are sent to these domains, usando * se tutta la posta esterna deve passare da Sophos.
  4. Route email through these smart hosts, con l’Outbound Relay Host copiato.
  5. Always use Transport Layer Security (TLS) to secure the connection e Any digital certificate, including self-signed certificates.
  6. Inserisci un destinatario di dominio esterno ed esegui Validate. Salva solo dopo il successo.

Disattiva o rimuovi gli altri connettori in uscita solo dopo la validazione di quello Sophos. Valuta singolarmente ambito e priorità di percorsi speciali, come l’archiviazione. La propagazione può richiedere tempo.

Per Microsoft 365 GCC High, non usare l’opzione Sophos standard Microsoft Office 365 se i messaggi in uscita vengono rifiutati. Seleziona Custom Gateway e aggiungi le subnet richieste dagli attuali endpoint Exchange Online per GCC High di Microsoft. Non copiare intervalli IP da vecchi elenchi.

3. Eseguire il cutover controllato di DNS e routing

Riduci il TTL DNS con anticipo e registra i valori originali. Segui questo ordine:

  1. Verifica Enhanced Filtering e la voce del filtro connessioni. Attiva prima il connettore partner in entrata e conferma che dominio mittente *, TLS e restrizione agli IP di consegna Sophos siano attivi; poi attiva la regola SCL immediatamente prima del cambio MX.
  2. Modifica gli MX pubblici usando i nomi attuali nella tabella MX regionale Sophos. Invia un messaggio identificabile univocamente da un account esterno a una casella protetta e conferma quel messaggio esatto sia in Microsoft 365 Message Trace sia in Sophos Message History.
  3. Valida il connettore Sophos in uscita e conserva la configurazione documentata del connettore precedente per il rollback. Poi cambia deliberatamente il routing di produzione: mantieni attivo il connettore Sophos con ambito destinatari * e disattiva ogni connettore standard in uscita sovrapposto. Valuta separatamente i percorsi speciali, come l’archiviazione.
  4. Solo dopo tale cambio di stato/ambito, invia un messaggio identificabile univocamente da Microsoft 365 a un indirizzo esterno controllato. Conferma quel messaggio esatto in Microsoft 365 Message Trace e nella vista in uscita di Sophos Message History. Un test inviato prima del cambio non dimostra il percorso Sophos.

Pubblica un solo record TXT SPF per dominio. Finché Microsoft 365 e Sophos inviano realmente in parallelo, aggiungi al record esistente l’include Sophos regionale attuale. Quando invia solo Sophos, puoi rimuovere l’include Microsoft. Usa -all solo se ogni fonte legittima è nota e passa da Sophos; ~all è meno impattante durante una transizione controllata. Verifica anche firma e allineamento DKIM.

Validare ed eseguire il rollback

Prova ogni dominio in entrambe le direzioni con un indirizzo esterno controllato. In Microsoft 365 Message Trace, verifica mittente, destinatario, ora, Message-ID, stato e consegna finale previsti; qui il Message Trace ordinario non viene usato come prova dell’elaborazione di connettori o regole. In Sophos Central apri Reports > Message History, controlla entrambe le direzioni e associa tali dettagli agli stessi identici messaggi di test. Il cutover termina solo quando entrambi i sistemi contengono ogni test successivo al cambio.

Se la posta non viene consegnata o entra in loop, usa il rollback preparato:

  1. Per l’uscita, riattiva il vecchio connettore funzionante, quindi disattiva il connettore Sophos in uscita prima di inviare qualsiasi test di rollback. Conferma la consegna esterna solo dopo questa transizione di stato.
  2. Per l’entrata, disattiva prima l’ampia regola SCL specifica di Sophos e il connettore in entrata limitato agli IP Sophos, quindi rimuovi le voci Sophos dal filtro connessioni. Solo dopo ripristina l’MX Microsoft originale. Considera la propagazione DNS: verifica la risposta MX autoritativa e ripeti test di consegna esterna controllati finché usano il percorso ripristinato.
  3. Modifica SPF solo dopo che il percorso di invio reale è tornato indietro.
  4. Non eliminare nulla prima di controllare propagazione DNS, code ed entrambi i trace.

Risolvere i problemi per sintomo

  • L’entrata appare solo in Sophos: verifica FQDN di destinazione, porta SMTP, caselle, IP attuali e negoziazione TLS.
  • L’entrata raggiunge Microsoft direttamente: verifica propagazione MX e MX o inoltri alternativi; la regola SCL non deve nascondere un percorso non protetto.
  • L’uscita evita Sophos: verifica ambito *, stato, connettori concorrenti e precedenza.
  • La validazione fallisce: ricopia il relay host, controlla TLS e usa un destinatario davvero esterno.
  • SPF fallisce: inventaria i mittenti reali e cerca più record SPF, include regionale errato o -all prematuro.
  • GCC High viene rifiutato: verifica Custom Gateway e le subnet Exchange Online GCC High attuali.
  • Loop o doppia scansione: esamina insieme connettori Gateway e Mailflow gestiti via API, vecchi smart host, inoltri e priorità. Disattiva l’ultimo percorso attivato e ripeti entrambi i trace.

Per l’escalation raccogli orari, mittente, destinatario, Message-ID, nomi dei connettori, priorità e voci corrispondenti di Message Trace e Message History. In questo modo il routing può essere analizzato senza indebolire la protezione con un’eccezione ampia.