Configurare e disconnettere in sicurezza Sophos Email Gateway

Con Sophos Email Gateway, Sophos diventa il gateway SMTP a monte: i messaggi in entrata raggiungono prima Sophos e poi vengono consegnati al provider o mail server. Per la scansione in uscita, il sistema invia tramite Sophos. Una distribuzione sicura richiede quindi due route distinte, un percorso di ripristino pronto e test in entrambe le direzioni.

Procedura rapida: aggiungere le mailbox, creare il dominio in Products and Services > Email > Gateway Domains, verificarlo con un record DNS TXT, definire destinazione in entrata e gateway in uscita, controllare i criteri, preparare le route specifiche del provider e solo allora cambiare l’MX pubblico. Consegnare poi un messaggio per direzione e verificarli in Message History e nella traccia del provider o server.

Chiarire prima il confine del prodotto

Gateway non è Sophos Mailflow per Microsoft 365. Mailflow usa le integrazioni di Microsoft 365; Gateway cambia il percorso SMTP. Non attivare contemporaneamente entrambi i modi sullo stesso dominio: i messaggi possono essere elaborati due volte e produrre voci duplicate in Message History.

Anche Mail Protection su Sophos Firewall è un altro prodotto. Regole, eccezioni e percorsi del proxy mail del firewall non valgono per Sophos Email in Sophos Central. Se Gateway sostituisce tale proxy, documentarlo come sistema sorgente distinto e rimuoverlo solo dopo il collaudo di Gateway.

Registrare prerequisiti e percorso di ritorno

Prima di modificare il routing servono:

licenza Sophos Email valida e accesso amministrativo a Sophos Central;
provider supportato o mail server raggiungibile;
dominio protetto e inventario completo di mailbox, alias e gruppi;
accesso alle modifiche di DNS, routing del provider o server e, se presente, firewall a monte;
percorso MX in entrata, route in uscita e valori originali;
destinazione pubblica in entrata e IP o reti pubbliche dei mittenti autorizzati al relay in uscita;
finestra di cutover, criteri di interruzione e responsabili per Sophos Central, DNS e posta.

Il foglio di rollback include più del vecchio MX: smart host, connettori, sorgenti relay consentite, regole firewall, riferimenti SPF e ordine di ripristino. I valori di Configure External Dependencies dipendono da regione e dominio; copiarli dal proprio tenant, non da esempi o vecchi ticket.

Configurare Sophos Email Gateway

1. Preparare le mailbox prima del routing

Aggiungere le mailbox protette tramite sincronizzazione directory, manualmente nell’interfaccia o via CSV. Confrontare mailbox personali, alias, liste di distribuzione e indirizzi condivisi con l’inventario atteso. Non iniziare il cambio MX finché i destinatari non sono completi.

2. Aggiungere il dominio e verificarne la proprietà

In Sophos Central aprire Global Settings.
Selezionare Products and Services > Email > Gateway Domains.
Fare clic su Add Domain. Per il primo dominio usare invece il prompt Set up email gateway settings.
In Email Domain inserire il dominio, ad esempio example.com.
Selezionare Verify Domain Ownership e creare esattamente il record TXT mostrato presso il DNS autorevole.
Dopo la pubblicazione DNS, fare clic su Verify e chiudere solo dopo la conferma.

Il TXT verifica soltanto la proprietà e non cambia il flusso. Ogni dominio Gateway va verificato separatamente e uno non verificato non può essere salvato. Se la verifica fallisce subito, attendere la propagazione e confrontare nome e valore carattere per carattere invece di creare un secondo record diverso.

3. Definire direzione, destinazione e sorgenti relay

Scegliere Inbound Only o Inbound and Outbound. Inbound and Outbound è adatto a scansione in uscita completa, Smart Banners e report utili, se il sistema supporta l’invio tramite Sophos.

Inbound destination offre due modelli:

Mail Host: IP pubblico o FQDN del router, firewall, mail server front-end o destinazione del provider a cui Sophos consegna.
MX: FQDN usato per la risoluzione mail exchange; è necessario per destinazioni multiple.

La destinazione non deve risolversi nuovamente sull’MX Sophos pubblico del dominio protetto, altrimenti Sophos rimanda il messaggio a sé stesso creando un loop.

Con Inbound and Outbound, scegliere il tipo di gateway in uscita corretto. Per Custom Gateway, inserire almeno un IP pubblico o intervallo CIDR dei sistemi che inviano davvero. Limitare l’autorizzazione; indirizzi privati o grandi reti di terzi non sono identità relay valide. Il server o servizio può inviare a Sophos sulla porta SMTP 25 o 587. Usare porta e autenticazione indicate per il tenant e la procedura provider supportata.

4. Seguire il ramo specifico del provider

Espandere Configure External Dependencies. In Inbound Settings, scegliere il provider e applicare i valori MX e gli IP di consegna Sophos visualizzati. Aprire quindi Outbound Settings e usare l’host relay mostrato per la route in uscita:

Ogni opzione ha regole proprie per connettori, routing e sicurezza. Seguire i valori mostrati dopo aver scelto il provider e le sue istruzioni correnti, senza duplicare qui la procedura specifica. Non trasferire nomi di connettori, host, IP o opzioni TLS da un altro provider.

5. Controllare criteri e BATV opzionale

Dopo Save, aprire My Products > Email Security > Policies, almeno la Base Policy antispam, e verificare ambito, azioni ed eccezioni. Le altre impostazioni globali sono in Products and Services > Email. Un default non è un’approvazione aziendale: quarantena ed eliminazione devono aderire alla policy operativa.

Attivare Bounce Address Tag Validation (BATV) solo se tutti i messaggi in uscita interessati passano da Sophos. L’invio diretto genera bounce senza tag. Nei primi sette giorni Sophos raccomanda un’azione tollerante come Deliver, Tag subject line o Quarantine, non Delete. Irrigidire solo dopo osservazione controllata.

Eseguire cutover e rollback in modo controllato

Prima del cutover salvare la configurazione, provare la raggiungibilità della destinazione e confermare che la route in uscita possa essere ripristinata. Attivare le route provider preparate, poi cambiare l’MX pubblico come ultimo passo verso i valori Sophos di Inbound Settings. Bloccare cambi paralleli a connettori, DNS e criteri durante il collaudo.

Avviare il rollback se i messaggi esterni non vengono consegnati, il relay è rifiutato o nasce un loop. Ripristinare vecchio MX in entrata e vecchia route in uscita nell’ordine documentato, disattivare il percorso nuovo difettoso e ripetere i messaggi di controllo. Non eliminare ancora il dominio Gateway: le cache DNS possono continuare a inviare a Sophos.

Dimostrare il flusso in entrambe le direzioni

Per ogni dominio eseguire test separati con oggetti univoci:

Inviare da un account esterno controllato a una mailbox protetta.
Rispondere dalla mailbox o inviare un nuovo messaggio all’account esterno.
Registrare mittente, destinatario, ora, Message-ID e consegna finale.
Trovare entrambi i messaggi in Message History e confermare direzione ed elaborazione.
Confermare lo stesso hop nella traccia del provider o nel log del server.

“Consegnato” non basta. In entrata deve risultare esterno → Sophos → destinazione interna; in uscita interno → Sophos → esterno. Provare anche un alias o una lista e la quarantena amministratore. Se un messaggio manca in Message History, esaminare routing e relay prima di indebolire una policy.

Disconnettere in sicurezza un dominio Gateway

Procedere nell’ordine inverso delle dipendenze senza eliminare prematuramente il percorso attivo:

Registrare valori correnti MX, TXT, SPF, relay, connettori e firewall.
Preparare presso il provider consegna diretta in entrata e invio senza Sophos.
Ripristinare l’MX pubblico sul provider e spostare la route in uscita dal relay Sophos al percorso diretto approvato.
Inviare messaggi di controllo in entrambi i sensi e provarli sul provider o server.
Attendere che le risposte DNS mostrino il nuovo percorso e che in Message History non compaia più traffico legittimo residuo.
In Gateway Domains, aprire il dominio, scegliere Delete domain in Domain summary e confermare con Delete.
Rimuovere IP di consegna Sophos, autorizzazioni relay e riferimenti SPF Sophos non più necessari. Rimuovere anche il TXT di proprietà se nessun’altra connessione Sophos lo usa.

Non eliminare il dominio finché il flusso diretto non è provato nei due sensi. In un cambio provider aggiungere prima i domini SPF richiesti dal nuovo provider; togliere soltanto Sophos da SPF può danneggiare l’invio.

Risolvere problemi DNS, relay, porte e loop

Verifica dominio o MX errato

Nel DNS autorevole confrontare esattamente nome e valore TXT con Verify Domain Ownership. Poi confrontare la risposta MX pubblica con Inbound Settings. MX vecchi e nuovi insieme possono dividere il traffico; correggere l’intero set e attendere la propagazione prima di rivalutare.

L’entrata non funziona

Controllare prima Message History. Se il messaggio manca, MX o routing del mittente probabilmente non punta a Sophos. Se è visibile in Sophos ma non internamente, controllare Inbound destination, risoluzione DNS, raggiungibilità SMTP e firewall a monte. Non aprire indiscriminatamente le porte 25 o 587 in ogni direzione: conta l’hop documentato in Sophos Central e dal provider.

L’uscita è rifiutata come relay

L’IP sorgente pubblico deve corrispondere al gateway o CIDR autorizzato in Sophos. Controllare anche host relay, porta, connettore provider e NAT. Un’autorizzazione relay ampia non è una correzione e aumenta il rischio di abuso.

Loop o doppia elaborazione

In caso di doppia elaborazione, verificare se Gateway e Mailflow sono entrambi attivi. In caso di loop, verificare se la destinazione di consegna Sophos rinvia a Sophos o se smart host vecchi e nuovi agiscono come route concorrenti. Bloccare i cambi, conservare Message-ID e hop ed eseguire il rollback documentato. Riprovare solo con una route unica e inequivocabile.