Sophos Email Mailflow: riparare Microsoft 365 in modo sistematico

Se Sophos Email Mailflow non funziona in Microsoft 365, non bisogna eliminare connettori o regole di trasporto basandosi su ipotesi. Prima si controlla lo stato del dominio in Sophos Central, si esegue Run a Quick Test e si confronta lo stesso messaggio in Microsoft Message Trace e Sophos Message History. Solo allora si interviene sul percorso interessato.

Percorso rapido: Connected con segno di spunta verde indica una connessione Mailflow attiva. Not Connected con croce rossa richiede un controllo di connessione o autorizzazioni. Un punto esclamativo con View Details segnala una regola o un connettore modificato direttamente in Microsoft 365. Per un errore 552, cercare innanzitutto intestazioni Sophos e Microsoft duplicate: spesso indicano che una piattaforma di firma ha instradato nuovamente il messaggio attraverso Sophos.

Questo runbook vale solo per Sophos Email in modalità Mailflow (MFR). I record MX restano puntati a Microsoft 365 e regole di trasporto e connettori Microsoft inviano i messaggi a Sophos e ritorno. In modalità Gateway, gli MX puntano a Sophos e diagnosi e rimozione seguono un processo diverso. Non applicare istruzioni Gateway a un dominio Mailflow. Distribuzione e migrazione pianificata sono descritte in Configurare Sophos Email Mailflow per Microsoft 365.

Prerequisiti e punto di partenza sicuro

Servono accesso amministrativo a Sophos Central e un account in grado di concedere il consenso all’app Sophos Email e le autorizzazioni di flusso di posta Exchange Online. I domini Microsoft 365 devono essere idonei per Mailflow e gli utenti e gruppi necessari sincronizzati.

Prima di ogni modifica annotare:

• dominio, mittente, destinatario, ora UTC, Internet Message-ID e intestazioni complete;
• stato Mailflow Connection e, se applicabile, Post Delivery;
• nomi, stato e priorità di regole e connettori Sophos, del servizio di firma e di terzi;
• risultati di Microsoft Message Trace e Sophos Message History;
• ultima configurazione funzionante e responsabile di ogni modifica.

Modificare un solo fattore per test. Non rimuovere il dominio xgeconnector.com creato da Sophos: si possono interrompere flusso e elaborazione. Non eliminare un connettore apparentemente orfano prima di documentarne dominio e rollback.

1. Controllare connessione e stato del dominio

1. In Sophos Central aprire Global Settings.
2. Selezionare Products and Services > Email > M365 Mailflow Domains.
3. Controllare il dominio:
   • segno verde, Connected: connessione presente;
   • croce rossa, Not Connected: passare sopra e fare clic sul segno verde per riconnettere;
   • esclamativo, View Details: esaminare una modifica Microsoft 365.
4. Fare clic sull’icona di test. In Run a Quick Test, inserire un destinatario controllato e scegliere Proceed. Il test può richiedere alcuni minuti.
5. Se non riesce, usare prima Run The Test Again, quindi Reconnect se l’errore persiste.

Un Quick Test riuscito ripristina il segno verde, ma non prova la consegna end-to-end. Inviare poi un messaggio controllato in ingresso e uno in uscita e seguirli fino al destinatario in Microsoft Message Trace e Sophos Message History.

Se Reconnect non crea regole o connettori

Verificare che l’applicazione Sophos Mailflow disponga delle assegnazioni basate sui ruoli necessarie nel tenant. In particolare, le autorizzazioni di flusso Exchange Online devono essere disponibili tramite il ruolo amministratore Exchange. La riparazione automatica richiede consenso valido e tali autorizzazioni.

Se Reconnect continua a fallire, non ripetere eliminazioni manuali. Conservare stato, risultato Quick Test, nomi di regole e connettori e Message-ID e rivolgersi a Sophos Support; potrebbe servire una pulizia manuale.

2. Gestire un avviso su oggetti Mailflow modificati

Sophos controlla disattivazione, eliminazione e modifica di regole e connettori necessari a Mailflow. L’audit Microsoft 365 deve essere attivo e l’app Sophos Email deve avere l’autorizzazione organizzativa Read activity data. Per domini configurati prima del 12 aprile 2022, concederla disconnettendo e riconnettendo il dominio; le configurazioni successive dovrebbero già averla.

Gli avvisi sono High, Medium e Low. Tutti compaiono in Sophos Central; solo High e Medium inviano anche email ad amministratori e super amministratori e cambiano lo stato del dominio. In Alerts, raggruppare gli avvisi, aprire Mail Flow Rules e usare View Details per vedere dominio, ora, oggetto e modifica.

• Rinomina nota di una lista: verificare la sincronizzazione del nuovo gruppo, aggiornarlo nelle impostazioni del dominio M365 e salvare.
• Modifica intenzionale: documentarla ed eseguire Run a Quick Test; mantenerla solo se riesce.
• Modifica ignota o involontaria: identificare evento e autore nell’audit Microsoft 365. Annullare una modifica errata compresa e ripetere il test. Se la riparazione non è chiara o fallisce, usare Reconnect affinché Sophos ricrei o abiliti gli oggetti necessari.

Un avviso da solo non prova un’interruzione; una modifica pianificata non è sicura solo perché nota. Decidono Quick Test e prove di consegna.

3. Correggere errori SPF al ritorno in Microsoft 365

In Mailflow i messaggi in uscita vanno da Microsoft 365 a Sophos e tornano a Microsoft 365. SPF può fallire se il mittente Sophos regionale non è autorizzato nel record SPF del dominio.

v=spf1 include:spf.protection.outlook.com -all

Aggiungere il dominio include pubblicato per la propria regione Sophos Central:

v=spf1 include:spf.protection.outlook.com include:<sophos-spf-domain> -all

<sophos-spf-domain> è un segnaposto, non un valore da pubblicare. Ricavare il valore regionale corrente da Sophos Email domain information, mantenere un solo record TXT SPF per dominio e non cambiare il meccanismo finale senza verifica. Dopo la propagazione DNS, verificare il TXT e inviare un test in uscita; SPF deve risultare valido per il percorso previsto.

4. Correggere inoltro e Microsoft DLP

Un messaggio inoltrato automaticamente all’esterno viene rifiutato

Microsoft 365 riscrive con SRS l’envelope-from (P1 From). Se Header-From resta un dominio esterno non configurato in Sophos Email, Sophos può rifiutare il messaggio. Sophos non inoltra genericamente posta originata all’esterno, perché creerebbe un rischio simile a un open relay e danni di reputazione.

1. In Microsoft 365 Security Center aprire Policies & rules > Threat policies > Rules > Enhanced filtering.
2. Selezionare il connettore che consente i messaggi in ingresso da Sophos Email.
3. Attivare Automatically detect and skip the last IP address per l’organizzazione.
4. Configurare l’inoltro interessato affinché usi come mittente una mailbox locale del dominio protetto.
5. Ripetere con gli stessi mittente e destinazione e confrontare intestazioni, Message Trace e Message History.

Non aggiungere domini esterni arbitrari a Sophos né creare un’ampia eccezione relay.

Microsoft DLP invia notifiche duplicate

Se una regola DLP scatta in entrambi i passaggi Mailflow, escludere da quella regola solo gli indirizzi IP mittente Sophos Email documentati:

1. Accedere come amministratore al portale DLP Microsoft Purview.
2. Modificare policy e regola in Advanced DLP rules > Customize advanced DLP rules.
3. Scegliere Add exception > Except if sender IP address is e inserire solo gli IP Sophos regionali correnti indicati nelle informazioni del dominio.
4. Salvare e ripetere per ogni regola interessata.
5. Con un messaggio controllato verificare che DLP resti attivo ma produca una sola notifica.

Non ampliare l’eccezione a intervalli non necessari, così DLP resta efficace sugli altri percorsi.

5. Analizzare l’errore 552 e i servizi di firma

Il tipico NDR è:

552 5.6.0 Headers too large (32768 max)

Esaminare le intestazioni complete. Gruppi duplicati come X-Sophos-Antispam, X-LASED-Hits, X-Microsoft-Antispam-Message-Info o X-Microsoft-Antispam-Message-Info-Original indicano elaborazione ripetuta. Con CodeTwo o Exclaimer spesso compare questo percorso errato:

Microsoft 365 > Sophos > Microsoft 365 > signature service > Microsoft 365 > Sophos > Microsoft 365 > recipient

Il percorso definitivo elabora il messaggio una volta per servizio:

Microsoft 365 > signature service > Microsoft 365 > Sophos > recipient

Controllare connettori e regole del servizio di firma e di Sophos. CodeTwo o Exclaimer deve agire prima del percorso Sophos in uscita; rimuovere o limitare regole sovrapposte che rimandano il messaggio a Sophos. Configurare la regola di terzi secondo le indicazioni correnti del fornitore. Message Trace e intestazioni devono provare un solo passaggio per servizio.

Workaround limitato se non esiste un loop

Se non c’è percorso duplicato ma una grande intestazione diagnostica supera ancora il limite, creare in Exchange Admin Center, Mail flow > Rules:

• Apply this rule if: A message header > includes any of these words; intestazione X-Sophos-Email-ID, parola True.
• Do the following: Modify the message properties > remove a message header; intestazione X-Microsoft-Exchange-Diagnostics-untrusted.
• Lasciare gli altri valori predefiniti. Posizionare la regola dopo quelle Sophos Email di prefilter e redirect; se mantengono le priorità predefinite 0, 1 e 2, usare priorità 3.

Prima esportare o documentare l’ordine. Poi provare un messaggio interessato e uno normale. La regola riduce le intestazioni, ma non corregge un loop. Anche rimuovere intestazioni Microsoft in Sophos con .* è temporaneo; con intestazioni Sophos duplicate si corregge il routing.

Comportamento previsto: due etichette di riservatezza

Microsoft 365 può applicare due volte la stessa sensitivity label a un messaggio in uscita: prima di inviarlo a Sophos e dopo il ritorno. Se Message Trace mostra questo percorso senza loop, è comportamento Mailflow previsto e non prova una seconda scansione Sophos. Non modificare i connettori solo per due etichette.

Convalida, rollback ed escalation

La riparazione è completa quando:

• il dominio mostra Connected in M365 Mailflow Domains e Quick Test riesce;
• un messaggio in ingresso e uno in uscita coincidono in Microsoft Message Trace e Sophos Message History e sono consegnati;
• le intestazioni mostrano solo i passaggi Sophos, Microsoft e del servizio di firma previsti;
• SPF riesce e i test di inoltro o DLP danno esattamente l’esito atteso;
• non appaiono nuovi avvisi Mailflow High o Medium.

Per un rollback manuale deliberato, disconnettere il dominio facendo clic sulla croce accanto a Connected in M365 Mailflow Domains. Sophos rimuove app, connettori e regole creati per il dominio; può richiedere alcuni minuti. Prima di riconnettere, verificarne la rimozione in App registrations nel Microsoft Entra Admin Center e in Mail flow > Rules e Mail flow > Connectors nell’Exchange Admin Center. Quindi riconnettere con consenso valido.

Distinguere un blocco RBL del Gateway precedente al rilevamento Mailflow

Se un messaggio in ingresso viene rifiutato, i log di Sophos Gateway mostrano un rifiuto RBL, ma Sophos Message History non contiene il corrispondente evento Mailflow, la connessione Gateway ancora attiva potrebbe aver applicato la propria lista di blocco in tempo reale prima che Sophos potesse rilevare la connessione Mailflow e inoltrare il messaggio. Correlare lo stesso messaggio e lo stesso orario UTC nei log Gateway, in Microsoft Message Trace e in Mailflow Message History. In questo schema, l’assenza dell’evento Mailflow non dimostra un guasto del connettore Mailflow.

Non aggirare in modo ampio né disattivare globalmente una RBL. Non prolungare neppure l’elaborazione parallela: dopo aver convalidato Mailflow in ingresso e in uscita, rimuovere tempestivamente la vecchia connessione Gateway secondo il piano di migrazione.

È un intervento controllato, non una pulizia improvvisata. In produzione definire prima finestra, percorso alternativo e criterio di arresto. In una migrazione da Gateway a Mailflow, mantenere il percorso Gateway documentato solo come rollback pianificato; Gateway e Mailflow non devono instradare contemporaneamente lo stesso dominio produttivo tramite Sophos, per evitare doppie scansioni o loop. Se restano oggetti, la proprietà non è chiara o Reconnect fallisce con autorizzazioni corrette, fermare le modifiche e fornire a Sophos Support dominio, Message-ID, orari UTC, intestazioni, tracce, Quick Test e inventario.