Sophos Firewall Mail Protection in Legacy mode configureren

In Legacy mode werkt Sophos Firewall als transparante mailproxy. De interne mailserver blijft het werkelijke SMTP-endpoint; de firewall stuurt het verkeer via de bestaande firewall- en NAT-regels door en controleert het daarbij op spam, malware, bestandstypen en Data Control-matches.

Dit verschilt fundamenteel van MTA mode. De firewall wordt geen Mail Transfer Agent, neemt de bezorging via beschermde domeinen niet over en biedt voor dit pad geen MTA mail spool. Een geslaagde SMTP-poorttest bewijst daarom noch de proxyscan, noch dat het juiste beleid is toegepast.

⚠️ Het wijzigen van de SMTP Deployment Mode is een globale wijziging van het mailbeveiligingspad. Voor de omschakeling moeten een backup, bestaand beleid, firewall- en NAT-regels en een getest terugvalpad zijn gedocumenteerd. Een MTA-probleem is geen reden om ongepland naar Legacy mode over te schakelen.

Legacy mode in negen stappen

Documenteer het bestaande inkomende en uitgaande SMTP-pad met IP-adressen, poorten, NAT en Firewall Rule IDs.
Controleer of een transparante proxy werkelijk beter past dan MTA mode.
Zorg voor een configuratiebackup en onafhankelijke beheerstoegang.
Kies onder Email > General settings voor Switch to legacy mode.
Bepaal SMTP hostname, groottelimieten, de actie voor te grote berichten, IP Reputation, DoS-limieten, poorten en het TLS-gedrag.
Maak alleen het benodigde SMTP malware- en SMTP spam-beleid aan of controleer de volgorde ervan.
Beperk inkomende DNAT- en uitgaande SNAT-paden tot de werkelijke mailserver.
Activeer Scan SMTP of Scan SMTPS in de firewallregels die daadwerkelijk matchen.
Valideer inkomende en uitgaande testberichten met Rule ID, beleidsresultaat, certificaat en Legacy-proxylogs.

Kiezen tussen Legacy mode en MTA mode

Legacy mode past vooral bij bestaande omgevingen waarin de interne mailserver al rechtstreeks via NAT is gepubliceerd en dit pad behouden moet blijven. SFOS bevindt zich transparant tussen de externe peer en de server. MX-doel, SMTP-acceptatie en bezorglogica blijven onderdeel van het bestaande mailserverontwerp.

MTA mode is de betere keuze wanneer de firewall zelf berichten moet aannemen, ze per beschermd domein moet routeren en relayen en ze bij tijdelijke bezorgproblemen in een spool moet bewaren. Mail logs en mail spool behoren uitdrukkelijk bij dit bedrijfsmodel. De volledige inrichting staat in Mail Protection in MTA mode configureren.

Volgens de SFOS 22-help is MTA mode niet beschikbaar op XGS 87/87w en XGS 88/88w. Dat maakt Legacy mode echter niet automatisch tot een geschikte cloudmailarchitectuur. Microsoft 365, Google Workspace en moderne gehoste diensten hanteren eigen TLS-, authenticatie- en antimisbruikvereisten. Ondersteuning voor een transparante proxy moet vooraf worden bevestigd.

Kort gezegd: MTA mode heeft een eigen mailflow. Legacy mode beveiligt een reeds werkend SMTP-pad. Wie deze modellen door elkaar haalt, zoekt later in het verkeerde log, bij de verkeerde NAT-bestemming of in een spool die niet bestaat.

Voorbeeldtopologie en terugvalpad

Het volgende voorbeeld gebruikt documentatiewaarden en moet vóór implementatie aan de werkelijke omgeving worden aangepast:

interne mailserver 10.20.30.25 in de zone DMZ
openbaar SMTP-adres 192.0.2.25 op het WAN-pad
inkomende SMTP-service TCP 25
optioneel SMTPS op TCP 465, alleen wanneer peers en server deze variant werkelijk gebruiken
firewallregels SMTP_In_Legacy en SMTP_Out_Legacy

192.0.2.25 behoort tot het TEST-NET-bereik en is geen productiewaarde. Voer vóór de wijziging een externe inkomende en een uitgaande test met tijdstempel uit. Bewaar de momenteel gematchte Rule IDs, het openbare bronadres van de uitgaande server en de certificaatketen.

Het terugvalpad bestaat niet alleen uit het terugzetten van de modus. Ook nieuwe scanopties, beleidsvolgorde, DNAT, reflexive of handmatige SNAT-regels en tijdelijke tests moeten naar de gedocumenteerde vorige toestand kunnen worden hersteld.

Globale e-mailinstellingen vastleggen

Waar MTA mode beschikbaar is, noemt de help dit de standaardmodus. Selecteer onder Email > General settings bewust Switch to legacy mode nadat het gedocumenteerde terugvalpad is veiliggesteld. Alleen een moduswissel maakt nog geen gevalideerd Legacy-mailpad.

Onder Email > General settings geldt SMTP hostname alleen voor door het systeem gegenereerde meldingen in HELO- en SMTP-bannerstrings; de standaardwaarde is SMTP. Dit vervangt noch de FQDN van de productiemailserver, noch de openbare DNS. Valideer na een wijziging daarom een SFOS-melding en niet alleen een normaal door de server gegenereerd bericht.

XML-API-controle: De SFOS 23-documentatie vermeldt voor Email Configuration de operatiestatus 506, gekoppeld aan Message.AVGeneralConfInvalidSmtpNtfyHostname. Dit is een onopgeloste meldingssleutel, geen Engelse foutmelding of HTTP-statuscode. Als deze status in de daadwerkelijke XML-API-respons verschijnt, controleer dan de ingediende hostnaam voor meldingen, de operatierespons en de opgeslagen configuratie voordat de wijziging als geslaagd wordt beschouwd. Uit de sleutel zijn geen specifieke validatieregels af te leiden. De extra documentatievermelding bewijst niet dat dit gedrag met SFOS 23 is geïntroduceerd of dat het voor REST geldt.

Groottelimiet, oversize-actie en DoS-bescherming

Onder Email > General settings > SMTP settings bepaalt Don’t scan emails greater than de maximale berichtgrootte voor scanning. In het SMTP-pad betekent de waarde 0 volgens de SFOS 22-help 51,200 KB, niet onbeperkt. Voor grotere berichten zijn Accept, Reject en Drop beschikbaar.

Accept bezorgt een te groot bericht zonder scan. Reject weigert het en informeert de afzender, terwijl Drop het zonder melding verwijdert. Deze keuze is een bewuste risico- en bedrijfsbeslissing. Een niet-geteste Drop bemoeilijkt de foutanalyse; een niet-beoordeelde Accept veroorzaakt een scanlacune die moet worden gedocumenteerd.

Verify sender’s IP reputation controleert het IP-adres van de afzender vóór de spamcriteria van het SMTP-beleid en weigert e-mails van IP-adressen met een slechte reputatie. De zes SMTP DoS-velden accepteren in SFOS 22 deze bereiken:

Maximum connections: 1 tot 20000 verbindingen met de mailserver
Maximum connections/host: 1 tot 10000 verbindingen van één host
Maximum emails/connection: 1 tot 1000 berichten per verbinding
Maximum recipients/email: 1 tot 256 ontvangers per bericht
Emails rate: 1 tot 20000 berichten van één host per minuut
Connections rate: 1 tot 20000 verbindingen van één host per seconde

Een toegestane waarde is niet automatisch passend. Leid productielimieten af uit het werkelijke mailvolume en een baseline, zodat legitieme verzendpieken niet als DoS worden behandeld.

Bypass spam check for SMTP/S authenticated connections slaat de spamcontrole globaal over voor verbindingen die de mailserver als geauthenticeerd meldt. Dit is alleen verantwoord nadat de authenticatie, toegestane bronnen en bescherming tegen misbruik op dit pad zijn gecontroleerd. Een geslaagde aanmelding vervangt noch de malwarescan, noch een negatieve test met een niet-geauthenticeerde verbinding. Domeinen onder Spam check exceptions vormen eveneens een globale bypass en worden niet gebruikt als snelle vervanging voor een nauw begrensde uitzondering.

De globale e-mailbanner biedt Inline, no conversion, MIME part en Off. Inline, no conversion voegt tekst rechtstreeks toe aan uitgaande berichten; MIME part voegt een afzonderlijk MIME-deel toe. Off voegt geen banner toe. Voer onder Email banner uitsluitend tekst in, bijvoorbeeld een korte vertrouwelijkheidsmelding. De banner vereist SMTP- of SMTPS-scanning in de passende firewallregel. Controleer bij de ontvanger een tekstbericht en een HTML-bericht op inhoud, MIME-structuur en weergave. Omdat een bodywijziging een bestaande DKIM-handtekening kan verbreken, controleer je ook de headers op het werkelijke uitgaande pad.

POP/IMAP en poorten afzonderlijk plannen

POP/IMAP heeft een eigen CA-selectie TLS certificate onder POP and IMAP TLS configuration. Laat Allow invalid certificate uitgeschakeld om ongeldige servercertificaten te weigeren; ook hier blokkeert Disable legacy TLS protocols alleen protocollen ouder dan TLS 1.1. SMTP-instellingen vervangen deze configuratie niet. Het volledige ophaalpad staat in POP/IMAP-e-mailscanning, CA- en certificaatbeheer in Certificaatbeheer.

Legacy mode omvat ook transparante POP3/S- en IMAP/S-scanning. Onder POP/S and IMAP/S settings betekent 0 bij Don’t scan emails greater than 10,240 KB. Recipient headers bepaalt in welke headers SFOS naar ontvangers voor POP/IMAP-beleid zoekt; standaard zijn dit Delivered-To, Received en X-RCPT-TO. Wijzig ze alleen wanneer een vastgelegde berichtheader van de gebruikte server dit rechtvaardigt.

De gedocumenteerde standaardpoorten zijn SMTP 25, SMTPS 465, POP3 met STARTTLS 110, POP3S 995, IMAP met STARTTLS 143 en IMAPS 993. SFOS kan e-mail ook op andere poorten scannen; de help noemt poort 587 expliciet. Een alternatieve poort moet als service in de passende firewallregel staan en aan het werkelijk geactiveerde scanprotocol zijn gekoppeld. Alleen een poort wijzigen maakt van impliciete TLS geen STARTTLS, of omgekeerd.

Een POP-IMAP scan-beleid kan afzender- en ontvangergroepen combineren met criteria zoals classificatie van inkomende berichten, bron-IP-adres, berichtgrootte of berichtheader. Alleen de acties Accept en Prefix subject zijn beschikbaar. Het beleid activeert de proxy niet zelf: onder Scan email content in de passende firewallregel moet ook het werkelijk gebruikte protocol POP3, POP3S, IMAP of IMAPS zijn geselecteerd.

TLS niet overschatten vanwege een selectievakje

Kies onder SMTP TLS configuration het CA- of servercertificaat dat voor scanning is bedoeld. Allow invalid certificate blijft uitgeschakeld. Volgens de help schakelt Disable legacy TLS protocols alleen protocollen vóór TLS 1.1 uit en bewijst dit geen concrete TLS 1.2- of TLS 1.3-sessie.

Sophos wijst daarnaast op een belangrijke Legacy-beperking: de firewall bouwt de TLS-verbinding op via het IP-adres van het domein in plaats van de domeinnaam. Als meerdere domeinen één IP-adres delen, kan de certificaatvalidatie mislukken. In dat geval adviseert Sophos een ander beveiligingspad, zoals Sophos Email Security. De controle wordt niet omzeild met Allow invalid certificate.

Require TLS negotiation dwingt TLS af voor geselecteerde Remote Hosts of netwerken; Require sender email domains doet dit voor afzenderdomeinen. Wanneer de TLS-verbinding niet kan worden opgebouwd, verwijdert SFOS de betrokken berichten. Skip TLS negotiation staat bewust onversleutelde SMTP-verbindingen naar geselecteerde peers toe en hoort alleen in gedocumenteerde uitzonderingen thuis. Volgens de help accepteert elk veld maximaal 512 hostvermeldingen; sluit overlap tussen afdwing- en bypasslijsten uit voordat brede selecties worden gebruikt.

Scanbeleid bewust toepassen

Zonder geldig Email Protection-abonnement kan mailverkeer toegestaan blijven, maar krijgt het geen Email Protection. Bereikbaarheid bewijst dus geen licentie of scanning. Globale e-mailinstellingen worden vóór SMTP- en POP-IMAP-policies verwerkt. Schakel onder Email > General settings > SMTP settings de IP-reputatie in Legacy mode in met Verify sender’s IP reputation en sla op met Apply; de MTA-optie heet Reject based on IP reputation. De globale banner voor uitgaande e-mail ondersteunt alleen tekst.

Na activering van het Email Protection-abonnement past Sophos Firewall in Legacy mode automatisch het standaardbeleid default-smtp-av toe op SMTP-verkeer. Eigen beleid wordt aangemaakt onder Email > Policies en in lijstvolgorde verwerkt. Controleer daarom eerst welk bestaand beleid de concrete afzender en ontvanger matcht.

Maak nieuwe Legacy-SMTP-policies onder Email > Policies > Add policy met SMTP malware scan of SMTP spam scan. Kies voor een bestaande policy onder Email > Policies bij de betreffende policy Edit, wijzig de benodigde instellingen en sla de policy op. Controleer daarna opnieuw de policyvolgorde en herhaal de positieve en negatieve test.

Onder Email > General settings > Malware protection wordt de primaire antivirusengine globaal gekozen als Sophos of Avira. Bij Avira schakelt SFOS Zero-day Protection uit in SMTP-beleid met Single antivirus. Inventariseer vóór een enginewijziging al het betrokken beleid en valideer het daarna opnieuw.

SMTP malware scan

Wijzig de policyvolgorde door vermeldingen in de lijst te verslepen. Leg de vorige positie vast en herhaal daarna beide tests: een beperkte pilotpolicy mag niet achter een bredere, al matchende policy verborgen blijven.

Geef bij het aanmaken een duidelijke naam en de e-mailadres- of domeingroepen van afzenders en ontvangers op. Selecteer onder Block file types de te blokkeren bijlagen; met Ctrl+Shift kies je meerdere typen. MIME whitelist staat de geselecteerde MIME-headers toe, terwijl de overige bestandstypen volgens de help worden geblokkeerd. Deze toestemming voor bestandstypen omzeilt de antivirus niet. Disable betekent daarentegen uitdrukkelijk dat e-mails niet worden gescand.

Delivery option for recipient geldt voor geïnfecteerde, beschermde en verdachte bijlagen:

Don’t deliver: stuurt noch het bericht noch een melding naar de ontvanger.
Deliver original: stuurt het oorspronkelijke bericht naar de ontvanger; dit reinigt het niet.
Remove and deliver: verwijdert de geïnfecteerde bijlage, meldt de verwijdering en bezorgt het bericht. Deze actie geldt niet voor typen onder Block file types; daaruit volgt geen andere bezorgactie voor geblokkeerde typen.

Beschermde bijlagen worden niet gescand; standaard wordt de ontvanger geïnformeerd, tenzij anders geconfigureerd. Sla op met Save en controleer daadwerkelijke bezorging en meldingen met onschadelijke positieve en negatieve gevallen.

Een SMTP malware scan-beleid stuurt geblokkeerde bestandstypen, MIME-uitzonderingen, antivirusscanning en bezorgacties aan. Bij Single antivirus geldt de geselecteerde engine volgens de help alleen voor inkomende berichten; uitgaande berichten worden door beide engines gescand. Dual antivirus voert de primaire en secundaire engine na elkaar uit.

De actie Quarantine wordt gecombineerd met de acties voor ontvanger en beheerder. Don’t deliver, Deliver original en Remove and deliver hebben sterk verschillende gevolgen. Een beveiligde of niet-scanbare bijlage mag niet automatisch met malware worden gelijkgesteld. Elke actie vereist daarom een testbericht, een verwachte ontvangerstoestand en een gedocumenteerd vrijgavepad.

Quarantine betekent niet automatisch dat de ontvanger geen bericht krijgt; de Delivery option for recipient blijft bepalend. Volgens Sophos werkt Notify sender alleen samen met Don’t deliver. Beveiligde bijlagen worden niet gescand, maar kunnen nog steeds een melding activeren. Onder Delivery option for administrator betekent Don’t deliver dat beheerders niet worden geïnformeerd; Send original stuurt hun het oorspronkelijke bericht. Dat kan gevaarlijke of niet-gescande bijlagen bevatten en is geen veilig alternatief voor een melding. Controleer afzender, ontvanger, beheerder en quarantaine afzonderlijk.

⚠️ Remove attachment onder Delivery option for administrator wordt in deze handleiding uitgesloten: het veldlabel suggereert een beheerdersactie, maar de beschrijving noemt een bericht zonder bijlage aan de ontvanger en een verwijderingsmelding aan beheerders. Dit bewijst geen veilige bezorgtoewijzing. Schakel deze optie niet nieuw in productie in. Gebruik voor een geïsoleerde pilot met geïnfecteerde bijlagen Don’t deliver voor ontvangers en beheerders, bewaak quarantaine afzonderlijk en controleer de resultaten met onschadelijke testpatronen. Wijzig een bestaande instelling Remove attachment pas na gedocumenteerde verduidelijking door Sophos Support en gecontroleerde verificatie; veronderstel geen schoon resultaat of automatische reiniging.

Een beperkte pilot in plaats van een ongecontroleerde voorbeeldpolicy

Beperk voor mailserver 10.20.30.25 een duidelijk benoemde policy aanvankelijk tot een testontvangergroep in voorbeelddomein example.net; vervang domein en groep door eigen gecontroleerde waarden. Ontbreekt het domein in het adresboek, voeg het dan toe met Create new. Kies onder Block file types bijvoorbeeld Executable files, selecteer Dual antivirus en Quarantine en plan ontvanger- en beheerdersacties afzonderlijk zoals hierboven. Voeg alleen een MIME-toestemming toe met een onderbouwde noodzaak. Een beveiligde bijlage blijft ongescand; kopieer Send original voor zulke bijlagen niet blind uit een voorbeeldpolicy.

Een voorbeeldscanlimiet van 2048 KB hoort bij Don’t scan emails greater than in de globale SMTP-instellingen, niet bij de pilotpolicy en niet bij een vaste productstandaard. Deze beperkt scanning tot kleine berichten. Plan vóór overname de oversize-actie en een test net boven de limiet op basis van werkelijk mailvolume; anders veroorzaakt Accept een scangat, of veroorzaken Reject en Drop bezorgproblemen. Eigen SMTP-spam- en POP/IMAP-policies zijn optionele aanvullingen naar behoefte, geen vereisten om alleen het NAT-pad te maken.

SMTP spam scan

Geef een naam en de e-mailadres- of domeingroepen van afzenders en ontvangers op. Kies voor die groepen bewust een exacte match of trefwoordmatch: een trefwoordzoekactie mag het bereik niet onbedoeld verbreden. Veronderstel geen ongedocumenteerde regex, wildcards of AND/OR-regels.

Inbound email is en Outbound email is: kies de richting afzonderlijk; criteria zijn spam, probable spam, virus outbreak of probable virus outbreak.
Source IP/network address en Destination IP/network address: geef het vereiste IP-adres of netwerk van afzender of ontvanger op.
Sender remote blacklist: selecteer de passende RBL-groep voor de afzender.
Message size: stel een boven- of ondergrens in; verwar dit niet met de globale oversize-limiet.
Message header: selecteer de header; vul voor Other de details in, kies exacte match of trefwoordmatch en geef de trefwoordwaarde op.

Reject weigert het bericht en informeert de afzender. Accept bezorgt het. Prefix subject voegt een prefix aan het onderwerp toe en bezorgt het ook; bijvoorbeeld Probable spam markeert een gecontroleerde test. Drop verwijdert zonder afzendermelding; Quarantine bewaart het bericht in quarantaine. SPX-templateselectie is gedocumenteerd voor Accept en Prefix subject, uitsluitend voor uitgaande e-mail. Dit bewijst geen SPX-ondersteuning voor andere acties of automatische versleuteling van elk geaccepteerd bericht. Sla op met Save en controleer match en actie afzonderlijk.

Een SMTP spam scan-beleid kan matchen op spamclassificatie, bron of bestemming, RBL, berichtgrootte, headers of een Data Control List. Afhankelijk van het pad zijn Reject, Accept, Change recipient, Prefix subject, Drop en Quarantine beschikbaar.

Het criterium Data control list en de SPX-toewijzing in dit beleid gelden alleen voor uitgaande berichten. None past de gekozen actie daarentegen toe op alle berichten tussen de opgegeven afzender- en ontvangergroepen. Change recipient bezorgt niet ook aan de oorspronkelijke ontvanger, maar vervangt deze door de geconfigureerde bestemming. Deze drie bereiken worden met een positieve en een negatieve ontvangersituatie getest voordat het beleid in de productievolgorde wordt geplaatst.

Eigen bestandstypen en Data Control voorbereiden

De e-mailbestandstypecategorieën zijn Audio files, Backup files, Compressed files, Configuration files, Database files, Developer files, Disk image files, Document files, Dynamic files, Encoded files, Executable files, Image files, Page layout files, Plugin files, System files, Video files en Web files. Dit zijn classificaties op basis van extensies of MIME-headers, geen veiligheidsoordelen. Executable files bevat bijvoorbeeld exe, cmd, bat en com; pdf staat in Document files en Page layout files, en application/octet-stream komt in meerdere categorieën voor. Behandel de categorieën niet als wederzijds uitsluitend en sta een generieke MIME-header niet breed toe om één bijlage te verhelpen. De uitgebreide interne referentie staat in Web Protection; controleer de waarden op de doelinstallatie voordat je een template kiest of een beperkt eigen type maakt.

CCL’s kunnen patronen zoals creditcard- of socialezekerheidsnummers, postadressen en e-mailadressen herkennen. Gebruik synthetische testgegevens, nooit echte persoonsgegevens. Kies alleen patronen die bij doel en regio passen; een match bewijst geen echtheid van gegevens of juridische classificatie.

Geef het eigen bestandstype een naam en sla het object met Save op voordat je de policy wijzigt. Het afzonderlijke MTA-aanmaakpad is Email > Policies and exceptions > File type > Add; het vervangt het Legacy-pad niet. Bestandstypen worden ook in webpolicies gebruikt; de configuratie hoort bij Web Protection. Geef ook de Data Control List een duidelijke naam en kies Save na de CCL-selectie.

In Legacy mode worden eigen bestandstypen onder Email > Policies > File type > Add gemaakt op basis van een template, bestandsextensies of MIME-typen. Voer extensies zonder voorafgaande punt in; alleen eigen typen zijn bewerkbaar. Een nieuw type wordt niet automatisch aan bestaande policies toegevoegd. Open de betrokken scanpolicy, voeg het bestandstype toe en sla de policy opnieuw op. Een positieve bijlagetest en een vergelijkbare negatieve test tonen of de bedoelde policyactie werkelijk wordt toegepast.

Een Data Control List wordt onder Email > Data control list > Add opgebouwd uit de benodigde Content Control Lists. Met de filters Type en Region worden alleen passende patronen voor financiële, identiteits- of andere gevoelige gegevens geselecteerd. Een lijstmatch bepaalt nog geen actie; die staat in de gekoppelde scanpolicy. Een kleine pilotlijst met een positieve en een negatieve inhoudstest is veiliger dan een brede verzameling niet-gecontroleerde CCL’s.

In Legacy mode kan SPX in dit beleid worden geselecteerd voor uitgaande berichten. Wachtwoordmodel, portal en validatie vormen echter een afzonderlijke beveiligingsprocedure; zie SPX-e-mailversleuteling configureren. Voeg geen Data Control List of SPX-toewijzing toe aan de eerste basistest van de proxy.

Een bevestigde misclassificatie wordt niet verholpen door een breed werkende policy uit te schakelen. Pas in Legacy mode gericht de passende SMTP malware scan- of SMTP spam scan-policy aan; een positieve test en een negatieve test buiten het bedoelde toepassingsbereik moeten de werking bevestigen. E-mailuitzonderingen veilig maken en testen beschrijft daarentegen uitsluitend het uitzonderingsobject in MTA mode: bron, afzender of ontvanger zijn alternatieve triggers (OR), geen exact gecombineerde AND-voorwaarde van alle drie de kenmerken. Dit MTA-uitzonderingsobject is geen Legacy-beheeroptie.

Gedocumenteerde bestandstypetoewijzingen

Deze referentie bewaart de e-mailcategorietoewijzingen; het is geen toestemmingslijst of bewijs van malware. Controleer de doelinstallatie vóór wijzigingen. Technische MIME-tokens blijven ongewijzigd, inclusief ongebruikelijke gedocumenteerde spellingen zoals text/x-script.phyton; dit bewijst geen standaardconformiteit en definieert geen nieuwe eigen MIME-regel.

Audio files

Extensies: gsm, sd2, qcp, kar, smf, midi, mid, ulw, snd, aifc, aif, aiff, m3url, m3u, wav, rm, au, ram, mp3, wmv.
MIME-headers: audio/x-gsm, audio/vnd.qcelp, audio/x-midi, application/x-midi, audio/midi, audio/x-mid, x-music/x-midi, audio/basic, audio/x-adpcm, audio/aiff, audio/x-aiff, audio/x-mpequrl, audio/wav, audio/x-wav, application/vnd.rn-realmedia, audio/x-au, audio/x-pn-realaudio, audio/mpeg3, audio/x-mpeg-3, audio/x-ms-wmv.

Backup files

Extensies: asd, bak, bkp, bup, dba, dbk, fbw, gho, nba, old, ori, sqb, tlg, tmp.
MIME-headers: application/octet-stream.

Compressed files

Extensies: 7z, alz, deb, gz, pkg, pup, rar, rpm, sea, sfx, sit, sitx, tar.gz, tgz, war, zip, zipx.
MIME-headers: application/x-7z-compressed, application/x-alz, application/x-deb, application/x-gzip, application/x-newton-compatible-pkg, application/x-rar-compressed, application/sea, application/x-sea, application/x-sit, application/x-stuffit, application/gnutar, application/x-compressed, application/x-zip-compressed, application/zip, multipart/x-zip.

Configuration files

Extensies: cfg, clg, dbb, ini, keychain, prf, prx, psf, rdf, reg, thmx, vmx, wfc.
MIME-headers: application/pics-rules, application/octet-stream, application/vnd.ms-officetheme.

Database files

Extensies: accdb, db, dsn, mdb, mdf, pdb, sql, sqlite.
MIME-headers: application/msaccess, application/x-msaccess, application/vnd.msaccess, application/vnd.ms-access, application/mdb, application/x-mdb, chemical/x-pdb.

Developer files

Extensies: as, asc, c, cbl, cc, class, cp, cpp, cs, csproj, dev, dtd, f, fs, fsproj, fsx, ftl, gem, h, hpp, ise, ism, java, m, ocx, pas, pod, pro, py, r, rb, sh, src, tcl, trx, v, vbproj, vcproj, vtm, xcodeproj.
MIME-headers: text/plain, text/x-c, application/java, application/java-byte-code, application/x-java-class, text/xml, text/x-fortran, text/x-h, text/x-java-source, text/x-m, application/octet-stream, text/pascal, text/x-script.phyton, application/x-bsh, application/x-sh, application/x-shar, text/x-script.sh, application/x-wais-source, application/x-tcl, text/x-script.tcl.

Disk image files

Extensies: dmg, iso, mdf, nrg, nri, pvm, toast, vcd, vmdk.
MIME-headers: application/x-cdlink.

Document files

Extensies: doc, docx, wbk, xls, xlsx, ppt, pptx, oft, pub, msg, one, xsf, xsn, grv, mpp, mpt, acl, pip, thmx, aw, bld, blg, bvp, cdd, cdf, contact, csv, dat, dif, dmsp, efx, epub, epw, exif, exp, fdb, fxp, gbr, gpi, hdf, id2, lib, mat, mcd, menc, mw, ndx, not, notebook, out, ovf, pdx, pfc, pps, ppsx, pptm, prj, qbw, sdf, svf, tar, tsv, vcf, vdb, vxml, windowslivecontact, wlmp, xfd, xml, xsl, xslt, lit, log, lst, odt, opml, pages, rtf, sig, tex, txt, wpd, wps, pdf.
MIME-headers: application/msword, application/vnd.openxmlformats-officedocument.wordprocessingml.document, application/excel, application/vnd.ms-excel, application/x-excel, application/x-msexcel, application/vnd.openxmlformats-officedocument.spreadsheetml.sheet, application/mspowerpoint, application/powerpoint, application/vnd.ms-powerpoint, application/x-mspowerpoint, application/vnd.openxmlformats-officedocument.presentationml.presentation, application/x-mspublisher, application/onenote, application/octet-stream, application/vnd.ms-project, application/x-project, application/vnd.ms-officetheme, application/cdf, application/x-cdf, application/x-netcdf, text/comma-separated-values, text/csv, application/csv, video/x-dv, application/x-hdf, application/mcad, application/x-mathcad, application/vnd.openxmlformats-officedocument.presentationml.slideshow, application/vnd.ms-powerpoint.presentation.macroEnabled.12, image/vnd.dwg, image/x-dwg, application/x-tar, text/tab-separated-values, text/x-vcard, application/xml, text/xml, application/x-ms-reader, text/plain, application/rtf, application/x-rtf, text/richtext, application/x-tex, application/wordperfect, application/x-wpwin, application/vnd.ms-works, application/pdf.

Dynamic files

Extensies: pl, jsp, asp, php, cgi, shtml.
MIME-headers: text/x-script.perl, text/asp, text/x-server-parsed-html, text/html.

Encoded files

Extensies: bin, enc, hex, hqx, mim, mime, uue.
MIME-headers: application/mac-binary, application/macbinary, application/octet-stream, application/x-binary, application/x-macbinary, application/binhex, application/binhex4, application/mac-binhex, application/mac-binhex40, application/x-binhex40, application/x-mac-binhex40, message/rfc822, www/mime, text/x-uuencode.

Executable files

Extensies: exe, cmd, bat, com.
MIME-headers: application/bat, application/x-bat, application/x-msdos-program, application/textedit, application/octet-stream, text/plain.

Image files

Extensies: bmp, gif, jpeg, jpg, pcx, png, heic, heif.
MIME-headers: image/bmp, image/x-windows-bmp, image/gif, image/pjpeg, image/jpeg, image/x-pcx, image/png, image/heif.

Page layout files

Extensies: idml, indd, inx, isd, mdi, pct, pdf, pmd, ptx, pub, qxb, qxd, qxp, rels, xps.
MIME-headers: image/x-pict, application/pdf, application/x-mspublisher, application/octet-stream, application/vnd.ms-xpsdocument.

Plugin files

Extensies: 8bi, arx, crx, plugin, vst, xll.
MIME-headers: application/x-visio, application/excel, application/vnd.ms-excel, application/x-excel.

System files

Extensies: bashrc, cab, cpl, cur, dll, dmp, drv, hlp, ico, key, lnk, msp, prf, profile, scf, scr, sys.
MIME-headers: application/vnd.ms-cab-compressed, application/octet-stream, application/x-msdownload, application/hlp, application/x-helpfile, application/x-winhelp, image/x-icon.

Video files

Extensies: dat, mov, avi, qt, smi, sml, smil, flc, fli, vfw, mpeg, mpg, m15, m1u, m1a, m75, mls, mp2, mpm, mp, rm, wmv, flv, swf.
MIME-headers: application/octet-stream, application/x-troff-msvideo, video/avi, video/msvideo, video/x-msvideo, video/quicktime, application/smil, application/x-simile, video/flc, video/fli, video/x-fli, video/mpeg, video/x-mpeg, video/x-mpeq2a, application/vnd.rn-realmedia, video/flv, application/x-shockwave-flash.

Web files

Extensies: alx, asax, asmx, aspx, atom, att, axd, chm, dwt.
MIME-headers: application/atom+xml.

Optionele e-mailjournaling privacybewust gebruiken

Geef de journalvermelding een duidelijke naam en sla de ontvangersselectie en journalbestemming met Save op voordat je de volgende tests uitvoert.

Onder Email > General settings > Email journaling > Add kan SFOS kopieën van inkomende SMTP/S-berichten voor geselecteerde ontvangers of adresgroepen naar een afzonderlijk journaladres sturen. De selectie Any omvat alle inkomende berichten. De functie geldt alleen voor SMTP/S en journaliseert geen POP- of IMAP-verkeer.

Journaling maakt een extra kopie van de e-mail. Het is niet automatisch een manipulatiebestendig archief en bewijst niet dat aan wettelijke bewaarplichten is voldaan. Voor de activering worden het doel, de bevoegde ontvangers, de toegang tot de journalmailbox, versleuteling, bewaartermijn, benodigde opslag en verantwoordelijke eigenaar vastgelegd.

Voor de eerste test wordt één testmailbox gekozen in plaats van Any. Een inkomend bericht voor deze mailbox moet op de normale bestemming en in de journalmailbox verschijnen; een bericht voor een niet-geselecteerde ontvanger mag geen journalkopie opleveren. Het journaladres mag geen mailflow activeren die de kopie terug naar SFOS stuurt en een lus veroorzaakt.

De ontvangerselectie wordt pas na de positieve en negatieve test uitgebreid. Voor de rollback wordt de journalinvoer verwijderd of de gedocumenteerde vorige toestand hersteld. Reeds afgeleverde kopieën blijven in de journalmailbox en moeten volgens de eigen bewaarregels daarvan worden behandeld.

Legacy-mailobjecten veilig toewijzen via de XML API

De XML-API-referenties voor SFOS 22 en 23 beschrijven afzonderlijke Legacy-mailobjecten. Een menupad uit MTA mode, een vlakke parametertabel of een voorbeeld met door schuine strepen gescheiden alternatieven is geen kant-en-klaar request. API-toegang, transport, operatiestatus, onopgeloste meldingssleutels en controle na het schrijven worden toegelicht in XML API-toegang beveiligen. De volgende toewijzingen helpen bij het lezen van een bestaande configuratie; ze claimen geen geteste schrijfaanroep en gelden niet automatisch voor REST of de Central API.

Stel vóór een wijziging een backup, de huidige objectinhoud, verwijzende policies en de volgorde veilig. Verduidelijk het concrete request en tegenstrijdige veldwaarden aan de hand van de API-help van de geïnstalleerde build of met Sophos Support. Controleer daarna de opgeslagen objecten en het daadwerkelijke effect op e-mail afzonderlijk. Een verplicht veld in de tabel zegt niets over de vraag of het weglaten van andere velden hun bestaande waarde behoudt. Ook het leegmaken, vervangen of samenvoegen van lijsten en atomaire wijzigingen zijn hiermee niet aangetoond.

EmailConfiguration: protocol en TLS-context horen bij het veld

Onder EmailConfiguration worden gelijknamige velden door hun bovenliggende elementen onderscheiden:

GeneralSettings/EmailSignature en GeneralSettings/EmailBannerMode hebben betrekking op de uitgaande banner. De API-tabel noemt de moduswaarden inline_plain, mimepart en off; het voorbeeld bevat daarentegen alternatieven die op de UI-labels lijken. Behandel deze teksten niet zonder controle als identieke API-waarden. EmailSignature is een tekenreeks van volgens de API-tabel maximaal 2000 tekens.
SMTPSSettings/DontScanEmailsGreaterThan is de SMTP-scanlimiet in KB; SMTPSSettings/ActionForOversizeEmails is de afzonderlijke actie Accept, Reject of Drop. Ook BypassSpamCheck, VerifySendersIPReputation, SMTPSDosSettings en de zes DoS-limieten bevinden zich in SMTPSSettings.
POPIMAPSettings/DontScanEmailsGreaterThan is een andere, gehele KB-limiet. POPIMAPSettings/RecipientHeaders/Header is een lijst met headertekenreeksen voor ontvangerherkenning, geen SMTP-ontvangerslijst.
SMTPTLSConfiguration en POPSIMAPTLSConfiguration bevatten elk hun eigen TLSCertificate, AllowInvalidCertificate en DisableTLS1. Het SMTP-certificaat vervangt het POP/IMAP-certificaat niet. RequireTLSWithHost, RequireTLSWithSenderDomain en SkipTLSHosts staan in de SMTP-TLS-context; het zijn afzonderlijke lijsten met tekenreeksen, geen gezamenlijke aan/uit-uitzondering. Verwar de UI-limiet van 512 hostvermeldingen niet met de API-tabelvermelding van maximaal 512 tekens.

Houd API-tabel, voorbeeld en UI-referentie gescheiden: De API-tabel noemt voor beide scanlimieten 1024 als standaardwaarde. Voor MaximumConnections, MaximumConnectionsHost, MaximumEmailsConnection, MaximumRecepientsEmail, EmailsRate en ConnectionsRate noemt deze achtereenvolgens 5000, 100, 100, 100, 1000 en 100. Het voorbeeld gebruikt voor MaximumEmailsConnection daarentegen 1000; het hierboven toegelichte UI-voorbeeld 2048 KB is evenmin een standaardwaarde. De betekenis van 0 blijft de hierboven beschreven protocolspecifieke UI-referentie, niet een uit het API-voorbeeld afgeleide instelling voor onbeperkte scanning.

De API-tabel staat voor MaximumRecepientsEmail 1 tot 512 toe, terwijl de UI-referentie voor Maximum recipients/email 1 tot 256 noemt. De API-spelling MaximumRecepientsEmail blijft ongewijzigd; leid hieruit noch een gecorrigeerde veldnaam, noch de veilige geldigheid van 512 in de UI af. De andere vijf DoS-bereiken komen overeen met de hierboven genoemde UI-bereiken. De opgeslagen toestand en de help van de doelbuild blijven bepalend.

Verdere tegenstrijdigheden verhinderen het blind overnemen van het voorbeeld: voor VerifySendersIPReputation noemt de tabel on/off en vermeldt deze Disable als standaardwaarde, terwijl het voorbeeld Enable toont. Bij SMTPSDosSettings staat het datatype INTEGER naast de tabelstandaard Disable en de voorbeeldwaarde Enable. BypassSpamCheck heeft volgens de tabel de standaardwaarde Disable, maar het voorbeeld activeert deze optie. Beide TLS-contexten staan in het voorbeeld ongeldige certificaten toe. Neem deze onveilige voorbeeldinstellingen niet over en construeer uit de tegenstrijdige gegevens geen vermeend geldige payload; de hierboven beschreven veilige TLS- en bypasskeuze blijft gelden.

Voor de operatie Email Configuration zijn 200 met Message.AVGeneralConfUpdateSuccess, 500 met Message.AVGeneralConfUpdateFail en 505 met Message.ASConfigSubOperationFail gedocumenteerd. SFOS 23 voegt de hierboven al toegelichte koppeling 506 met Message.AVGeneralConfInvalidSmtpNtfyHostname toe. Dit zijn operatiestatussen en onopgeloste sleutels, geen HTTP-codes of bevestigde runtime-teksten. Lees met name na 505 eerst de SMTP-, POP/IMAP- en TLS-instellingen terug; veronderstel noch een volledige rollback, noch volledige opslag en herhaal de aanroep niet blind.

SMTP-malware: ontvangers en beheerders onafhankelijk behandelen

Het object heet AntiVirusMailSMTPScanningRules. Name duidt de policy aan, After/Name de in het voorbeeld getoonde verwijzing naar de voorgaande policy. SenderList/Sender en ReceiverList/Receiver zijn afzonderlijke lijsten; BlockFileTypes/FileType is de lijst met geblokkeerde bestandstypen. De API-tabel vermeldt bovendien WhiteList als MIME-lijst, maar toont in het voorbeeld geen bijbehorende nesting. Verzin op basis hiervan geen extra bovenliggend XML-element.

Voor Scanning noemt de API-tabel Single Anti-Virus (Maximum Performance), Dual Anti-Virus (Maximum Security) en Disable, met standaardwaarde Disable. Het voorbeeld Disable/Disable is noch een volledige enum, noch een bruikbare waarde voor de gewenste antivirusscan. Quarantine en NotifySender zijn zelfstandige schakelaars met Enable/Disable; volgens de API-tabel is voor beide Disable de standaardwaarde. Deze tabelwaarden vervangen noch de bestaande standaardpolicy, noch een bewijs van de huidige scanstatus.

Voor geïnfecteerde, verdachte en beschermde bijlagen zijn er telkens twee onafhankelijk gekozen acties:

Ontvangers: ReceiverActionInfected, ReceiverActionSuspicious, ReceiverActionProtectedAttachment met Don'tDeliver, DeliverOriginal of RemoveAndDeliver.
Beheerders: NotifyAdministratorInfected, NotifyAdministratorSuspicious, NotifyAdministratorProtectedAttachment met Don'tDeliver, SendOriginal of RemoveAttachment.

De API-tabel noemt voor alle zes actievelden Don'tDeliver als standaardwaarde. Dit is niet gelijk te stellen aan de UI-beschrijving van een standaardmelding voor beschermde bijlagen en bewijst geen huidige bezorgtoestand. De hierboven toegelichte effecten en beperkingen blijven bepalend: DeliverOriginal of SendOriginal kan ongescande of gevaarlijke bijlagen doorgeven; quarantaine bewijst niet dat bezorging aan de ontvanger wordt onderdrukt. De onopgehelderde beheerdersoptie RemoveAttachment blijft uitgesloten, ook als de API deze als waarde vermeldt. Controleer de resultaten voor afzender, ontvanger, beheerder en quarantaine afzonderlijk.

AntiSpamRules: match, volgorde en actie niet door elkaar halen

Bij AntiSpamRules identificeert Name de regel. After/Name is de in het voorbeeld weergegeven verwijzing voor de positie na een andere regel. Stel vóór Add, Edit of Order de werkelijke volgorde en de naam van de gerefereerde regel veilig; de documentatie beschrijft hiermee niet automatisch een syntax voor de eerste positie of voor niet-bestaande voorgaande regels.

RecipientList/Action met RecipientEmail en SenderEmailList/Action met SenderEmail sturen de ontvanger- en afzendermatch afzonderlijk aan. De API-tabel noemt voor beide matchacties Equals of Contains, met tabelstandaard Contains. Dit zijn niet de bezorgacties. MarkSpamIf bevat daarentegen Condition en de bijbehorende OtherHeader, Operator en MatchIs. Een berichtgrootte vereist een groottevergelijking; een header een tekstmatch; een classificatie een classificatiewaarde. De vlakke tabelrij beschrijft MatchIs als een gehele berichtgrootte, maar het voorbeeld gebruikt Spam. Concludeer hieruit niet dat elk voorwaardetype numeriek is. De tabelwaarde 4 en de verschillende voorwaardeaanduidingen in het voorbeeld vormen geen basis voor een verzonnen header- of enumtoewijzing.

SMTPAction/Action en SMTPAction/ActionParameter bepalen de SMTP-actie en de aanvullende waarde; SMTPAction/Quarantine staat daar los van. POPIMAPAction/Action en POPIMAPAction/ActionParameter horen bij het ophaalpad, waarvoor het voorbeeld alleen Accept en Prefix Subject toont. Pas een SMTP-actie niet toe op POP/IMAP. Bij Change recipient is de parameter de vervangende bezorgbestemming, geen extra journaladres. De hierboven beschreven beperkingen voor uitgaande Data Control en SPX blijven gelden.

Ook hier spreken voorbeeld en tabel elkaar tegen: voor Quarantine toont het voorbeeld Enable/Disable, terwijl de tabel 0 en Enable toestaat. De SMTP-actietabel vermeldt bovendien Accept With SPX; leid deze API-spelling niet af uit het UI-label of een normale Accept. Verduidelijk vóór een schrijfaanroep de concrete, voorwaardeafhankelijke waarde in plaats van de door schuine strepen gescheiden voorbeeldalternatieven te verzenden.

Voor Order SMTP Scanning Policy staan 200 met Message.SpamRuleUpdateRuleOrderSuccess en zowel 500 als 505 met Message.SpamRuleUpdateRuleOrderFail vermeld. Dezelfde sleutel duidt dus twee statusrijen aan; hij verklaart de oorzaak ervan niet. Voor Add SMTP Scanning Policy is 502 met Message.SpamRuleRecordExists gedocumenteerd. Controleer vóór een nieuwe Add of Order de bestaande naam, inhoud en opgeslagen volgorde; de centrale API-veiligheidscontrole en de positieve en negatieve policytest gelden ook hier.

DataControlList: signaturen zijn nog geen bezorgactie

Het Legacy-object DataControlList bevat Name en Signatures/Signature, een lijst met CCL-signatuurnamen. De vlakke tabel gebruikt hiervoor de aanduidingen name en signaturename; dit is geen reden om de in het voorbeeld getoonde XML-tags stilzwijgend te hernoemen. De tabel noemt de naam als verplichte tekenreeks van maximaal 255 tekens en de signaturen als optionele lijst met tekenreeksen. Gebruik de daadwerkelijke signatuurnaam uit de eigen beschikbare CCL-selectie, niet uit het landenvoorbeeld. De actie volgt nog steeds pas uit de gekoppelde policy. Gebruik het andere object MTADataControlList niet in plaats van dit Legacy-object.

Voor Add Data Control List en Update Data Control List vermelden beide referenties 502 met Message.DLPAddSameName en 545 met Message.MTAModeDisableCheck. 545 is een gedocumenteerde status-/sleutelkoppeling, geen geverifieerde uitspraak dat Legacy mode deze functie verbiedt of dat een moduswissel vereist is. Wissel daarom niet van modus om het probleem op te lossen. Controleer de opgeslagen lijst en de verwijzingen ernaar vóór een nieuwe Add of Update en verduidelijk de daadwerkelijke respons aan de hand van de help van de geïnstalleerde build of met Sophos Support.

AVASAddressGroup: precies één typeafhankelijke tak

AVASAddressGroup is de Legacy-adresgroep voor deze mailregels, geen object waarvan een MTA-menupad de gelijkwaardigheid bewijst. Name identificeert de groep; de API-tabel noemt maximaal 50 tekens en voor de optionele Description maximaal 255. De GroupType-tabel noemt RBLIPv4, RBLIPv6, IPAddress en EmailAddressOrDomain, terwijl het voorbeeld generiek RBL gebruikt. Normaliseer deze schrijfwijzen niet stilzwijgend.

Het commentaar in het voorbeeld vereist precies één tak die bij het type past: RBLList/RBLName of RBLFile, IPAddressList/IPAddressNetwork of IPAddressFile, dan wel EmailAddressList/EmailAddressDomain of EmailAddressFile. De lijstvermeldingen zijn tekenreeksen; de tabel noemt meerdere waarden en genegeerde duplicaten. Het voorbeeld toont de alternatieven samen, maar is geen opdracht om alle lijsten en bestanden te verzenden. Bij e-mail-/domeingroepen onderscheidt EmailImportType de waarden Manual en Import. De tabel noemt voor EmailAddressFile de formaten csv en txt, maar beschrijft het veld tegenstrijdig als handmatige invoer; het voorbeeld verwijst naar de bestandsnaam van een multipart-request. Geen van beide bewijst een volledige multipart-koppeling of een veilige importaanroep. Verduidelijk deze details vóór een import voor de specifieke build.

Voor Add Address Group zijn 502 met Message.AddrGrpRecordExists, 541 met Message.AddrGrpImportFailed, 542 met Message.AddrGrpEmptyFile1 en 543 met Message.AddrGrpSomeEmailNotImported gedocumenteerd. Leid uit de onopgeloste sleutels noch de daadwerkelijk geïmporteerde vermeldingen, noch een volledige rollback af. Vergelijk vóór de volgende import de opgeslagen leden met de beoogde lijst.

Bij Delete Address Group hebben 504, 505 en 506 dezelfde sleutel Message.AddrGrpForeignKeyExists; 507 is gekoppeld aan Message.AddrGrpEmailArcKeyExists. De sleutels maken geen betrouwbaar onderscheid tussen de afzonderlijke verwijzende objecten. Inventariseer policies en journalverwijzingen vóór het verwijderen, beoordeel de exacte operatierespons en controleer daarna of de groep nog bestaat. Verwijder geen gekoppelde beveiligingspolicy blind om een verwijderaanroep af te dwingen.

TrustedDomain, journaling en engineselectie hebben verschillende toepassingsbereiken

AntiSpamTrustedDomain/DomainList/DomainName is een lijst met domeintekenreeksen. Add en Delete gebruiken DomainName als lijstidentiteit. De API-beschrijving spreekt van een scanbypass voor e-mails van vertrouwde domeinen, maar benoemt niet welke scanners precies worden omzeild. De UI beschrijft Spam check exceptions als een spambypass. Breid deze twee uitspraken niet uit tot een garantie voor alle scans of tot een aangetoonde exacte API-/UI-gelijkwaardigheid. Beheer domeinen alleen met een gedocumenteerd doel en een nauw begrensd bereik; controleer vóór en na Add of Delete de lijst en de verwachte beveiligingswerking. Verzin geen ontbrekend volledig XML-request op basis van de Delete-pagina.

AntiSpamEmailArchiver maakt daarentegen kopieën: Name benoemt de vermelding, RecipientList/Recipient begrenst de oorspronkelijke ontvangers en SendCopyOfEmailTo is het afzonderlijke kopieadres. Volgens de API-tabel zijn naam, ontvangers en kopieadres verplicht; naam en kopieadres mogen maximaal 50 tekens bevatten. De ontvangersrij wordt als scalaire tekenreeks beschreven, terwijl het voorbeeld deze binnen het bovenliggende lijstelement toont. Los deze afwijking niet op met een zelfverzonnen catch-all-payload. De hierboven beschreven pilot met één mailbox, inclusief gegevensbescherming, luspreventie en negatieve test, geldt ook voor automatisering; een ontvangerswijziging is geen wijziging van het kopieadres.

MalwareProtection/PrimaryAntiVirusEngine is op zijn beurt een globale scalaire engineselector, geen ontvangerfilter of afzonderlijke scanpolicy. De API-tabel noemt Sophos als standaardwaarde; het voorbeeld Sophos/Avira toont alternatieven, geen te verzenden combinatiewaarde. Het hierboven toegelichte effect van Avira op Zero-day Protection in Single-Antivirus-SMTP-policies moet nog steeds worden gecontroleerd. Controleer na een wissel de globaal opgeslagen waarde en alle betrokken policies; afzonderlijke documentatieroutes maken hiervan geen onafhankelijke engineconfiguraties.

NAT en firewallregels combineren

Het inkomende SMTP-pad publiceren

Kies onder Rules and policies > NAT rules de passende IP-familie en open Add NAT rule. Voor de interne server moet een IP-hostobject bestaan onder Hosts and services > IP host om hem te kunnen selecteren onder Translated destination (DNAT). In het eenvoudige inkomende voorbeeld blijven Translated source (SNAT) en Translated service (PAT) Original; kies onder Original service uitsluitend gebruikte SMTP-services, bijvoorbeeld SMTP en SMTP[S]. Controleer alle velden vóór Save. NAT-bestemmingsvertaling is niet hetzelfde als het hieronder afzonderlijk gekwalificeerde firewallveld Destination networks.

Voor inkomende berichten vertaalt een DNAT-regel het openbare WAN-adres naar de interne mailserver. Beperk Original Source zo sterk als het mailontwerp toelaat; Original Destination is het bedoelde openbare adres; Translated Destination is 10.20.30.25 of de werkelijke mailserver. Original service en translated service blijven beperkt tot de daadwerkelijk aangeboden SMTP-poorten.

Een reflexive regel maakt bovendien SNAT aan voor de omgekeerde richting. Selecteer deze alleen als precies deze openbare bronidentiteit voor het uitgaande pad is bedoeld. Meerdere WAN-links, smarthosts of afwijkende providerroutes vereisen een eigen routing- en SNAT-ontwerp. De algemene volgorde en de bestemmingszone na NAT staan in Een server met DNAT publiceren.

Twee nauw begrensde firewallregels gebruiken

Selecteer voor een nieuwe regel onder Rules and policies > Firewall rules de werkelijke protocolfamilie IPv4 of IPv6 en open Add firewall rule > New firewall rule. Geef de naam en vereiste velden op en sla op met Save. Gebruik de IPv4-voorbeeldadressen uit dit artikel niet in een IPv6-regel.

⚠️ De beschrijvingen van Destination networks spreken elkaar tegen: het Legacy-mailvoorbeeld noemt de interne mailserver, terwijl de algemene DNAT-workflow de firewallmatch op de oorspronkelijke publieke bestemming baseert. Deze handleiding lost het specifieke proxygeval niet door gokken op. Documenteer de reeds bewezen inkomende regelmatch en behoud die voor de pilot. Leid uit geen van beide toewijzingen een nieuwe productieregel af en wijzig de bestemming niet op basis van vermoedens. Verduidelijk een nieuw pad vóór goedkeuring met Sophos Support of geschikte gecontroleerde verificatie en onderbouw het met Rule ID, DNAT-hit en captures vóór en na vertaling. De uitgaande SNAT-variant lost dit conflict niet op.

Voor validatie zijn afzonderlijke regels duidelijker dan één bidirectionele regel met meerdere zones en Any-objecten:

Inkomend: WAN naar de zone van de interne mailserver, SMTP-eindpunt 10.20.30.25, alleen vereiste SMTP-services, logging ingeschakeld. Dit eindpunt schrijft geen waarde voor het onopgeloste veld Destination networks voor.
Uitgaand: zone en host van de interne mailserver naar WAN of de concrete smarthost, alleen vereiste SMTP-services, logging ingeschakeld

Activeer onder Scan email content in beide benodigde richtingen Scan SMTP en alleen bij werkelijk SMTPS-gebruik Scan SMTPS. Ontbreekt de standaardpoort van het gekozen protocol onder Services, dan biedt SFOS Add ports aan. Definieer bij een afwijkende poort bewust de passende service. Service, NAT, serverlistener en scanoptie moeten hetzelfde poortpad beschrijven; Add ports vervangt deze controle niet.

Plaats de regels boven algemenere regels die hetzelfde verkeer al matchen. Na het opslaan is de gelogde Firewall Rule ID doorslaggevend. Regelstructuur, NAT-zone en volgorde worden behandeld in Sophos Firewall-regels veilig configureren.

Optioneel: een ander openbaar bronadres voor uitgaand verkeer gebruiken

Deze configuratie geldt voor doorgestuurd SMTP-verkeer van de interne server, niet voor door het systeem gegenereerde MTA-berichten. Ze is nuttig als een andere toegewezen openbare identiteit nodig is dan het WAN-MASQ-adres. Providertoewijzing, routing, SPF, RDNS en providerautorisatie moeten bij die identiteit passen; SNAT verandert deze voorwaarden niet.

Selecteer onder Network > Interfaces > Add interface > Add alias de werkelijke fysieke WAN-interface, IP version IPv4 en het toegewezen adres met het passende IPv4/Netmask; Save. Providerpad, Device Access en aliascontroles staan in Een alias-IP configureren.
Maak onder Hosts and services > IP host > Add een benoemde host voor hetzelfde openbare adres: IP family IPv4, Type IP, IP address het toegewezen adres; Save. Alleen een hostobject bindt geen adres aan de interface.
Beperk onder Rules and policies > NAT rules > New NAT rule Original source tot de werkelijke interne mailserver en stel Translated source (SNAT) in op de openbare IP-host. Beperk Original destination tot vereiste mailbestemmingen of de smarthost en Original service tot vereiste SMTP-services. Translated destination (DNAT) en Translated service (PAT) blijven Original. Inbound interface en Outbound interface moeten overeenkomen met het werkelijke server-WAN-pad. Sla op met Save en plaats boven andere SNAT-regels die ook matchen; controleer NAT- en firewallvolgorde afzonderlijk. NAT-basisprincipes legt de eerste match uit. Any, Top, Port1 en Port2 in voorbeelden zijn geen verplichte waarden.
Maak onder Rules and policies > Firewall rules > Add firewall rule > New firewall rule een passende uitgaande IPv4-regel of controleer de bestaande beperkte regel: Action Accept, werkelijke serverzone en serverhost als bron, WAN en vereiste bestemmingen, alleen vereiste SMTP-services, Log firewall traffic ingeschakeld. Selecteer Scan SMTP en indien nodig Scan SMTPS zoals hierboven; Save en controleer de firewallvolgorde onafhankelijk van NAT.
Maak een nieuwe SMTP-verbinding naar een gecontroleerde externe ontvanger. Controleer samen Firewall Rule ID, NAT Rule ID, vertaald bron-IP in een capture of bij de externe ontvanger en daadwerkelijke bezorging. Een bestaande sessie of SMTP-poorttest volstaat niet. Test ook negatief met een bron buiten het bereik of een niet-toegestane service.

Herstel voor de terugkeer eerst de gedocumenteerde regels en hun volgorde, en controleer daarna het eerdere bron-IP en de bezorging met een nieuwe verbinding. Verwijder alias en IP-host alleen als geen andere service ervan afhankelijk is.

Mailflow en proxyscan valideren

In de uitgaande firewallregel bepaalt During scheduled time wanneer die regel geldt. Kies bewust All the time voor een permanent beschikbare mailserver. Een beperkt schema kan de regelmatch buiten dat venster veranderen; controleer daar ook Rule ID en mailflow. Dit is geen schema voor de SNAT-regel. De bij activering van MTA automatisch gemaakte firewallregel hoort bij een andere mailflow en vervangt deze Legacy-serverregel niet; gebruik daarvoor het MTA-runbook.

Stuur eerst een klein extern bericht naar een testmailbox. Laat daarna de interne mailserver een tweede bericht naar een gecontroleerde externe ontvanger sturen. Geef beide tests unieke onderwerpen en UTC-tijdstempels.

Voor STARTTLS op poort 25 en een directe TLS-verbinding op poort 465 helpen vanaf een geautoriseerd testsysteem bijvoorbeeld de volgende alleen-lezen controles:

openssl s_client -starttls smtp -connect mail.example.net:25 -servername mail.example.net
openssl s_client -connect mail.example.net:465 -servername mail.example.net

Vervang mail.example.net door de werkelijke FQDN en test alleen poorten die daadwerkelijk worden aangeboden. Deze OpenSSL-opdrachten tonen de aangeboden certificaatketen en de onderhandelde TLS-parameters; controleer eventuele fouten bij de certificaatverificatie. Ze verifiëren de verwachte hostnaam niet expliciet en kunnen ondanks verificatiefouten doorgaan, dus een verbinding is geen bewijs van geslaagde certificaatauthenticatie. Ze bewijzen noch succesvolle mailbezorging, noch malware-, spam- of Data Control-scanning.

In Log Viewer moeten bron, bestemming, service, actie en Firewall Rule ID met de nieuwe regels overeenkomen. Correleer voor de Legacy SMTP/S-proxy awarrensmtp.log en awarrenmta.log met hetzelfde tijdstip. De logbestanden worden uitgelegd in Sophos Firewall-services en -logs.

Voer daarna afzonderlijke negatieve tests uit voor het bereik van de firewallregel en de overeenkomst met het berichtenbeleid. Een bron of service buiten het pilotbereik mag niet overeenkomen met de firewallregel van de pilot en moet de gedocumenteerde uitkomst voor toestaan of blokkeren volgen; een andere geautoriseerde regel kan nog steeds bescherming bieden. Een testbericht zonder het criterium van het pilotbeleid mag niet overeenkomen met dat beleid en mag de specifieke actie ervan niet krijgen, terwijl alle toepasselijke standaardscans of andere scans behouden blijven. Leg voor elk geval de verwachte Firewall Rule ID, het verwachte beleid en de verwachte bezorgingsuitkomst vast en vergelijk deze met het waargenomen resultaat. Gebruik geen echte malware bij productietests; gebruik gevestigde onschadelijke testpatronen en een gecontroleerde mailbox voor de scanvalidatie.

Fouten per symptoom afbakenen

SMTP werkt, maar het beleid wordt niet toegepast

Controleer eerst de Firewall Rule ID. Als een andere regel matcht, corrigeer dan volgorde, bron, bestemming, NAT-doel en service. Als de verwachte regel matcht, moeten Scan SMTP of Scan SMTPS, de beleidsvolgorde en de afzender- en ontvangergroepen bij de test passen. Een beleid alleen activeert de transparante proxy niet.

Inkomende mail bereikt de server niet

Controleer het openbare bestemmingsadres, de DNAT-hit, translated destination, bestemmingszone, serverlistener en retourpad afzonderlijk. Een open TCP-verbinding tot de firewall bewijst niet dat DNAT en de firewallregel de interne server bereiken. Packet Capture en Rule ID moeten ingang en forwarding tonen.

Uitgaande mail gebruikt het verkeerde openbare IP-adres

Controleer SNAT, de reflexive regel, WAN-gateway, SD-WAN-route en het gedrag van reply packets. De Legacy-proxy kiest niet automatisch het openbare bronadres dat nodig is voor SPF, RDNS of providertoestemming. Bewijs het concrete pad vóór een globale wijziging van Route Precedence.

TLS mislukt nadat scanning is geactiveerd

Leg FQDN, bestemmings-IP, certificaat, uitgever, keten en onderhandelde versie vast. Bij meerdere domeinen op één IP-adres kan de gedocumenteerde IP-gebaseerde certificaatcontrole de oorzaak zijn. Allow invalid certificate wordt niet als snelle oplossing geactiveerd.

Een bericht ontbreekt en in MTA mail spool staat niets

Dit is geen bruikbaar succescriterium in Legacy mode, omdat mail spool en MTA-specifieke mail logs bij MTA mode horen. De relevante keten bestaat hier uit de firewallregel, NAT, SMTP-serverlogs, Log Viewer, awarrensmtp.log en awarrenmta.log. Controleer berichten in quarantaine afzonderlijk onder Email > SMTP quarantine.

Veilig terugrollen

Herstel voor de rollback eerst de pilotregels en scanopties naar de gedocumenteerde vorige toestand. Verwijder daarna nieuwe beleidstoewijzingen of herstel de volgorde. Verwijder tijdelijke DNAT-, SNAT- of certificaatwijzigingen alleen als geen andere service ervan afhankelijk is.

Herstel pas daarna de SMTP Deployment Mode als de wijziging deze omschakeling omvatte. De oorspronkelijke inkomende en uitgaande mailflow moet weer werken met de verwachte Rule IDs, openbare adressen en serverlogs. Verwijder berichten, quarantaine-inhoud of proxylogs niet als standaardrollback.

Operationele checklist

Transparante proxywerking is bewust gekozen en MTA-vereisten zijn uitgesloten.
Backup, beheerstoegang en oorspronkelijke Rule IDs zijn gedocumenteerd.
SMTP hostname, de SMTP- en POP/IMAP-groottelimieten, oversize-actie, IP Reputation en DoS-limieten zijn onderbouwd.
Gebruikte standaard- of alternatieve poorten en POP/IMAP recipient headers passen bij het werkelijke serverpad.
De primaire antivirusengine en het effect op Zero-day Protection in Single antivirus-beleid zijn gecontroleerd.
Certificaat, TLS-uitzonderingen en betrokken domeinen zijn gecontroleerd.
DNAT, SNAT, bestemmingszone en werkelijke serverpoorten komen overeen.
Inkomende en uitgaande firewallregels zijn nauw, gelogd en aantoonbaar gematcht.
Standaard- en eigen beleid hebben een traceerbare volgorde.
Optionele journaling is beperkt tot de vereiste ontvangers en heeft een gedocumenteerd doel voor gegevensbescherming en bewaring.
Positieve, negatieve, TLS- en bezorgtests zijn geslaagd.
Legacy-proxylogs en mailserverlogs kunnen in de tijd worden gecorreleerd.
Eigenaar, controledatum en volledig terugvalpad zijn vastgelegd.

FAQ

Is Legacy mode eenvoudiger en daarom beter dan MTA mode?

Niet in het algemeen. Legacy mode beveiligt een bestaand SMTP-pad als transparante proxy. MTA mode neemt zelf berichten aan, routeert ze per beschermd domein en biedt mail logs en mail spool. De juiste keuze hangt af van de gewenste mailflow.

Is een SMTP malware- of spambeleid voldoende voor scanning?

Nee. De firewallregel die daadwerkelijk matcht, moet onder Scan email content het gebruikte SMTP-protocol activeren. Beleid, service, NAT en regelmatch moeten allemaal overeenkomen.

Waarom vind ik het bericht in Legacy mode niet in mail spool?

Omdat mail spool en MTA-specifieke mail logs bij MTA mode horen. Controleer in Legacy mode het firewall- en NAT-pad, mailserverlogs, Log Viewer, awarrensmtp.log en awarrenmta.log.