SPX-e-mailversleuteling op Sophos Firewall configureren

Met Secure PDF Exchange, kortweg SPX, zet Sophos Firewall een uitgaande e-mail met bijlagen om in een met een wachtwoord beveiligd PDF-bestand. De ontvanger heeft geen eigen versleutelingsclient nodig. Afhankelijk van het gekozen wachtwoordmodel ontvangt de ontvanger een eenmalig wachtwoord, gebruikt die een opgeslagen wachtwoord of registreert die zelf een wachtwoord.

Voor een betrouwbare werking moeten vier onderdelen op elkaar aansluiten: een SPX-template, een eenduidige trigger, een veilig wachtwoordkanaal en indien nodig het SPX Reply Portal. Daarna worden een positieve en een negatieve e-mailstroom getest. Alleen de levering van een PDF bewijst niet dat de juiste policy is geactiveerd of dat wachtwoordregistratie en veilig antwoorden werken.

SPX in acht stappen

1. Controleer de Email Protection-licentie, MTA-e-mailstroom, modelondersteuning, het portalcertificaat en het afzonderlijke SMTP TLS-pad.
2. Bepaal of een beschermd domein, een Data Control-match of de afzender de versleuteling activeert.
3. Maak onder Email > Encryption > SPX templates > Add een eigen template.
4. Kies bewust het wachtwoordtype, de PDF-versleuteling, de melding en het Reply Portal.
5. Beveilig onder Email > Encryption > SPX portal settings de FQDN, toegestane netwerken en poort.
6. Configureer in MTA mode de SMTP route and scan-policy en wijs het template toe; een Default SPX template vervangt deze policy niet.
7. Test met een externe ontvanger de PDF, het wachtwoordkanaal, de registratie en het antwoord.
8. Voer een negatieve test zonder SPX-trigger uit en documenteer Mail logs, MTA-logs en de rollback.

⚠️ Een leeg veld Allowed networks bij het SPX Portal betekent niet „geen toegang”, maar valt terug op Any. Sophos adviseert bovendien een eigen poort voor het Reply Portal. Daarom moeten de portal-FQDN, het certificaat, de toegestane bronnen en het wachtwoordkanaal vóór de productietest vaststaan.

Wanneer SPX past

SPX is geschikt wanneer externe ontvangers vertrouwelijke inhoud als beveiligde PDF moeten ontvangen zonder een versleutelingsclient te installeren. Het kan in zowel MTA mode als Legacy mode worden gebruikt. Deze procedure gebruikt MTA mode, omdat domein, Data Control en routing dan overzichtelijk in de SMTP-policy kunnen worden gekoppeld. Mail Protection in Legacy mode configureren legt het transparante alternatief uit.

SPX is geen transportversleuteling tussen mailservers en ook geen end-to-endversleuteling tussen twee e-mailclients. De firewall verwerkt de platte tekst, maakt de PDF en beheert het wachtwoord of de registratie. De PDF kan vervolgens buiten de firewall blijven bestaan in mailboxen, archieven of downloads. De groep ontvangers, bewaartermijn en wachtwoordoverdracht maken daarom deel uit van het beveiligingsontwerp.

SMTP-transportversleuteling wordt afzonderlijk geregeld onder Email > General settings > SMTP TLS configuration. Require TLS negotiation dwingt TLS af voor geselecteerde externe hosts of netwerken; als SFOS de TLS-verbinding niet kan opbouwen, verwijdert het de e-mail voor die bestemming. Skip TLS negotiation dwingt daarentegen een onversleutelde SMTP-verbinding af. Het daar gekozen TLS certificate beschermt het SMTP-pad en is niet het certificaat van de SPX-portals. Plan SPX en SMTP TLS daarom afzonderlijk en valideer beide vervolgens in de externe e-mailstroom.

Vereisten zijn:

• een geldige Email Protection-licentie;
• een al geteste uitgaande e-mailstroom via Sophos Firewall;
• een gedocumenteerde externe testontvanger;
• een vertrouwde FQDN en een passend certificaat voor de gebruikte SPX-portals;
• een afzonderlijk veilig kanaal voor wachtwoorden als de ontvanger ze niet registreert;
• een herstelpad waarmee template- en policytoewijzingen weer kunnen worden verwijderd.

Volgens de actuele Sophos-help is SPX niet beschikbaar op XGS 87/87w. De volledige MTA mode is daarnaast niet beschikbaar op XGS 88/88w. Mail Protection in MTA mode configureren legt e-mailstroom, licentie, relay en modelgrenzen uit.

Trigger en prioriteit bepalen

SPX kan op drie manieren worden geactiveerd. Als meerdere methoden zijn geconfigureerd, past Sophos Firewall in MTA mode deze volgorde toe:

1. Beschermd domein: Het onder Domains and routing target gekozen SPX-template geldt voor uitgaande berichten van het overeenkomende beschermde domein.
2. Data control list: Alleen als op domeinniveau geen SPX-template is ingesteld, kan een Data Control-match het voor de lijst gekozen template toepassen.
3. Afzendertrigger: Pas als domein noch Data Control een template levert, wordt de onder Default SPX template geconfigureerde afzendermethode toegepast.

Een domeintoewijzing is breed en past alleen als werkelijk elk overeenkomend uitgaand bericht moet worden versleuteld. Data Control is geschikt voor gedefinieerde inhoudstypen, maar moet met echte positieve en negatieve voorbeelden op false positives worden getest. De afzendertrigger laat de beslissing aan de afzender, maar vereist een duidelijk gedocumenteerd proces voor de e-mailclient.

Vóór de configuratie wordt per e-mailstroom precies één primaire trigger vastgelegd. Een tweede methode mag niet ongemerkt een andere overschrijven.

SPX-template maken

Het voorbeeld gebruikt het template Finance-SPX-Recipient. De naam is een documentatiewaarde en wordt aangepast aan het doel en de organisatie.

Voor verschillende klantdomeinen kunnen aparte templates met passende teksten en bedrijfslogo’s worden gebruikt. Het gaat niet alleen om de vormgeving: de instructies voor ontvangers moeten passen bij het wachtwoordmodel en het daadwerkelijk toegewezen domein.

1. Open Email > Encryption > SPX templates.
2. Kies Add.
3. Voer bijvoorbeeld Finance-SPX-Recipient als naam in. SFOS staat geen apostroffen, schuine strepen, komma’s, backslashes of aanhalingstekens in de naam toe.
4. Stel de organisatienaam voor de meldingen in.
5. Kies Encryption standard en PDF page size volgens de eigen vereisten.
6. Selecteer onder Password type het geplande wachtwoordmodel.
7. Controleer onderwerp, berichttekst en instructies voor de ontvanger en pas ze zo nodig aan.
8. Schakel voor deze MTA-procedure Enable SPX reply portal in, zoals de templatehelp vereist. Beveilig vóór de test de portaltoegang zoals hieronder beschreven.
9. Schakel Include original body into reply alleen in als het oorspronkelijke bericht in het antwoord mag staan.
10. Sla het template op.

Wachtwoordmodel bewust kiezen

Sophos Firewall biedt vier modellen:

• Specified by sender: De afzender stelt het wachtwoord in. De firewall verwijdert het vóór de verzending en slaat het niet op. Het wachtwoord moet via een afzonderlijk veilig kanaal bij de ontvanger komen.
• Generate one-time password for every email: De firewall genereert voor elk bericht een nieuw wachtwoord en stuurt dit naar de afzender. Die geeft het afzonderlijk aan de ontvanger door. Het wachtwoord wordt niet opgeslagen.
• Generated and stored for recipient: De firewall genereert een ontvangerspecifiek wachtwoord, stuurt dit naar de afzender en gebruikt het opnieuw tot het verloopt.
• Specified by recipient: Een nog niet geregistreerde ontvanger krijgt een registratielink, stelt zelf een wachtwoord in en gebruikt dit tot het verloopt voor volgende SPX-berichten van de organisatie.

Bij Specified by recipient geldt: het eerste versleutelde bericht wordt pas na de wachtwoordregistratie verzonden; de ontvangst van de registratielink betekent dus nog niet dat de SPX-PDF is afgeleverd.

Voor een terugkerende partnerrelatie is Specified by recipient vaak het duidelijkste proces. Voor één bijzonder gevoelige verzending kan een eenmalig wachtwoord beter passen. Verschillende opgeslagen wachtwoordmodellen voor dezelfde ontvanger mogen niet ongepland worden gemengd, omdat de ontvanger anders per bericht het bijbehorende wachtwoord moet herkennen.

Bij Specified by sender wordt het wachtwoord in het onderwerp ingevoerd volgens het patroon [secure:<password>]<subject text>. De afzender moet het wachtwoord daarna afzonderlijk doorgeven. Voor Microsoft Outlook biedt Sophos onder Authentication > Client downloads een Outlook Add-in aan.

Kies na het controleren van de installatie in Outlook Encrypt voor het te versleutelen bericht. Alleen de add-in installeren activeert de versleuteling nog niet.

Outlook Add-in gecontroleerd installeren

Gebruikers zonder WebAdmin-toegang openen in het User Portal Download client en kiezen Download Sophos Outlook Add-in. Het gedownloade archief wordt uitgepakt in een tijdelijke map; voor de interactieve installatie start men daar setup.exe. De beheerdersdownload onder Authentication > Client downloads is een afzonderlijke toegangsroute.

Controleer de MSI-bestandsnaam vóór de uitrol: De User Portal-help voor SFOS 22 en 23 noemt SophosOutlookAddInSetup.msi; de SPX-installatiebeschrijving noemt daarentegen SophosOutlookAddInSetupUTM.msi, zoals in het bestaande voorbeeld hieronder. Er is niet bevestigd dat deze namen onderling uitwisselbaar zijn. Controleer de daadwerkelijke MSI-bestandsnaam in het uitgepakte pakket. Het volgende voorbeeld geldt alleen als het bestand daadwerkelijk SophosOutlookAddInSetupUTM.msi heet. Bij een pakket met SophosOutlookAddInSetup.msi wordt precies die aanwezige naam als argument van /i gebruikt; de gedocumenteerde opties /qr /i en T=1 EC=3 C=1 I=1 blijven ongewijzigd. Als de verwachte MSI ontbreekt of niet eenduidig vaststaat om welk pakket het gaat, wordt de uitrol gestopt en wordt eerst duidelijkheid over het pakket verkregen, in plaats van een bestand te hernoemen of ondersteuning voor moderne platforms aan te nemen.

Start voor een interactieve installatie setup.exe uit het pakket dat van de actieve firewall is gedownload. Sophos documenteert deze opdracht voor een installatie zonder gebruikersinteractie:

msiexec /qr /i SophosOutlookAddInSetupUTM.msi T=1 EC=3 C=1 I=1

De openbare compatibiliteitslijst is opvallend oud: De SFOS-help documenteert voor de installatie zonder gebruikersinteractie van de SPX Outlook Add-in de volgende historische vereisten: Windows XP, Windows Vista, Windows 7 of Windows 8, elk in zowel een 32-bits- als een 64-bits-uitvoering; Microsoft Outlook 2007 SP3, 2010 of 2013, eveneens elk in zowel een 32-bits- als een 64-bits-uitvoering; Microsoft .NET Framework 4 Client Profile en Microsoft Visual Studio 2010 Tools for Office Runtime 4.0. Hieruit kan geen ondersteuning voor actuele Microsoft 365 Apps of moderne Windows-versies worden afgeleid. Vóór een brede uitrol worden daarom op een pilotapparaat het daadwerkelijk gedownloade pakket, de Windows- en Outlook-versies inclusief bitness, een positieve en een negatieve SPX-trigger en de verwijdering gecontroleerd. De niet toegelichte MSI-parameters worden niet op goed geluk gewijzigd.

De actuele Sophos-help gebruikt voor andere e-mailclients twee verschillende schrijfwijzen van de header: X-Sophos-SPXEncrypt: yes op de templatepagina en X-Sophos-SPX-Encrypt: yes op de algemene Encryption-pagina. Deze afwijking wordt niet als copy-pasterecept behandeld. Vóór een productieve clientuitrol moet worden gecontroleerd welke schrijfwijze op de gebruikte SFOS-build werkt. Waar mogelijk zijn een policy, Data Control of de Sophos Outlook Add-in beter traceerbare triggers.

Melding ontwerpen zonder een nieuw datalek te veroorzaken

Voor meldingen zijn onder andere deze variabelen beschikbaar:

• %ENVELOPE_TO%: ontvanger van het wachtwoord.
• %PASSWORD%: wachtwoord voor het openen van de SPX-PDF.
• %ORGANIZATION_NAME%: organisatienaam die in het template is ingevoerd.
• %SENDER%: afzender van de e-mail.
• %REG_LINK%: link voor wachtwoordregistratie.

Eenvoudige HTML-opmaak en links worden ondersteund. De tekst moet uitleggen van wie het bericht afkomstig is, hoe het wachtwoord veilig wordt verkregen en hoelang registratie of antwoorden mogelijk zijn. Inloggegevens of vertrouwelijke e-mailinhoud horen niet extra in een onbeveiligde melding.

Reset herstelt de standaardmelding. Bewaar aangepaste teksten vooraf; controleer na het resetten opnieuw onderwerp, berichttekst en instructies voor ontvangers.

Geldigheidsperioden en foutmeldingen instellen

Stel de perioden en ontvangers van foutmeldingen in onder Email > Encryption > SPX configuration, niet onder SPX portal settings:

• Keep unused password for: Geldigheid van een opgeslagen wachtwoord als geen SPX-bericht naar die ontvanger wordt gestuurd. Bij drie dagen verloopt het wachtwoord volgens de help bijvoorbeeld om middernacht aan het einde van de derde dag. Dit is een inactiviteitsperiode, geen algemene levensduur voor elke PDF.
• Allow secure reply for: Aantal dagen waarin de ontvanger via het SPX Reply Portal kan antwoorden; deze instelling hoort bij de MTA-procedure.
• Allow password registration for: Periode waarna de registratielink verloopt. Deze staat los van de periode voor opgeslagen wachtwoorden.
• Send error notification to: Verantwoordelijke ontvangers van SPX-foutmeldingen. Foutmeldingen staan ook in het SMTP-log.

Kies perioden op basis van de antwoordbehoefte en het beveiligingsbeleid van de organisatie. Test in de pilot registratie, wachtwoordinactiviteit en antwoordtermijn afzonderlijk. Verloop op de firewall bewijst niet dat een al afgeleverde PDF is verwijderd of niet meer kan worden geopend.

SPX-portals beveiligen

Onder Email > Encryption > SPX portal settings worden wachtwoordregistratie en portaltoegang vastgelegd:

1. Voer onder Hostname de FQDN in waarmee externe ontvangers het portal daadwerkelijk bereiken.
2. Stel bij Allowed networks alleen de benodigde bronnetwerken in. Any is alleen passend als willekeurige externe ontvangers het portal moeten bereiken en het risico bewust wordt aanvaard.
3. Documenteer de poort. Het Password Registration Portal gebruikt standaard TCP 8094.
4. Gebruik een eigen poort voor het SPX Reply Portal.

Als Allowed networks leeg blijft, gebruikt SFOS Any, omdat het SPX Reply Portal standaard in de WAN-zone actief is. Als het Reply Portal niet nodig is, documenteert Sophos als uitschakelmethode één ongebruikt vertrouwd privéadres, bijvoorbeeld 169.254.0.1, als enig toegestaan netwerk. Deze documentatiewaarde mag niet overeenkomen met een adres dat in productie wordt gebruikt.

CAPTCHA is altijd actief op het SPX Portal en kan niet worden uitgeschakeld. CAPTCHA op Sophos Firewall bewust beheren legt de grenzen van CAPTCHA-instellingen voor andere portals uit.

WebAdmin, User Portal, VPN Portal, Captive Portal en beide SPX-portals gebruiken dezelfde centrale certificaatselectie. Een wijziging kan daarom meerdere diensten tegelijk raken. Plan certificaat, SAN’s, herstelpad en echte portal-URL met Certificaten op Sophos Firewall beheren. Voor een openbare naam kan een Let’s Encrypt-certificaat op Sophos Firewall geschikt zijn.

De certificaatselectie staat onder Administration > Admin and user settings > Admin console and end-user interaction > Certificate. De certificaatidentiteit in SAN of CN moet overeenkomen met de onder Hostname ingevoerde portal-FQDN en de volledige CA-keten moet op de firewall aanwezig zijn. Behandel een certificaatwissel daarom niet als alleen een SPX-wijziging: controleer daarna ook WebAdmin en de andere portals.

Template met de SMTP-policy verbinden

Voor MTA mode wordt het SPX-template in de bijbehorende SMTP route and scan-policy onder Email > Policies and exceptions geselecteerd.

Een domein als trigger gebruiken

Onder Domains and routing target wordt het template aan het beschermde domein toegewezen. Daarna geldt het voor overeenkomende uitgaande berichten. Een brede domeintoewijzing wordt eerst met één pilotafzender en één externe testontvanger getest.

Data Control als trigger gebruiken

Een Data Control List is geen vrij geformuleerde inhoudsregel. De lijst wordt opgebouwd uit Sophos Content Control Lists, afgekort CCL’s, voor gedefinieerde gegevenspatronen. Filter bij het toevoegen de CCL’s op Type en Region. Neem voor de pilot alleen de werkelijk benodigde patronen op, zodat een te brede selectie SPX-verzending niet onnodig activeert.

1. Maak onder Email > Data control list een duidelijk benoemde lijst of controleer de bestaande lijst.
2. Schakel in de SMTP route and scan-policy Data protection in en selecteer precies die lijst onder Data control list.
3. Stel Data control list action in op Accept with SPX en selecteer het geplande SPX template. Accept levert zonder SPX af; Drop verwijdert het bericht zonder de afzender te informeren.
4. Voer één positieve inhoudstest en één vergelijkbare negatieve test uit.

Als onder Domains and routing target al een SPX-template is ingesteld, heeft dit voorrang op het Data Control-template. Een match van de Data Control List bewijst bovendien alleen de geconfigureerde inhoudsmatch. In de echte e-mailstroom moet worden gecontroleerd of het juiste bericht is versleuteld.

Een afzendertrigger gebruiken

Selecteer onder Email > Encryption > SPX configuration een Default SPX template. Dit geldt alleen voor door de afzender geactiveerde SPX-versleuteling als de SMTP-policy niet al op domein- of Data Control-niveau een template levert. None schakelt dit standaardpad uit.

Voor MTA mode vereist de help uitdrukkelijk een geconfigureerde SMTP route and scan-policy en templateselectie onder Domains and routing target of Data control list. De help noemt example.com als dummy-domein als geen beschermd domein moet worden opgegeven. Dit is een documentatievoorbeeld, geen productief maildomein of algemene toestemming voor relay of routing. Ook in dit bijzondere geval moeten de policytoewijzing en beide testgevallen kloppen. De algemene beschrijving van het standaardtemplate bewijst niet dat MTA zonder SMTP-policy kan werken. None schakelt alleen het standaardpad uit, niet een SPX-toewijzing in een policy.

SPX via de XML API automatiseren

Bij terugkerende wijzigingen worden eerst de e-mailmodus, bestaande templates en hun policy- of standaardtoewijzingen geïnventariseerd. De XML-referenties voor SFOS 22 en 23 maken onderscheid tussen Legacy- en MTA-objecten; gelijke veldnamen maken hun payloads niet onderling uitwisselbaar. De volgende gegevens lichten het gedocumenteerde contract toe, maar vormen geen uitvoerbaar schrijfrequest en geen bewijs van een labtest. Het toestaan van bronnen, een serviceaccount met minimale rechten, TLS-validatie, een expliciete operatie, een back-up en de beoordeling van XML-status in plaats van HTTP-status worden beschreven onder Toegang tot de XML API veilig beperken en antwoorden controleren. Bevestig vóór het schrijven het volledige objectcontract in API help van de geïnstalleerde build; onopgeloste tegenstrijdigheden worden niet met een gegokte payload overbrugd.

Globale configuratie: Legacy en MTA gescheiden houden

Legacy: Het gedocumenteerde voorbeeld nest SPXConfiguration tweemaal: een buitenste SPXConfiguration, met daarin nogmaals SPXConfiguration. Het binnenste element bevat SPXGlobalTemplate met DefaultSPXTemplate; daarnaast staan HostName, AllowedNetworks met herhaalbare Network-vermeldingen, Port, KeepUnusedPassFor, AllowPassRegistrationFor en SendNotifcationErrorTo. Verwijder het dubbele niveau niet als vermeende typefout en gebruik het voorbeeld niet als algemeen MTA-schema.

MTA: Het afzonderlijke object heet MTASPXConfiguration. Het bijbehorende voorbeeld bevat direct SPXGlobalTemplate met DefaultSPXTemplate, evenals hostnaam, poort, wachtwoordtermijnen en foutmelding, zonder de dubbele Legacy-nesting. Voor beide contracten vermeldt de parametertabel Network, DefaultSPXTemplate en HostName als optionele stringarrays; dit bevestigt geen willekeurig geconstrueerde arraystructuur. De portal-FQDN en toegestane bronnen worden afgestemd op de hierboven beschreven portal- en certificaatcontroles. De MTA-voorbeeldwaarde None bij HostName bewijst geen veilige uitgeschakelde toestand.

De verplichte parameters zijn KeepUnusedPassFor (aantal dagen, gedocumenteerd als string, standaard 30), AllowPassRegistrationFor (aantal dagen als integer, standaard 10), Port (integer, standaard 8094, bereik 1025 tot 65535) en SendNotifcationErrorTo. De schrijfwijze SendNotifcationErrorTo blijft ondanks de ontbrekende letter ongewijzigd. De toegestane tokens zijn SenderOnly en Nobody; het Legacy-voorbeeld en de weergave van de standaardwaarde noemen daarentegen Sender Only. Normaliseer deze afwijking niet stilzwijgend en leid geen van beide waarden uitsluitend uit de weergave af als geteste XML-waarde. Stop de schrijftaak als het contract voor de gebruikte build niet is opgehelderd.

Alleen de MTA-tabel vermeldt daarnaast AllowSecureReplyfor als verplicht veld voor de antwoordtermijn (aantal dagen als string, standaard 30). Juist dit veld ontbreekt in het MTA-voorbeeld. Het voorbeeld is daarom geen volledig bewijs voor een productiegeschikt request; laat de antwoordtermijn niet ongecontroleerd weg en verzin geen schrijfwijze met andere hoofdletters of kleine letters. Het globale template, wachtwoordinactiviteit, registratie en antwoordtermijn blijven afzonderlijke beslissingen; geen daarvan vervangt de SMTP-policytoewijzing.

Voor Update SPX Configuration in het Legacy-contract zijn de volgende XML-statustoewijzingen gedocumenteerd:

Het MTA-contract voor dezelfde operatie noemt daarentegen 200 met Operation Successful. en 500 met Operation Fail.. Presenteer de Legacy-code 541 niet als een daar gedocumenteerd MTA-antwoord. Controleer bij de Legacy-toewijzing 541 eerst het daadwerkelijke poortgebruik en de opgeslagen portalpoort, in plaats van de taak ongewijzigd te herhalen of SMTP TLS te wijzigen.

Templates: identiteit, waarden en meldingen beschermen

Voor Legacy is SPXTemplates gedocumenteerd, voor MTA MTASPXTemplates. Name is de vereiste unieke template-identiteit met maximaal 255 tekens en wordt vóór een update of verwijdering exact vergeleken met het bestaande object. Description en OrganizationName zijn optionele strings; voor OrganizationName geldt eveneens een maximum van 255. Een nieuwe beschrijving is geen reden om blind een object met dezelfde naam opnieuw aan te maken.

Beide contracten vereisen PDFEncryption, PageSize en PasswordType. De exacte keuzewaarden zijn:

• PDFEncryption: AES/128 of AES/256.
• PageSize: A/4, Letter of Legal. De weergegeven standaardwaarde A4 is niet het gedocumenteerde keuzetoken A/4.
• PasswordType: SpecifiedBySender, GeneratedOneTimePasswordForEveryEmail, GeneratedAndStoredForRecipient of SpecifiedByRecipient. De weergegeven standaardwaarde Specified by sender is geen aanbeveling voor een XML-token.

NotificationSubject, NotificationBody en InstructionsForRecipient zijn optionele strings. Volgens het contract zijn de twee meldingsvelden alleen van toepassing op de wachtwoordmodellen met gegenereerde of door de ontvanger geregistreerde wachtwoorden, niet op SpecifiedBySender. Alleen het MTA-template voegt SPXReplyPortal en IncludeOriginalBodyIntoReply toe: beide optioneel, standaard Disabled, toegestane waarden Disabled of Enable. Het voorbeeld Enable/Disabled is een keuzenotatie, geen afzonderlijke waarde die moet worden verzonden. Verwar de verplichting om het Reply Portal te gebruiken in de hierboven beschreven MTA-GUI-procedure niet met het optionele API-veld en de bijbehorende standaardwaarde.

Meldingsteksten worden gelokaliseerd, maar technische placeholders blijven ongewijzigd. De API-voorbeelden tonen daarnaast %CURRENT_RECIPIENT% en in het onderwerp %%ENVELOPE_TO%% of %%ORGANIZATION_NAME%%; herschrijf deze niet automatisch naar de hierboven vermelde variabelen met enkele procenttekens. Maak vóór een wijziging een back-up van het daadwerkelijk opgeslagen template en controleer de variabeleresolutie met een nieuw testbericht. Standaard-HTML, historische PDF-readerinstructies en voorbeeldwachtwoorden uit de referentie zijn geen verplicht sjabloon voor eigen meldingen. HTML, aanhalingstekens en regeleinden moeten gecontroleerd worden geserialiseerd en na het opslaan worden gecontroleerd. Neem ook het in het MTA-voorbeeld zichtbare |n niet zonder buildspecifieke bevestiging over als universele escapemethode.

Voor Legacy- en MTA-templates komen de gedocumenteerde toewijzingen overeen:

De Message.*-identificatoren blijven niet-opgeloste meldingssleutels uit de referentie, geen aangetoonde runtime-teksten. Controleer bij 502 de exacte identiteit en de bestaande inhoud; schakel niet automatisch van Add naar Update over. Onderzoek bij Update-541 de daadwerkelijke Spam-/Data Control- en SPX-toewijzingen, zonder uit het symbool een universeel conflictmechanisme af te leiden. Breng bij Delete-504 eerst de verwijzingen in policies en de globale configuratie in kaart; de hieronder beschreven rollbackvolgorde blijft bindend. Vergelijk vóór elke nieuwe poging het antwoord met de daadwerkelijk opgeslagen toestand en controleer ook na 200 het doelobject. Pas een nieuwe positieve en negatieve testmail, inclusief wachtwoord- en antwoordtest, valideert het operationele effect.

De versleutelde e-mailstroom valideren

Noteer testtijd, afzender, ontvanger, onderwerp en verwachte trigger. Test daarna ten minste deze gevallen:

1. Positieve test: Een uitgaand bericht activeert precies het geplande SPX-template.
2. Wachtwoordtest: De ontvanger krijgt het wachtwoord of de registratielink via het geplande kanaal en kan de PDF openen.
3. Inhoudstest: Onderwerp, berichttekst en bijlagen staan zoals verwacht in de PDF en zijn leesbaar.
4. Antwoordtest: Indien ingeschakeld leidt de antwoordlink naar de verwachte FQDN en bereikt een testantwoord de oorspronkelijke afzender.
5. Negatieve test: Een vergelijkbaar bericht zonder trigger wordt niet als SPX-PDF verzonden.
6. Verlooptest: Registratie, opgeslagen wachtwoord en antwoordperiode gedragen zich na de ingestelde geldigheidsduur voorspelbaar.
7. Certificaattest: Browser en externe ontvanger krijgen een volledige vertrouwde certificaatketen voor de gebruikte portal-FQDN.

Begin de correlatie onder Email > Mail logs. Bij Reason identificeert SPX encryption met SPX versleutelde berichten en SPX failure niet-afgeleverde SPX-berichten; bij Result kan verder worden gefilterd op bijvoorbeeld Delivered, Dropped of Quarantined. Vergelijk afzender, ontvanger, onderwerp en tijdvenster met de testnotitie. Ga voor detailfouten verder met Log Viewer en de MTA-bestanden smtpd_main.log, smtpd_error.log en smtpd_panic.log. Sophos Firewall-diensten en logs legt de toegang en andere logbestanden uit.

SPX failure is geen andere naam voor SMTP-quarantaine. Een bericht verschijnt alleen onder Email > SMTP quarantine als een spam-, malware-, unscannable-, DKIM- of andere policyactie het werkelijk in quarantaine heeft geplaatst. Geef een bericht tijdens het testen niet zomaar vrij voordat reden en activerende policy zijn vastgelegd; anders kan een scan- of policyfout worden verward met een SPX-fout.

In HA staan logs op de node die het verkeer heeft verwerkt. Test na een gecontroleerde failover afzonderlijk een nieuwe SPX-mail, wachtwoordregistratie en antwoord. Ga er niet van uit dat een bestaande portalsessie of lopende registratie zonder onderbreking doorgaat. De basis staat in Sophos Firewall HA-clusters.

Fouten systematisch afbakenen

Het bericht wordt niet versleuteld

Controleer richting, beschermd domein, werkelijk gebruikte SMTP route and scan-policy en triggerprioriteit. Controleer bij Data Control ook Data protection, de geselecteerde Data control list, Data control list action: Accept with SPX en het bijbehorende SPX template. Voor een afzendertrigger moet een standaardtemplate zijn ingesteld dat niet door een domein- of Data Control-template wordt overschreven. De twee gedocumenteerde headerschrijfwijzen zijn geen reden om beide ongetest in productie uit te rollen.

Mail logs toont SPX failure

Baken onder Email > Mail logs de betrokken regel af op tijd, afzender, ontvanger en onderwerp en bevestig Reason: SPX failure. Correleer de getoonde fout op hetzelfde tijdstip met smtpd_main.log, smtpd_error.log en bij ernstige procesfouten smtpd_panic.log. Wijzig pas daarna wachtwoordmodel, template, aflevering of portalpad. Als Result in plaats daarvan Quarantined is, onderzoek dan onder Email > SMTP quarantine de activerende scan- of policyactie.

De registratielink of het portal is niet bereikbaar

Controleer FQDN, openbare DNS-resolutie, poort, certificaat, Allowed networks en geldigheid van de link. Een lege Allowed Networks-waarde wordt als Any behandeld en is daarom geen veilige uitgeschakelde toestand. Als de client een andere host of portal bereikt, passen URL, NAT of certificaattoewijzing niet bij het geplande pad.

De PDF kan niet worden geopend

Vergelijk eerst het wachtwoordtype met het specifieke bericht. Een eenmalig wachtwoord geldt alleen voor die e-mail. Bij opgeslagen of geregistreerde wachtwoorden kunnen verloop of meerdere wachtwoordmodellen de oorzaak zijn. Na een SPX Password Reset moet de afzender het nieuwe wachtwoord opnieuw veilig aan de ontvanger doorgeven.

Voer voor een gerichte reset onder Email > Encryption > SPX password reset het e-mailadres van de betrokken ontvanger in en controleer het vóór het uitvoeren van de reset. Stem de reset en de veilige overdracht van het nieuwe wachtwoord af met afzender en ontvanger en open daarna een nieuw SPX-testbericht. Dit garandeert niet dat oudere PDF’s met het nieuwe wachtwoord kunnen worden geopend.

Het veilige antwoord komt niet aan

Controleer Enable SPX reply portal in het template, de antwoordperiode, portal-FQDN, poort, certificaat en toegestane bronnen. Controleer vervolgens Mail logs en MTA-logs voor het concrete antwoord. Het succesvol openen van de PDF bewijst niet dat het retourkanaal werkt.

DKIM-validatie mislukt na SPX

SPX wijzigt berichttekst en bijlagen. Als een bericht vóór deze wijziging wordt ondertekend, kan de handtekening bij de ontvanger ongeldig worden. Bepaal of de interne mailserver, Sophos Firewall of een latere gateway na alle geplande wijzigingen ondertekent. De verwerkingsketen en een externe test moeten samen worden gevalideerd.

Veilig terugrollen

1. Verwijder eerst de specifieke SPX-toewijzing uit Domains and routing target. Zet bij een Data Control-trigger Data control list action in de SMTP-policy terug van Accept with SPX naar de gedocumenteerde vorige actie.
2. Stel indien gebruikt Default SPX template in op None.
3. Voer een uitgaande negatieve test uit en bevestig dat geen nieuwe SPX-PDF wordt gemaakt.
4. Trek het Reply en Registration Portal alleen terug als geen andere actieve SPX-policy ervan afhankelijk is.
5. Zet tijdelijke openbare poort-, DNS- of portaltoegang terug naar de gedocumenteerde vorige toestand. Draai afzonderlijk gewijzigde SMTP TLS-eisen alleen terug op basis van hun eigen vastgelegde vorige toestand.
6. Verwijder het template pas als geen policy of actief bedrijfsproces er nog naar verwijst.
7. Bewaar Mail logs en MTA-logs van de laatste versleutelde en eerste onversleutelde test.

Maak een actuele Sophos Firewall-back-up voordat productie-e-mail- en portalpaden worden gewijzigd. SPX kan in airgap-omgevingen blijven werken, maar externe DNS-, certificaat- en portalafhankelijkheden moeten afzonderlijk bereikbaar blijven. Zie SFOS-functies zonder internettoegang voor productgrenzen.

Operationele checklist

• Licentie, model, MTA-e-mailstroom en externe ontvanger zijn gecontroleerd.
• Trigger en triggerprioriteit zijn gedocumenteerd.
• Wachtwoordtype en veilig overdrachtskanaal passen bij de toepassing.
• Portal-FQDN, centraal portalcertificaat, poort en Allowed Networks zijn nauw begrensd; SMTP TLS is afzonderlijk gedocumenteerd.
• De domein-, Data Control- of standaardtoewijzing is eenduidig.
• Positieve, negatieve, wachtwoord-, PDF- en antwoordtests zijn geslaagd.
• De filters SPX encryption en SPX failure in Mail logs en de MTA-logs kunnen met het testbericht worden gecorreleerd; quarantaineacties worden daarvan onderscheiden.
• HA-failover en node-lokale logs zijn in de bedrijfsprocedure opgenomen.
• Eigenaar, verlooptermijnen, controledatum en rollback zijn gedocumenteerd.

FAQ