Konfigurera och testa karantänsammanställningen i Sophos Firewall

Karantänsammanställningen informerar användare via e-post om skräppostmeddelanden som Sophos Firewall har hållit kvar. Sammanställningen är dock inte bara ännu ett systemmeddelande: leveransväg, användartilldelning, frisläppningslänk och användarportal måste fungera tillsammans.

Det viktigaste vid verifieringen är därför hela användarflödet. Ett lyckat testmeddelande bekräftar ännu inte att en verklig användare får sin sammanställning, kan logga in på rätt portal och frisläppa ett tillåtet meddelande.

⚠️ Frisläppningslänken frisläpper inte ett meddelande direkt. Den leder till användarportalen, där användaren måste logga in och själv välja meddelandet. Den valda portaladressen måste därför vara nåbar för avsedda mottagare utan att portalen öppnas okontrollerat för andra nätverk.

Karantänsammanställning i sju steg

Konfigurera e-posttransporten under Administration > Notification settings.
Fastställ portaladress, DNS, certifikat och tillåtna källnät för de avsedda användarna.
Aktivera sammanställningen under Email > Quarantine settings och ange utskickstid, avsändare och visningsnamn.
Välj rätt adress till användarportalen under Release link settings, testa den med Send test email och spara med Apply.
Endast i MTA Mode: fastställ karantänutrymmet och adressmönster som medvetet ska uteslutas.
Tilldela sammanställningen till rätt konton under Authentication > Groups eller Authentication > Users.
Använd ett verkligt testmeddelande som satts i karantän som skräppost för att testa sammanställningen, portalinloggningen och frisläppningen från början till slut.

Vad sammanställningen gör och inte gör

Sammanställningen visar skräppost i karantän med mottagningstid, avsändare, mottagare och ämne. Den ger en praktisk användarvy, men ersätter inte den administrativa karantänen under Email > SMTP quarantine eller teknisk analys av policy, mail logs och MTA-loggar.

De allmänna inställningarna för sammanställningen är tillgängliga i både MTA Mode och Legacy Mode. Quarantine area och Skip address patterns visas däremot bara i MTA Mode. Administratörer som använder Legacy Mode konfigurerar därför endast leverans, frisläppningslänk och användartilldelning.

Endast användare som har autentiserat sig på brandväggen minst en gång får en sammanställning. Detta förbises lätt när konton har importerats från Active Directory men aldrig har loggat in på användarportalen, captive portal eller någon annan relevant tjänst.

Enligt aktuell SFOS 22-hjälp är karantänsammanställningen inte tillgänglig på XGS 87 och XGS 87w. Den här modellgränsen gäller sammanställningen och får inte förväxlas med den separata gränsen för MTA Mode. Konfigurera Mail Protection i MTA Mode beskriver e-postflöde, SMTP-policy och den administrativa karantänen.

Förbered e-postleverans och portaladress

Leveransen använder Administration > Notification settings. E-postserver, avsändare, mottagare, DNS, rutt, autentisering och TLS måste fungera där först. Det fullständiga transporttestet beskrivs i Konfigurera och testa e-postaviseringar i Sophos Firewall.

Det finns två alternativ för frisläppningslänken:

Reference user portal IP: SFOS använder adressen för valt gränssnitt tillsammans med användarportalens port.
IP address or hostname: SFOS använder adressen som konfigurerats under Administration > Admin and user settings > Admin console and end-user interaction.

Ett FQDN är vanligtvis tydligare och kan skyddas korrekt med ett matchande certifikat. Namnet måste kunna slås upp till rätt brandväggsadress och vara nåbart från mottagarnas nätverk. En privat gränssnittsadress i sammanställningen är normalt oanvändbar för externa eller mobila användare. Omvänt är en publik adress inget skäl att generellt göra användarportalen tillgänglig från alla WAN-nät. Portalens syfte och Device Access beskrivs separat i Översikten över Sophos Firewall-portaler.

Användarportalen är en lokal tjänst. Åtkomsten styrs under Administration > Device access, inte med en vanlig brandväggsregel. Använd Local service ACL exception rules för att begränsa åtkomsten till specifika värdar eller nätverk. Dessutom måste webbproxyn kontrolleras: SFOS behandlar HTTP- och HTTPS-förfrågningar via brandväggens proxy som interna. Därför kan användarportalen vara åtkomlig trots att åtkomst från ursprungszonen är avstängd. Proxyanvändning och proxyregler ska därför ingå i samma åtkomsttest.

Konfigurera sammanställningen

Aktivera Enable quarantine digest under Email > Quarantine settings. Ange därefter frekvens, tid och vid behov veckodag. From email address måste innehålla en giltig avsändaradress; Display name ska tydligt visa användarna att avsändaren är brandväggens karantäntjänst.

Välj därefter den förberedda portaladressen under Release link settings. Skicka ett testmeddelande med Send test email och spara inställningarna med Apply när det har kommit fram. Det här meddelandet räcker inte för användarverifieringen: endast hela flödet med en tilldelad pilotanvändare bekräftar schema, tilldelning, portalinloggning och frisläppning.

Karantänutrymme och automatisk rensning

I MTA Mode väljer man storleken på det lokala karantänutrymmet under Quarantine area. SFOS kontrollerar användningen var femte minut. När den når minst 90 procent av den valda storleken raderas äldre meddelanden tills användningen sjunker till 60 procent.

Den automatiska rensningen är inget arkiv. Ett för litet utrymme kan förkorta tiden för granskning och frisläppning, medan ett stort utrymme förbrukar lokal lagring. Användningen visas som Total utilization under Email > SMTP quarantine. Kontrollera lagringsutrymme och rapporter på Sophos Firewall hjälper till att bedöma brandväggens övriga lagringsstatus.

Skip address patterns i MTA Mode

I MTA Mode anger man under Skip address patterns varje mottagares e-postadress vars meddelanden i karantän ska uteslutas från karantänsammanställningen och klickar sedan på plusknappen + för att lägga till den adressen i listan. Adresser under Skip address patterns utesluts från karantänsammanställningen. Det kan till exempel vara lämpligt för delade alias vars skräppost inte ska distribueras till många användare. Inställningen raderar dock inga meddelanden och skapar inget undantag från kontroller av skräppost, skadlig kod eller dataskydd.

Tilldela användare och grupper

Enbart den globala konfigurationen aktiverar ännu inte utskick för alla användare. Under Authentication > Groups eller Authentication > Users ställer man Quarantine digest på Enable för avsedda konton och sparar med Apply. Tilldelningen kan alternativt göras direkt under Email > Quarantine settings > Change user’s quarantine digest settings. En inställning för en enskild användare har företräde framför gruppnivån. Kontrollera därför båda nivåerna om resultatet är oväntat.

För en samlad tilldelning öppnar man Email > Quarantine settings > Change user’s quarantine digest settings, filtrerar vid behov efter Group och väljer de avsedda användarna. Om en enskild användares e-postadress behöver korrigeras där ändras den via Edit och sparas med Save. Därefter slutförs tilldelningen med Apply. Den primära adressen och medvetet tilldelade alias stäms sedan av mot det berörda användarkontot.

Aliasadresser har två viktiga begränsningar. Som standard tillämpar SFOS inte sammanställningsinställningen automatiskt på alias; de måste sparas tillsammans med användarens primära e-postadress eller tilldelas uttryckligen. Sammanställningen kan då visa skräppost till både primära adresser och alias. Enligt Sophos visas meddelanden som satts i karantän och skickats till alias ändå inte i användarportalen. Sådana adresser behöver därför en tydlig administrativ frisläppningsprocess under Email > SMTP quarantine.

Kontrollera användarnas avsändarundantag

Under Exception i användarportalen kan en behörig användare tillåta eller blockera enskilda avsändaradresser eller jokertecken som *@example.com. Tillåtna avsändare markeras inte som skräppost och flyttas inte till skräppostkarantänen, men antivirusskanningen förblir aktiv. Om samma adress finns i båda listorna har blocklistan företräde och meddelandet sätts i karantän. Dessa användarspecifika undantag ska ingå i pilot- och supporttester och får inte förväxlas med sammanställningens globala Skip address patterns.

Testa hela frisläppningsflödet

Använd vid verifieringen en pilotanvändare som redan har autentiserat sig på brandväggen minst en gång. Ett kontrollerat meddelande måste sättas i karantän som skräppost av den avsedda SMTP-policyn. Kontrollera därefter följande:

Meddelandet visas under Email > SMTP quarantine med förväntad mottagare, ämne och orsak.
Pilotanvändaren får sammanställningen vid konfigurerad tid.
Avsändare, visningsnamn, ämne och metadata uppfyller integritets- och driftskraven.
Frisläppningslänken öppnar avsett FQDN för användarportalen med en giltig certifikatkedja.
Inloggning fungerar från ett tillåtet nät och misslyckas från ett nät som inte är avsett. Om en explicit webbproxy används upprepas det negativa testet en gång utan och en gång med proxy.
Det tillåtna testmeddelandet kan frisläppas efter inloggning och levereras faktiskt.
En användare utan tilldelning får ingen rapport.

I användarportalen ser en användare meddelanden i karantän som har adresserats till den primära e-postadressen, men kan bara frisläppa skräppost. SFOS skannar ett frisläppt meddelande igen och levererar det därefter. För aliasadresser och andra karantänorsaker används den administrativa vägen under Email > SMTP quarantine. Där kan filtrerade meddelanden frisläppas eller raderas. För Spam eller Probable spam kan Release and report användas för att rapportera ett falskt positivt resultat till SophosLabs. Virusinfekterade meddelanden och e-post som Zero-Day Protection har bedömt som skadlig kan inte frisläppas ens administrativt.

Avgränsa fel systematiskt

Testmeddelandet kommer inte fram

Kontrollera först Administration > Notification settings. Send test email misslyckas före den egentliga karantänfunktionen om DNS, rutt, e-postserver, autentisering, TLS, avsändare eller mottagare är fel. Det är inte meningsfullt att ändra användartilldelningar eller karantänens storlek så länge e-posttransporten inte fungerar.

Testmeddelandet kommer fram, men inte användarsammanställningen

Kontrollera att Enable quarantine digest är aktivt, att ändringen har sparats med Apply, att schema och tidszon stämmer och att det berörda kontot är aktiverat under Groups, Users eller Change user’s quarantine digest settings. En användarinställning kan åsidosätta gruppvalet. Användaren måste ha autentiserat sig på brandväggen minst en gång. Under den valda perioden måste det dessutom faktiskt finnas ett matchande skräppostmeddelande i karantän för mottagaren.

Länken pekar på fel adress

Jämför Release link settings, valt gränssnitt, användarportalens port och Admin console and end-user interaction. Testa sedan DNS-upplösning, certifikatnamn och åtkomst från det verkliga användarnätet. Adressen korrigeras inte genom att testmeddelandet skickas flera gånger; först måste den underliggande portalreferensen vara korrekt.

Aliasmeddelanden saknas i portalen

Det är inte automatiskt ett fel i sammanställningen. Sophos dokumenterar uttryckligen att meddelanden till aliasadresser som satts i karantän inte visas i användarportalen. Kontrollera primär adress, aliastilldelning, sammanställningens innehåll och administrativ SMTP-karantän separat.

Drift och återställning

Sammanställningsmeddelanden innehåller kommunikationsmetadata och kan finnas kvar utanför brandväggen i brevlådor, arkiv eller ärenden. Mottagargruppen bör hållas liten, brevlådans lagringstid anpassas till skyddsbehovet och ett delat alias endast tas med i rapporterna efter ett medvetet beslut.

Före återställningen dokumenteras sammanställningens globala status, schema, frisläppningslänk, användar- och grupptilldelningar samt gemensamma portal- och meddelandeinställningar. För kontrollen skickas ett kontrollerat skräppostmeddelande till pilotanvändaren och ett till en kontrollanvändare som fortfarande är aktiverad. Kontrollera att båda visas under Email > SMTP quarantine. Därefter avaktiveras Enable quarantine digest eller så tas pilotanvändarens tilldelning bort, och respektive ändring sparas med Apply.

Efter nästa schemalagda körning får pilotanvändaren inte få någon rapport. Om bara pilotanvändarens tilldelning har tagits bort bekräftar kontrollanvändarens sammanställning att körningen har ägt rum. Portal- eller meddelandeinställningar återställs bara om ingen annan tjänst använder dem. Själva karantänen är oberoende av sammanställningen och raderas inte som en del av återställningen.