Konfigurera och testa karantänsammanställningen i Sophos Firewall

Karantänsammanställningen informerar användare via e-post om skräppostmeddelanden som Sophos Firewall har hållit kvar. Sammanställningen är dock inte bara ännu ett systemmeddelande: leveransväg, användartilldelning, frisläppningslänk och användarportal måste fungera tillsammans.

Det viktigaste vid verifieringen är därför hela användarflödet. Ett lyckat testmeddelande bekräftar ännu inte att en verklig användare får sin sammanställning, kan logga in på rätt portal och frisläppa ett tillåtet meddelande.

⚠️ Frisläppningslänken frisläpper inte ett meddelande direkt. Den leder till användarportalen, där användaren måste logga in och själv välja meddelandet. Den valda portaladressen måste därför vara nåbar för avsedda mottagare utan att portalen öppnas okontrollerat för andra nätverk.

Karantänsammanställning i sju steg

Konfigurera e-posttransporten under Administration > Notification settings.
Fastställ portaladress, DNS, certifikat och tillåtna källnät för de avsedda användarna.
Aktivera sammanställningen under Email > Quarantine settings och ange utskickstid, avsändare och visningsnamn.
Välj rätt adress till användarportalen under Release link settings, testa den med Send test email och spara med Apply.
Endast i MTA Mode: fastställ karantänutrymmet och adressmönster som medvetet ska uteslutas.
Tilldela sammanställningen till rätt konton under Authentication > Groups eller Authentication > Users.
Använd ett verkligt testmeddelande som satts i karantän som skräppost för att testa sammanställningen, portalinloggningen och frisläppningen från början till slut.

Vad sammanställningen gör och inte gör

Sammanställningen visar skräppost i karantän med mottagningstid, avsändare, mottagare och ämne. Den ger en praktisk användarvy, men ersätter inte den administrativa karantänen under Email > SMTP quarantine eller teknisk analys av policy, mail logs och MTA-loggar.

De allmänna inställningarna för sammanställningen är tillgängliga i både MTA Mode och Legacy Mode. Quarantine area och Skip address patterns visas däremot bara i MTA Mode. Administratörer som använder Legacy Mode konfigurerar därför endast leverans, frisläppningslänk och användartilldelning.

Endast användare som har autentiserat sig på brandväggen minst en gång får en sammanställning. Detta förbises lätt när konton har importerats från Active Directory men aldrig har loggat in på användarportalen, captive portal eller någon annan relevant tjänst.

Enligt SFOS 22/23-hjälpen är karantänsammanställningen inte tillgänglig på XGS 87 och XGS 87w. Den här modellgränsen gäller sammanställningen och får inte förväxlas med den separata gränsen för MTA Mode. Konfigurera Mail Protection i MTA Mode beskriver e-postflöde, SMTP-policy och den administrativa karantänen.

Förbered e-postleverans och portaladress

Leveransen använder Administration > Notification settings. E-postserver, avsändare, mottagare, DNS, rutt, autentisering och TLS måste fungera där först. Det fullständiga transporttestet beskrivs i Konfigurera och testa e-postaviseringar i Sophos Firewall.

Det finns två alternativ för frisläppningslänken:

Reference user portal IP: SFOS använder adressen för valt gränssnitt tillsammans med användarportalens port.
IP address or hostname: SFOS använder adressen som konfigurerats under Administration > Admin and user settings > Admin console and end-user interaction.

Karantänhjälpen för SFOS 22/23 använder ett annat namn för detta område: Administration > Admin settings. Det avgörande är fältet under Admin console and end-user interaction, inte enbart menynamnet. Jämför det installerade gränssnittet med länken i det mottagna sammanställningsmeddelandet; olika benämningar innebär ingen ytterligare frisläppningsfunktion.

Ett FQDN är vanligtvis tydligare och kan skyddas korrekt med ett matchande certifikat. Namnet måste kunna slås upp till rätt brandväggsadress och vara nåbart från mottagarnas nätverk. En privat gränssnittsadress i sammanställningen är normalt oanvändbar för externa eller mobila användare. Omvänt är en publik adress inget skäl att generellt göra användarportalen tillgänglig från alla WAN-nät. Portalens syfte och Device Access beskrivs separat i Översikten över Sophos Firewall-portaler.

Sophos avråder från åtkomst till User Portal från WAN-zonen. Externa användare bör därför först ansluta säkert, exempelvis via VPN; sammanställningen i sig motiverar inte WAN-åtkomst. För externt autentiserade konton ska pilottestet även omfatta den obligatoriska första inloggningen på Captive Portal före första användningen av User Portal.

Användarportalen är en lokal tjänst. Åtkomsten styrs under Administration > Device access, inte med en vanlig brandväggsregel. Använd Local service ACL exception rules för att begränsa åtkomsten till specifika värdar eller nätverk. Dessutom måste webbproxyn kontrolleras: SFOS behandlar HTTP- och HTTPS-förfrågningar via brandväggens proxy som interna. Därför kan användarportalen vara åtkomlig trots att åtkomst från ursprungszonen är avstängd. Proxyanvändning och proxyregler ska därför ingå i samma åtkomsttest.

Konfigurera sammanställningen

Aktivera Enable quarantine digest under Email > Quarantine settings. Ange därefter frekvens, tid och vid behov veckodag. From email address måste innehålla en giltig avsändaradress; Display name ska tydligt visa användarna att avsändaren är brandväggens karantäntjänst.

Välj därefter den förberedda portaladressen under Release link settings. Skicka ett testmeddelande med Send test email och spara inställningarna med Apply när det har kommit fram. Det här meddelandet räcker inte för användarverifieringen: endast hela flödet med en tilldelad pilotanvändare bekräftar schema, tilldelning, portalinloggning och frisläppning.

Pilotexempel med anpassningsbara värden

Ett anpassningsbart pilotexempel är Email frequency: Daily klockan 10:00, From email address: firewall@example.com och Display name: Firewall Quarantine. Daily och fältnamnen är gränssnittsvärden; tid, avsändare och visningsnamn väljs för den egna miljön. 10:00 möjliggör granskning under arbetstid men är inget produktkrav. Ersätt exempeldomänen med en tillåten avsändardomän. I MTA Mode kan exempelvis sales@example.com läggas till med + under Skip address patterns om detta delade alias avsiktligt ska uteslutas från sammanställningen. Kontrollera sedan att dess meddelanden finns kvar i SMTP quarantine men inte visas i sammanställningen.

Tolka XML-schemat och användarlistorna korrekt

Vid XML-automatisering skiljer AntiSpamQuarantineDigestSettings den globala konfigurationen i SpamDigestSettings från användartilldelningarna i SpamDigestUsers. EmailFrequency använder Hourly, Day eller Week; gränssnittsvärdet Daily i exemplet motsvarar Day. Fälten under SpamDigestSettings > SendEmailAt beror på detta val:

Hourly: enligt referensen beskriver Hour intervallet i timmar, inte en daglig utskickstid.
Day: Hour och Minute anger den dagliga utskickstiden. Pilotexemplet 10:00 motsvarar Hour = 10 och Minute = 0.
Week: Hour och Minute anger utskickstiden, medan upprepade Days-poster anger de valda veckodagarna.

Referensen anger intervallet 0–23 för Hour och 0–59 för Minute. De upprepade Hour/Minute-raderna som markerats som obligatoriska beskriver olika frekvenssammanhang: de innebär inte att alla varianter måste anges samtidigt. Det dokumenterade intervallet i sig fastställer inte heller någon verifierad betydelse för ett timintervall på 0.

⚠️ XML-referenserna för SFOS 22/23 motsäger sig själva om lördag på samma sida: exemplet innehåller Saturday, men listan över tillåtna Days-värden utelämnar det. Detta bevisar varken stöd för eller förbud mot lördag. Om ett utskick på lördag behövs ska stödet på den installerade SFOS-versionen klargöras med Sophos Support, i stället för att exempelvärdet kopieras utan verifiering eller en numerisk ersättning gissas. Inför inget produktionsschema för lördag via XML innan frågan har klargjorts.

Under SpamDigestUsers innehåller EnableUsers upprepade EnableUser-poster för att aktivera sammanställningen och DisableUsers upprepade DisableUser-poster för att avaktivera den för namngivna användarkonton. Värdena är användarnamn, inte mottagaradressmönster; dessa listor är därför inte Skip address patterns. Dokumentera befintliga tilldelningar inför piloten, undvik motstridiga poster för samma konto och kontrollera därefter de sparade användar- och schemainställningarna samt det faktiska utskicket. Referensen klargör inte alla detaljer om behandlingen av överlappande eller utelämnade listor; dra inga slutsatser om prioritets- eller ersättningsregler utifrån exemplet. Fälten måste kompletteras för en fullständig XML-begäran.

Karantänutrymme och automatisk rensning

I MTA Mode väljer man storleken på det lokala karantänutrymmet under Quarantine area. SFOS kontrollerar användningen var femte minut. När den når minst 90 procent av den valda storleken raderas äldre meddelanden tills användningen sjunker till 60 procent.

Den automatiska rensningen är inget arkiv. Ett för litet utrymme kan förkorta tiden för granskning och frisläppning, medan ett stort utrymme förbrukar lokal lagring. Användningen visas som Total utilization under Email > SMTP quarantine. Kontrollera lagringsutrymme och rapporter på Sophos Firewall hjälper till att bedöma brandväggens övriga lagringsstatus.

10 GB är ett möjligt konfigurationsexempel, inte ett standardvärde eller en garanterad lagringstid. Välj storlek efter e-postvolym, ledigt lagringsutrymme och nödvändig granskningstid och följ användningen under piloten. En senare ökning återställer inte meddelanden som redan rensats automatiskt eller tagits bort med Delete.

Skip address patterns i MTA Mode

I MTA Mode anger man under Skip address patterns varje mottagares e-postadress vars meddelanden i karantän ska uteslutas från karantänsammanställningen och klickar sedan på plusknappen + för att lägga till den adressen i listan. Adresser under Skip address patterns utesluts från karantänsammanställningen. Det kan till exempel vara lämpligt för delade alias vars skräppost inte ska distribueras till många användare. Inställningen raderar dock inga meddelanden och skapar inget undantag från kontroller av skräppost, skadlig kod eller dataskydd.

Tilldela användare och grupper

Enbart den globala konfigurationen aktiverar ännu inte utskick för alla användare. Under Authentication > Groups eller Authentication > Users ställer man Quarantine digest på Enable för avsedda konton och sparar med Save. Tilldelningen kan alternativt göras direkt under Email > Quarantine settings > Change user’s quarantine digest settings. En inställning för en enskild användare har företräde framför gruppnivån. Kontrollera därför båda nivåerna om resultatet är oväntat.

För en samlad tilldelning öppnar man Email > Quarantine settings > Change user’s quarantine digest settings, filtrerar vid behov efter Group och väljer de avsedda användarna. Om en enskild användares e-postadress behöver korrigeras där ändras den via Edit och sparas med Save. Därefter slutförs tilldelningen med Apply. Den primära adressen och medvetet tilldelade alias stäms sedan av mot det berörda användarkontot.

Aliasadresser har två viktiga begränsningar. Som standard tillämpar SFOS inte sammanställningsinställningen automatiskt på alias; de måste sparas tillsammans med användarens primära e-postadress eller tilldelas uttryckligen. Sammanställningen kan då visa skräppost till både primära adresser och alias. Enligt Sophos visas meddelanden som satts i karantän och skickats till alias ändå inte i användarportalen. Sådana adresser behöver därför en tydlig administrativ frisläppningsprocess under Email > SMTP quarantine.

Hantera meddelanden i User Portal

Efter att ha följt länken i sammanställningen loggar användaren in på User Portal och öppnar Quarantine, där SMTP-karantänen finns. Själva länken frisläpper ingenting. Där visas endast meddelanden till användarens egen primära e-postadress, inte till alias eller andra brevlådor.

Avgränsa det sökta meddelandet med hjälp av datumintervall, avsändare och ämne och använd vid behov de tillgängliga filtren.
För ett enskilt skräppostmeddelande väljer användaren Release vid meddelandet. För flera meddelanden markeras önskade rader, Release väljs bland åtgärderna och sedan klickar användaren på Go.
Vid ett bekräftat falskt positivt resultat för klassificeringen Spam eller Probable Spam används Release and report för att frisläppa meddelandet och rapportera det till SophosLabs. Ett oönskat meddelande kan i stället raderas med Delete. Kontrollera mottagare och meddelande före båda åtgärderna.

Användaren kan endast frisläppa skräppost som har satts i karantän. Virusinfekterade meddelanden kan varken frisläppas eller laddas ned. Brandväggen skannar frisläppta meddelanden igen och levererar dem därefter; för aliasmeddelanden och andra karantänorsaker används fortfarande den administrativa granskningsväg som beskrivs nedan.

Kontrollera användarnas avsändarundantag

Under Exception i användarportalen kan en behörig användare tillåta eller blockera enskilda avsändaradresser eller jokertecken som *@example.com. Tillåtna avsändare markeras inte som skräppost och flyttas inte till skräppostkarantänen, men antivirusskanningen förblir aktiv. Om samma adress finns i båda listorna har blocklistan företräde och meddelandet sätts i karantän. Dessa användarspecifika undantag ska ingå i pilot- och supporttester och får inte förväxlas med sammanställningens globala Skip address patterns.

En enskild avsändaradress har mindre omfattning än *@example.com. Dokumentera befintliga listposter och undersök det falska positiva resultatet innan ett undantag läggs till. Kontrollera sedan ett matchande och ett icke-matchande testmeddelande. Återställ de dokumenterade listorna vid återgång och verifiera den förväntade spamklassificeringen igen; redan levererade meddelanden återkallas inte.

Testa hela frisläppningsflödet

Använd vid verifieringen en pilotanvändare som redan har autentiserat sig på brandväggen minst en gång. Ett kontrollerat meddelande måste sättas i karantän som skräppost av den avsedda SMTP-policyn. Kontrollera därefter följande:

Meddelandet visas under Email > SMTP quarantine med förväntad mottagare, ämne och orsak.
Pilotanvändaren får sammanställningen vid konfigurerad tid.
Avsändare, visningsnamn, ämne och metadata uppfyller integritets- och driftskraven.
Frisläppningslänken öppnar avsett FQDN för användarportalen med en giltig certifikatkedja.
Inloggning fungerar från ett tillåtet nät och misslyckas från ett nät som inte är avsett. Om en explicit webbproxy används upprepas det negativa testet en gång utan och en gång med proxy.
Det tillåtna testmeddelandet kan frisläppas efter inloggning och levereras faktiskt.
En användare utan tilldelning får ingen rapport.

I användarportalen ser en användare meddelanden i karantän som har adresserats till den primära e-postadressen, men kan bara frisläppa skräppost. SFOS skannar ett frisläppt meddelande igen och levererar det därefter. För aliasadresser och andra karantänorsaker används den administrativa vägen under Email > SMTP quarantine. Där kan filtrerade meddelanden frisläppas eller raderas. För Spam eller Probable spam kan Release and report användas för att rapportera ett falskt positivt resultat till SophosLabs. Virusinfekterade meddelanden och e-post som Zero-Day Protection har bedömt som skadlig kan inte frisläppas ens administrativt.

Avgränsa fel systematiskt

Filtrera den administrativa karantänen exakt

Öppna Email > SMTP quarantine för aliasmeddelanden eller administrativ granskning. Avgränsa bearbetningsperioden med Start and end dates och ange lämpliga sökord under Sender/Recipient/Subject. Kontrollera mottagare, ämne och karantänorsak innan Release, Release and report eller Delete tillämpas på de filtrerade meddelandena. Ett för brett filter kan oavsiktligt omfatta andra meddelanden.

Filter by skiljer sig mellan e-postlägena:

MTA Mode: Blocked by RBL, Spam, Analyzed by Zero-day protection, Infected, Unscannable content or protected attachment, DKIM verification, Other.
Legacy Mode: Blocked source IP, Blocked destination IP, Unscannable content or protected attachment, Oversized message, Blocked header, Blocked by RBL, Blocked by data protection, Spam, Infected, Other.

En filterorsak ger inte rätt till frisläppning: virusinfekterade meddelanden och meddelanden som Zero-Day Protection klassificerat som skadliga kan fortfarande inte frisläppas. För att radera meddelanden som satts i karantän genom Zero-Day Protection-analys kräver administratörsprofilen läs- och skrivbehörighet för Zero-day protection activity. Om en åtgärd saknas kontrolleras först orsak och profil i stället för att skyddet stängs av. Kontrollera den faktiska leveransen efter en tillåten frisläppning; Delete är inget återställbart test.

Testmeddelandet kommer inte fram

Kontrollera först Administration > Notification settings. Send test email misslyckas före den egentliga karantänfunktionen om DNS, rutt, e-postserver, autentisering, TLS, avsändare eller mottagare är fel. Det är inte meningsfullt att ändra användartilldelningar eller karantänens storlek så länge e-posttransporten inte fungerar.

Testmeddelandet kommer fram, men inte användarsammanställningen

Kontrollera att Enable quarantine digest är aktivt, att ändringen har sparats med Apply, att schema och tidszon stämmer och att det berörda kontot är aktiverat under Groups, Users eller Change user’s quarantine digest settings. En användarinställning kan åsidosätta gruppvalet. Användaren måste ha autentiserat sig på brandväggen minst en gång. Under den valda perioden måste det dessutom faktiskt finnas ett matchande skräppostmeddelande i karantän för mottagaren.

Länken pekar på fel adress

Jämför Release link settings, valt gränssnitt, användarportalens port och Admin console and end-user interaction. Testa sedan DNS-upplösning, certifikatnamn och åtkomst från det verkliga användarnätet. Adressen korrigeras inte genom att testmeddelandet skickas flera gånger; först måste den underliggande portalreferensen vara korrekt.

Frisläppta meddelanden blir kvar i e-postspoolen

Frisläppning bevisar inte leverans. Korrelera meddelandet och tidpunkten under Email > Mail spool och Email > Mail logs. Om en ny regel ovanför den avsedda SMTP-regeln redan matchar SMTP-trafiken utvärderar SFOS inte längre regeln nedanför. Automatiskt skapade IPsec- eller hotspot-regler och manuella regler med Rule position: Top kan orsaka detta.

Dokumentera regelordningen och berörda anslutningar före en ändring. Flytta under Rules and policies > Firewall rules endast den nya överlappande regel som har bekräftats som orsak tillräckligt långt ned för att den avsedda SMTP-regeln ska utvärderas igen; redigera inte den automatiska MTA-regeln. Följ sedan ett kontrollerat meddelande fram till faktisk leverans, kontrollera spoolen och testa andra berörda anslutningar. Återställ den dokumenterade ordningen vid oönskade följder. Flytta inte regler på måfå utan en bekräftad SMTP-matchning; kontrollera målserver, DNS, rutt och TLS enligt den länkade MTA-guiden och lämna resultaten till supporten om felet kvarstår.

Aliasmeddelanden saknas i portalen

Det är inte automatiskt ett fel i sammanställningen. Sophos dokumenterar uttryckligen att meddelanden till aliasadresser som satts i karantän inte visas i användarportalen. Kontrollera primär adress, aliastilldelning, sammanställningens innehåll och administrativ SMTP-karantän separat.

Drift och återställning

Sammanställningsmeddelanden innehåller kommunikationsmetadata och kan finnas kvar utanför brandväggen i brevlådor, arkiv eller ärenden. Mottagargruppen bör hållas liten, brevlådans lagringstid anpassas till skyddsbehovet och ett delat alias endast tas med i rapporterna efter ett medvetet beslut.

Före återställningen dokumenteras sammanställningens globala status, schema, frisläppningslänk, användar- och grupptilldelningar samt gemensamma portal- och meddelandeinställningar. För kontrollen skickas ett kontrollerat skräppostmeddelande till pilotanvändaren och ett till en kontrollanvändare som fortfarande är aktiverad. Kontrollera att båda visas under Email > SMTP quarantine. Därefter avaktiveras Enable quarantine digest eller så tas pilotanvändarens tilldelning bort, och respektive ändring sparas med Apply (Email) / Save (Authentication).

Efter nästa schemalagda körning får pilotanvändaren inte få någon rapport. Om bara pilotanvändarens tilldelning har tagits bort bekräftar kontrollanvändarens sammanställning att körningen har ägt rum. Portal- eller meddelandeinställningar återställs bara om ingen annan tjänst använder dem. Själva karantänen är oberoende av sammanställningen och raderas inte som en del av återställningen.