Tìm kiếm trang web

Cách thiết lập SMTP DANE gửi đến với DNSSEC trong Exchange Online

SMTP DANE gửi đi với chức năng DNSSEC đã được Microsoft thiết lập vào tháng 3 năm 2022. Bạn không cần phải làm bất cứ điều gì cho việc đó. Tuy nhiên, họ phải mất thêm nhiều năm mới thêm nó vào luồng thư đến. Trong bài viết này, bạn sẽ tìm hiểu cách định cấu hình Inbound SMTP Dane bằng DNSSEC trong Exchange Online.

SMTP DANE và DNSSEC là gì?

  • SMTP DANE (Xác thực các thực thể được đặt tên dựa trên DNS) là một giao thức bảo mật sử dụng DNS để xác minh tính xác thực của các chứng chỉ dùng để bảo mật liên lạc qua email với TLS và bảo vệ khỏi các cuộc tấn công hạ cấp TLS.
  • DNSSEC (Tiện ích mở rộng bảo mật hệ thống tên miền) là một tập hợp các tiện ích mở rộng cho DNS cung cấp xác minh bằng mật mã cho các bản ghi DNS, ngăn chặn hành vi giả mạo DNS và các cuộc tấn công của kẻ thù trung gian vào DNS.

Lưu ý: Microsoft bao gồm miễn phí Inbound SMTP DANE với DNSSEC như một phần trong nỗ lực cải thiện bảo mật email cho mọi người. Bạn không phải định cấu hình Outbound SMTP DANE bằng DNSSEC vì Microsoft đã thêm tính năng đó kể từ tháng 3 năm 2022.

Định cấu hình SMTP DANE và DNSSEC gửi đến trong Exchange Online

Để thiết lập Inbound SMTP DANE và DNSSEC trong Exchange Online (Microsoft 365), hãy làm theo các bước dưới đây:

Bước 1. Xác minh tên miền được ký DNSSEC

Để nhận được đầy đủ lợi ích bảo mật của tính năng này, hãy đảm bảo rằng miền được ký DNSSEC:

  1. Đi tới công cụ Trình gỡ lỗi DNSSEC Verisign
  2. Điền vào tên miền
  3. Nhấn Enter
  4. Xác minh rằng tất cả các trường đều có dấu kiểm màu xanh lục

Nếu miền không được ký DNSSEC, hãy đảm bảo rằng bạn bật miền đó trong công ty đăng ký DNS của mình trước khi tiếp tục. Giả sử nhà đăng ký của bạn không có sẵn tính năng này, hãy chuyển miền của bạn sang nhà đăng ký khác có hỗ trợ DNSSEC.

Bước 2. Cập nhật TTL bản ghi MX hiện có trong công ty đăng ký DNS

  1. Đăng nhập vào công ty đăng ký DNS của bạn
  2. Chỉnh sửa bản ghi MX hiện có
  3. Giảm TTL cho bản ghi MX hiện tại của bạn xuống 1 phút
  4. Đảm bảo rằng mức độ ưu tiên bản ghi MX của bạn được đặt thành 0 hoặc 10
  5. Nhấp vào Lưu

  1. Đợi TTL trước đó hết hạn trước khi tiếp tục. Ví dụ: nếu TTL của bản ghi MX hiện tại là 1 giờ thì bạn phải đợi 1 giờ trước khi tiếp tục bước tiếp theo.

Bước 3. Kết nối với Exchange Online PowerShell

Chạy PowerShell với tư cách quản trị viên và Kết nối với Exchange Online PowerShell.

Connect-ExchangeOnline

Bước 4. Kích hoạt DNSSEC cho tên miền

Kích hoạt DNSSEC cho tên miền bằng lệnh bên dưới.

Enable-DnssecForVerifiedDomain -DomainName "alitajran.com"

Đầu ra bên dưới xuất hiện.

DnssecMxValue                   Result  ErrorData
-------------                   ------  ---------
alitajran-com.k-v1.mx.microsoft Success

Bước 5. Thêm bản ghi MX mới vào công ty đăng ký DNS

  1. Đi tới công ty đăng ký DNS của bạn
  2. Tạo bản ghi MX mới
  3. Sao chép DnssecMxValue từ đầu ra ở bước trước và dán nó vào làm giá trị
  4. Đặt TTL thành 1 phút
  5. Đặt mức độ ưu tiên của bản ghi MX mới thành 20
  6. Nhấp vào Lưu

Bước 6. Xác minh bản ghi MX mới

  1. Đi tới phần kiểm tra Email SMTP gửi đến
  2. Điền vào địa chỉ email kết thúc bằng tên miền của bạn
  3. Nhấp vào Thực hiện kiểm tra

  1. Kết quả đầu ra cho thấy quá trình kiểm tra thành công đối với MX kết thúc bằng mx.microsoft

Bước 7. Xóa bản ghi MX cũ trong công ty đăng ký DNS

  1. Đi tới công ty đăng ký DNS của bạn
  2. Xóa bản ghi MX cũ

Bước 8. Thay đổi bản ghi MX mới ưu tiên trong công ty đăng ký DNS

  1. Chỉnh sửa bản ghi MX mới trong công ty đăng ký DNS
  2. Thay đổi mức độ ưu tiên thành 0
  3. Nhấp vào Lưu

Bước 9. Xác minh xác thực DNSSEC

  1. Đi tới Kiểm tra xác thực DNSSEC và DANE
  2. Điền vào tên miền
  3. Đảm bảo rằng bạn chọn loại thử nghiệm Xác thực DNSSEC
  4. Nhấp vào Thực hiện kiểm tra

  1. Màn hình hiển thị Kiểm tra xác thực DNSSEC thành công đối với MX kết thúc bằng mx.microsoft

Bước 10. Kích hoạt Inbound SMTP DANE cho miền

Kích hoạt Inbound SMTP DANE cho miền bằng lệnh bên dưới khi bạn vẫn kết nối với Exchange Online PowerShell.

Enable-SmtpDaneInbound -DomainName "alitajran.com"

Đầu ra bên dưới xuất hiện.

Result  ErrorData
------  ---------
Success

Quan trọng: Hãy đợi 15-30 phút trước khi bạn tiếp tục vì bản ghi TLSA cần được phổ biến.

Bước 11. Xác minh xác thực DANE (bao gồm DNSSEC)

  1. Đi tới Kiểm tra xác thực DNSSEC và DANE
  2. Điền vào tên miền
  3. Đảm bảo rằng bạn chọn loại thử nghiệm Xác thực DANE (bao gồm DNSSEC)
  4. Nhấp vào Thực hiện kiểm tra

  1. Màn hình hiển thị Kiểm tra xác thực DANE (bao gồm DNSSEC) thành công đối với MX kết thúc bằng mx.microsoft

Lưu ý: Exchange Online lưu trữ nhiều bản ghi TLSA để tăng độ tin cậy cho việc xác thực SMTP DANE thành công. Dự kiến một số bản ghi TLSA có thể không được xác thực. Chỉ cần 1 bản ghi TLSA vượt qua quá trình xác thực, SMTP DANE được định cấu hình chính xác và email được bảo mật bằng SMTP DANE.

Thế thôi!

Đọc thêm: Cách kiểm tra SPF/DKIM/DMARC đã được đặt chính xác chưa »

Phần kết luận

Bạn đã tìm hiểu cách thiết lập Inbound SMTP DANE bằng DNSSEC trong Exchange Online. Mọi tổ chức Microsoft 365 nên đặt cấu hình điều này cho các miền được chấp nhận của họ trong Exchange Online để bảo mật luồng thư đến của mình. Hãy nhớ rằng nó hoàn toàn miễn phí.

Bạn có thích bài viết này không? Bạn cũng có thể thích Trình phân tích cấu hình được đề xuất của Office 365. Đừng quên theo dõi chúng tôi và chia sẻ bài viết này.

Bài viết liên quan