Triển khai Force TLS bằng cách sử dụng Quy tắc vận chuyển & Định tuyến thư có điều kiện | Trao đổi trực tuyến | Phần 11#12
Trong bài viết hiện tại, chúng tôi sẽ xem xét tùy chọn triển khai tùy chọn Buộc TLS bằng cách sử dụng quy tắc Exchange Transport & Định tuyến thư có điều kiện. Tùy chọn Định tuyến thư có điều kiện được triển khai bằng cách kết hợp hai thành phần Exchange Online khác nhau:
- Trao đổi trực tuyến
- Trình kết nối thư trực tuyến Exchange
Vs. việc triển khai Bắt buộc TLS trước đó bằng cách sử dụng “quy tắc Exchange Online Transport đơn giản” mà chúng tôi đã xem xét trong bài viết trước, tùy chọn Định tuyến thư có điều kiện cho phép chúng tôi xác định các cài đặt cấp độ phức tạp hơn liên quan đến luồng TLS.
Quy tắc Exchange Online Transport chịu trách nhiệm xác định điều kiện cụ thể cần được thực hiện. Khi điều kiện được thực hiện, giao tiếp TLS sẽ được triển khai bằng cách “kích hoạt” trình kết nối thư Exchange Online (gửi đi hoặc trình kết nối thư gửi đến ).
Trình kết nối thư Exchange Online chịu trách nhiệm định cấu hình Buộc TLS cụ thể được đặt với “thư khác máy chủ ". Ví dụ: yêu cầu nhận dạng bằng cách cung cấp chứng chỉ công cộng, v.v.
Buộc TLS sử dụng quy tắc Exchange Transport & Mô tả kịch bản định tuyến thư có điều kiện
Để minh hoạ cách sử dụng Exchange Quy tắc truyền tải & Định tuyến thư có điều kiện, hãy sử dụng kịch bản sau:
Tổ chức của chúng tôi được lưu trữ tại Exchange Online và được đại diện bởi tên miền công cộng - o365pilot.com
Chúng tôi có một đối tác kinh doanh sử dụng tên miền - thankyouforsharing.org
Bob (Bobb@o365pilot.com là người quản lý tài khoản của công ty chúng tôi và chúng tôi cần đảm bảo rằng mỗi lần Bob gửi thông báo E-mail đến người quản lý tài khoản của đối tác kinh doanh của chúng tôi , đối với người nhận có tên - Ayelet@thankyouforsharing.org, việc liên lạc bằng thư phải được triển khai qua kênh liên lạc an toàn, nghĩa là - sử dụng giao thức TLS để mã hóa đường dây liên lạc.
Nhu cầu kinh doanh trong trường hợp của chúng tôi là đặt cấu hình Exchange Online Trình kết nối ngoài sẽ thực thi các yêu cầu sau:
Khi máy chủ Exchange Online cần gửi thông báo E-mail đến người nhận có tên miền - thankyouforsharing.org, máy chủ Exchange Online sẽ “đồng ý” chỉ tạo luồng thư khi các điều khoản sau đây được thực hiện:
- Việc liên lạc qua thư sẽ cần được thực hiện bằng cách sử dụng đường dây liên lạc được mã hóa (TLS).
- “Máy chủ bên ngoài” (Exchange on-Premises) phải hỗ trợ TLS.
- “Máy chủ bên ngoài” (Exchange on-Premises) phải tự nhận dạng mình bằng chứng chỉ công cộng đáng tin cậy.
- Chứng chỉ công khai của “máy chủ bên ngoài” phải bao gồm tên máy chủ cụ thể sẽ phê duyệt danh tính của máy chủ thư - o365pilot.com
- Trong giai đoạn đầu tiên, chúng tôi sẽ tạo một Trình kết nối ngoài tùy chỉnh sẽ bao gồm tất cả cài đặt cấu hình bắt buộc dành cho luồng Buộc TLS với máy chủ thư đại diện cho tổ chức Thankyouforsharing.org.
- Trong giai đoạn thứ hai, chúng tôi sẽ tạo quy tắc Exchange Online Transport tùy chỉnh sẽ bao gồm điều kiện (Thông báo email được Bob gửi tới Ayelet@thankyouforsharing.org), sau đó chúng tôi sẽ “liên kết” quy tắc Vận chuyển với Trình kết nối gửi đi đã được tạo ở giai đoạn trước.
Bước 1#2 - Trao đổi trực tuyến | Tạo và định cấu hình Trình kết nối ngoài | Dùng vũ lực TLS
Để tạo trình kết nối gửi đi Exchange Online yêu cầu, chúng tôi sẽ sử dụng các bước sau:
- Đăng nhập vào trung tâm quản trị Exchange Online
- Trên menu thanh bên trái, chọn luồng thư
- Trên menu thanh trên cùng, chọn trình kết nối
- Nhấp vào dấu hiệu plus để tạo trình kết nối thư mới
Chúng ta cần định cấu hình luồng thư của thư được gửi từ Exchange Online tới “phía bên kia”.
Trong hộp tùy chọn Từ:, hãy chọn - Office 365
Trong hộp tùy chọn Tới:, hãy chọn - Tổ chức đối tác
Trong hộp văn bản *name, hãy viết tên phù hợp với nhu cầu của bạn.
Đề xuất của tôi là sử dụng tên mô tả + mô tả để trong tương lai, trong trường hợp xử lý sự cố, bạn sẽ dễ dàng hiểu được mục đích của một trình kết nối thư cụ thể.
Từ màn hình tiếp theo, chúng ta sẽ chọn tùy chọn - Chỉ khi tôi thiết lập quy tắc truyền tải mới chuyển hướng thư đến trình kết nối này
Ý nghĩa của tùy chọn này là - chúng tôi “đánh dấu” hoặc “gắn cờ ” cho Exchange Online Trình kết nối bên ngoài làm trình kết nối có thể được sử dụng bởi quy tắc Exchange Transport.
Sau đó, trong phần Bước 2#2 - Triển khai TLS bắt buộc bằng quy tắc vận chuyển & Định tuyến thư có điều kiện, trong đó chúng tôi sẽ giải thích cách “liên kết ” Trình kết nối gửi đi tới một quy tắc truyền tải TLS cụ thể, chúng ta sẽ thấy trình kết nối này trong danh sách các trình kết nối tùy chọn mà chúng ta có thể chọn.
Trong màn hình tiếp theo, chúng ta sẽ cần quyết định cách “xác định” máy chủ thư đích.
Chúng ta có thể chọn giữa hai lựa chọn.
- Bản ghi MX - một phương thức trong đó máy chủ Exchange Online sẽ truy vấn máy chủ DNS để tìm kiếm bản ghi MX cho một tên miền đích cụ thể.
- Máy chủ thông minh - một phương pháp trong đó chúng tôi “bắt buộc” máy chủ thư của mình phải xử lý một địa chỉ IP cụ thể hoặc tên máy chủ cụ thể.
Trong trường hợp của chúng tôi, chúng tôi sẽ chọn tùy chọn bản ghi MX: Sử dụng bản ghi MX được liên kết với miền của đối tác.
Trong màn hình tiếp theo, chúng tôi sẽ định cấu hình tùy chọn Buộc TLS + quyết định cách Exchange Online sẽ xác định “máy chủ thư đích”.
Trong trường hợp cụ thể của chúng tôi, chúng tôi cần triển khai các yêu cầu bảo mật hạn chế nhất bao gồm các tham số sau:
- Luồng thư phải được triển khai bằng cách sử dụng TLS.
- Rằng “máy chủ thư khác”, sẽ cần phải chứng minh danh tính của mình bằng cách cung cấp chứng chỉ công khai được tạo bởi CA đáng tin cậy.
- Chứng chỉ mà “máy chủ thư khác ” cung cấp phải bao gồm tên máy chủ - thankyouforsharing.org
1. Chọn tùy chọn - Luôn sử dụng Bảo mật lớp truyền tải (TLS) để bảo mật kết nối (được khuyến nghị).
Đây là phần chúng tôi hướng dẫn Exchange Online sử dụng Buộc TLS
2. Trong phần Chỉ kết nối nếu chứng chỉ máy chủ email của người nhận phù hợp với tiêu chí này, chúng ta sẽ chọn tùy chọn - Được cấp bởi cơ quan cấp chứng chỉ đáng tin cậy (CA)
Đây là phần mà chúng tôi hướng dẫn Exchange Online chỉ phê duyệt liên lạc qua thư nếu “máy chủ thư khác” có thể cung cấp chứng chỉ công khai.
3. Ngoài ra, chúng tôi sẽ chọn tùy chọn: Atìm tên chủ đề hoặc tên thay thế chủ đề (SAN) khớp với tên miền này.
Trong trường hợp cụ thể của chúng tôi, máy chủ thư đích đại diện cho tên miền - thankyouforsharing.org, chúng tôi phải cung cấp chứng chỉ công khai bao gồm tên máy chủ - thankyouforsharing.org
Đây là phần mà chúng tôi hướng dẫn Exchange Online chỉ phê duyệt liên lạc qua thư nếu chứng chỉ mà “máy chủ thư khác” cung cấp bao gồm tên máy chủ cụ thể.
Trên màn hình tiếp theo, chúng ta có thể thấy bản tóm tắt các cài đặt cấu hình.
Màn hình tiếp theo phục vụ cho việc sử dụng “quy trình kiểm tra”, trong đó Exchange Online sẽ cố gắng gửi một thông báo E-mail đến người nhận từ “miền đích”, xuất hiện trong quy tắc TLS truyền tải đã tạo.
Lời nhắc nhanh, quy tắc truyền tải TLS của Exchange Online, liên quan đến trường hợp trong đó thư được gửi đến người nhận bên ngoài sử dụng địa chỉ E-mail - Ayelet@thankyouforsharing.org
Trong trường hợp cụ thể của chúng tôi, chúng tôi sẽ sử dụng địa chỉ E-mail - Ayelet@thankyouforsharing.org
Lưu ý rằng yêu cầu tạo E-mail kiểm tra là “bắt buộc. ”
Bạn không thể hoàn tất cấu hình Trình kết nối ngoài mà không hoàn thành thư kiểm tra.
Sau khi hoàn thành “giai đoạn thử nghiệm”, bạn có thể lưu cài đặt Outbound Connector .
Nhấp vào ký hiệu plus và thêm địa chỉ E-mail của “người nhận đích ”.< br>Exchange Online sẽ cố gắng xác minh xem liệu anh ta có thể gửi E-mail đến “người nhận đích” bằng TLS hay không và thử kiểm tra xem máy chủ thư của “người nhận mục tiêu” có đáp ứng các điều kiện nhận dạng hay không.
Trên màn hình tiếp theo, chúng ta có thể thấy rằng - “E-mail kiểm tra,” đã hoàn thành.
Lưu ý rằng thực tế là giai đoạn “Email kiểm tra ” đã hoàn tất không có nghĩa là E-mail đã được gửi thành công đến người nhận đích.
Trên màn hình tiếp theo, chúng ta sẽ có thể biết E-mail có đến đích hay không.
Trên màn hình tiếp theo, chúng ta có thể thấy rằng “kiểm tra thư ” đã được hoàn thành thành công (Đã thành công).
Ý nghĩa là:
- Máy chủ thư đích đại diện cho tên miền thankyouforsharing.org được định vị bằng cách sử dụng bản ghi MX.
- Máy chủ thư đích đại diện cho tên miền thankyouforsharing.org hỗ trợ TLS.
- Máy chủ thư đích đại diện cho tên miền thankyouforsharing.org có chứng chỉ công cộng hợp lệ + chứng chỉ bao gồm tên máy chủ bắt buộc (mail.thankyouforsharing.org ).
Trong trường hợp muốn biết thêm thông tin chi tiết về luồng thư, chúng ta có thể chọn bút chì biểu tượng.
Trong ảnh chụp màn hình sau, chúng ta có thể thấy kết quả. Một Trình kết nối ra mới đã được tạo.
Chúng ta có thể hiểu rằng đây là “Trình kết nối ra ” bởi vì, trong phần “FROM ”, chúng ta có thể thấy nguồn là - Office 365 và “TO ” là tổ chức đối tác.
Bước 2#2 - Triển khai Force TLS bằng cách sử dụng Quy tắc vận chuyển & Định tuyến thư có điều kiện
Trong phần hiện tại, chúng ta sẽ xem xét các bước bắt buộc cần triển khai để tạo cấu hình của Buộc TLS, sử dụng Quy tắc truyền tải & Định tuyến thư có điều kiện .
Xin nhắc lại một chút, ở bước trước, chúng tôi đã tạo Trình kết nối bên ngoài của Exchange Online bao gồm tất cả “Buộc cài đặt TLS ” mà chúng tôi cần để gửi địa chỉ E-mail cho đối tác kinh doanh của mình tổ chức (thankyouforsharing.org).
Trong giai đoạn hiện tại, chúng tôi sẽ tạo quy tắc truyền tải Exchange Online để xử lý “điều kiện” cần đáp ứng để kích hoạt quy tắc truyền tải.
Trong trường hợp của chúng tôi, điều kiện là - thư được gửi từ Bobb@o365pilot.com tới người nhận đích Ayelet@thankyouforsharing.org phải dựa trên kênh bảo mật sử dụng TLS.
Chúng ta sẽ cần phải “ràng buộc ” “điều kiện” này trong quy tắc truyền tải Exchange Online với Exchange Online Thư gửi đi trình kết nối thư.
Trình kết nối thư Exchange Online Thư gửi đi sẽ gửi thư E-mail bằng TLS (và sẽ cần xác định máy chủ thư đích).
Việc triển khai “chuyển tiếp ” thư E-mail tới trình kết nối thư dựa trên điều kiện cụ thể được mô tả là - Định tuyến thư có điều kiện
Các bước cần triển khai để tạo quy tắc Truyền tải và Định tuyến Thư có Điều kiện như sau:
- Đăng nhập vào trung tâm quản trị Exchange Online
- Trên menu thanh bên trái, chọn luồng thư
- Trên menu thanh trên cùng, chọn quy tắc
- Chọn biểu tượng plus để tạo quy tắc Vận chuyển mới
Chọn tùy chọn - Tạo quy tắc mới…
Trong hộp văn bản *Tên, hãy viết tên phù hợp với nhu cầu của bạn.
- Trong hộp tùy chọn - Áp dụng quy tắc này nếu…, hãy chọn tùy chọn. Người gửi là….
Trong trường hợp cụ thể của chúng tôi, “người nhận nguồn” là Bob. Chọn tên người nhận được yêu cầu và nhấp vào nút add-> để thêm tên người nhận đã được chọn.
Một vấn đề quan trọng mà tôi muốn nhấn mạnh là giao diện trình hướng dẫn quy tắc truyền tải của Exchange Online hơi phức tạp một chút!
Theo mặc định, giao diện hướng dẫn của các quy tắc truyền tải sẽ chỉ hiển thị một số tùy chọn giới hạn.
Để “tiết lộ” các tùy chọn bổ sung có sẵn, hãy nhấp vào liên kết Tùy chọn khác…
Trong trường hợp cụ thể của chúng tôi, chúng tôi muốn tiếp tục “điều kiện” của quy tắc truyền tải bằng cách thêm “người nhận đích” - Ayelet@thankyouforsharing.org
Trong ảnh chụp màn hình sau, chúng ta có thể thấy rằng trước khi nhấp vào liên kết Tùy chọn khác…, không có không có tùy chọn để thêm bước bổ sung vào điều kiện quy tắc vận chuyển.
Trong ảnh chụp màn hình sau, chúng ta có thể thấy rằng sau khi nhấp vào liên kết Tùy chọn khác…, chúng ta sẽ thấy một hộp bổ sung có tên - và
Nhấp vào hộp và rồi chọn tùy chọn - Người nhận và trong menu phụ, chọn đây có phải là người
Trong hầu hết các trường hợp, trong trường hợp người nhận đích là người nhận bên ngoài, tên người nhận sẽ không xuất hiện trong GAL (Danh sách địa chỉ chung).
Để có thể thêm địa chỉ E-mail của người nhận đích, chúng ta sẽ viết địa chỉ E-mail vào hộp văn bản kiểm tra tên rồi nhấp vào Nút >kiểm tra tên.
Sau khi chúng ta nhấp vào kiểm tra tên, tên người nhận sẽ xuất hiện trong hộp thêm
Cho đến thời điểm hiện tại, chúng tôi đã định cấu hình phần đầu tiên của quy tắc truyền tải Exchange Online, phần xác định “điều kiện” (IF X).
Bây giờ, chúng ta sẽ định cấu hình phần thứ hai xác định “hành động” (THÌ Y).
Chọn hộp tùy chọn - *Thực hiện như sau…
Chọn tùy chọn - Chuyển hướng tin nhắn đến… và trong menu phụ, chọn tùy chọn - trình kết nối sau
Danh sách xuất hiện sẽ bao gồm tất cả trình kết nối thư Exchange Online đã được định cấu hình bằng tùy chọn trên - Chỉ khi tôi thiết lập quy tắc truyền tải sẽ chuyển hướng thư đến trình kết nối này (đã được định cấu hình ở bước trước).
Trong ví dụ cụ thể của chúng tôi, chúng tôi sẽ chọn Exchange Online Trình kết nối ngoài được định cấu hình với cài đặt bắt buộc để sử dụng Bắt buộc TLS và xác định máy chủ thư đích đại diện cho miền thankyouforsharing.org
Trong ảnh chụp màn hình sau, chúng ta có thể thấy kết quả.
“Phần trên cùng” của quy tắc Exchange Online Transport xác định điều kiện.
“Phần dưới cùng” mô tả hành động - định tuyến thư E-mail qua trình kết nối thư Exchange Online.
Xác minh quy tắc Vận chuyển định tuyến thư có điều kiện
Trong phần tiếp theo, chúng ta sẽ kiểm tra xem quy tắc Vận chuyển Định tuyến Thư Có Điều kiện có được triển khai bằng cách sử dụng thông báo Exchange Online để theo dõi hay không.
Chúng tôi sẽ “yêu cầu” Bob gửi E-mail đến người nhận Ayelet@thankyouforsharing.org, sau đó tìm kiếm thông tin về E-mail trong dấu vết thư.
- Đăng nhập vào trung tâm quản trị Exchange Online
- Trên menu thanh bên trái, chọn luồng thư
- Trên menu thanh trên cùng, chọn menu dấu vết tin nhắn
- Chúng tôi sẽ tìm kiếm một E-mail được gửi bởi Bob - Trong hộp Sender:, chúng tôi sẽ thêm Bob bằng cách nhấp vào thêm người gửi… và chọn Bob
Trong ảnh chụp màn hình sau, chúng ta có thể xem thông tin về tin nhắn E-mail được Bob gửi tới Ayelet@thankyouforsharing.org
Trong hàng SỰ KIỆN, chúng ta có thể thấy rằng thông báo E-mail đã được "xử lý" theo quy tắc truyền tải.
Trong hàng HÀNH ĐỘNG , chúng ta có thể thấy luồng được coi là - RouteMessageUsingConnector
Tóm tắt và bài viết tiếp theo
Trong bài viết hiện tại, chúng tôi đã xem xét cài đặt cấu hình bắt buộc cần thiết để triển khai tùy chọn Buộc TLS sử dụng Exchange Quy tắc truyền tải & Định tuyến thư có điều kiện .
Trong bài viết tiếp theo (Exchange Force TLS | Khắc phục sự cố và xác minh luồng thư an toàn | Phần 12#12), chúng ta sẽ xem xét chủ đề khắc phục sự cố trong kịch bản luồng thư TLS