Verwalten des Nachrichtenflusses mithilfe eines Clouddiensts eines Drittanbieters mit Exchange Online

In diesem Thema werden die folgenden komplexen Nachrichtenübermittlungsszenarien mithilfe von Exchange Online behandelt:

Szenario 1: MX-Eintrag verweist auf den Spamfilterdienst eines Drittanbieters

Szenario 2: MX-Eintrag verweist auf die Drittanbieterlösung ohne Spamfilterung

Hinweis

In den Beispielen in diesem Thema wird der fiktive organization Contoso verwendet, der Besitzer der Domäne contoso.com und Mandant in Exchange Online ist. Dies ist nur ein Beispiel. Sie können dieses Beispiel anpassen, um es ggf. an den Domänennamen Ihrer Organisation und die IP-Adressen von Drittanbietern anzupassen.

Verwenden eines Clouddiensts eines Drittanbieters mit Microsoft 365 oder Office 365

Szenario 1: MX-Eintrag verweist auf den Spamfilterdienst eines Drittanbieters

Wichtig

Microsoft empfiehlt dringend, die erweiterte Filterung für Connectors zu aktivieren oder die Filterung mithilfe einer Nachrichtenflussregel vollständig zu umgehen (siehe Punkt 5). Wenn Sie diesen Schritt nicht befolgen, führt dies unweigerlich zu einer Fehlklassifizierung des eingehenden Hauptbereichs in Ihrer organization und zu einer unterdurchschnittlichen Erfahrung bei den Microsoft 365 E-Mail- und Schutzfunktionen.

Microsoft empfiehlt außerdem, Dienste von Drittanbietern, die Nachrichten während der Übertragung ändern, als vertrauenswürdige ARC-Versiegelungsgeräte hinzuzufügen, sofern der Dienst die ARC-Versiegelung unterstützt. Fügen Sie den Dienst als vertrauenswürdigen ARC-Versiegeler hinzu Hilft betroffenen Nachrichten dabei, E-Mail-Authentifizierungsprüfungen zu bestehen, und verhindert, dass legitime Nachrichten in den Junk-Email-Ordner verschoben, unter Quarantäne gestellt oder abgelehnt werden. Dienste von Drittanbietern, die Nachrichten ändern und die ARC-Versiegelung nicht unterstützen, machen die DKIM-Signaturen dieser Nachrichten ungültig. In diesen Fällen sollten Sie den Bericht über Spooferkennungen überprüfen und Zulassungseinträge für gefälschte Absender erstellen , um E-Mail-Authentifizierungsfehler für legitime Nachrichten außer Kraft zu setzen.

Ich plane, Exchange Online zum Hosten aller Postfächer meiner Organization zu verwenden. Meine organization verwendet einen Drittanbieter-Clouddienst für die Spam-, Schadsoftware- und Phishingfilterung. Alle E-Mails aus dem Internet müssen zunächst von diesem Clouddienst eines Drittanbieters gefiltert werden, bevor sie an Microsoft 365 oder Office 365 weitergeleitet werden.

In diesem Szenario sieht der Nachrichtenfluss in Ihrer Organisation aus wie im folgenden Diagramm dargestellt:

Nachrichtenflussdiagramm, das eingehende E-Mails aus dem Internet zu einem Filterdienst eines Drittanbieters zu Microsoft 365 oder Office 365 und ausgehende E-Mails von Microsoft 365 oder Office 365 zum Internet zeigt.

Bewährte Methoden für die Verwendung eines Cloudfilterdiensts eines Drittanbieters mit Microsoft 365 oder Office 365

  1. Fügen Sie Ihre benutzerdefinierten Domänen in Microsoft 365 oder Office 365 hinzu. Um nachzuweisen, dass Sie der Besitzer der Domänen sind, folgen Sie den Anweisungen unter Hinzufügen einer Domäne zu Microsoft 365.

  2. Erstellen Sie Benutzerpostfächer in Exchange Online, oder verschieben Sie die Postfächer aller Benutzer nach Microsoft 365 oder Office 365.

  3. Aktualisieren der DNS-Einträge für die Domänen, die Sie in Schritt 1 hinzugefügt haben. (Sie wissen nicht genau, wie das geht? Folgen Sie den Anweisungen auf dieser Seite.) Die folgenden DNS-Einträge steuern den Nachrichtenfluss:

    • MX-Eintrag: Der MX-Eintrag Ihrer Domain muss auf Ihren Drittanbieter verweisen. Befolgen Sie die entsprechenden Richtlinien für das Konfigurieren Ihres MX-Eintrags.

    • SPF-Eintrag: Alle E-Mails, die von Ihrer Domäne an das Internet gesendet werden, stammen aus Microsoft 365 oder Office 365, sodass Ihr SPF-Eintrag den Standardwert für Microsoft 365 oder Office 365 erfordert:

      v=spf1 include:spf.protection.outlook.com -all

      Sie müssen den Drittanbieterdienst nur dann in Ihren SPF-Eintrag aufnehmen, wenn Ihre organization ausgehende Internet-E-Mails über den Dienst sendet (wobei der Drittanbieterdienst eine Quelle für E-Mails aus Ihrer Domäne wäre).

    Wenn Sie dieses Szenario konfigurieren, wird der "Host", den Sie für den Empfang von E-Mails vom Drittanbieterdienst konfigurieren müssen, im MX-Eintrag angegeben. Zum Beispiel:

    Beispiel für den Hostnamenwert.

    In diesem Beispiel sollte der Hostname für den Microsoft 365- oder Office 365-Host hubstream-mx.mail.protection.outlook.com lauten. Dieser Wert kann von Domäne zu Domäne variieren. Überprüfen Sie daher Ihren Wert unter Konfigurationsdomäne>><auswählen, um> den tatsächlichen Wert zu bestätigen.

  4. Sperren Sie Ihre Exchange Online organization, damit nur E-Mails von Ihrem Drittanbieterdienst akzeptiert werden.

    Erstellen und konfigurieren Sie einen eingehenden Partnerconnector mit den Parametern TlsSenderCertificateName (bevorzugt) oder SenderIpAddresses , und legen Sie dann die entsprechenden Parameter RestrictDomainsToCertificate oder RestrictDomainsToIPAddresses auf $True fest. Alle Nachrichten, die als Smarthost direkt an Exchange Online weitergeleitet werden, werden abgelehnt (da sie nicht über eine Verbindung mit dem angegebenen Zertifikat oder von den angegebenen IP-Adressen empfangen wurden).

    Zum Beispiel:

    New-InboundConnector -Name "Reject mail not routed through MX (third-party service name)" -ConnectorType Partner -SenderDomains * -RestrictDomainsToCertificate $true -TlsSenderCertificateName *.contoso.com -RequireTls $true

    oder

    New-InboundConnector -Name "Reject mail not routed through MX (third-party service name)" -ConnectorType Partner -SenderDomains * -RestrictDomainsToIPAddresses $true -SenderIpAddresses <#static list of on-premises IPs or IP ranges of the third-party service>

    Hinweis

    Wenn Sie bereits über einen lokalen Eingangsconnector für dasselbe Zertifikat oder dieselben Absender-IP-Adressen verfügen, müssen Sie trotzdem den eingehenden Partnerconnector erstellen (die Parameter RestrictDomainsToCertificate und RestrictDomainsToIPAddresses werden nur auf Partnerconnectors angewendet). Die beiden Anschlüsse können problemlos nebeneinander bestehen.

  5. Für diesen Schritt gibt es zwei Optionen:

    • Verwenden der erweiterten Filterung für Connectors (dringend empfohlen): Verwenden Sie die erweiterte Filterung für Connectors (auch als Skiplisting bezeichnet) für den eingehenden Partnerconnector, der Nachrichten von der Drittanbieteranwendung empfängt. Dies ermöglicht das Scannen der Nachrichten durch Cloud-E-Mail-Schutz.

      Hinweis

      Für Hybridszenarien, in denen Drittanbieteranwendungen zum Senden an Exchange Online auf einen lokalen Exchange-Server angewiesen sind, müssen Sie auch die erweiterte Filterung für Connectors im lokalen Eingangsconnector in Exchange Online aktivieren.

    • Umgehen der Spamfilterung: Verwenden Sie eine Nachrichtenflussregel (auch als Transportregel bezeichnet), um die Spamfilterung zu umgehen. Diese Option verhindert die meisten Kontrollen des Cloud-E-Mail-Schutzes und somit doppelte Antispamprüfungen.

      Nachrichtenflussregel zur Verhinderung von Doppelüberprüfungen.

      Wichtig

      Anstatt die Spamfilterung mithilfe einer Nachrichtenflussregel zu umgehen, wird dringend empfohlen, die erweiterte Filterung für Connector (auch als Auflistung überspringen bezeichnet) zu aktivieren. Die meisten Cloud-Antispamanbieter von Drittanbietern teilen IP-Adressen vieler Kunden. Das Umgehen des Scannens auf diesen IP-Adressen kann Spoofing- und Phishing-Nachrichten von diesen IP-Adressen ermöglichen.

Szenario 2: MX-Eintrag verweist auf die Drittanbieterlösung ohne Spamfilterung

Ich plane, Exchange Online zum Hosten aller Postfächer meiner Organization zu verwenden. Alle E-Mails, die aus dem Internet an meine Domäne gesendet werden, müssen zuerst einen Archivierungs- oder Überwachungsdienst eines Drittanbieters durchlaufen, bevor sie in Exchange Online ankommen. Alle ausgehenden E-Mails, die von meinem Exchange Online organization an das Internet gesendet werden, müssen ebenfalls über den Dienst fließen. Der Dienst bietet jedoch keine Spamfilterlösung.

Dieses Szenario erfordert die Verwendung der erweiterten Filterung für Connectors. Andernfalls scheinen E-Mails von allen Internetabsendern vom Drittanbieterdienst zu stammen und nicht von den wahren Quellen im Internet.

Nachrichtenflussdiagramm mit eingehenden E-Mails aus dem Internet zu einer Drittanbieterlösung zu Office 365 oder Microsoft 365 und ausgehenden E-Mails von Microsoft 365 oder Office 365 zur Drittanbieterlösung und dann ins Internet.

Bewährte Methoden für die Verwendung eines Clouddiensts eines Drittanbieters mit Microsoft 365 oder Office 365

Es wird dringend empfohlen, die Archivierungs- und Überwachungslösungen zu verwenden, die von Microsoft 365 und Office 365 bereitgestellt werden.

Wichtig

Es gibt ein 3. Szenario, in dem der MX-Eintrag auf Microsoft 365 verweist, der Drittanbieterdienst jedoch nach Microsoft 365 ausgeführt wird. In diesem Setup verlassen E-Mails die Microsoft 365-Umgebung und werden zur Spam-, Schadsoftware- und Phishing-Filterung an den Drittanbieterdienst weitergeleitet. Nach der Filterung kehren die Nachrichten zu Microsoft 365 zurück. Weitere Details zu dieser Einrichtung, einschließlich ihrer Herausforderungen und Komplexitäten, finden Sie im Artikel Integration über Ein- und Aus-E-Mail-Routing

Siehe auch

Bewährte Methoden für den Nachrichtenfluss für Exchange Online, Microsoft 365, Office 365 (Übersicht)

Einige Nachrichten werden nicht über die lokale organization weitergeleitet, wenn Sie den zentralen E-Mail-Transport verwenden

Einrichten von Connectors für den sicheren Nachrichtenfluss mit einer Partnerorganisation

Verwalten aller Postfächer und des Nachrichtenflusses mit Microsoft 365 oder Office 365

Verwalten des Nachrichtenflusses mit Postfächern an mehreren Standorten (Microsoft 365 oder Office 365 und lokales Exchange)

Verwalten des Nachrichtenflusses mithilfe eines Clouddiensts eines Drittanbieters mit Exchange Online und lokalen Postfächern

Problembehandlung bei Microsoft 365- oder Office 365-Nachrichtenfluss

Testen des Nachrichtenflusses durch Überprüfen Ihrer Connectors

  • Last updated on