Configurare Microsoft 365 per usare Clean Mailbox come gateway in ingresso

Perché è necessaria questa configurazione

Quando Microsoft 365 (Exchange Online) riceve un'email inoltrata da Clean Mailbox, vede l'indirizzo IP dei nostri server anziché quello del mittente originale. Se il dominio mittente applica un record SPF rigido (-all) e una policy DMARC rigida (p=quarantine o p=reject), Microsoft può trattare l'email come non autenticata — dato che l'IP di Clean Mailbox non è elencato nel record SPF del mittente — e bloccarla o metterla in quarantena, anche se ha superato completamente i nostri filtri antispam e antimalware.

Si tratta di un comportamento previsto di Microsoft 365, non di un malfunzionamento di Clean Mailbox: inoltrare email per tuo conto è esattamente ciò che fa un gateway di sicurezza in ingresso (Clean Mailbox così come Proofpoint, Mimecast o Barracuda), e va dichiarato come fonte attendibile lato Microsoft 365.

Questa guida è destinata all'amministratore del dominio (o al tuo fornitore IT) e descrive una configurazione da eseguire una sola volta, dopo aver puntato i tuoi record MX a Clean Mailbox.

Indirizzi IP da autorizzare

Clean Mailbox inoltra le tue email in ingresso dai seguenti indirizzi. Ti serviranno per entrambi i passaggi qui sotto.

Questo primo passaggio indica alla protezione antispam integrata di Microsoft 365 (Microsoft Defender) di trattare i nostri server come fonte attendibile.

1. Aprire il centro sicurezza di Microsoft Defender

Dall'interfaccia di amministrazione di Microsoft 365, apri Tutti i centri di amministrazione, poi clicca su Sicurezza.

2. Andare ai criteri antispam

Nel menu a sinistra di Microsoft Defender, vai su Posta elettronica e collaborazione → Criteri e regole, poi apri Criteri per le minacce.

3. Aprire Antispam

Nell'elenco dei criteri, clicca su Antispam.

4. Aprire il criterio del filtro connessioni

Nella pagina Criteri antispam, clicca su Criterio filtro connessioni (Predefinito).

5. Aggiungere gli IP di Clean Mailbox all'elenco degli indirizzi consentiti

Nel campo Consenti sempre i messaggi provenienti dai seguenti indirizzi IP o intervalli di indirizzi, aggiungi gli indirizzi IPv4 elencati sopra (uno alla volta, nel formato x.x.x.x/32), seleziona Attiva elenco sicuro, poi clicca su Salva.

Il passaggio precedente indica a Microsoft che Clean Mailbox è una fonte attendibile, ma da solo non sempre impedisce i rifiuti legati a SPF/DMARC. La regola del flusso di posta descritta di seguito obbliga esplicitamente Microsoft 365 ad aggirare il filtro antispam per qualsiasi email inoltrata da Clean Mailbox.

1. Aprire l'interfaccia di amministrazione di Exchange

Da Tutti i centri di amministrazione, questa volta clicca su Exchange.

2. Aprire le regole del flusso di posta

Nel menu a sinistra, apri Flusso di posta → Regole, poi clicca su Aggiungi una regola → Crea una nuova regola.

3. Impostare la condizione

Assegna alla regola un nome chiaro (ad esempio Bypass antispam - Clean Mailbox), poi imposta la condizione:

• Applica questa regola se → Il mittente → L'indirizzo IP è compreso in uno di questi intervalli o corrisponde esattamente
• Inserisci gli indirizzi IPv4 di Clean Mailbox (213.32.76.196/32, 51.178.81.41/32, 45.63.114.93/32, 163.172.164.47/32)

4. Impostare le azioni

In Esegui le operazioni seguenti, aggiungi queste azioni:

• Modifica le proprietà del messaggio → imposta il livello di probabilità di spam (SCL), poi scegli il valore Ignora il filtro antispam;
• (facoltativo ma consigliato) Modifica le proprietà del messaggio → imposta un'intestazione del messaggio, con l'intestazione X-MS-Exchange-OrganizationBypassClutter impostata su true.

Lascia le altre impostazioni ai valori predefiniti, poi salva la regola. Controlla che nell'elenco delle regole risulti Abilitata.

Microsoft 365 non consente di elencare gli indirizzi IPv6 allo stesso modo degli IPv4 nell'interfaccia grafica della regola del flusso di posta. Per evitare che un'email inoltrata da Clean Mailbox tramite IPv6 aggiri le regole configurate sopra, consigliamo di disattivare IPv6 per il tuo dominio accettato, in modo che i nostri server comunichino con Microsoft 365 solo tramite IPv4.

Connettiti a Exchange Online PowerShell (Connect-ExchangeOnline), poi esegui:

Disable-IPv6ForAcceptedDomain -Domain "tuodominio.it"

Sostituisci tuodominio.it con il nome del tuo dominio. Questo comando può essere eseguito senza rischi finché tutta la tua posta in ingresso transita già da Clean Mailbox.

Verificare il funzionamento

Una volta salvata la configurazione (la propagazione può richiedere qualche minuto), invia un'email di prova da un dominio esterno con SPF/DMARC rigidi e controlla:

• nella traccia dei messaggi di Microsoft Defender, che il messaggio risulti Recapitato e non sia stato messo in quarantena;
• negli header del messaggio ricevuto, che SCL:-1 sia presente nel campo X-Forefront-Antispam-Report.

Domande frequenti

Le mie email continuano a essere bloccate dopo questa configurazione

Verifica che nessun'altra regola del flusso di posta, con priorità più alta (numero più basso), intercetti il messaggio prima della regola creata nel passaggio 2. Controlla inoltre, nel report di mancato recapito (NDR), che l'indirizzo IP indicato corrisponda a uno degli IP di Clean Mailbox elencati sopra.

Mi serve un connettore in ingresso dedicato?

Per la maggior parte dei clienti la configurazione descritta sopra è sufficiente. Se desideri che Microsoft 365 conservi la reputazione dell'IP del mittente originale (funzione Filtro avanzato per i connettori di Microsoft), è possibile configurare un connettore in ingresso dedicato: contattaci e ti guideremo nella procedura.