Een stapsgewijze handleiding om Clean Mailbox als inkomende gateway op te geven in Google Workspace en aflevergeproblemen door SPF te voorkomen.
De Google-beheerconsole verandert regelmatig: de hieronder beschreven menu's, labels en locaties kunnen afwijken van wat u vandaag ziet. Deze handleiding wordt als service aangeboden om u te helpen; ze vervangt niet de officiële support van Google zelf, die als enige verantwoordelijk blijft voor de begeleiding van zijn klanten bij het beheer van hun Google Workspace-domein. Raadpleeg de officiële handleiding van Google over de inkomende gateway voor de actuele referentie.
Wanneer Gmail een door Clean Mailbox doorgestuurde e-mail ontvangt, ziet het standaard het IP-adres van onze servers in plaats van dat van de oorspronkelijke afzender. Past het verzendende domein een strikt SPF-record toe (-all), dan kan Gmail de e-mail als niet-geauthenticeerd beschouwen — omdat het IP-adres van Clean Mailbox niet in het SPF-record van de afzender staat.
Google Workspace heeft een instelling Inkomende gateway (Inbound gateway) die precies voor dit geval is gemaakt: zodra uw Clean Mailbox-servers zijn opgegeven, kan Gmail het echte IP-adres van de oorspronkelijke afzender achterhalen (door de Received: from-headers van het bericht te analyseren) om SPF te evalueren, in plaats van SPF te evalueren tegen het IP-adres van de gateway.
Deze handleiding is bedoeld voor de domeinbeheerder (of uw IT-dienstverlener) en behandelt een configuratie die u slechts één keer hoeft uit te voeren, nadat u uw MX-records naar Clean Mailbox hebt laten verwijzen.
Deze handleiding is van toepassing op domeinen waarvan de mailboxen op Google Workspace worden gehost en aan de inkomende kant door Clean Mailbox worden beschermd. In tegenstelling tot sommige andere mailsystemen past Gmail het DMARC-beleid van het afzenderdomein niet toe op berichten die via een opgegeven inkomende gateway worden ontvangen; het vertrouwt in plaats daarvan op de authenticatiegegevens waarover het beschikt voor zijn eigen spamevaluatie.
Clean Mailbox stuurt uw inkomende e-mail door vanaf de volgende adressen. U hebt ze nodig voor stap 2 hieronder.
| Type | Adressen |
|---|---|
| IPv4 |
213.32.76.196/3251.178.81.41/3245.63.114.93/32163.172.164.47/32 |
| IPv6 |
2001:41d0:404:200::4d8f/1282001:41d0:302:1000::500/1282001:19f0:6801:10c:5400:ff:fe58:b68/1282001:bc8:710:a30:dc00:ff:fe8a:301/128 |
Deze lijst kan wijzigen naarmate de infrastructuur van Clean Mailbox evolueert. Controleer voordat u deze configuratie toepast de actuele lijst in uw klantenportaal. Houd er ook rekening mee dat Google Workspace in deze instelling alleen openbare IP-adressen accepteert: privébereiken worden geweigerd.
Open in de Google-beheerconsole het menu, ga naar Apps → Google Workspace → Gmail en klik op Spam, phishing en malware (Spam, phishing, and malware). Voor deze pagina is een account met Gmail-beheerdersrechten nodig.
Selecteer in het linkerpaneel de organisatie-eenheid op het hoogste niveau (tenzij u wilt dat deze configuratie alleen voor een specifieke organisatie-eenheid geldt), scrol omlaag naar de instelling Inkomende gateway (Inbound gateway) en klik op Bewerken.
Klik in het paneel dat opent op Toevoegen en voer een van de hierboven genoemde IPv4-adressen van Clean Mailbox in (één per keer, in het formaat x.x.x.x/32). Herhaal dit voor elk adres.
Loopt uw e-mail ook via IPv6, dan kunt u proberen de IPv6-bereiken op dezelfde manier toe te voegen; weigert het veld ze, neem dan contact met ons op — IPv4 alleen is voor de overgrote meerderheid van de configuraties voldoende.
Klik daarna op Opslaan om de adreslijst te bevestigen.
Op dezelfde configuratiepagina voor de inkomende gateway verdienen drie opties uw aandacht:
Received: from van het bericht om het eerste openbare IP-adres te vinden dat niet op de gatewaylijst staat en evalueert SPF tegen dat oorspronkelijke IP in plaats van dat van Clean Mailbox. Dit voorkomt de hierboven beschreven onterechte SPF-afwijzingen.Is een Received: from-header misvormd, dan kan Gmail het oorspronkelijke IP-adres niet bepalen en controleert het alleen de vorige hop. Er bestaat ook een geavanceerde spamtaggingoptie met reguliere expressies, waarmee Gmail de eigen spamscore van een gateway kan vertrouwen in plaats van zijn eigen evaluatie uit te voeren; de meeste klanten hebben die niet nodig omdat Clean Mailbox spam al upstream filtert, maar neem contact met ons op als u ze wilt gebruiken.
Klik onderaan de pagina op Opslaan. Het kan tot 24 uur duren voordat wijzigingen van kracht worden, al gaat het meestal sneller; u kunt de uitrol volgen in het auditlogboek van de beheerconsole.
Zodra de configuratie is opgeslagen en de TTL van uw MX-records is verlopen, stuurt u een testmail vanaf een extern domein met een strikt SPF-record en controleert u in het ontvangen bericht (via het menu Origineel weergeven van Gmail) of de SPF-/Authentication-Results-evaluatie is gebaseerd op het oorspronkelijke IP-adres van de afzender en niet op dat van Clean Mailbox.
Nee: volgens de eigen documentatie van Google wordt het DMARC-beleid van het verzendende domein niet toegepast op berichten die via een opgegeven inkomende gateway worden ontvangen. Gmail vertrouwt op de authenticatiegegevens waarover het beschikt voor zijn eigen spamevaluatie.
Nee, het heeft geen effect: wanneer hetzelfde IP-adres zowel in de lijst van de inkomende gateway als in een toelatingslijst voorkomt, heeft de vermelding in de gatewaylijst voorrang. Om een specifieke afzender spamfilterbypass te geven, voegt u het echte oorspronkelijke IP-adres van die afzender (te herkennen aan de headers) toe aan de toelatingslijst, niet het IP-adres van de gateway.
Ons supportteam helpt u graag om de toe te staan IP-adressen te bevestigen of een afleverprobleem te diagnosticeren. Neem voor het beheer van uw Google Workspace-domein zelf contact op met de support van Google of uw IT-dienstverlener.
Vragen over de proefperiode, de installatie, de prijzen of een samenwerking? Wij zijn er — en we antwoorden snel.