Microsoft 365 instellen om met Clean Mailbox als inkomende gateway te werken

Waarom dit nodig is

Wanneer Microsoft 365 (Exchange Online) een door Clean Mailbox doorgestuurde e-mail ontvangt, ziet het het IP-adres van onze servers in plaats van dat van de oorspronkelijke afzender. Past het verzendende domein een strikt SPF-record (-all) en een strikt DMARC-beleid (p=quarantine of p=reject) toe, dan kan Microsoft de e-mail als niet-geauthenticeerd beschouwen — omdat het IP-adres van Clean Mailbox niet in het SPF-record van de afzender staat — en hem blokkeren of in quarantaine plaatsen, ook al heeft hij onze eigen antispam- en antimalwarefilters volledig doorstaan.

Dit is verwacht gedrag van Microsoft 365, geen storing van Clean Mailbox: e-mail namens u doorsturen is precies wat een inkomende beveiligingsgateway doet (Clean Mailbox, maar ook Proofpoint, Mimecast of Barracuda), en die moet aan de kant van Microsoft 365 als vertrouwde bron worden opgegeven.

Deze handleiding is bedoeld voor de domeinbeheerder (of uw IT-dienstverlener) en behandelt een configuratie die u slechts één keer hoeft uit te voeren, nadat u uw MX-records naar Clean Mailbox hebt laten verwijzen.

Toe te staan IP-adressen

Clean Mailbox stuurt uw inkomende e-mail door vanaf de volgende adressen. U hebt ze nodig voor beide stappen hieronder.

Deze eerste stap draagt de ingebouwde antispambescherming van Microsoft 365 (Microsoft Defender) op onze servers als vertrouwde bron te behandelen.

1. Het beveiligingscentrum van Microsoft Defender openen

Open in het Microsoft 365-beheercentrum Alle beheercentra (All admin centers) en klik vervolgens op Beveiliging (Security).

2. Naar het antispambeleid gaan

Ga in het linkermenu van Microsoft Defender naar E-mail en samenwerking → Beleid en regels (Email & collaboration → Policies & rules) en open vervolgens Bedreigingsbeleid (Threat policies).

3. Antispam openen

Klik in de lijst met beleidsregels op Antispam (Anti-spam).

4. Het beleid voor het verbindingsfilter openen

Klik op de pagina Antispambeleid (Anti-spam policies) op Beleid voor verbindingsfilter (standaard) (Connection filter policy (Default)).

5. De IP-adressen van Clean Mailbox aan de toelatingslijst toevoegen

Voeg in het veld Berichten van de volgende IP-adressen of adresbereiken altijd toestaan (Always allow messages from the following IP addresses or address range) de hierboven genoemde IPv4-adressen toe (één per keer, in het formaat x.x.x.x/32), vink Lijst met veilige afzenders inschakelen (Turn on safe list) aan en klik op Opslaan (Save).

De vorige stap vertelt Microsoft dat Clean Mailbox een vertrouwde bron is, maar voorkomt op zichzelf niet altijd afwijzingen door SPF/DMARC. De onderstaande mailflowregel dwingt Microsoft 365 uitdrukkelijk om spamfiltering te omzeilen voor elke e-mail die door Clean Mailbox is doorgestuurd.

1. Het Exchange-beheercentrum openen

Klik vanuit Alle beheercentra (All admin centers) nu op Exchange.

2. Mailflowregels openen

Open in het linkermenu Berichtenstroom → Regels (Mail flow → Rules) en klik vervolgens op Een regel toevoegen → Een nieuwe regel maken (Add a rule → Create a new rule).

3. De voorwaarde instellen

Geef de regel een duidelijke naam (bijvoorbeeld Bypass anti-spam - Clean Mailbox) en stel vervolgens de voorwaarde in:

• Deze regel toepassen als (Apply this rule if) → De afzender (The sender) → IP-adres valt binnen een van deze bereiken of komt er exact mee overeen (IP address is in any of these ranges or exactly matches)
• Voer de IPv4-adressen van Clean Mailbox in (213.32.76.196/32, 51.178.81.41/32, 45.63.114.93/32, 163.172.164.47/32)

4. De acties instellen

Voeg onder Het volgende doen (Do the following) deze acties toe:

• De berichteigenschappen wijzigen → de spamvertrouwensdrempel (SCL) instellen (Modify the message properties → set the spam confidence level (SCL)) en kies vervolgens de waarde Spamfiltering omzeilen (Bypass spam filtering);
• (optioneel maar aanbevolen) De berichteigenschappen wijzigen → een berichtkop instellen (Modify the message properties → set a message header), met de header X-MS-Exchange-OrganizationBypassClutter ingesteld op true.

Laat de overige instellingen op hun standaardwaarden staan en sla de regel vervolgens op. Controleer in de lijst met regels dat hij als Ingeschakeld (Enabled) wordt weergegeven.

Microsoft 365 laat u in de grafische interface van de mailflowregel IPv6-adressen niet op dezelfde manier opsommen als IPv4-adressen. Om te voorkomen dat een e-mail die door Clean Mailbox via IPv6 is doorgestuurd de hierboven geconfigureerde regels omzeilt, raden wij aan IPv6 uit te schakelen voor uw geaccepteerde domein, zodat onze servers uitsluitend via IPv4 met Microsoft 365 communiceren.

Maak verbinding met Exchange Online PowerShell (Connect-ExchangeOnline) en voer vervolgens uit:

Disable-IPv6ForAcceptedDomain -Domain "yourdomain.com"

Vervang yourdomain.com door uw eigen domeinnaam. Deze opdracht is veilig uit te voeren zolang al uw inkomende e-mail al via Clean Mailbox loopt.

Controleren of het werkt

Zodra de configuratie is opgeslagen (het kan enkele minuten duren voordat ze is doorgevoerd), stuurt u een testmail vanaf een extern domein met strikte SPF/DMARC en controleert u:

• in de berichttracering van Microsoft Defender (message trace) dat het bericht als Afgeleverd (Delivered) wordt weergegeven en niet in quarantaine is geplaatst;
• in de headers van het ontvangen bericht dat SCL:-1 aanwezig is in het veld X-Forefront-Antispam-Report.

Veelgestelde vragen

Mijn e-mails worden na deze configuratie nog steeds geblokkeerd

Controleer of geen andere mailflowregel met een hogere prioriteit (lager nummer) het bericht onderschept vóór de regel die in stap 2 is gemaakt. Controleer ook in het non-leveringsrapport (NDR) of het vermelde IP-adres overeenkomt met een van de hierboven genoemde IP-adressen van Clean Mailbox.

Heb ik een speciale inkomende connector nodig?

Voor de meeste klanten volstaat de bovenstaande configuratie. Wilt u dat Microsoft 365 de reputatie van het oorspronkelijke IP-adres van de afzender behoudt (de functie Enhanced Filtering for connectors van Microsoft), dan kan een speciale inkomende connector worden ingesteld — neem contact met ons op en wij begeleiden u daarbij.