Instrukcja krok po kroku, jak zadeklarować Clean Mailbox jako bramę przychodzącą w Google Workspace i uniknąć problemów z dostarczaniem wynikających z SPF.
Konsola administracyjna Google jest regularnie zmieniana: opisane poniżej menu, etykiety i lokalizacje mogą się różnić od tego, co widać obecnie. Ta instrukcja jest udostępniana jako pomoc i nie zastępuje oficjalnego wsparcia Google, które pozostaje wyłącznie odpowiedzialne za pomoc swoim klientom w administrowaniu domeną Google Workspace. Aktualne informacje znajdują się w oficjalnej instrukcji Google dotyczącej bramy przychodzącej.
Gdy Gmail odbiera wiadomość przekazaną przez Clean Mailbox, domyślnie widzi adres IP naszych serwerów zamiast adresu IP pierwotnego nadawcy. Jeśli domena nadawcy stosuje ścisły rekord SPF (-all), Gmail może uznać wiadomość za nieuwierzytelnioną — ponieważ adres IP Clean Mailbox nie znajduje się w rekordzie SPF nadawcy.
Google Workspace ma ustawienie Brama przychodząca (Inbound gateway) stworzone dokładnie na taki przypadek: po zadeklarowaniu serwerów Clean Mailbox Gmail może odtworzyć rzeczywisty adres IP pierwotnego nadawcy (analizując nagłówki Received: from wiadomości), aby ocenić SPF, zamiast oceniać SPF względem adresu IP bramy.
Ta instrukcja jest przeznaczona dla administratora domeny (lub Państwa dostawcy IT) i opisuje konfigurację, którą wystarczy wykonać jednorazowo, po skierowaniu rekordów MX do Clean Mailbox.
Ta instrukcja dotyczy domen, których skrzynki są hostowane w Google Workspace i chronione po stronie przychodzącej przez Clean Mailbox. W przeciwieństwie do niektórych innych systemów pocztowych Gmail nie egzekwuje polityki DMARC domeny nadawcy dla wiadomości odbieranych przez zadeklarowaną bramę przychodzącą; zamiast tego opiera się na dostępnych informacjach uwierzytelniających do własnej oceny spamu.
Clean Mailbox przekazuje Państwa pocztę przychodzącą z następujących adresów. Będą potrzebne w kroku 2 poniżej.
| Typ | Adresy |
|---|---|
| IPv4 |
213.32.76.196/3251.178.81.41/3245.63.114.93/32163.172.164.47/32 |
| IPv6 |
2001:41d0:404:200::4d8f/1282001:41d0:302:1000::500/1282001:19f0:6801:10c:5400:ff:fe58:b68/1282001:bc8:710:a30:dc00:ff:fe8a:301/128 |
Ta lista może się zmieniać wraz z rozwojem infrastruktury Clean Mailbox. Przed zastosowaniem tej konfiguracji należy sprawdzić aktualną listę w panelu klienta. Należy też pamiętać, że Google Workspace w tym ustawieniu akceptuje wyłącznie publiczne adresy IP: zakresy prywatne są odrzucane.
W konsoli administracyjnej Google należy otworzyć menu, przejść do Aplikacje → Google Workspace → Gmail i kliknąć Spam, phishing i złośliwe oprogramowanie (Spam, phishing, and malware). Ta strona wymaga konta z uprawnieniami administratora Gmaila.
W lewym panelu należy wybrać jednostkę organizacyjną najwyższego poziomu (chyba że konfiguracja ma dotyczyć tylko określonej jednostki organizacyjnej), przewinąć do ustawienia Brama przychodząca (Inbound gateway) i kliknąć Edytuj.
W otwartym panelu należy kliknąć Dodaj i wpisać jeden z wymienionych wyżej adresów IPv4 Clean Mailbox (po jednym, w formacie x.x.x.x/32). Czynność należy powtórzyć dla każdego adresu.
Jeśli poczta jest przesyłana także przez IPv6, można spróbować dodać zakresy IPv6 w ten sam sposób; jeśli pole je odrzuci, prosimy o kontakt — sam IPv4 wystarcza w zdecydowanej większości konfiguracji.
Następnie kliknąć Zapisz, aby zatwierdzić listę adresów.
Na tej samej stronie konfiguracji bramy przychodzącej uwagi wymagają trzy opcje:
Received: from wiadomości, aby znaleźć pierwszy publiczny adres IP spoza listy bramy, i oceni SPF względem tego pierwotnego adresu, a nie adresu Clean Mailbox. Zapobiega to opisanym wyżej błędnym odrzuceniom SPF.Jeśli nagłówek Received: from jest nieprawidłowy, Gmail nie może ustalić pierwotnego adresu IP i sprawdza tylko poprzedni przeskok. Istnieje także zaawansowana opcja oznaczania spamu za pomocą wyrażeń regularnych, która pozwala Gmailowi zaufać własnej ocenie spamu przez bramę zamiast przeprowadzać własną; większość klientów jej nie potrzebuje, ponieważ Clean Mailbox filtruje spam już wcześniej, ale w razie chęci skorzystania z niej prosimy o kontakt.
Należy kliknąć Zapisz u dołu strony. Zastosowanie zmian może potrwać do 24 godzin, choć zwykle jest szybciej; wdrożenie można śledzić w dzienniku audytu konsoli administracyjnej.
Po zapisaniu konfiguracji i wygaśnięciu TTL rekordów MX należy wysłać wiadomość testową z zewnętrznej domeny ze ścisłym rekordem SPF i sprawdzić w odebranej wiadomości (w menu Gmaila Pokaż oryginał), czy ocena SPF/Authentication-Results opiera się na pierwotnym adresie IP nadawcy, a nie na adresie Clean Mailbox.
Nie: według dokumentacji Google polityka DMARC domeny nadawcy nie jest egzekwowana dla wiadomości odbieranych przez zadeklarowaną bramę przychodzącą. Gmail opiera się na dostępnych informacjach uwierzytelniających do własnej oceny spamu.
Nie, nie miałoby to żadnego skutku: gdy ten sam adres IP znajduje się zarówno na liście bramy przychodzącej, jak i na liście dozwolonych, pierwszeństwo ma wpis z listy bramy. Aby konkretnemu nadawcy zapewnić pominięcie filtra spamu, na listę dozwolonych należy dodać prawdziwy pierwotny adres IP tego nadawcy (rozpoznawany po nagłówkach), a nie adres IP bramy.
Nasz zespół wsparcia pomoże potwierdzić adresy IP do dopuszczenia lub zdiagnozować problem z dostarczaniem. W sprawie administrowania samą domeną Google Workspace prosimy o kontakt z pomocą techniczną Google lub dostawcą IT.
Pytania o okres próbny, konfigurację, ceny lub współpracę? Jesteśmy do dyspozycji — i odpowiadamy szybko.