Bjóddu síðasta
Exchange Server þínum
góða nótt.
SMTP-relay fyrir Microsoft 365. Prentararnir, skannarnir og forritin þín halda áfram að senda og þjónninn fær loksins að sofa.
Ekki komið út enn. Forskoðun er væntanleg.
Sendman er SMTP-relay fyrir Microsoft 365 sem framfylgir stefnum, smíðað fyrir alla prentara, skanna og forrit sem kunna aðeins venjulegt SMTP. Það auðkennir þau gagnvart Microsoft Entra ID, afmarkar þau eftir IP-tölu og sendandastefnu og afhendir póstinn til Exchange Online eða þeirrar afhendingarþjónustu sem þú notar nú þegar — svo síðasti on-premises Exchange Server hefur ekkert lengur að gera.
VANDINNÞjónninn sem er aðeins til fyrir prentarana
Í nánast hverju fyrirtæki stendur einn Exchange Server eftir. Enginn les póst á honum. Hann er enn í gangi vegna þess að skanni, næturlegur ERP-útflutningur og viðvörunarkerfi þurfa að geta sent, og það eina sem nokkurt þeirra kann er að opna port og auðkenna sig.
Fjórar blindgötur
Allir hafa prófað að minnsta kosti eina þeirra. Engin þeirra heldur.
- 01
Haltu Exchange Server gangandi
Þú setur öryggisuppfærslur á póstþjón svo að skanni geti sent PDF-skjal í tölvupósti. Hver öryggistilkynning fyrir Exchange kostar þig nú helgina.
Blindgata: Þjónninn verður áfram - 02
Opnaðu óauðkennt innra relay
Allt sem nær sambandi við connectorinn getur sent sem hver sem er í léninu þínu. Engin auðkenni, engin stjórn á sendendum, ekkert til að endurskoða eftir á.
Blindgata: Stjórnin er farin - 03
Settu eitt pósthólfslykilorð á 200 tæki
Það er ekki hægt að skipta um það án þess að fara að hverju einasta tæki, og afrit af því er á límmiða í ljósritunarherberginu.
Blindgata: Stjórnin er farin - 04
Beindu öllu á fjöldasendingarþjónustu
Afhendingin virkar. Ekkert á leiðinni athugar hver sendir sem hver, eða til hvers, og sameiginlegi API-lykillinn jafngildir sendingarheimild fyrir allt lénið.
Blindgata: Stjórnin er farin - 05 · Leiðin út
Allar fjórar eru sömu skiptin. Annaðhvort heldur þú póstþjóni á lífi fyrir tækin, eða þú gefur eftir stjórnina á því hver má senda sem hver. Sendman er kosturinn sem hafnar þeim skiptum.
Leið út: Þjónninn farinn, stjórnin eftir
Leystu relay-hlutverk on-premises Exchange af hólmi
Beining til Exchange Online eða ytri afhendingarþjónustu
Eldri SMTP-innskráningar, nútímaleg auðkenni
Aðskilin beining eftir léni
Haltu núverandi uppsetningu
Ein seta, frá upphafi til enda
Sendman situr inni í sjálfu SMTP-samtalinu, ekki við hliðina á því. Á fimm stöðum tekur það ákvörðun. Veldu einn þeirra og sjáðu hvaða hluta samskiptanna hann stýrir.
Þrjár stefnur. Breyttu því hver bankar upp á.
Þetta er raunveruleg matsröð, keyrð í beinni: leyfislistinn, síðan stefnurnar sem gilda um þetta auðkenni og þessa IP-tölu, síðan sendandinn og loks hver viðtakandi fyrir sig. Breyttu einhverju af þessu fjóru og sjáðu hverju relay-ið svarar.
Stefna 10 er afmörkuð við svc-scan@contoso.com frá 198.51.100.24. scan@contoso.com passar við leyfða sendendur hennar og accounting@contoso.com passar við leyfða viðtakendur hennar, svo Sendman opnar eigin setu við bakendann og afhendir skilaboðin óbreytt.
Stefnurnar sem eru metnar
Almennur leyfislisti: 198.51.100.16 – 198.51.100.31, 192.0.2.128 – 192.0.2.143
svc-scan@contoso.com, frá höfuðstöðvum
senders: scan@contoso\.com
receivers: .*@contoso\.com
mfp-3f, hvaðan sem er á leyfislistanum
senders: .*@contoso\.com
receivers: .*@contoso\.com
Hvaða tæki sem er í höfuðstöðvum, án innskráningar
senders: noreply@contoso\.com
receivers: .*@contoso\.com
Stefnur eru valdar eftir umfangi og síðan þrengdar niður í lægsta forgangsnúmerið sem á við. Stefnur með sama forgang eru sameinaðar, svo tæki getur fengið réttindi úr nokkrum reglum í einu.
Síðasta verk Exchange, auk stjórnar
Eldri tæki þurfa þrennt til að virka áfram: port til að tala við, auðkenningaraðferð sem þau skilja og heimild. Sendman veitir þeim allt þrennt og setur það þriðja undir þína stjórn.
Entra ID-auðkenning
Notandanöfn og lykilorð virka áfram óbreytt, sannreynd gagnvart Microsoft Entra ID, án app-skráningar, án samþykkis, án breytinga í tenantinum þínum og án notendaskrár sem þarf að samstilla.
Hybrid-innskráningar virka óbreyttar
Tæki sem var stillt fyrir mörgum árum með
CONTOSO\svc-scanvirkar áfram. Sendman tengir innskráninguna með léni við réttan Entra-notanda, svo ekkert þarf að slá inn aftur á tækinu og enginn þarf að fara að prentaranum.
Þitt eigið credential vault
Fyrir tæki sem eiga ekki að bera auðkenni úr notendaskrá gefur þú í staðinn út Sendman-auðkenni. Geymt með AES-256-GCM, borið saman á föstum tíma og aldrei birt aftur, og það sama gildir um lykilorðið að bakendanum þínum.
LOGIN, PLAIN og NTLM
Aðferðirnar þrjár sem gamall vélbúnaður útfærir í raun, þar á meðal NTLM, sem nánast ekkert annað fyrir framan Microsoft 365 styður lengur. Hægt er að slökkva á hverri þeirra fyrir sig.
Almennur IP-leyfislisti
Sviðin eru metin um leið og tenging er samþykkt, áður en SMTP-kveðjan er send og á porti 465 jafnvel áður en TLS-handshake hefst. Allt annað kemst aldrei inn í samtalið, hvað þá að auðkenningunni.
Stefnur með forgangi
Afmarkaðu reglu við notandanafn, IP-svið eða hvort tveggja. Lægsta forgangsnúmerið sem á við gildir; reglur með sama forgang eru sameinaðar, svo tæki getur erft réttindi frá fleiri en einni.
Stjórn á sendendum og viðtakendum
Reglulegar segðir á báðum hliðum, framfylgt við
MAIL FROMog við hvertRCPT TO. Enginn sendir sem forstjórinn og ekkert verður opið relay fyrir slysni.
Nafnlaust relay, af ásetningi
Sum tæki geta einfaldlega ekki auðkennt sig. Þau fá þrönga braut sem þarf að kveikja á vísvitandi, er afmörkuð við IP-svið og er samt bundin reglum um sendendur og viðtakendur.
TLS á öllum portum
Implicit TLS á 465, STARTTLS á 25 og 587, með vottorði sem er gefið út fyrir þig eða vottorði sem þú kemur með sjálfur, endurnýjuðu án endurræsingar. Áfram til bakendans er setan dulkóðuð alls staðar þar sem bakendinn styður það.
Hvaða bakendi sem þú sendir í gegnum
Exchange Online án SMTP AUTH, óháð því að Microsoft hættir með Basic Authentication, eða Azure Communication Services og aðrar flutningsþjónustur. Að skipta er stilling, ekki ný uppsetning.
Virkt við næstu tengingu
Stillingarnar eru lesnar upp á nýtt fyrir hverja setu sem opnast. Breyttu stefnu og næsta tæki sem tengist lýtur henni þegar. Engin endurræsing, enginn breytingagluggi, ekkert skyndiminni til að bíða eftir.
Mælingar sem þú getur byggt viðvaranir á
Hver seta skilur eftir sig slóð: auðkenningar, afhendingar og setutíma, leitanlegt í gáttinni og tilbúið fyrir viðvaranir. Tæki sem hætti að senda er einni fyrirspurn frá, ekki einni þjónustubeiðni.
Hlutverk sem þýða það sem þau segja
Notendur með Viewer-hlutverk sjá allar reglur og breyta engri; notendur með Admin-hlutverk breyta stillingum. Þjónustan framfylgir þessu við hverja beiðni og hver færsla skráir hver stofnaði hana. Stefnur skrá líka hver breytti þeim síðast.
Leitanleg atburðaskrá
Hver misheppnuð auðkenning og hvert stefnubrot, síanlegt eftir notanda, IP-tölu, sendanda og viðtakanda, með þeirri reglu sem hafnaði því nefndri í færslunni. „Af hverju var þessu hafnað“ kostar eina leit.
Á vegvísinumSniff Mode
Opnaðu upptökuglugga og sjáðu nákvæmlega hvað tæki leggur fram: IP-töluna sem það tengist frá, notandanafnið sem það býður og sendandann sem það segist vera. Fyrir prentarann sem enginn kann lykilorðið að og enginn framleiðandi styður lengur.
Tæknilýsingar
Nöfnin og tölurnar sem stjórnandi spyr um fyrir fyrsta prófunarpóstinn.
Tengingar
- Port
- 25 og 587 með STARTTLS, 465 með implicit TLS
- Vottorð
- Gefið út fyrir þig eða þitt eigið, endurnýjað án endurræsingar
- Leyfislisti
- IPv4-tölusvið, allt að 16.384 tölur hvert
Auðkenning
- Aðferðir
- LOGIN, PLAIN, NTLM
- Uppsprettur auðkenna
- Microsoft Entra ID (þar á meðal hybrid DOMAIN\user-innskráningar), Sendman credential vault
- Dulkóðun í vault
- AES-256-GCM
Stefnur
- Umfang
- Notandanafn, IP-svið eða hvort tveggja
- Forgangur
- Lægsta númer gildir, jafnir forgangar eru sameinaðir
- Reglur um sendendur og viðtakendur
- Reglulegar segðir, framfylgt við MAIL FROM og hvert RCPT TO
- Nafnlaust relay
- Fyrir hverja stefnu, bundið við IP-svið
Afhending
- Bakendar
- Exchange Online (án SMTP AUTH), Azure Communication Services, aðrar SMTP-flutningsþjónustur
- Stærð skilaboða
- Allt að 25 MB á skilaboð (bakendinn þinn gæti leyft minna)
- Meðhöndlun
- Áframsent óbreytt, engin biðröð, ekkert afrit geymt
Rekstur
- Stillingar
- Platform Portal, virkt við næstu tengingu
- Hlutverk
- Viewer, admin
- Fjarmælingar
- Leitanlegar í gáttinni
- Innifalið
- Allar uppfærslur, atvikastuðningur
- Vottun
- Þróunar- og rekstrarteymi okkar eru vottuð samkvæmt ISO 27001
Af hverju á að leggja síðasta Exchange Server niður
Þegar Sendman hefur tekið við relay-hlutverkinu getur þjónninn farið. Þetta er það sem þú græðir.
Minni árásarflötur
On-premises Exchange er meðal þeirra workloads sem oftast verða fyrir árásum. Þegar síðasti þjónninn er farinn er engin Exchange-CVE eftir til að laga um helgi og enginn zero-day sem beinist að jaðrinum þínum.
Ekkert eftir á netinu
OWA, ECP, Autodiscover og vefþjónustur Exchange hverfa af jaðrinum þínum. Einum inngangspunkti færra fyrir initial access, einu skotmarki færra fyrir remote code execution.
Engar fleiri Exchange-uppfærslur
Engar cumulative updates og öryggisuppfærslur til að prófa, setja upp og vakta, engir viðhaldsgluggar fyrir þær og enginn Exchange Server eftir sem getur dregist aftur úr þegar næsta mikilvæga lagfæring kemur.
Enginn næsti flutningur
Exchange 2016 og 2019 misstu stuðning í október 2025 og Subscription Edition er næsta uppfærsla á dagatalinu. Án þjóns er enginn næsti flutningur til að skipuleggja, fjármagna eða komast í gegnum.
Einu kerfi með víðtækar heimildir færra
Exchange er djúpt samofið AD og með víðtækar heimildir. Að fjarlægja það tekur burt eitt helsta skotmarkið fyrir þjófnað á auðkennum, og eftir SOA-flutninginn hverfur líka mestallt fótspor þess úr AD.
Minna að reka
Engin vöktun, afritun, vottorð, geymsla eða sýndarvélar til að reka fyrir Exchange, og engin sérstök disaster recovery-áætlun til að skrifa, prófa og halda við. Einu workload færra á hverjum gátlista.
Hreinni högun
Póstþjónusta er Exchange Online, punktur. Ekkert hybrid-sértilvik og færri íhlutir til að athuga þegar póstflæði, Autodiscover, viðtakendur eða auðkenning láta illa.
Minni sérþekking til að viðhalda
Sérþekking á on-premises Exchange verður sífellt fágætari og dýrari. Án þjóns til að sinna þarftu hvorki að halda í hana né kaupa hana inn þegar eina manneskjan sem býr yfir henni er í fríi.
Skýrari hlutverk, lægri kostnaður
Minni vinna við innviði, rekstur, afritun, vöktun og stjórnun. Microsoft rekur vettvanginn, þú stjórnar Exchange Online og línan þar á milli er loksins skýr.
Þrjú skref, og einn þjónn sem þú getur slökkt á
- Beindu Sendman á bakendann þinnBeindu Sendman á bakendann þinnVeldu Exchange Online, Azure Communication Services eða hvaða hýsil sem þú sendir nú þegar í gegnum og sláðu inn það sem hann þarf. Eitt eyðublað í gáttinni og engin ný uppsetning þegar það breytist.
- Hleyptu tækjunum inn og segðu hvað þau megaHleyptu tækjunum inn og segðu hvað þau megaBættu við sviðunum sem þau tengjast frá, gefðu út vault-auðkenni fyrir tækin sem eiga ekki að bera auðkenni úr notendaskrá og skrifaðu svo stefnurnar um hver má senda sem hvað og til hvers.
- Beindu DNS annað, leggðu þjóninn niðurBeindu DNS annað, leggðu þjóninn niðurBeindu hýsilheitinu sem tækin þín senda á til Sendman í stað Exchange Server. Í besta falli er það allt sem þarf: ekki eitt einasta tæki er snert og Exchange Server hefur ekkert lengur að gera.
Spurningarnar sem koma fyrst
Það sem stjórnendur spyrja um áður en fyrsti prófunarpósturinn fer í gegn.
01Geymir Sendman tölvupóstinn okkar?
Nei. Það er proxy fyrir SMTP-setuna og sendir hana áfram eins og hún berst. Það er ekkert pósthólf, engin biðröð, enginn spool og ekkert safn, og skilaboðin sjálf fara óbreytt í gegn, hausar meðtaldir. Það eina sem Sendman geymir eru stillingarnar þínar.
02Þurfum við að skrá eitthvað í Entra-tenantinum okkar?
Nei. Sendman sannreynir innskráningarupplýsingar tækja gagnvart Microsoft Entra ID án app-skráningar, án samþykkis og án þess að breyta neinu í tenantinum þínum. Hybrid-innskráningar á borð við CONTOSO\svc-scan virka óbreyttar.
03Hvað með fjölþátta auðkenningu á þessum reikningum?
Hvorugt þvælist fyrir. Vault-auðkenni snertir aldrei notendaskrána þína, svo það er ekkert til að biðja um. Entra ID-reikningar virka líka: fjölþátta auðkenning og Conditional Access standa ekki í vegi, jafnvel með ströngum stefnum, og tækið fær aldrei neina beiðni. Hvað reikningur má senda sem, og til hvers, er ekki pósthólfsheimild í Exchange Online heldur Sendman-stefna: reglur um sendendur og viðtakendur ráða, jafnt fyrir vault-auðkenni og Entra ID-reikninga.
04Hvað ef tæki ræður alls ekki við TLS?
Það getur samt tengst á ódulkóðuðu porti, og auðkenni, IP-tölu og stefnu er framfylgt á nákvæmlega sama hátt. Hvort þú samþykkir ódulkóðað fyrsta skref frá því tæki er þín ákvörðun; leyfislistinn takmarkar það við þínar eigin egress-tölur, og frá Sendman og áfram er setan dulkóðuð alls staðar þar sem bakendinn styður það.
05Hvað verður um SPF, DKIM og DMARC?
Þetta tilheyrir léninu sem þú sendir frá og er meðhöndlað af bakendanum sem afhendir í raun, Exchange Online eða Azure Communication Services. Sendman endurskrifar hvorki umslagið né hausana þína, svo það sem þú hefur sett upp fyrir þann bakenda virkar nákvæmlega eins og í dag.
06Hvað gerist ef Sendman nær ekki í stillingarnar sínar?
Tengingum er hafnað með tímabundnu „service not available“-svari sem segir vel hönnuðum sendanda að halda skilaboðunum og reyna aftur, svo truflun í geymslunni seinkar pósti í stað þess að hann glatist.
07Getum við haldið Exchange Online sem bakenda?
Já. Mörg fyrirtæki halda Exchange Online sem afhendingarleið og nota Sendman fyrir auðkenningar- og stefnulagið sem tækin þeirra þurfa. Hægt er að skipta um bakenda síðar án þess að snerta eitt einasta tæki.
08Hvar eru stillingarnar okkar geymdar og hver getur séð þær?
Í geymslu sem er einangruð við tenantinn þinn. Innskráningarupplýsingar eru dulkóðaðar áður en þær eru skrifaðar. Aðgangur að gáttinni kemur frá platform-tenantinum þínum, notendur með Viewer-hlutverk sjá allar reglur og breyta engri, notendur með Admin-hlutverk breyta stillingum, og hver færsla á leyfislistanum, hver stefna og hvert auðkenni skráir hver stofnaði það.
09Hvernig komumst við að því hvað tæki sendir í raun?
Hver misheppnuð auðkenning og hvert stefnubrot lendir í leitanlegu atburðaskránni, með þeirri reglu sem hafnaði því nefndri í færslunni, og svarið sem tækið fær segir þér hvaða hlið hafnaði því. Sniff Mode, upptökugluggi sem sýnir nákvæmlega hvað tæki leggur fram, IP-töluna sem það tengist frá, notandanafnið sem það býður og sendandann sem það segist vera, er á vegvísinum.
Hittu okkur í eigin persónu
Sendman er á ferðinni í haust. Komdu við, taktu prentarasöguna þína með og sjáðu relay-ið í notkun.
Workplace Ninja Summit
Samfélagsráðstefna í Baden um Microsoft Endpoint Management og Security
it-sa
Hittu okkur aftur í ár á leiðandi vörusýningu Evrópu fyrir upplýsingaöryggi
RADIUSaaS, skýjabundin RADIUS-þjónusta
SCEPman, cloud-native vottunarstöð
