Dai la buonanotte
al tuo ultimo
Exchange Server.
Il relay SMTP per Microsoft 365. Le tue stampanti, i tuoi scanner e le tue app continuano a inviare, e il server finalmente può dormire.
Non ancora disponibile, la preview arriverà presto.
Sendman è il relay SMTP per Microsoft 365 che applica le policy, pensato per ogni stampante, scanner e applicazione che parla solo SMTP semplice. Li autentica tramite Microsoft Entra ID, li circoscrive in base a indirizzo IP e policy del mittente e consegna la posta a Exchange Online o al servizio di recapito che usi già — così all'ultimo Exchange Server on-premises non resta più nulla da fare.
IL PROBLEMAIl server che esiste solo per le stampanti
In quasi ogni organizzazione è rimasto un Exchange Server. Nessuno ci legge la posta. È ancora acceso perché uno scanner, un export notturno dell'ERP e una centrale d'allarme devono inviare, e l'unica cosa che ognuno di loro sa fare è aprire una porta e autenticarsi.
Quattro vicoli ciechi
Tutti ne hanno provato almeno uno. Nessuno regge.
- 01
Tenere acceso l'Exchange Server
Stai applicando patch a un mail server perché uno scanner possa inviare un PDF via email. Ogni advisory di Exchange ora è il tuo weekend.
Vicolo cieco: Il server resta - 02
Aprire un relay interno non autenticato
Qualsiasi cosa raggiunga il connettore può inviare come chiunque nel tuo dominio. Nessuna identità, nessun controllo sul mittente, niente da verificare a posteriori.
Vicolo cieco: Il controllo è perso - 03
Mettere la password di una mailbox su 200 dispositivi
Non si può ruotare senza passare da ogni singolo dispositivo, e una sua copia è su un adesivo nella stanza delle fotocopiatrici.
Vicolo cieco: Il controllo è perso - 04
Puntare tutto su un servizio di invio massivo
Il recapito funziona. Lungo il percorso niente controlla chi invia come chi, né a chi, e la chiave API condivisa vale quanto un permesso di invio sull'intero dominio.
Vicolo cieco: Il controllo è perso - 05 · La via d'uscita
Tutte e quattro sono lo stesso compromesso. O tieni in vita un mail server per il bene dei dispositivi, o rinunci al controllo su chi può inviare come chi. Sendman è l'opzione che rifiuta il compromesso.
Via d'uscita: Server spento, controllo mantenuto
Sostituisci la funzione di relay di Exchange on-premises
Instradamento verso Exchange Online o servizi di recapito esterni
Login SMTP legacy, identità moderne
Instradamento separato per dominio
Mantieni la tua configurazione attuale
Una sessione, dall'inizio alla fine
Sendman sta dentro la conversazione SMTP, non accanto. Ci sono cinque momenti in cui decide qualcosa: scegline uno e guarda quale parte dello scambio governa.
Tre policy. Cambia chi bussa alla porta.
Questo è il vero ordine di valutazione, in esecuzione dal vivo: l'allow list, poi le policy che si applicano a questa identità e a questo indirizzo, poi il mittente, poi ogni destinatario singolarmente. Cambia uno qualsiasi dei quattro parametri e guarda cosa risponde il relay.
La policy 10 ha come ambito svc-scan@contoso.com da 198.51.100.24. scan@contoso.com corrisponde ai mittenti consentiti e accounting@contoso.com ai destinatari consentiti, quindi Sendman apre una propria sessione verso il backend e gli consegna il messaggio invariato.
Le policy in valutazione
Allow list globale: 198.51.100.16 – 198.51.100.31, 192.0.2.128 – 192.0.2.143
svc-scan@contoso.com, dalla sede centrale
senders: scan@contoso\.com
receivers: .*@contoso\.com
mfp-3f, da qualsiasi punto dell'allow list
senders: .*@contoso\.com
receivers: .*@contoso\.com
Qualsiasi dispositivo nella sede centrale, senza accesso
senders: noreply@contoso\.com
receivers: .*@contoso\.com
Le policy vengono selezionate in base all'ambito, poi ridotte al numero di priorità più basso applicabile. Le policy con la stessa priorità vengono unite, così un dispositivo può ricevere diritti da più regole contemporaneamente.
L'ultimo compito di Exchange, più controllo
I dispositivi legacy hanno bisogno di tre cose per continuare a funzionare: una porta con cui parlare, un meccanismo di autenticazione che capiscono e un permesso. Sendman le fornisce tutte e tre, e mette la terza sotto il tuo controllo.
Autenticazione con Entra ID
Nomi utente e password continuano a funzionare così come sono, convalidati tramite Microsoft Entra ID, senza app registration, senza consenso, senza nulla da modificare nel tuo tenant e senza directory da sincronizzare.
I login ibridi funzionano così come sono
Un dispositivo configurato anni fa con
CONTOSO\svc-scancontinua a funzionare. Sendman risolve il login di dominio nell'utente Entra corretto, così non bisogna ridigitare nulla sul dispositivo e nessuno deve andare fino alla stampante.
Un vault delle credenziali tutto tuo
Per i dispositivi che non devono avere un'identità di directory, emetti invece una credenziale Sendman. Archiviata con AES-256-GCM, confrontata in tempo costante e mai più mostrata, e lo stesso vale per la password del tuo backend.
LOGIN, PLAIN e NTLM
I tre meccanismi che l'hardware datato implementa davvero, incluso NTLM, che quasi nient'altro davanti a Microsoft 365 parla ancora. Ognuno può essere disattivato in modo indipendente.
Un'allow list IP globale
Gli intervalli vengono valutati nell'istante in cui una connessione viene accettata, prima del greeting SMTP e, sulla porta 465, persino prima dell'handshake TLS. Tutto il resto non raggiunge mai la conversazione, figuriamoci l'autenticazione.
Policy con priorità
Limita una regola a un nome utente, a un intervallo IP o a entrambi. Vince il numero di priorità più basso applicabile; le regole a pari priorità vengono unite, così un dispositivo può ereditare diritti da più di una.
Controllo di mittente e destinatario
Espressioni regolari su entrambi i lati, applicate al
MAIL FROMe a ogniRCPT TO. Nessuno invia come il CEO, e nulla diventa un open relay per sbaglio.
Relay anonimo, di proposito
Alcuni dispositivi semplicemente non possono autenticarsi. Ricevono una corsia stretta che va attivata deliberatamente, è limitata a un intervallo IP ed è comunque vincolata alle regole su mittente e destinatario.
TLS su ogni porta
TLS implicito sulla 465, STARTTLS sulla 25 e sulla 587, con un certificato emesso per te o uno che porti tu, rinnovato senza riavvio. Verso il backend, la sessione è cifrata ovunque il backend lo supporti.
Qualsiasi backend tu usi per inviare
Exchange Online senza SMTP AUTH, e quindi non toccato dalla dismissione della Basic Authentication da parte di Microsoft, oppure Azure Communication Services e altri servizi di trasporto. Cambiare è un'impostazione, non un nuovo deployment.
Attivo dalla connessione successiva
La configurazione viene letta da capo per ogni sessione che si apre. Modifica una policy e il prossimo dispositivo che si connette è già soggetto a essa. Nessun riavvio, nessuna finestra di change, nessuna cache da aspettare.
Metriche su cui impostare alert
Ogni sessione lascia una traccia, tra autenticazioni, recapiti e durate delle sessioni, ricercabile nel portale e pronta per gli alert. Un dispositivo che ha smesso di inviare è a una query di distanza, non a un ticket di supporto.
Ruoli che significano ciò che dicono
I viewer vedono ogni regola e non ne cambiano nessuna, gli admin modificano la configurazione. Il servizio lo applica a ogni richiesta, e ogni voce registra chi l'ha creata. Le policy registrano anche chi le ha modificate per ultimo.
Registro eventi ricercabile
Ogni errore di autenticazione e ogni violazione di policy, filtrabili per utente, indirizzo, mittente e destinatario, con il nome della regola che li ha rifiutati indicato nella voce. Per capire “perché è tornata indietro” basta una ricerca.
Nella roadmapSniff Mode
Apri una finestra di cattura e guarda esattamente cosa presenta un dispositivo: l'indirizzo di origine, il nome utente che offre, il mittente che dichiara. Per la stampante di cui nessuno ha la password e che nessun vendor supporta più.
Specifiche
I nomi e i numeri che un admin chiede prima della prima email di prova.
Connettività
- Porte
- 25 e 587 con STARTTLS, 465 con TLS implicito
- Certificato
- Emesso per te o portato da te, rinnovato senza riavvio
- Allow list
- Intervalli di indirizzi IPv4, fino a 16.384 indirizzi ciascuno
Autenticazione
- Meccanismi
- LOGIN, PLAIN, NTLM
- Fonti di identità
- Microsoft Entra ID (inclusi i login ibridi DOMINIO\utente), vault delle credenziali di Sendman
- Cifratura del vault
- AES-256-GCM
Policy
- Ambito
- Nome utente, intervallo IP o entrambi
- Priorità
- Vince il numero più basso, a parità di priorità le policy vengono unite
- Regole su mittente e destinatario
- Espressioni regolari, applicate al MAIL FROM e a ogni RCPT TO
- Relay anonimo
- Per policy, vincolato a un intervallo IP
Recapito
- Backend
- Exchange Online (senza SMTP AUTH), Azure Communication Services, altri servizi di trasporto SMTP
- Dimensione dei messaggi
- Fino a 25 MB per messaggio (il tuo backend potrebbe consentire meno)
- Gestione
- Inoltrato invariato, nessuna coda, nessuna copia conservata
Operatività
- Configurazione
- Platform Portal, attiva dalla connessione successiva
- Ruoli
- Viewer, admin
- Telemetria
- Ricercabile nel portale
- Incluso
- Tutti gli aggiornamenti, supporto in caso di incidenti
- Certificazione
- I nostri team di sviluppo e di operations sono certificati secondo ISO 27001
Perché dismettere l'ultimo Exchange Server
Una volta che Sendman ha preso in carico il relay, il server può andarsene. Ecco cosa ci guadagni.
Una superficie d'attacco più piccola
Exchange on-premises è uno dei workload più attaccati in assoluto. Una volta sparito l'ultimo server, non resta alcuna CVE di Exchange da patchare nel weekend e nessuno zero-day puntato contro il tuo perimetro.
Niente più esposto su internet
OWA, ECP, Autodiscover e i web service di Exchange spariscono dal tuo perimetro. Un punto d'ingresso in meno per l'accesso iniziale, un bersaglio in meno per l'esecuzione di codice remoto.
Basta patch di Exchange
Nessun cumulative update né security update da testare, installare e monitorare, nessuna finestra di manutenzione dedicata e nessun Exchange Server che resta indietro quando arriva la prossima correzione critica.
Nessuna prossima migrazione
Exchange 2016 e 2019 sono usciti dal supporto a ottobre 2025, e la Subscription Edition è il prossimo upgrade in calendario. Senza server non c'è alcuna prossima migrazione da pianificare, finanziare o affrontare.
Un sistema privilegiato in meno
Exchange è profondamente integrato in AD e dispone di privilegi elevati. Rimuoverlo toglie di mezzo un bersaglio primario per il furto di credenziali, e dopo il trasferimento della SOA gran parte della sua impronta lascia anche AD.
Meno da gestire
Niente monitoraggio, backup, certificati, storage o VM da gestire per Exchange, e nessun piano di disaster recovery separato da scrivere, testare e mantenere aggiornato. Un workload in meno su ogni checklist.
Un'architettura più pulita
La messaggistica è Exchange Online, punto. Nessun caso speciale ibrido, e meno componenti da controllare quando flusso di posta, Autodiscover, destinatari o autenticazione non si comportano come dovrebbero.
Meno know-how da mantenere
Le competenze su Exchange on-premises sono sempre più rare e costose. Senza un server da seguire, non devi più mantenerle in casa, né acquistarle all'esterno quando l'unica persona che le ha è in ferie.
Ruoli più chiari, costi più bassi
Meno infrastruttura, operatività, backup, monitoraggio e lavoro di amministrazione. Microsoft gestisce la piattaforma, tu amministri Exchange Online, e il confine tra i due è finalmente chiaro.
Tre passaggi, e un server che puoi spegnere
- Collega Sendman al tuo backendCollega Sendman al tuo backendScegli Exchange Online, Azure Communication Services o qualunque host tu usi già per inviare, e inserisci ciò che richiede. Un solo modulo nel portale, e nessun nuovo deployment quando cambia qualcosa.
- Fai entrare i dispositivi e stabilisci cosa possono fareFai entrare i dispositivi e stabilisci cosa possono fareAggiungi gli intervalli da cui si connettono, emetti credenziali del vault per i dispositivi che non devono avere un'identità di directory, poi scrivi le policy che stabiliscono chi può inviare con quale mittente, e a chi.
- Aggiorna il DNS, dismetti il serverAggiorna il DNS, dismetti il serverFai puntare l'hostname a cui inviano i tuoi dispositivi su Sendman invece che sull'Exchange Server. Nel caso ideale basta questo: non si tocca un solo dispositivo, e all'Exchange Server non resta più nulla da fare.
Le prime domande che emergono
Cosa chiedono gli admin prima che passi la prima email di prova.
01Sendman archivia la nostra posta?
No. Fa da proxy alla sessione SMTP e la inoltra così come arriva. Non ci sono mailbox, code, spool né archivi, e il messaggio stesso viene inoltrato invariato, header inclusi. L'unica cosa che Sendman conserva è la tua configurazione.
02Dobbiamo registrare qualcosa nel nostro tenant Entra?
No. Sendman convalida le credenziali dei dispositivi tramite Microsoft Entra ID senza app registration, senza consenso e senza nulla da modificare nel tuo tenant. I login ibridi come CONTOSO\svc-scan funzionano così come sono.
03E l'autenticazione a più fattori su quegli account?
Non è un ostacolo in nessuno dei due casi. Una credenziale del vault non tocca mai la tua directory, quindi non c'è nulla da richiedere. Anche gli account Entra ID funzionano: l'autenticazione a più fattori e il Conditional Access non si mettono di mezzo, nemmeno con policy restrittive, e il dispositivo non vede mai una richiesta. Con quale mittente un account può inviare, e a chi, non è un permesso di mailbox in Exchange Online ma una policy di Sendman: decidono le regole su mittente e destinatario, sia per le credenziali del vault sia per gli account Entra ID.
04E se un dispositivo non supporta affatto il TLS?
Può comunque connettersi su una porta non cifrata, e identità, IP e policy vengono applicati esattamente allo stesso modo. Accettare o meno un primo hop non cifrato da quel dispositivo è una tua decisione; l'allow list lo limita ai tuoi indirizzi di uscita, e da Sendman in poi la sessione è cifrata ovunque il backend lo supporti.
05Cosa succede a SPF, DKIM e DMARC?
Appartengono al dominio da cui invii e sono gestiti dal backend che effettua davvero il recapito, Exchange Online o Azure Communication Services. Sendman non riscrive né l'envelope né gli header, quindi tutto ciò che hai configurato per quel backend continua a funzionare esattamente come oggi.
06Cosa succede se Sendman non riesce a raggiungere la sua configurazione?
Le connessioni vengono rifiutate con una risposta temporanea di “servizio non disponibile”, che indica a un mittente configurato correttamente di trattenere il messaggio e riprovare, così un problema momentaneo dello storage ritarda la posta invece di perderla.
07Possiamo mantenere Exchange Online come backend?
Sì. Molte organizzazioni mantengono Exchange Online come percorso di recapito e usano Sendman per il livello di autenticazione e di policy di cui i loro dispositivi hanno bisogno. Il backend può essere cambiato in seguito senza toccare un solo dispositivo.
08Dove risiede la nostra configurazione, e chi può vederla?
In uno storage isolato per il tuo tenant. Le credenziali vengono cifrate prima di essere scritte. L'accesso al portale avviene tramite il tuo platform tenant, i viewer vedono ogni regola e non ne cambiano nessuna, gli admin modificano la configurazione, e ogni voce dell'allow list, ogni policy e ogni credenziale registra chi l'ha creata.
09Come scopriamo cosa sta effettivamente inviando un dispositivo?
Ogni errore di autenticazione e ogni violazione di policy finisce nel registro eventi ricercabile, con il nome della regola che li ha rifiutati indicato nella voce, e la risposta che riceve il dispositivo ti dice quale controllo lo ha respinto. Sniff Mode, una finestra di cattura che mostra esattamente cosa presenta un dispositivo, cioè il suo indirizzo di origine, il nome utente che offre e il mittente che dichiara, è nella roadmap.
Incontriamoci di persona
Quest'autunno Sendman è in giro. Passa a trovarci, porta la tua storia di stampanti e guarda il relay in azione.
Workplace Ninja Summit
Conferenza della community a Baden su Microsoft Endpoint Management e sicurezza
it-sa
Incontraci anche quest'anno alla principale fiera europea per la sicurezza IT
RADIUSaaS, il servizio RADIUS basato sul cloud
SCEPman, la certificate authority cloud-native
