Si god natt
til din siste
Exchange Server.
SMTP-relayet for Microsoft 365. Skriverne, skannerne og appene dine fortsetter å sende, og serveren får endelig sove.
Ikke lansert ennå. Preview kommer snart.
Sendman er det policyhåndhevende SMTP-relayet for Microsoft 365, bygget for alle skrivere, skannere og applikasjoner som bare snakker vanlig SMTP. Det autentiserer dem mot Microsoft Entra ID, avgrenser dem etter IP-adresse og avsenderpolicy og leverer e-posten til Exchange Online eller leveringstjenesten du allerede bruker — slik at den siste on-premises Exchange Server ikke har noe mer å gjøre.
PROBLEMETServeren som bare finnes for skrivernes skyld
I nesten alle organisasjoner står det igjen én Exchange Server. Ingen leser e-post på den. Den kjører fortsatt fordi en skanner, en nattlig ERP-eksport og et alarmpanel må kunne sende, og det eneste noen av dem kan, er å åpne en port og autentisere seg.
Fire blindveier
Alle har prøvd minst én av dem. Ingen av dem holder.
- 01
Behold Exchange Server i drift
Du patcher en e-postserver slik at en skanner kan sende en PDF på e-post. Hvert sikkerhetsvarsel for Exchange er nå din helg.
Blindvei: Serveren blir - 02
Åpne et uautentisert internt relay
Alt som kan nå connectoren, kan sende som hvem som helst i domenet ditt. Ingen identitet, ingen avsenderkontroll, ingenting å revidere i etterkant.
Blindvei: Kontrollen er borte - 03
Legg ett postkassepassord på 200 enheter
Det kan ikke roteres uten å besøke hver enkelt enhet, og en kopi av det sitter på en lapp i kopirommet.
Blindvei: Kontrollen er borte - 04
Pek alt mot en tjeneste for masseutsending
Leveringen fungerer. Ingenting underveis kontrollerer hvem som sender som hvem, eller til hvem, og den delte API-nøkkelen er i praksis en sendetillatelse for hele domenet.
Blindvei: Kontrollen er borte - 05 · Veien ut
Alle fire er den samme byttehandelen. Enten holder du en e-postserver i live for enhetenes skyld, eller så gir du fra deg kontrollen over hvem som får sende som hvem. Sendman er alternativet som ikke går med på byttehandelen.
Veien ut: Serveren borte, kontrollen beholdt
Erstatt relay-funksjonen i on-premises Exchange
Ruting til Exchange Online eller eksterne leveringstjenester
Eldre SMTP-pålogginger, moderne identiteter
Separat ruting per domene
Behold oppsettet du har
Én økt, fra ende til ende
Sendman sitter i selve SMTP-samtalen, ikke ved siden av den. Det finnes fem punkter der det tar en beslutning. Velg ett av dem og se hvilken del av utvekslingen det styrer.
Tre policyer. Bytt ut hvem som banker på.
Dette er den faktiske evalueringsrekkefølgen, kjørt live: tillatelseslisten, deretter policyene som gjelder for denne identiteten og denne adressen, deretter avsenderen og til slutt hver mottaker for seg. Endre hvilken som helst av de fire og se hva relayet svarer.
Policy 10 er avgrenset til svc-scan@contoso.com fra 198.51.100.24. scan@contoso.com samsvarer med de tillatte avsenderne og accounting@contoso.com med de tillatte mottakerne, så Sendman åpner sin egen økt mot backenden og overleverer meldingen uendret.
Policyene som evalueres
Global tillatelsesliste: 198.51.100.16 – 198.51.100.31, 192.0.2.128 – 192.0.2.143
svc-scan@contoso.com, fra hovedkontoret
senders: scan@contoso\.com
receivers: .*@contoso\.com
mfp-3f, fra hvor som helst på tillatelseslisten
senders: .*@contoso\.com
receivers: .*@contoso\.com
Alle enheter på hovedkontoret, uten pålogging
senders: noreply@contoso\.com
receivers: .*@contoso\.com
Policyer velges ut etter scope og reduseres deretter til det laveste prioritetsnummeret som gjelder. Policyer med samme prioritet slås sammen, slik at en enhet kan få rettigheter fra flere regler samtidig.
Exchanges siste jobb, pluss kontroll
Eldre enheter trenger tre ting for å fortsette å fungere: en port å snakke med, en autentiseringsmekanisme de forstår, og tillatelse. Sendman gir dem alle tre og legger den tredje under din kontroll.
Entra ID-autentisering
Brukernavn og passord fungerer videre som de er, validert mot Microsoft Entra ID, uten appregistrering, uten samtykke, uten endringer i tenanten din og uten en katalog som må synkroniseres.
Hybride pålogginger fungerer som de er
En enhet som ble konfigurert med
CONTOSO\svc-scanfor flere år siden, fungerer fortsatt. Sendman kobler domenepåloggingen til riktig Entra-bruker, slik at ingenting må tastes inn på nytt på enheten og ingen trenger å gå bort til skriveren.Din egen credential vault
For enheter som ikke bør ha en katalogidentitet, utsteder du i stedet en Sendman-credential. Lagret med AES-256-GCM, sammenlignet i konstant tid, aldri vist igjen, og det samme gjelder backend-passordet ditt.
LOGIN, PLAIN og NTLM
De tre mekanismene gammel hardware faktisk implementerer, inkludert NTLM, som nesten ingenting annet foran Microsoft 365 fortsatt snakker. Hver av dem kan slås av uavhengig av de andre.
En global IP-tillatelsesliste
Områdene evalueres i samme øyeblikk som en tilkobling aksepteres, før SMTP-hilsenen og på port 465 til og med før TLS-handshaken. Alt annet når aldri frem til samtalen, langt mindre til autentiseringen.
Policyer med prioriteter
Avgrens en regel til et brukernavn, et IP-område eller begge deler. Det laveste prioritetsnummeret som gjelder, vinner; regler med samme prioritet slås sammen, slik at en enhet kan arve rettigheter fra mer enn én.
Avsender- og mottakerkontroll
Regulære uttrykk på begge sider, håndhevet ved
MAIL FROMog ved hverRCPT TO. Ingen sender som administrerende direktør, og ingenting blir et åpent relay ved et uhell.Anonymt relay, med vilje
Noen enheter kan rett og slett ikke autentisere seg. De får en smal fil som må slås på bevisst, er avgrenset til et IP-område og fortsatt er bundet av avsender- og mottakerregler.
TLS på alle porter
Implisitt TLS på 465, STARTTLS på 25 og 587, med et sertifikat utstedt til deg eller et du tar med selv, fornyet uten omstart. Videre mot backenden er økten kryptert overalt der backenden støtter det.
Hvilken som helst backend du sender gjennom
Exchange Online uten SMTP AUTH, upåvirket av Microsofts utfasing av Basic Authentication, eller Azure Communication Services og andre transporttjenester. Å bytte er en innstilling, ikke en ny utrulling.
Aktiv ved neste tilkobling
Konfigurasjonen leses på nytt for hver økt som åpnes. Rediger en policy, så er neste enhet som kobler til, allerede underlagt den. Ingen omstart, ikke noe endringsvindu, ingen cache å vente ut.
Metrikker du kan varsle på
Hver økt etterlater et spor: autentiseringer, leveringer, øktvarigheter, søkbare i portalen og klare for varsling. En enhet som har sluttet å sende, er én forespørsel unna, ikke en supportsak.
Roller som betyr det de sier
Viewers ser alle regler og endrer ingen; admins endrer konfigurasjonen. Håndhevet av tjenesten ved hver forespørsel, og hver oppføring registrerer hvem som opprettet den. Policyer registrerer også hvem som sist endret dem.
Søkbar hendelseslogg
Hver autentiseringsfeil og hvert policybrudd, filtrerbart etter bruker, adresse, avsender og mottaker, med regelen som avviste det navngitt i oppføringen. «Hvorfor kom den i retur» krever én søkning.
På veikartet
Sniff Mode
Åpne et opptaksvindu og se nøyaktig hva en enhet presenterer: kildeadressen, brukernavnet den tilbyr, avsenderen den utgir seg for å være. For skriveren ingen har passordet til, og som ingen leverandør lenger støtter.
Spesifikasjoner
Navnene og tallene en admin spør etter før den første testmeldingen.
Tilkobling
- Porter
- 25 og 587 med STARTTLS, 465 med implisitt TLS
- Sertifikat
- Utstedt til deg eller ta med ditt eget, fornyet uten omstart
- Tillatelsesliste
- IPv4-adresseområder, opptil 16 384 adresser hver
Autentisering
- Mekanismer
- LOGIN, PLAIN, NTLM
- Identitetskilder
- Microsoft Entra ID (inkludert hybride DOMAIN\user-pålogginger), Sendman credential vault
- Vault-kryptering
- AES-256-GCM
Policyer
- Scope
- Brukernavn, IP-område eller begge deler
- Prioriteter
- Laveste nummer vinner, lik prioritet slås sammen
- Avsender- og mottakerregler
- Regulære uttrykk, håndhevet ved MAIL FROM og hver RCPT TO
- Anonymt relay
- Per policy, bundet til et IP-område
Levering
- Backends
- Exchange Online (uten SMTP AUTH), Azure Communication Services, andre SMTP-transporttjenester
- Meldingsstørrelse
- Opptil 25 MB per melding (backenden din kan tillate mindre)
- Håndtering
- Sendes uendret videre, ingen kø, ingen kopi beholdt
Drift
- Konfigurasjon
- Platform Portal, aktiv ved neste tilkobling
- Roller
- Viewer, admin
- Telemetri
- Søkbar i portalen
- Inkludert
- Alle oppdateringer, hendelsesstøtte
- Sertifisering
- Våre utviklings- og driftsteam er sertifisert etter ISO 27001
Hvorfor pensjonere den siste Exchange Server
Når Sendman har overtatt relayet, kan serveren gå. Dette er hva du vinner.
En mindre angrepsflate
On-premises Exchange er en av de mest angrepne workloadene som finnes. Når den siste serveren er borte, er det ingen Exchange-CVE igjen å patche i helgen og ingen zero-day rettet mot perimeteren din.
Ingenting igjen på internett
OWA, ECP, Autodiscover og Exchange-webtjenestene forsvinner fra nettverkskanten din. Ett inngangspunkt mindre for initial access, ett mål mindre for remote code execution.
Slutt på Exchange-patching
Ingen kumulative oppdateringer og sikkerhetsoppdateringer å teste, installere og overvåke, ingen vedlikeholdsvinduer for dem og ingen Exchange Server igjen som kan bli hengende etter når neste kritiske rettelse kommer.
Ingen neste migrering
Exchange 2016 og 2019 mistet support i oktober 2025, og Subscription Edition er neste oppgradering i kalenderen. Uten en server er det ingen neste migrering å planlegge, finansiere eller overleve.
Ett privilegert system mindre
Exchange er dypt integrert i AD og har høye privilegier. Å fjerne det tar et førsteklasses mål for credential-tyveri ut av bildet, og etter SOA-overføringen forsvinner også det meste av fotavtrykket fra AD.
Mindre å drifte
Ingen overvåking, backup, sertifikater, lagring eller VM-er å kjøre for Exchange, og ikke noe eget disaster recovery-konsept å skrive, teste og holde oppdatert. Én workload mindre på hver sjekkliste.
En ryddigere arkitektur
Messaging er Exchange Online, punktum. Ikke noe hybrid-særtilfelle og færre komponenter å sjekke når e-postflyt, Autodiscover, mottakere eller autentisering ikke oppfører seg som de skal.
Mindre kompetanse å holde på
Kompetanse på on-premises Exchange blir sjeldnere og dyrere. Uten en server å passe på trenger du verken å beholde den eller kjøpe den inn når den ene personen som har den, er på ferie.
Klarere roller, lavere kostnader
Mindre infrastruktur, drift, backup, overvåking og administrasjon. Microsoft drifter plattformen, du administrerer Exchange Online, og grensen mellom de to er endelig tydelig.
Tre trinn, og én server du kan slå av
- Pek Sendman mot backenden dinPek Sendman mot backenden dinVelg Exchange Online, Azure Communication Services eller verten du allerede sender gjennom, og legg inn det den trenger. Ett skjema i portalen, og ingen ny utrulling når det endres.
- Slipp enhetene inn, og bestem hva de får gjøreSlipp enhetene inn, og bestem hva de får gjøreLegg til områdene de kobler til fra, utsted vault-credentials til enhetene som ikke bør ha en katalogidentitet, og skriv deretter policyene for hvem som får sende som hva, og til hvem.
- Pek om DNS, pensjoner serverenPek om DNS, pensjoner serverenPek vertsnavnet enhetene dine sender til, mot Sendman i stedet for Exchange Server. I beste fall er det alt som skal til. Ikke én enhet røres, og Exchange Server har ikke noe mer å gjøre.
Spørsmålene som kommer først
Det admins spør om før den første testmeldingen går gjennom.
01Lagrer Sendman e-posten vår?
Nei. Det proxyer SMTP-økten og sender den videre slik den kommer inn. Det finnes ingen postkasse, ingen kø, ingen spool og ikke noe arkiv, og selve meldingen sendes uendret videre, headere inkludert. Det eneste Sendman lagrer, er konfigurasjonen din.
02Må vi registrere noe i Entra-tenanten vår?
Nei. Sendman validerer enhetenes påloggingsinformasjon mot Microsoft Entra ID uten appregistrering, uten samtykke og uten endringer i tenanten din. Hybride pålogginger som CONTOSO\svc-scan fungerer som de er.
03Hva med flerfaktorautentisering på disse kontoene?
Ingen av delene står i veien. En vault-credential berører aldri katalogen din, så det er ingenting å be om. Entra ID-kontoer fungerer også: flerfaktorautentisering og Conditional Access står ikke i veien, selv med strenge policyer, og enheten får aldri noen forespørsel. Hva en konto får sende som, og til hvem, er ikke en postkassetillatelse i Exchange Online, men en Sendman-policy: avsender- og mottakerregler avgjør det, for vault-credentials og Entra ID-kontoer på samme måte.
04Hva om en enhet ikke kan TLS i det hele tatt?
Den kan fortsatt koble til på en ukryptert port, og identitet, IP og policy håndheves på nøyaktig samme måte. Om du godtar et ukryptert første hopp fra den enheten, er din beslutning; tillatelseslisten begrenser det til dine egne egress-adresser, og fra Sendman og videre er økten kryptert overalt der backenden støtter det.
05Hva skjer med SPF, DKIM og DMARC?
De hører til domenet du sender fra, og håndteres av backenden som faktisk leverer, Exchange Online eller Azure Communication Services. Sendman skriver verken om konvolutten eller headerne dine, så det du har satt opp for den backenden, fungerer nøyaktig som i dag.
06Hva skjer hvis Sendman ikke når konfigurasjonen sin?
Tilkoblinger avvises med et midlertidig «service not available»-svar som ber en veloppdragen avsender holde på meldingen og prøve igjen, slik at et hikke i lagringen forsinker e-post i stedet for at den går tapt.
07Kan vi beholde Exchange Online som backend?
Ja. Mange organisasjoner beholder Exchange Online som leveringsvei og bruker Sendman til autentiserings- og policylaget enhetene deres trenger. Backenden kan byttes senere uten å røre en eneste enhet.
08Hvor ligger konfigurasjonen vår, og hvem kan se den?
I lagring som er isolert til tenanten din. Påloggingsinformasjon krypteres før den skrives. Tilgang til portalen kommer fra plattform-tenanten din, viewers ser alle regler og endrer ingen, admins endrer konfigurasjonen, og hver oppføring på tillatelseslisten, hver policy og hver credential registrerer hvem som opprettet den.
09Hvordan finner vi ut hva en enhet faktisk sender?
Hver autentiseringsfeil og hvert policybrudd havner i den søkbare hendelsesloggen med regelen som avviste det navngitt i oppføringen, og svaret enheten får, forteller deg hvilket trinn som avviste den. Sniff Mode, et opptaksvindu som viser nøyaktig hva en enhet presenterer, altså kildeadressen, brukernavnet den tilbyr og avsenderen den utgir seg for å være, står på veikartet.
Møt oss personlig
Sendman er på farten denne høsten. Kom innom, ta med skriverhistorien din og se relayet i aksjon.
Workplace Ninja Summit
Community-konferanse i Baden om Microsoft Endpoint Management og Security
it-sa
Møt oss igjen i år på Europas ledende messe for IT-sikkerhet


Cloud-basert RADIUS-tjeneste RADIUSaaS

