Si god natt
til din siste
Exchange Server.

SMTP-relayet for Microsoft 365. Skriverne, skannerne og appene dine fortsetter å sende, og serveren får endelig sove.

Be om preview

Ikke lansert ennå. Preview kommer snart.

Vinner eller finalist i Microsoft Partner of the Year Award, finalist i Security MSSP of the Year
Session 4f9c1a02 · 198.51.100.24
[ connection accepted from 198.51.100.24 ]
220 ESMTP Service ready
EHLO mfp-3f-canon.contoso.local
250 AUTH LOGIN PLAIN NTLM
AUTH LOGIN
235 Authentication successful. Let's send some emails!
MAIL FROM:<scan@contoso.com>
250 2.1.0 Sender OK
RCPT TO:<accounting@contoso.com>
250 2.1.5 Recipient OK
RCPT TO:<anyone@gmail.com>
550 5.7.1 Recipient not authorized
DATA
250 2.6.0 Queued mail for delivery

Sendman er det policyhåndhevende SMTP-relayet for Microsoft 365, bygget for alle skrivere, skannere og applikasjoner som bare snakker vanlig SMTP. Det autentiserer dem mot Microsoft Entra ID, avgrenser dem etter IP-adresse og avsenderpolicy og leverer e-posten til Exchange Online eller leveringstjenesten du allerede bruker — slik at den siste on-premises Exchange Server ikke har noe mer å gjøre.

PROBLEMETServeren som bare finnes for skrivernes skyld

I nesten alle organisasjoner står det igjen én Exchange Server. Ingen leser e-post på den. Den kjører fortsatt fordi en skanner, en nattlig ERP-eksport og et alarmpanel må kunne sende, og det eneste noen av dem kan, er å åpne en port og autentisere seg.

NØDLØSNINGENE

Fire blindveier

Alle har prøvd minst én av dem. Ingen av dem holder.

  1. 01

    Behold Exchange Server i drift

    Du patcher en e-postserver slik at en skanner kan sende en PDF på e-post. Hvert sikkerhetsvarsel for Exchange er nå din helg.

    Blindvei: Serveren blir
  2. 02

    Åpne et uautentisert internt relay

    Alt som kan nå connectoren, kan sende som hvem som helst i domenet ditt. Ingen identitet, ingen avsenderkontroll, ingenting å revidere i etterkant.

    Blindvei: Kontrollen er borte
  3. 03

    Legg ett postkassepassord på 200 enheter

    Det kan ikke roteres uten å besøke hver enkelt enhet, og en kopi av det sitter på en lapp i kopirommet.

    Blindvei: Kontrollen er borte
  4. 04

    Pek alt mot en tjeneste for masseutsending

    Leveringen fungerer. Ingenting underveis kontrollerer hvem som sender som hvem, eller til hvem, og den delte API-nøkkelen er i praksis en sendetillatelse for hele domenet.

    Blindvei: Kontrollen er borte
  5. 05 · Veien ut

    Alle fire er den samme byttehandelen. Enten holder du en e-postserver i live for enhetenes skyld, eller så gir du fra deg kontrollen over hvem som får sende som hvem. Sendman er alternativet som ikke går med på byttehandelen.

    Veien ut: Serveren borte, kontrollen beholdt

Erstatt relay-funksjonen i on-premises Exchange

Ruting til Exchange Online eller eksterne leveringstjenester

Exchange Online håndterer alt, både e-post til dine egne brukere og e-post til omverdenen. Eller du overlater leveringen til tjenesten du allerede bruker, Azure Communication Services eller en hvilken som helst annen SMTP-transporttjeneste. Exchange Online nås uten SMTP AUTH, så Microsofts utfasing av Basic Authentication berører aldri denne veien. E-postflytene dine forblir som de er; bare serveren i midten forsvinner.

Eldre SMTP-pålogginger, moderne identiteter

Enheter og applikasjoner logger på slik de alltid har gjort, med LOGIN, PLAIN eller NTLM. Sendman validerer påloggingsinformasjonen mot Microsoft Entra ID uten appregistrering, uten samtykke og uten endringer i tenanten din; hybride pålogginger som CONTOSO\svc-scan fungerer som de er. Kontoer som ikke bør finnes i Entra ID, legges i Sendmans credential vault, kryptert med AES-256-GCM. Enheter som ikke kan logge på i det hele tatt, avgrenses i stedet etter IP-område.

Separat ruting per domene

Forretningsenheter, datterselskaper eller domener som ikke bør dele en e-postvei, skilles først ved hjelp av policy: per bruker, per IP-område, per avsender og mottaker. Når det ikke er nok, får en enhet sin egen Sendman med egen konfigurasjon og egen backend, slik at ingenting deles.

Behold oppsettet du har

Skannere, alarmpaneler og fagapplikasjoner kan ikke lære OAuth, og mange kan ikke engang STARTTLS. De beholder det de har: et vertsnavn, en port, et brukernavn og et passord. Pek vertsnavnet mot Sendman, så sender de nøyaktig som før på port 25, 465 eller 587. I de fleste tilfeller er én DNS-post det eneste som endres.

Én økt, fra ende til ende

Sendman sitter i selve SMTP-samtalen, ikke ved siden av den. Det finnes fem punkter der det tar en beslutning. Velg ett av dem og se hvilken del av utvekslingen det styrer.

Session 4f9c1a02 · 198.51.100.24
[ connection accepted from 198.51.100.24 ]
[ 198.51.100.16 – 198.51.100.31 is on the allow list ]
220 ESMTP Service ready
EHLO mfp-3f-canon.contoso.local
250-STARTTLS
250 AUTH LOGIN PLAIN NTLM
STARTTLS
220 TLS go ahead
EHLO mfp-3f-canon.contoso.local
250 AUTH LOGIN PLAIN NTLM
AUTH LOGIN
334 VXNlcm5hbWU6
c3ZjLXNjYW5AY29udG9zby5jb20=
235 Authentication successful. Let's send some emails!
MAIL FROM:<scan@contoso.com>
250 2.1.0 Sender OK
RCPT TO:<accounting@contoso.com>
250 2.1.5 Recipient OK
RCPT TO:<anyone@gmail.com>
550 5.7.1 Recipient not authorized, your account is not permitted to send to this address
DATA
354 Start mail input; end with <CRLF>.<CRLF>
250 2.6.0 Queued mail for delivery
QUIT
221 2.0.0 Service closing transmission channel
PRØV DET

Tre policyer. Bytt ut hvem som banker på.

Dette er den faktiske evalueringsrekkefølgen, kjørt live: tillatelseslisten, deretter policyene som gjelder for denne identiteten og denne adressen, deretter avsenderen og til slutt hver mottaker for seg. Endre hvilken som helst av de fire og se hva relayet svarer.

Hvem kobler til
Kobler til fra
MAIL FROM
RCPT TO
Evaluation
connect220 ESMTP Service ready
auth235 Authentication successful. Let's send some emails!
policypriority 10 applies
mail from250 2.1.0 Sender OK
rcpt to250 2.1.5 Recipient OK
queued250 2.6.0 Queued mail for delivery
Hvorfor

Policy 10 er avgrenset til svc-scan@contoso.com fra 198.51.100.24. scan@contoso.com samsvarer med de tillatte avsenderne og accounting@contoso.com med de tillatte mottakerne, så Sendman åpner sin egen økt mot backenden og overleverer meldingen uendret.

Policyene som evalueres

Global tillatelsesliste: 198.51.100.16 – 198.51.100.31, 192.0.2.128 – 192.0.2.143

Prioritet 10Entra ID

svc-scan@contoso.com, fra hovedkontoret

senders: scan@contoso\.com
receivers: .*@contoso\.com

Prioritet 20Sendman vault

mfp-3f, fra hvor som helst på tillatelseslisten

senders: .*@contoso\.com
receivers: .*@contoso\.com

Prioritet 30anonym tillatt

Alle enheter på hovedkontoret, uten pålogging

senders: noreply@contoso\.com
receivers: .*@contoso\.com

Policyer velges ut etter scope og reduseres deretter til det laveste prioritetsnummeret som gjelder. Policyer med samme prioritet slås sammen, slik at en enhet kan få rettigheter fra flere regler samtidig.

HVA DET GJØR

Exchanges siste jobb, pluss kontroll

Eldre enheter trenger tre ting for å fortsette å fungere: en port å snakke med, en autentiseringsmekanisme de forstår, og tillatelse. Sendman gir dem alle tre og legger den tredje under din kontroll.

  • Entra ID-autentisering

    Brukernavn og passord fungerer videre som de er, validert mot Microsoft Entra ID, uten appregistrering, uten samtykke, uten endringer i tenanten din og uten en katalog som må synkroniseres.

  • Hybride pålogginger fungerer som de er

    En enhet som ble konfigurert med CONTOSO\svc-scan for flere år siden, fungerer fortsatt. Sendman kobler domenepåloggingen til riktig Entra-bruker, slik at ingenting må tastes inn på nytt på enheten og ingen trenger å gå bort til skriveren.

  • Din egen credential vault

    For enheter som ikke bør ha en katalogidentitet, utsteder du i stedet en Sendman-credential. Lagret med AES-256-GCM, sammenlignet i konstant tid, aldri vist igjen, og det samme gjelder backend-passordet ditt.

  • LOGIN, PLAIN og NTLM

    De tre mekanismene gammel hardware faktisk implementerer, inkludert NTLM, som nesten ingenting annet foran Microsoft 365 fortsatt snakker. Hver av dem kan slås av uavhengig av de andre.

  • En global IP-tillatelsesliste

    Områdene evalueres i samme øyeblikk som en tilkobling aksepteres, før SMTP-hilsenen og på port 465 til og med før TLS-handshaken. Alt annet når aldri frem til samtalen, langt mindre til autentiseringen.

  • Policyer med prioriteter

    Avgrens en regel til et brukernavn, et IP-område eller begge deler. Det laveste prioritetsnummeret som gjelder, vinner; regler med samme prioritet slås sammen, slik at en enhet kan arve rettigheter fra mer enn én.

  • Avsender- og mottakerkontroll

    Regulære uttrykk på begge sider, håndhevet ved MAIL FROM og ved hver RCPT TO. Ingen sender som administrerende direktør, og ingenting blir et åpent relay ved et uhell.

  • Anonymt relay, med vilje

    Noen enheter kan rett og slett ikke autentisere seg. De får en smal fil som må slås på bevisst, er avgrenset til et IP-område og fortsatt er bundet av avsender- og mottakerregler.

  • TLS på alle porter

    Implisitt TLS på 465, STARTTLS på 25 og 587, med et sertifikat utstedt til deg eller et du tar med selv, fornyet uten omstart. Videre mot backenden er økten kryptert overalt der backenden støtter det.

  • Hvilken som helst backend du sender gjennom

    Exchange Online uten SMTP AUTH, upåvirket av Microsofts utfasing av Basic Authentication, eller Azure Communication Services og andre transporttjenester. Å bytte er en innstilling, ikke en ny utrulling.

  • Aktiv ved neste tilkobling

    Konfigurasjonen leses på nytt for hver økt som åpnes. Rediger en policy, så er neste enhet som kobler til, allerede underlagt den. Ingen omstart, ikke noe endringsvindu, ingen cache å vente ut.

  • Metrikker du kan varsle på

    Hver økt etterlater et spor: autentiseringer, leveringer, øktvarigheter, søkbare i portalen og klare for varsling. En enhet som har sluttet å sende, er én forespørsel unna, ikke en supportsak.

  • Roller som betyr det de sier

    Viewers ser alle regler og endrer ingen; admins endrer konfigurasjonen. Håndhevet av tjenesten ved hver forespørsel, og hver oppføring registrerer hvem som opprettet den. Policyer registrerer også hvem som sist endret dem.

  • Søkbar hendelseslogg

    Hver autentiseringsfeil og hvert policybrudd, filtrerbart etter bruker, adresse, avsender og mottaker, med regelen som avviste det navngitt i oppføringen. «Hvorfor kom den i retur» krever én søkning.

  • På veikartet

    Sniff Mode

    Åpne et opptaksvindu og se nøyaktig hva en enhet presenterer: kildeadressen, brukernavnet den tilbyr, avsenderen den utgir seg for å være. For skriveren ingen har passordet til, og som ingen leverandør lenger støtter.

OVERSIKT

Spesifikasjoner

Navnene og tallene en admin spør etter før den første testmeldingen.

Tilkobling

Porter
25 og 587 med STARTTLS, 465 med implisitt TLS
Sertifikat
Utstedt til deg eller ta med ditt eget, fornyet uten omstart
Tillatelsesliste
IPv4-adresseområder, opptil 16 384 adresser hver

Autentisering

Mekanismer
LOGIN, PLAIN, NTLM
Identitetskilder
Microsoft Entra ID (inkludert hybride DOMAIN\user-pålogginger), Sendman credential vault
Vault-kryptering
AES-256-GCM

Policyer

Scope
Brukernavn, IP-område eller begge deler
Prioriteter
Laveste nummer vinner, lik prioritet slås sammen
Avsender- og mottakerregler
Regulære uttrykk, håndhevet ved MAIL FROM og hver RCPT TO
Anonymt relay
Per policy, bundet til et IP-område

Levering

Backends
Exchange Online (uten SMTP AUTH), Azure Communication Services, andre SMTP-transporttjenester
Meldingsstørrelse
Opptil 25 MB per melding (backenden din kan tillate mindre)
Håndtering
Sendes uendret videre, ingen kø, ingen kopi beholdt

Drift

Konfigurasjon
Platform Portal, aktiv ved neste tilkobling
Roller
Viewer, admin
Telemetri
Søkbar i portalen
Inkludert
Alle oppdateringer, hendelsesstøtte
Sertifisering
Våre utviklings- og driftsteam er sertifisert etter ISO 27001
GEVINSTEN

Hvorfor pensjonere den siste Exchange Server

Når Sendman har overtatt relayet, kan serveren gå. Dette er hva du vinner.

  • En mindre angrepsflate

    On-premises Exchange er en av de mest angrepne workloadene som finnes. Når den siste serveren er borte, er det ingen Exchange-CVE igjen å patche i helgen og ingen zero-day rettet mot perimeteren din.

  • Ingenting igjen på internett

    OWA, ECP, Autodiscover og Exchange-webtjenestene forsvinner fra nettverkskanten din. Ett inngangspunkt mindre for initial access, ett mål mindre for remote code execution.

  • Slutt på Exchange-patching

    Ingen kumulative oppdateringer og sikkerhetsoppdateringer å teste, installere og overvåke, ingen vedlikeholdsvinduer for dem og ingen Exchange Server igjen som kan bli hengende etter når neste kritiske rettelse kommer.

  • Ingen neste migrering

    Exchange 2016 og 2019 mistet support i oktober 2025, og Subscription Edition er neste oppgradering i kalenderen. Uten en server er det ingen neste migrering å planlegge, finansiere eller overleve.

  • Ett privilegert system mindre

    Exchange er dypt integrert i AD og har høye privilegier. Å fjerne det tar et førsteklasses mål for credential-tyveri ut av bildet, og etter SOA-overføringen forsvinner også det meste av fotavtrykket fra AD.

  • Mindre å drifte

    Ingen overvåking, backup, sertifikater, lagring eller VM-er å kjøre for Exchange, og ikke noe eget disaster recovery-konsept å skrive, teste og holde oppdatert. Én workload mindre på hver sjekkliste.

  • En ryddigere arkitektur

    Messaging er Exchange Online, punktum. Ikke noe hybrid-særtilfelle og færre komponenter å sjekke når e-postflyt, Autodiscover, mottakere eller autentisering ikke oppfører seg som de skal.

  • Mindre kompetanse å holde på

    Kompetanse på on-premises Exchange blir sjeldnere og dyrere. Uten en server å passe på trenger du verken å beholde den eller kjøpe den inn når den ene personen som har den, er på ferie.

  • Klarere roller, lavere kostnader

    Mindre infrastruktur, drift, backup, overvåking og administrasjon. Microsoft drifter plattformen, du administrerer Exchange Online, og grensen mellom de to er endelig tydelig.

Tre trinn, og én server du kan slå av

Sendman overtar den ene jobben som holdt serveren i live, uten å røre enhetene som er avhengige av den.
  • Pek Sendman mot backenden din
    Pek Sendman mot backenden din
    Velg Exchange Online, Azure Communication Services eller verten du allerede sender gjennom, og legg inn det den trenger. Ett skjema i portalen, og ingen ny utrulling når det endres.
  • Slipp enhetene inn, og bestem hva de får gjøre
    Slipp enhetene inn, og bestem hva de får gjøre
    Legg til områdene de kobler til fra, utsted vault-credentials til enhetene som ikke bør ha en katalogidentitet, og skriv deretter policyene for hvem som får sende som hva, og til hvem.
  • Pek om DNS, pensjoner serveren
    Pek om DNS, pensjoner serveren
    Pek vertsnavnet enhetene dine sender til, mot Sendman i stedet for Exchange Server. I beste fall er det alt som skal til. Ikke én enhet røres, og Exchange Server har ikke noe mer å gjøre.
GODT Å VITE

Spørsmålene som kommer først

Det admins spør om før den første testmeldingen går gjennom.

01Lagrer Sendman e-posten vår?

Nei. Det proxyer SMTP-økten og sender den videre slik den kommer inn. Det finnes ingen postkasse, ingen kø, ingen spool og ikke noe arkiv, og selve meldingen sendes uendret videre, headere inkludert. Det eneste Sendman lagrer, er konfigurasjonen din.

02Må vi registrere noe i Entra-tenanten vår?

Nei. Sendman validerer enhetenes påloggingsinformasjon mot Microsoft Entra ID uten appregistrering, uten samtykke og uten endringer i tenanten din. Hybride pålogginger som CONTOSO\svc-scan fungerer som de er.

03Hva med flerfaktorautentisering på disse kontoene?

Ingen av delene står i veien. En vault-credential berører aldri katalogen din, så det er ingenting å be om. Entra ID-kontoer fungerer også: flerfaktorautentisering og Conditional Access står ikke i veien, selv med strenge policyer, og enheten får aldri noen forespørsel. Hva en konto får sende som, og til hvem, er ikke en postkassetillatelse i Exchange Online, men en Sendman-policy: avsender- og mottakerregler avgjør det, for vault-credentials og Entra ID-kontoer på samme måte.

04Hva om en enhet ikke kan TLS i det hele tatt?

Den kan fortsatt koble til på en ukryptert port, og identitet, IP og policy håndheves på nøyaktig samme måte. Om du godtar et ukryptert første hopp fra den enheten, er din beslutning; tillatelseslisten begrenser det til dine egne egress-adresser, og fra Sendman og videre er økten kryptert overalt der backenden støtter det.

05Hva skjer med SPF, DKIM og DMARC?

De hører til domenet du sender fra, og håndteres av backenden som faktisk leverer, Exchange Online eller Azure Communication Services. Sendman skriver verken om konvolutten eller headerne dine, så det du har satt opp for den backenden, fungerer nøyaktig som i dag.

06Hva skjer hvis Sendman ikke når konfigurasjonen sin?

Tilkoblinger avvises med et midlertidig «service not available»-svar som ber en veloppdragen avsender holde på meldingen og prøve igjen, slik at et hikke i lagringen forsinker e-post i stedet for at den går tapt.

07Kan vi beholde Exchange Online som backend?

Ja. Mange organisasjoner beholder Exchange Online som leveringsvei og bruker Sendman til autentiserings- og policylaget enhetene deres trenger. Backenden kan byttes senere uten å røre en eneste enhet.

08Hvor ligger konfigurasjonen vår, og hvem kan se den?

I lagring som er isolert til tenanten din. Påloggingsinformasjon krypteres før den skrives. Tilgang til portalen kommer fra plattform-tenanten din, viewers ser alle regler og endrer ingen, admins endrer konfigurasjonen, og hver oppføring på tillatelseslisten, hver policy og hver credential registrerer hvem som opprettet den.

09Hvordan finner vi ut hva en enhet faktisk sender?

Hver autentiseringsfeil og hvert policybrudd havner i den søkbare hendelsesloggen med regelen som avviste det navngitt i oppføringen, og svaret enheten får, forteller deg hvilket trinn som avviste den. Sniff Mode, et opptaksvindu som viser nøyaktig hva en enhet presenterer, altså kildeadressen, brukernavnet den tilbyr og avsenderen den utgir seg for å være, står på veikartet.

Møt oss personlig

Sendman er på farten denne høsten. Kom innom, ta med skriverhistorien din og se relayet i aksjon.

Mo
14
Sep

Workplace Ninja Summit

Community-konferanse i Baden om Microsoft Endpoint Management og Security

Sted Baden
Tu
27
Oct

it-sa

Møt oss igjen i år på Europas ledende messe for IT-sikkerhet

Sted Nürnberg
Skjermbilde av RADIUSaaS-portalen på en bærbar PC
Også fra glueckkanja

Cloud-basert RADIUS-tjeneste RADIUSaaS

Den siste Exchange Server er sjelden den eneste serveren som er igjen on-premises. Ofte vokter en RADIUS-server fortsatt Wi-Fi-nettet. RADIUSaaS erstatter den med en cloud-basert RADIUS-tjeneste som autentiserer enheter på Wi-Fi, LAN og VPN med sertifikater, og med brukernavn og passord der en enhet ikke kan håndtere sertifikater. Den fungerer med SCEPman eller Microsoft Cloud PKI, med Intune- og Jamf-administrerte enheter og med nettverksutstyr fra Aruba, Cisco, Fortinet, Juniper, Meraki, UniFi og flere. RADIUSaaS kjører som en høytilgjengelig tjeneste på Microsoft Azure, så det er ingen RADIUS-server igjen for deg å drifte.

Skjermbilde av SCEPman-portalen på en bærbar PC

Cloud-native sertifikatmyndighet SCEPman

Hvis du allerede er i ferd med å pensjonere on-premises Exchange, vil du sette pris på SCEPman, den cloud-native sertifikatmyndigheten. Den automatiserer hele livssyklusen for X.509-sertifikater, inkludert utstedelse, fornyelse, validering og tilbakekalling, for Intune- og Jamf-administrerte enheter, servere og nettverksinfrastruktur, og erstatter eldre ADCS-utrullinger. SCEPman kjører helt i din egen Azure-tenant eller som managed service sammen med RADIUS as a Service.

Hva vil du gjøre nå?

Produktteam
Vi vil gjerne høre fra deg.