فلتر البريد العشوائي لـ Google Workspace: بوابة MX أمام Gmail

توضح هذه الصفحة كيفية وضع iBlockSpam أمام Gmail لنطاق في Google Workspace. يذهب بريد الإنترنت إلى خدمة الفلترة أولًا، ثم يُسلَّم البريد النظيف إلى Google. الإعداد الأساسي في Google هو Inbound gateway (بوابة البريد الوارد)، وهو موثَّق في Google Workspace Admin Help: Set up an inbound mail gateway.

العناصر النائبة المستخدمة أدناه:

• <GATEWAY-MX-HOSTS>: أسماء مضيفي MX لنطاقك.
• <GATEWAY-IP-RANGES>: نطاقات IP العامة التي تستخدمها خدمة الفلترة لتسليم البريد إلى Google.

يعرض لك معالج الإعداد في iBlockSpam قيمك الدقيقة، ومقارنة لسجلات DNS قبل التغيير وبعده، وخطوات التراجع. انسخ القيم من المعالج، لا من الأمثلة.

المتطلبات المسبقة

• مشرف أعلى (super administrator) في Google Workspace، أو دور إداري لديه صلاحية Gmail Settings (إعدادات Gmail).
• صلاحية الوصول إلى مزوّد DNS.
• قيمة MX الحالية لدى Google. تستخدم الإعدادات الحالية smtp.google.com، وقد تستخدم النطاقات الأقدم مجموعة ASPMX.L.GOOGLE.COM. يسلّم iBlockSpam البريد النظيف إلى هذا المضيف.
• قائمة بالأنظمة التي ترسل البريد مباشرة إلى Google باسم نطاقك (مثل نظام CRM أو موقع إلكتروني يسلّم إلى خادم MX الخاص بـ Gmail). تتأثر هذه الأنظمة إذا اخترت رفض البريد الذي لا يأتي من البوابة.

خطوة بخطوة

هذه هي الخطوات الخاصة بـ iBlockSpam. أما الشرح العام لإعداد Inbound gateway مع أي خدمة فلترة، فتجده في دليل بوابة البريد الوارد في Google Workspace.

1. أضف نطاقك في iBlockSpam. أدخل النطاق واضبط مضيف MX الخاص بـ Google وجهةً للتسليم. يتحقق المعالج من قدرته على التسليم.

2. اخفض قيمة TTL لسجل MX. اضبط TTL لسجلات MX الحالية على 300 ثانية قبل موعد التحويل بمدة لا تقل عن قيمة TTL القديمة كاملة.

3. افتح إعداد Inbound gateway. في Google Admin console (وحدة تحكم المشرف)، انتقل إلى Menu > Apps > Google Workspace > Gmail > Spam, Phishing and Malware (القائمة > التطبيقات > Google Workspace > Gmail > البريد العشوائي والتصيّد الاحتيالي والبرمجيات الخبيثة). اختر الوحدة التنظيمية العليا من اللوحة اليسرى، ومرّر إلى Inbound gateway، ثم انقر Edit (تعديل) أو Configure (ضبط).

4. أضف عناوين IP الخاصة بالبوابة. تحت Gateway IPs (عناوين IP للبوابة)، انقر Add (إضافة) وأدخل كل نطاق من <GATEWAY-IP-RANGES>. لا تقبل Google إلا عناوين IP العامة. إذا كان البريد يمر عبر أكثر من بوابة، فأدرجها جميعًا.

5. اختر Automatically detect external IP (اكتشاف عنوان IP الخارجي تلقائيًا). عند تفعيل هذا الخيار، يبحث Gmail عن أول عنوان IP عام في رؤوس Received لا يرد في قائمة بواباتك ويستخدمه لفحص SPF. ومن دونه، لا ينظر Gmail إلا قفزة واحدة إلى الوراء، وهي البوابة نفسها. ننصح بتفعيله.

6. اترك خيار الرفض معطّلًا في الوقت الحالي. الخيار Reject all mail not from gateway IPs (رفض كل بريد لا يأتي من عناوين IP للبوابة) يمنع التسليم المباشر إلى Google. فعّله في الخطوة 10، بعد نقل سجل MX.

7. اختر خيار Require TLS for connections (اشتراط TLS للاتصالات). عندها يرفض Gmail اتصالات البوابة التي لا تستخدم TLS. تسلّم خدمة الفلترة البريد عبر TLS.

8. اترك Message tagging (وسم الرسائل) وDisable Gmail spam evaluation معطّلين. يحتجز iBlockSpam البريد العشوائي في منطقة العزل قبل التسليم، لذا لا يحتاج Gmail إلى تعبير نمطي (regexp) للرؤوس. والإبقاء على تقييم Gmail الخاص يضيف طبقة ثانية؛ ويوضح دليلنا عن إعدادات البريد العشوائي في Gmail ضمن Google Workspace كيفية ضبطه.

9. احفظ، ثم غيّر سجل MX. انقر Save (حفظ). امنح الإعداد وقتًا ليسري (تقول Google إن ذلك قد يستغرق حتى 24 ساعة، وعادةً أقل). ثم استبدل سجلات MX الخاصة بـ Google بالقيمة <GATEWAY-MX-HOSTS>. لا تُبقِ سجل MX الخاص بـ Google احتياطيًا: فالمرسلون قد يستخدمون أي سجل MX مدرج (RFC 5321، القسم 5.1).

10. فعّل Reject all mail not from gateway IPs. بعد انتهاء صلاحية TTL لسجل MX القديم ووصول بريد الاختبار عبر iBlockSpam، عُد إلى Inbound gateway واختر هذا الخيار. عندها تُرفض عمليات التسليم المباشر إلى Google لنطاقك، فيُغلق طريق الالتفاف على الفلتر.

كيف تتحقق من الإعداد؟

أرسل رسالة من حساب خارجي، وافتحها في Gmail واختر More > Show original (المزيد > عرض الرسالة الأصلية). أو الصق الرؤوس في أداة Email Header Analyzer (محلّل رؤوس الرسائل)، التي تعمل داخل متصفحك.

• أسطر Received: يجب أن تكون القفزة التي تسبق Google مباشرة هي خدمة الفلترة.
• Received-SPF وAuthentication-Results: يجب أن يذكر SPF عنوان IP للمرسل الأصلي، لا عنوان IP للبوابة. إذا رأيت عنوان IP للبوابة، فتأكد من تفعيل Automatically detect external IP ومن إدراج جميع نطاقات البوابة.
• ARC-Authentication-Results: قد يظهر أيضًا؛ وهو يسجّل نتائج المصادقة على امتداد المسار.

ثم اختبر التقييد: من خادم ليس هو البوابة، اتصل بخادم MX الخاص بـ Google وأرسل رسالة إلى مستخدم في نطاقك. يجب أن تُرفض.

استخدم أداة MX Lookup (البحث عن سجلات MX) للتأكد من سجلات MX العامة، وأداة Email Health Check (فحص سلامة البريد) للحصول على نظرة عامة.

التراجع عن الإعداد

1. في Inbound gateway، ألغِ تحديد Reject all mail not from gateway IPs واحفظ. افعل ذلك أولًا، وإلا فسيُرفض البريد الذي يصل مباشرة بعد تغيير سجل MX.
2. أعد سجل MX إلى قيمة Google مع قيمة TTL قصيرة.
3. أبقِ النطاق مفعّلًا في iBlockSpam حتى تنتهي مدة TTL القديمة، كي يُسلَّم البريد الذي لا يزال في طريقه إليك.
4. احذف عناوين IP الخاصة بالبوابة من Inbound gateway بعد أن يتوقف وصول البريد عبر خدمة الفلترة.

الأخطاء الشائعة

• تغيير سجل MX قبل حفظ إعداد البوابة. تُقيَّم الرسائل وفق عنوان IP الخاص بالبوابة إلى أن يسري الإعداد، ما قد يسبب إخفاق فحوصات SPF وتصنيف الرسائل المشروعة خطأً بوصفها بريدًا عشوائيًا.
• نطاقات IP ناقصة. يجب إدراج كل نطاق تسلّم منه خدمة الفلترة. يعرض المعالج القائمة الكاملة.
• تفعيل الرفض مبكرًا. يُرفض البريد الذي لا يزال يُوجَّه مباشرة إلى Google ريثما تنتهي صلاحية ذاكرات DNS المؤقتة.
• ضبط الإعداد على وحدة تنظيمية فرعية. اضبط البوابة على مستوى المؤسسة العليا كي تشمل كل المستخدمين.
• افتراض أن Gmail يطبّق DMARC. فهو لا يطبّقه على بريد البوابة. أبقِ حماية iBlockSpam من الانتحال مفعّلة، واستخدم قوائم المرسلين المعتمدين مع التحقق من هوية المرسل للشركاء الموثوقين.
• نسيان المرسلين الداخليين. التطبيقات التي كانت تستخدم خادم MX الخاص بـ Google مباشرة تحتاج إلى مسار آخر بعد تفعيل الرفض، مثل خدمة SMTP relay (ترحيل SMTP) من Google أو iBlockSpam.

ما الذي يتغير بالنسبة لمستخدميك؟

القليل جدًا. يواصل المستخدمون تسجيل الدخول إلى Gmail كما في السابق، ولا يتغير الإرسال، لذا لا يحتاج سجل SPF إلى إدخال لـ iBlockSpam إلا إذا كنت تستخدم خدمة ترحيل البريد الصادر (outbound relay). وإن أردت التأكد من إدخال Google نفسه، فصفحتنا عن سجل SPF لـ Google Workspace تعرض قيمة include الدقيقة. التغيير الظاهر هو أن البريد العشوائي يُحتجز في منطقة العزل لدى iBlockSpam بدلًا من مجلد Spam (البريد العشوائي) في Gmail. يحصل كل مستخدم على منطقة عزل شخصية مع رسائل ملخّص (digest) مجدولة (كل ساعة، أو يوميًا، أو في يوم محدد من الأسبوع، أو وفق جدول مخصص)، ويمكنه مراجعته من رسالة الملخّص. ويرى المشرفون منطقة العزل المشتركة على مستوى النطاق. ويظل مجلد Spam في Gmail يلتقط كل ما تكشفه طبقة Google الثانية.

حدود الخدمة

• يشمل كل نطاق 100,000 رسالة واردة شهريًا، ويقبل رسائل يصل حجمها إلى 400 ميغابايت. لدى Gmail حده الخاص لحجم الرسائل، ويسري الحد الأصغر.
• صناديق البريد غير المحدودة تعني أي عدد من صناديق البريد لكل نطاق، لا حجم رسائل غير محدود.
• إذا تعذّر الوصول إلى Google، نحتفظ بالبريد (outage spooling) لمدة تصل إلى 5 أيام. ونحتفظ بسجل الرسائل لمدة 30 يومًا.
• لا يستطيع البحث عن سجلات MX إثبات أن البريد مُفلتَر. فحوصات الرؤوس واختبار التسليم المباشر هي الدليل.

هل تحتاج إلى بوابة؟

الفلترة المدمجة في Gmail قوية، وبعض النطاقات لا تحتاج إلى أي شيء أمامها. اقرأ حماية Google Workspace المدمجة مقارنةً بالبوابة للاطلاع على مقارنة صريحة. ويتناول دليلنا هل فلتر البريد العشوائي في Google Workspace كافٍ؟ الإعدادات التي ينبغي تفعيلها أولًا. هل تعثّرت في خطوة؟ تسرد صفحة الدعم المعلومات التي ينبغي إرسالها لنتتبّع البريد بسرعة.