فلتر البريد العشوائي لـ Microsoft 365: بوابة MX أمام Exchange Online

توضح هذه الصفحة كيفية وضع iBlockSpam أمام Exchange Online بحيث يصل بريد الإنترنت إلى خدمة الفلترة أولًا، ولا يُسلَّم إلى Microsoft 365 إلا البريد النظيف. وهي تتّبع النمط الذي توثّقه Microsoft لسجل MX يشير إلى خدمة فلترة من خارج Microsoft (Microsoft Learn: Manage mail flow using a third-party cloud service).

في هذه الصفحة، تحل عناصر نائبة محل القيم الخاصة بحسابك:

• <GATEWAY-MX-HOSTS>: أسماء مضيفي MX لنطاقك.
• <GATEWAY-IP-RANGES>: نطاقات IP التي تستخدمها خدمة الفلترة لتسليم البريد إليك.
• <GATEWAY-TLS-CERT-NAME>: اسم موضوع الشهادة الذي تقدّمه خدمة الفلترة عبر TLS.

يعرض لك معالج الإعداد في iBlockSpam قيمك الدقيقة، ومقارنة لسجلات DNS قبل التغيير وبعده، وخطوات التراجع الخاصة بنطاقك. انسخ القيم من المعالج، لا من الأمثلة.

المتطلبات المسبقة

• أن يكون نطاقك موثَّقًا وبحالة Healthy (سليم) في Microsoft 365 admin center (مركز إدارة Microsoft 365)، ضمن Settings > Domains (الإعدادات > النطاقات).
• حساب بدور Exchange Administrator (مسؤول Exchange) أو Organization Management (إدارة المؤسسة) في Exchange Online. توصي Microsoft بمبدأ أقل الصلاحيات، لذا تجنّب دور Global Administrator قدر الإمكان. هل اشتريت Microsoft 365 عبر GoDaddy؟ يشرح دليلنا عن حماية Microsoft 365 من GoDaddy من البريد العشوائي أين توجد إعدادات الإدارة لديك.
• صلاحية الوصول إلى مزوّد DNS لتغيير سجلات MX.
• وحدة Exchange Online PowerShell إذا كنت تفضّل PowerShell (Connect to Exchange Online PowerShell).
• نقطة نهاية MX الخاصة بالمستأجر (tenant) لديك، مثل contoso-com.mail.protection.outlook.com. ستجدها في Microsoft 365 admin center ضمن Settings > Domains > your domain > DNS records (الإعدادات > النطاقات > نطاقك > سجلات DNS). يسلّم iBlockSpam البريد النظيف إلى هذا المضيف.
• قائمة بكل ما يرسل البريد مباشرة إلى المستأجر على المنفذ 25 (الماسحات الضوئية، وتطبيقات الأعمال، والخدمات الأخرى). تحتاج هذه إلى خطة قبل تقييد الموصّل.

خطوة بخطوة

هذه هي الخطوات الخاصة بـ iBlockSpam. للاطلاع على خلفية الموصّلات وسبب أهمية Enhanced Filtering مع أي فلتر خارجي، اقرأ دليل إعداد Enhanced Filtering في Microsoft 365.

1. أضف نطاقك في iBlockSpam. أدخل النطاق ونقطة نهاية MX في Microsoft 365 بوصفها وجهة التسليم. يتحقق المعالج من أن خدمة الفلترة تستطيع التسليم إليها.

2. اخفض قيمة TTL لسجل MX. لدى مزوّد DNS، اضبط TTL لسجلات MX الحالية على 300 ثانية (5 دقائق) قبل موعد التحويل بمدة لا تقل عن قيمة TTL القديمة كاملة، كي ينتشر التغيير بسرعة ويمكن التراجع عنه بسرعة.

3. أنشئ الموصّل الوارد من نوع Partner، دون قيود في البداية. في Exchange admin center (مركز إدارة Exchange) على https://admin.cloud.microsoft/exchange#/connectors، انتقل إلى Mail flow > Connectors > + Add a connector (تدفق البريد > الموصّلات > إضافة موصّل):

   • Connection from (الاتصال من): Partner organization (مؤسسة شريكة)، أما Connection to (الاتصال إلى) فقيمته ثابتة على Office 365.
   • Name (الاسم): مثل iBlockSpam inbound.
   • Authenticating sent email (مصادقة البريد المرسَل): By verifying that the sender domain matches one of the following domains (بالتحقق من أن نطاق المرسل يطابق أحد النطاقات التالية)، وأدخل * (جميع نطاقات المرسلين).
   • Security restrictions (القيود الأمنية): اختر Reject email messages if they aren't sent over TLS (رفض الرسائل التي لا تُرسل عبر TLS). اترك قيود الشهادة ونطاقات IP غير محددة في الوقت الحالي.
   • اختر Create connector (إنشاء الموصّل).

   المكافئ في PowerShell:

   New-InboundConnector -Name "iBlockSpam inbound" -ConnectorType Partner `
     -SenderDomains * -RequireTls $true `
     -SenderIpAddresses <GATEWAY-IP-RANGES>
   

4. فعّل Enhanced Filtering for Connectors. في Microsoft Defender portal (مدخل Microsoft Defender)، انتقل إلى Email & collaboration > Policies & rules > Threat policies > Rules > Enhanced filtering (البريد والتعاون > السياسات والقواعد > سياسات التهديد > القواعد > الفلترة المحسّنة)، والرابط المباشر: https://security.microsoft.com/skiplisting. اختر الموصّل ثم Skip these IP addresses that are associated with the connector (تخطي عناوين IP المرتبطة بالموصّل)، وأدخل <GATEWAY-IP-RANGES>. تتيح Microsoft أيضًا خيار Automatically detect and skip the last IP address (اكتشاف آخر عنوان IP وتخطيه تلقائيًا)، وهو مناسب عند وجود قفزة واحدة. ابدأ بخيار Apply to a small set of users (التطبيق على مجموعة صغيرة من المستخدمين) إذا أردت تجربة أولية، ثم انتقل إلى Apply to entire organization (التطبيق على المؤسسة كلها). (Microsoft Learn: Enhanced Filtering for Connectors)

   Set-InboundConnector -Identity "iBlockSpam inbound" `
     -EFSkipLastIP $false -EFSkipIPs <GATEWAY-IP-RANGES>
   # Pilot on named recipients first (list every proxy address you want covered):
   # Set-InboundConnector -Identity "iBlockSpam inbound" -EFUsers "pilot1@example.com","pilot2@example.com"
   

   لاحظ أن نطاقات IPv6 لا يمكن ضبطها إلا عبر PowerShell، وأن عناوين IP الخاصة أو عناوين Microsoft 365 غير مقبولة.

5. غيّر سجل MX. استبدل سجل MX الخاص بـ Microsoft 365 بالقيمة <GATEWAY-MX-HOSTS> وبالأولويات التي يعرضها المعالج. لا تُبقِ سجل MX الخاص بـ Microsoft احتياطيًا بأولوية أدنى: فخوادم الإرسال قد تستخدم أي سجل MX مدرج (RFC 5321، القسم 5.1)، وغالبًا ما يستهدف مرسلو البريد العشوائي السجل الاحتياطي عمدًا.

6. راقب انتشار التغيير. استخدم أداة MX Lookup (البحث عن سجلات MX) وأرسل رسائل اختبار من صندوق بريد خارجي. قد يصل البريد عبر المسارين معًا ريثما تنتهي صلاحية السجل القديم في ذاكرة خوادم DNS المحلِّلة (resolvers)، وهذا أمر متوقع.

7. قيّد الموصّل بخدمة الفلترة. بعد انتهاء مدة TTL القديمة وتأكّدك من وصول البريد عبر iBlockSpam، قيّد الموصّل بحيث يُرفض البريد المرسَل مباشرة إلى *.mail.protection.outlook.com. تفضّل Microsoft طريقة الشهادة:

   # Preferred: certificate
   Set-InboundConnector -Identity "iBlockSpam inbound" `
     -TlsSenderCertificateName <GATEWAY-TLS-CERT-NAME> `
     -RestrictDomainsToCertificate $true -RequireTls $true
   
   # Alternative: IP ranges
   Set-InboundConnector -Identity "iBlockSpam inbound" `
     -SenderIpAddresses <GATEWAY-IP-RANGES> `
     -RestrictDomainsToIPAddresses $true
   

   في مركز إدارة Exchange، يقابل ذلك الخياران And require that the subject name of the certificate that the partner uses to authenticate with Office 365 matches this domain name (واشتراط أن يطابق اسم موضوع الشهادة التي يستخدمها الشريك للمصادقة مع Office 365 اسم النطاق هذا) وReject email messages if they aren't sent from within this IP address range (رفض الرسائل التي لا تُرسل من داخل نطاق عناوين IP هذا) في صفحة Security restrictions.

8. احذف قواعد تجاوز فلترة البريد العشوائي. إذا كانت لديك أي قاعدة تدفق بريد تضبط SCL على -1 للبوابة، فعطّلها. تقول Microsoft إن SCL -1 «مُدخل للفلترة، وليس قرارًا نهائيًا» (an input to filtering, not a final decision)، وتوصي بـ Enhanced Filtering بدلًا منه.

9. اختياري: ارفض Direct Send من نطاقك. الأمر Set-OrganizationConfig -RejectDirectSend $true يرفض الرسائل غير الموثَّقة التي تستخدم أحد نطاقاتك المقبولة (accepted domains) عنوانًا للمرسل وتُسلَّم مباشرة إلى المستأجر. وهو يكمّل تقييد الموصّل ولا يحل محله.

كيف تتحقق من الإعداد؟

افتح رسالة اختبار من مرسل خارجي في Outlook (File > Properties > Internet headers، أي ملف > خصائص > رؤوس الإنترنت)، أو الصق الرؤوس في أداة Email Header Analyzer (محلّل رؤوس الرسائل)، التي تعمل داخل متصفحك. تحقق مما يلي:

• أسطر Received: يجب أن تكون القفزة التي تسبق Microsoft 365 مباشرة هي خدمة الفلترة.
• X-MS-Exchange-SkipListedInternetSender وX-MS-Exchange-ExternalOriginalInternetSender: يُظهران عنوان المصدر الحقيقي عندما تعمل ميزة Enhanced Filtering كما ينبغي (Microsoft Learn).
• Authentication-Results: يجب أن يُقيَّم SPF مقابل عنوان IP للمرسل الأصلي، لا عنوان البوابة. السبب 905 في compauth يعني أن DMARC لم يُطبَّق بسبب توجيه معقّد، وهذا يشير عادةً إلى أن Enhanced Filtering لا تغطي تلك الرسالة (Microsoft Learn: anti-spam headers).
• X-Forefront-Antispam-Report: القيمة SFV:SKN تعني أن قاعدة تدفق بريد تجاوزت الفلترة. يجب ألا تراها بعد الخطوة 8.

ثم اختبر التقييد: أرسل رسالة مباشرة إلى مضيف *.mail.protection.outlook.com الخاص بك من خادم ليس هو البوابة. يجب أن تُرفض بالخطأ 5.7.51 TenantInboundAttribution.

التراجع عن الإعداد

الترتيب مهم. إذا أعدت سجل MX أولًا، فسيرفض الموصّل المقيَّد بريد الإنترنت الذي صار يصل مباشرة.

1. أزل التقييد: Set-InboundConnector -Identity "iBlockSpam inbound" -RestrictDomainsToCertificate $false -RestrictDomainsToIPAddresses $false.
2. أعد سجل MX إلى نقطة نهاية Microsoft 365، مع قيمة TTL قصيرة.
3. أبقِ النطاق مفعّلًا في iBlockSpam حتى تنتهي مدة TTL لسجل MX القديم، كي يُسلَّم البريد الذي لا يزال يصل عبر البوابة.
4. أوقف Enhanced Filtering (-EFSkipLastIP $false -EFSkipIPs $null)، ثم عطّل الموصّل أو احذفه.

الأخطاء الشائعة

• تقييد الموصّل قبل انتشار تغيير MX. يُرفض البريد الذي لا يزال يُوجَّه مباشرة.
• إبقاء سجل MX الخاص بـ Microsoft احتياطيًا. فهو يمنح مرسلي البريد العشوائي طريقًا يلتف على الفلتر.
• تفعيل Enhanced Filtering على الموصّل الخطأ، أو لمجموعة صغيرة من المستخدمين فقط. أثناء التجربة، لا تُطبَّق Enhanced Filtering إلا إذا كان كل مستلمي الرسالة مدرجين، بما في ذلك جميع عناوين الوكيل (proxy addresses).
• الإبقاء على قاعدة SCL -1. فهي تعطّل معظم حمايات Microsoft لكل ما يأتي من عناوين IP المشتركة للبوابة.
• نسيان المرسلين عبر Direct Send. تتوقف الماسحات الضوئية والتطبيقات التي تسلّم مباشرة إلى المستأجر عن العمل بمجرد تقييد الموصّل.
• تغيير SPF دون حاجة. لا تمس فلترة البريد الوارد سجل SPF الخاص بك. وإن كنت تراجعه على أي حال، فصفحتنا عن سجل SPF لـ Microsoft 365 تعرض قيمة include الدقيقة التي توثّقها Microsoft وكلفتها من عمليات البحث.
• إعادة كتابة الروابط مرتين. تنصح Microsoft بعدم قيام خدمتين بإعادة كتابة الروابط نفسها (Microsoft Learn: integrate non-Microsoft security services).

حدود الخدمة

• يشمل كل نطاق 100,000 رسالة واردة شهريًا، ويقبل رسائل يصل حجمها إلى 400 ميغابايت. يطبّق Exchange Online حدوده الخاصة لحجم الرسائل، فيسري الحد الأصغر.
• صناديق البريد غير المحدودة تعني أي عدد من صناديق البريد لكل نطاق، ولا تعني حجم رسائل غير محدود.
• إذا تعذّر الوصول إلى Microsoft 365، نحتفظ بالبريد (outage spooling) لمدة تصل إلى 5 أيام. ونحتفظ بسجل الرسائل لمدة 30 يومًا.
• يُظهر البحث عن سجلات MX الوجهة التي يُفترض أن يذهب إليها البريد، لكنه لا يثبت أن البريد مُفلتَر، ولا يُظهر ما إذا كان المستأجر لا يزال يقبل التسليم المباشر. استخدم اختبارَي الرؤوس والتقييد أعلاه.

هل تحتاج إلى بوابة؟

الحماية المدمجة في Microsoft قوية، والبوابة لا تناسب كل مستأجر. اقرأ فلترة Microsoft 365 المدمجة مقارنةً بالبوابة وDefender for Office 365 مقارنةً ببوابة البريد الإلكتروني قبل أن تقرر. ويتناول دليلنا هل أحتاج إلى فلتر بريد عشوائي مع Microsoft 365؟ السؤال نفسه من منظور المشتري. هل تعثّرت في خطوة؟ تسرد صفحة الدعم المعلومات التي ينبغي إرسالها لنتتبّع البريد بسرعة.