Filtro antispam para Google Workspace: una pasarela MX delante de Gmail

Esta página explica cómo colocar iBlockSpam delante de Gmail en un dominio de Google Workspace. El correo de internet llega primero al servicio de filtrado y el correo limpio se entrega a Google. La opción clave de Google es Inbound gateway (puerta de enlace de entrada), documentada en Google Workspace Admin Help: Set up an inbound mail gateway.

Marcadores de posición que se usan a continuación:

• <GATEWAY-MX-HOSTS>: los nombres de host MX de tu dominio.
• <GATEWAY-IP-RANGES>: los rangos de IP públicas que usa el servicio de filtrado para entregar el correo a Google.

El asistente de configuración de iBlockSpam muestra tus valores exactos, una comparación del DNS antes y después, y los pasos para revertir el cambio. Copia los valores del asistente, no de los ejemplos.

Requisitos previos

• Un superadministrador de Google Workspace o un rol de administrador con el privilegio Gmail Settings (configuración de Gmail).
• Acceso a tu proveedor de DNS.
• Tu valor MX actual de Google. Las configuraciones actuales usan smtp.google.com; los dominios más antiguos pueden usar el conjunto ASPMX.L.GOOGLE.COM. iBlockSpam entrega el correo limpio a este host.
• Una lista de los sistemas que envían correo directamente a Google para tu dominio (por ejemplo, un CRM o una web que entrega en el MX de Gmail). Se verán afectados si decides rechazar el correo que no venga de la pasarela.

Paso a paso

Estos son los pasos específicos de iBlockSpam. La explicación general de la opción "Inbound gateway", válida para cualquier servicio de filtrado, está en nuestra guía de la puerta de enlace de entrada de Google Workspace.

1. Añade tu dominio en iBlockSpam. Introduce el dominio y establece el host MX de Google como destino de entrega. El asistente comprueba que puede entregar correo en él.

2. Reduce el TTL del MX. Establece el TTL de tus registros MX actuales en 300 segundos al menos un periodo completo del TTL anterior antes del cambio.

3. Abre la opción "Inbound gateway". En la consola de administración de Google, ve a Menu > Apps > Google Workspace > Gmail > Spam, Phishing and Malware (Menú > Aplicaciones > Google Workspace > Gmail > Spam, phishing y software malicioso). Selecciona tu unidad organizativa de nivel superior a la izquierda, desplázate hasta Inbound gateway y haz clic en Edit (editar) o Configure (configurar).

4. Añade las IP de la pasarela. En Gateway IPs (IP de la puerta de enlace), haz clic en Add (añadir) e introduce cada rango de <GATEWAY-IP-RANGES>. Google solo acepta IP públicas. Si el correo pasa por más de una pasarela, inclúyelas todas.

5. Selecciona "Automatically detect external IP" (detectar automáticamente la IP externa). Con esta opción activa, Gmail busca en los encabezados Received la primera IP pública que no esté en tu lista de pasarelas y la usa para el SPF. Sin ella, Gmail solo mira un salto atrás, que es la propia pasarela. Te recomendamos activarla.

6. Deja desactivada por ahora la opción de rechazo. Reject all mail not from gateway IPs (rechazar todo el correo que no proceda de las IP de la pasarela) bloquea la entrega directa a Google. Actívala en el paso 10, cuando el MX ya se haya cambiado.

7. Selecciona la opción Require TLS for connections (exigir TLS en las conexiones). Así Gmail rechaza las conexiones de la pasarela que no usen TLS. El servicio de filtrado entrega por TLS.

8. Deja desactivadas Message tagging y "Disable Gmail spam evaluation" (etiquetado de mensajes y desactivar la evaluación de spam de Gmail). iBlockSpam pone el spam en cuarentena antes de la entrega, así que Gmail no necesita una expresión regular de encabezado. Mantener la evaluación propia de Gmail añade una segunda capa; nuestra guía sobre la configuración de spam de Gmail en Google Workspace explica cómo ajustarla.

9. Guarda y después cambia el MX. Haz clic en Save (guardar). Deja tiempo para que la configuración se aplique (Google indica hasta 24 horas, normalmente menos). Después sustituye los registros MX de Google por <GATEWAY-MX-HOSTS>. No mantengas el MX de Google como respaldo: los remitentes pueden usar cualquier MX de la lista (RFC 5321, sección 5.1).

10. Activa "Reject all mail not from gateway IPs". Cuando haya caducado el TTL del MX anterior y el correo de prueba llegue a través de iBlockSpam, vuelve a Inbound gateway y selecciona esta opción. A partir de ese momento se rechazan las entregas directas a Google para tu dominio, lo que cierra la vía para esquivar el filtro.

Cómo comprobar que funciona

Envía un mensaje desde una cuenta externa, ábrelo en Gmail y elige More > Show original (Más > Mostrar original). También puedes pegar los encabezados en el Email Header Analyzer (analizador de encabezados de correo), que se ejecuta en tu navegador.

• Líneas Received: el salto inmediatamente anterior a Google debe ser el servicio de filtrado.
• Received-SPF y Authentication-Results: el SPF debe mostrar la IP del remitente original, no una IP de la pasarela. Si ves una IP de la pasarela, comprueba que Automatically detect external IP está activada y que figuran todos los rangos de la pasarela.
• ARC-Authentication-Results: también puede aparecer; registra los resultados de autenticación a lo largo de la ruta.

Después prueba la restricción: desde un servidor que no sea la pasarela, conéctate al MX de Google y envía un mensaje a un usuario de tu dominio. Debe rechazarse.

Usa la herramienta MX Lookup (consulta de registros MX) para confirmar los registros MX públicos y el Email Health Check (revisión de salud del correo) para tener una visión general.

Reversión

1. En Inbound gateway, desmarca Reject all mail not from gateway IPs y guarda. Hazlo primero; si no, se rechazará el correo que llegue directamente tras el cambio de MX.
2. Vuelve a poner el valor MX de Google, con un TTL corto.
3. Mantén activo el dominio en iBlockSpam hasta que caduque el TTL anterior, para que se entregue el correo que ya esté en tránsito.
4. Elimina las IP de la pasarela de Inbound gateway cuando ya no llegue correo a través del servicio de filtrado.

Errores habituales

• Cambiar el MX antes de guardar la configuración de la pasarela. Los mensajes se evalúan con la IP de la pasarela hasta que se aplica la configuración, lo que puede provocar fallos de SPF y clasificaciones erróneas como spam.
• Olvidar rangos de IP. Hay que incluir todos los rangos desde los que entrega el servicio de filtrado. El asistente muestra la lista completa.
• Activar el rechazo demasiado pronto. Se rechaza el correo que todavía llega directamente a Google mientras caducan las cachés DNS.
• Configurar una unidad organizativa secundaria. Configura la pasarela en la organización de nivel superior para que cubra a todos los usuarios.
• Dar por hecho que Gmail aplica DMARC. No lo hace con el correo que llega por la pasarela. Mantén activa la protección antisuplantación de iBlockSpam y usa listas de remitentes aprobados con verificación del remitente para los socios comerciales de confianza.
• Olvidar los remitentes internos. Las aplicaciones que usaban directamente el MX de Google necesitan otra ruta cuando el rechazo está activo, como el servicio de relay SMTP de Google o iBlockSpam.

¿Qué cambia para tus usuarios?

Muy poco. Los usuarios siguen iniciando sesión en Gmail como siempre y el envío no cambia, así que tu registro SPF no necesita una entrada de iBlockSpam salvo que uses el relay de salida (smart host). Si quieres confirmar la entrada propia de Google, nuestra página sobre el registro SPF de Google Workspace muestra el include exacto. El cambio visible es que el spam se retiene en la cuarentena de iBlockSpam en lugar de en la carpeta de spam de Gmail. Cada usuario tiene una cuarentena personal con resúmenes de cuarentena programados por correo (cada hora, a diario, un día de la semana elegido o con una frecuencia personalizada) y puede revisarla desde el resumen. Los administradores ven una cuarentena compartida de todo el dominio. La carpeta de spam de Gmail sigue recogiendo lo que marque la segunda capa de Google.

Límites

• Cada dominio incluye 100.000 mensajes entrantes al mes y acepta mensajes de hasta 400 MB. Gmail tiene su propio límite de tamaño de mensaje, y se aplica el más bajo.
• Buzones ilimitados significa cualquier número de buzones por dominio, no volumen de mensajes ilimitado.
• Si no se puede contactar con Google, el correo se retiene en cola hasta 5 días. El historial de mensajes se conserva 30 días.
• Una consulta MX no puede demostrar que el correo se filtra. Las comprobaciones de encabezados y la prueba de entrega directa son la evidencia.

¿Necesitas una pasarela de correo?

El filtrado integrado de Gmail es potente, y algunos dominios no necesitan nada delante. Lee Protección integrada de Google Workspace frente a una pasarela para ver una comparación honesta. Nuestra guía ¿Es suficiente el filtro antispam de Google Workspace? repasa las opciones que conviene activar primero. ¿Te has atascado en algún paso? Nuestra página de soporte indica qué datos enviarnos para que podamos rastrear el correo rápidamente.