e-mail gateway w chmurze

E-mail gateway w chmurze to usługa pośrednicząca w wysyłce i odbiorze poczty, hostowana zdalnie zamiast lokalnie.

Rola bramy e-mail w architekturze chmurowej

E-mail gateway w chmurze jest zewnętrzną usługą pośredniczącą między nadawcami, odbiorcami oraz właściwymi serwerami pocztowymi. Przejmuje określone etapy obsługi wiadomości, najczęściej przyjmowanie poczty przychodzącej, filtrowanie jej przed przekazaniem do organizacji oraz kontrolowanie wysyłki wychodzącej. Usługa działa poza lokalną siecią, dlatego nie wymaga instalowania całego mechanizmu filtrowania na każdym laptopie ani komputerze PC. Komputer użytkownika korzysta nadal z programu pocztowego lub poczty w przeglądarce, natomiast decyzje dotyczące transportu wiadomości mogą być podejmowane przez infrastrukturę gatewaya.

Chmurowa brama pocztowa nie jest tym samym co skrzynka e-mail ani aplikacja do czytania wiadomości. Zwykle nie zastępuje serwera przechowującego skrzynki, lecz przekazuje wiadomości do wskazanego systemu pocztowego. W przypadku poczty przychodzącej rekord MX domeny może wskazywać adresy usługi gateway, która odbiera połączenie SMTP, sprawdza wiadomość i po pozytywnej weryfikacji przekazuje ją do serwera docelowego. Dla poczty wychodzącej system pocztowy może kierować wiadomości do bramy jako do zaufanego przekaźnika SMTP.

Przepływ wiadomości przy odbiorze i wysyłce

Przy odbiorze wiadomości zewnętrzny serwer nadawcy odczytuje rekordy MX domeny odbiorcy i łączy się z infrastrukturą gatewaya za pomocą SMTP. Brama może sprawdzić, czy domena odbiorcy jest obsługiwana, czy adres istnieje oraz czy połączenie zostało zestawione z użyciem TLS. Następnie analizuje nagłówki, adresy, reputację źródłowego adresu IP, sygnatury uwierzytelniające i treść wiadomości. Wynikiem może być zaakceptowanie wiadomości, odrzucenie jej podczas sesji SMTP albo skierowanie do kwarantanny. Wiadomość zaakceptowana jest później przekazywana do właściwego serwera pocztowego zgodnie z konfiguracją trasy.

Wysyłka wychodząca przebiega w odwrotnym kierunku. Lokalny system pocztowy przekazuje wiadomość do gatewaya, a ten wykonuje kontrolę reguł, skanowanie załączników i weryfikację uprawnień nadawcy. Po akceptacji brama wyszukuje rekordy MX domeny odbiorcy i próbuje dostarczyć wiadomość do odpowiedniego serwera. Jeśli serwer odbiorcy jest czasowo niedostępny, SMTP przewiduje ponawianie dostarczenia po określonym czasie. Trwała odmowa, na przykład kod 550, zwykle kończy się wygenerowaniem komunikatu o niedostarczeniu. Gateway może również zapisywać dziennik zdarzeń zawierający identyfikator wiadomości, etap przetwarzania i odpowiedź serwera zdalnego.

Uwierzytelnianie domeny i filtrowanie poczty

Ważnym elementem działania bramy są mechanizmy SPF, DKIM i DMARC. SPF wykorzystuje rekord TXT w DNS do wskazania serwerów uprawnionych do wysyłania poczty w imieniu domeny. DKIM dodaje do wiadomości podpis kryptograficzny, który odbiorca weryfikuje na podstawie klucza publicznego opublikowanego w DNS. DMARC łączy ocenę SPF i DKIM z domeną widoczną w polu From oraz określa sposób postępowania z wiadomościami niespełniającymi reguł. Gateway może wykonywać te kontrole dla poczty przychodzącej, a przy wysyłce może podpisywać wiadomości kluczem DKIM skonfigurowanym dla właściwej domeny.

Filtrowanie może obejmować klasyfikację spamu, wykrywanie prób wyłudzenia danych, analizę odsyłaczy, kontrolę typów załączników oraz skanowanie antywirusowe. Nie każda wiadomość odrzucona przez filtr jest złośliwa, dlatego stosuje się także kwarantannę i reguły wyjątków. Przy diagnostyce trzeba odróżnić blokadę na bramie od odrzucenia przez docelowy serwer pocztowy. Pomocne są pełne nagłówki wiadomości, kod odpowiedzi SMTP, czas zdarzenia oraz identyfikator nadany przez gateway. Sam komunikat programu pocztowego, na przykład ogólne „wysyłanie nie powiodło się”, zwykle nie wskazuje jeszcze miejsca wystąpienia problemu.

Diagnostyka połączenia między urządzeniem a gatewayem

Jeżeli wiadomości nie są wysyłane z laptopa lub komputera, należy sprawdzić kilka odrębnych odcinków przepływu. Pierwszy obejmuje program pocztowy i jego konfigurację serwera SMTP, portu, nazwy użytkownika oraz sposobu uwierzytelniania. Port 587 jest standardowo używany do przesyłania poczty przez klienta po uwierzytelnieniu i z możliwością zastosowania STARTTLS. Port 25 służy przede wszystkim do transportu między serwerami SMTP, a jego dostępność dla klientów bywa ograniczana przez operatorów sieci. Drugi odcinek obejmuje połączenie z gatewayem, certyfikat TLS, rozwiązywanie nazwy DNS i zgodność adresu nadawcy z regułami usługi.

W przypadku poczty przychodzącej należy zweryfikować rekordy MX, kolejność priorytetów oraz to, czy wskazują aktualną infrastrukturę. Błędny rekord MX może kierować wiadomości do nieistniejącego hosta albo do poprzedniej usługi. Problemy z dostarczaniem wychodzącym mogą wynikać z niezgodnej konfiguracji SPF, braku podpisu DKIM, restrykcyjnej polityki DMARC, przekroczenia limitu wysyłki lub odrzucenia adresu IP przez serwer odbiorcy. Diagnostyka sprzętu użytkownika obejmuje także sprawdzenie stabilności sieci, czasu systemowego, programu pocztowego i lokalnego oprogramowania zabezpieczającego, ponieważ każdy z tych elementów może zakłócić połączenie TLS lub uwierzytelnianie. Dopiero zestawienie danych z urządzenia, DNS, logów gatewaya i serwera docelowego pozwala poprawnie ustalić, czy przyczyną jest konfiguracja, sieć, filtracja czy awaria konkretnego komponentu.