Exchange: Tillat bare utvalgte eksterne avsendere til en distribusjonsliste

En distribusjonsliste i Exchange godtar som standard bare meldinger fra autentiserte, altså interne avsendere. Hvis en partner, leverandør eller kunde også skal kunne nå listen uten at den dermed åpnes for hele internett, finnes det to muligheter: en leveringsbegrensning på selve gruppen eller en transportregel. Begge fungerer i Exchange Server 2016, 2019 og Subscription Edition.

Utgangspunkt: RequireSenderAuthenticationEnabled

Om en gruppe i det hele tatt godtar eksterne meldinger, styres av egenskapen RequireSenderAuthenticationEnabled. Hvis den er satt til $true (standard for nye distribusjonsgrupper), avviser Exchange enhver melding fra en ikke-autentisert avsender. Begge variantene nedenfor forutsetter derfor at denne kontrollen er deaktivert:

Set-DistributionGroup -Identity "Projektteam" -RequireSenderAuthenticationEnabled $false

Uten ytterligere begrensninger kan enhver ekstern avsender skrive til listen etter dette trinnet. Begrensningen til enkeltavsendere følger i neste trinn, ideelt sett i samme vedlikeholdsvindu.

Variant 1: Leveringsbegrensning med e-postkontakter

Listen over tillatte avsendere (AcceptMessagesOnlyFromSendersOrMembers) godtar bare objekter fra egen katalog: postbokser, e-postbrukere, e-postkontakter og grupper. En ren SMTP-adresse kan ikke legges inn der. Opprett derfor en e-postkontakt for hver eksterne avsender. Skjul kontakten slik at den ikke vises i den globale adresselisten:

$kontakt = @{
    Name                 = "Extern Max Muster"
    ExternalEmailAddress = "max.muster@partner.example"
    OrganizationalUnit   = "example.local/Kontakte/Extern"
}
New-MailContact @kontakt
Set-MailContact -Identity "Extern Max Muster" -HiddenFromAddressListsEnabled $true

Legg deretter til kontakten som tillatt avsender. Hashtabellen med Add utvider den eksisterende listen i stedet for å overskrive den:

$erlaubt = @{ Add = "Extern Max Muster", "Extern Anna Beispiel" }
Set-DistributionGroup -Identity "Projektteam" -AcceptMessagesOnlyFromSendersOrMembers $erlaubt

Så snart denne listen inneholder minst én oppføring, avviser Exchange alle andre avsendere, også interne. Hvis ansatte fortsatt skal kunne skrive til listen, legger du i tillegg inn en passende gruppe, for eksempel selve distribusjonsgruppen (da kan alle medlemmer sende) eller en gruppe med alle ansatte. Avviste avsendere mottar en leveringsstatusrapport med statusen 5.7.1.

Slik kontrollerer du gjeldende status:

Get-DistributionGroup -Identity "Projektteam" |
    Format-List Name, RequireSenderAuthenticationEnabled,
        AcceptMessagesOnlyFrom, AcceptMessagesOnlyFromDLMembers

AcceptMessagesOnlyFromSendersOrMembers er en samleparameter: Exchange fordeler oppføringene på egenskapene AcceptMessagesOnlyFrom (enkeltavsendere) og AcceptMessagesOnlyFromDLMembers (grupper). Derfor viser spørringen disse to egenskapene. Den samme innstillingen finner du i Exchange Admin Center, i gruppeegenskapene under leveringsadministrasjon (Delivery management).

Denne varianten egner seg når bare noen få eksterne avsendere skal legges til, og listen over tillatte avsendere skal være synlig på selve gruppeobjektet. Ulempen er vedlikeholdsarbeidet: Hver ny avsender trenger en kontakt i Active Directory.

Variant 2: Transportregel uten kontakter

Hvis alle internt fortsatt skal kunne skrive til listen og bare eksterne avsendere skal begrenses, er en transportregel enklere. Den trenger ingen kontakter og kan også brukes på hele domener. RequireSenderAuthenticationEnabled må også her være satt til $false.

$regel = @{
    Name                              = "Projektteam: nur freigegebene externe Absender"
    SentTo                            = "projektteam@example.com"
    FromScope                         = "NotInOrganization"
    ExceptIfFromAddressMatchesPatterns = '^max\.muster@partner\.example$',
                                         '@lieferant\.example$'
    RejectMessageReasonText           = "Sie sind nicht berechtigt, an diese Adresse zu senden."
    RejectMessageEnhancedStatusCode   = "5.7.1"
}
New-TransportRule @regel

Uten forankringen med ^ og $ ville et mønster som max\.muster@partner\.example også passe med max.muster@partner.example.net. Nye avsendere legger du til med Set-TransportRule og den fullstendige, utvidede listen over mønstre; parameteren erstatter den eksisterende listen.

Begrensning ved begge varianter: Avsenderadressen kan forfalskes

Begge variantene kontrollerer bare avsenderadressen. Exchange fastslår ikke om meldingen faktisk kommer fra den godkjente partneren. Den som kjenner adressen til en godkjent avsender, kan forfalske den og dermed nå listen. For en liste med intern deltakerkrets er dette en inngangsport for phishing, som i tillegg fremstår som om den kommer fra en kjent adresse.

SPF, DKIM og DMARC lukker dette hullet. Hvis partnerens domene har en DMARC-policy med p=reject eller p=quarantine og e-postgatewayen din håndhever denne policyen, når forfalskede meldinger fra dette domenet ikke engang Exchange. For domener uten DMARC-policy eller med p=none mangler denne beskyttelsen.

Hvis gatewayen skriver kontrollresultatet i headeren Authentication-Results, kan en annen transportregel i tillegg avvise godkjente avsendere når DMARC ikke er bestått:

$regel = @{
    Name                            = "Projektteam: freigegebene Absender nur mit DMARC pass"
    SentTo                          = "projektteam@example.com"
    FromScope                       = "NotInOrganization"
    FromAddressMatchesPatterns      = '^max\.muster@partner\.example$',
                                      '@lieferant\.example$'
    ExceptIfHeaderMatchesMessageHeader = "Authentication-Results"
    ExceptIfHeaderMatchesPatterns   = 'dmarc=pass'
    RejectMessageReasonText         = "Absender konnte nicht verifiziert werden."
    RejectMessageEnhancedStatusCode = "5.7.1"
}
New-TransportRule @regel

Denne regelen fungerer bare pålitelig hvis gatewayen fjerner eller overskriver innkommende Authentication-Results-headere fra internett. Ellers kan en avsender selv inkludere headeren med dmarc=pass. Hvilke headere gatewayen din setter, og om den fjerner eksterne headere, er beskrevet i dokumentasjonen; Exchange evaluerer ikke DMARC selv.

Hvilken variant passer

Leveringsbegrensning med kontakter passer for lister med en fast, liten krets av eksterne avsendere og begrenser ved behov også interne avsendere. Transportregelen passer når alle internt skal kunne sende, hele partnerdomener skal godkjennes, eller det ikke skal opprettes kontakter i Active Directory. Uavhengig av variant bør du kontrollere DMARC-policyen for hvert godkjente domene og dokumentere hvem som vedlikeholder listen over tillatte avsendere.