Exchange: Tillåt endast utvalda externa avsändare till en distributionslista

En distributionslista i Exchange accepterar som standard endast meddelanden från autentiserade, alltså interna, avsändare. Om en partner, leverantör eller kund också ska kunna nå listan utan att den därmed är öppen för hela internet, finns det två möjligheter: en leveransbegränsning på själva gruppen eller en transportregel. Båda fungerar i Exchange Server 2016, 2019 och Subscription Edition.

Utgångsläge: RequireSenderAuthenticationEnabled

Om en grupp över huvud taget accepterar externa meddelanden styrs av egenskapen RequireSenderAuthenticationEnabled. Om den är satt till $true (standard för nya distributionsgrupper) avvisar Exchange alla meddelanden från en icke-autentiserad avsändare. Båda följande varianter förutsätter därför att denna kontroll är avstängd:

Set-DistributionGroup -Identity "Projektteam" -RequireSenderAuthenticationEnabled $false

Utan ytterligare begränsning kan varje extern avsändare skriva till listan efter detta steg. Begränsningen till enskilda avsändare följer i nästa steg, helst inom samma underhållsfönster.

Variant 1: Leveransbegränsning med e-postkontakter

Listan över tillåtna avsändare (AcceptMessagesOnlyFromSendersOrMembers) accepterar endast objekt från den egna katalogen: postlådor, e-postanvändare, e-postkontakter och grupper. Det går inte att ange en ren SMTP-adress där. Skapa därför en e-postkontakt för varje extern avsändare. Dölj kontakten så att den inte visas i den globala adresslistan:

$kontakt = @{
    Name                 = "Extern Max Muster"
    ExternalEmailAddress = "max.muster@partner.example"
    OrganizationalUnit   = "example.local/Kontakte/Extern"
}
New-MailContact @kontakt
Set-MailContact -Identity "Extern Max Muster" -HiddenFromAddressListsEnabled $true

Lägg sedan till kontakten som tillåten avsändare. Hashtable-tabellen med Add utökar den befintliga listan i stället för att skriva över den:

$erlaubt = @{ Add = "Extern Max Muster", "Extern Anna Beispiel" }
Set-DistributionGroup -Identity "Projektteam" -AcceptMessagesOnlyFromSendersOrMembers $erlaubt

Så snart denna lista innehåller minst en post avvisar Exchange alla andra avsändare, även interna. Om medarbetare fortfarande ska kunna skriva till listan lägger du dessutom till en lämplig grupp, till exempel distributionsgruppen själv (då får alla medlemmar skicka) eller en grupp med alla medarbetare. Avvisade avsändare får en leveransstatusrapport med statusen 5.7.1.

Kontrollera aktuellt läge så här:

Get-DistributionGroup -Identity "Projektteam" |
    Format-List Name, RequireSenderAuthenticationEnabled,
        AcceptMessagesOnlyFrom, AcceptMessagesOnlyFromDLMembers

AcceptMessagesOnlyFromSendersOrMembers är en samlingsparameter: Exchange fördelar posterna på egenskaperna AcceptMessagesOnlyFrom (enskilda avsändare) och AcceptMessagesOnlyFromDLMembers (grupper). Därför visar frågan dessa båda egenskaper. Samma inställning finns i Exchange Admin Center, i gruppens egenskaper under leveranshantering (Delivery management).

Denna variant passar när endast ett fåtal externa avsändare tillkommer och listan över tillåtna avsändare ska vara synlig på själva gruppobjektet. Nackdelen är administrationsarbetet: varje ny avsändare behöver en kontakt i Active Directory.

Variant 2: Transportregel utan kontakter

Om alla internt fortfarande ska kunna skriva till listan och endast externa avsändare ska begränsas är en transportregel enklare. Den kräver inga kontakter och kan även tillämpas på hela domäner. RequireSenderAuthenticationEnabled måste även här vara satt till $false.

$regel = @{
    Name                              = "Projektteam: nur freigegebene externe Absender"
    SentTo                            = "projektteam@example.com"
    FromScope                         = "NotInOrganization"
    ExceptIfFromAddressMatchesPatterns = '^max\.muster@partner\.example$',
                                         '@lieferant\.example$'
    RejectMessageReasonText           = "Sie sind nicht berechtigt, an diese Adresse zu senden."
    RejectMessageEnhancedStatusCode   = "5.7.1"
}
New-TransportRule @regel

Utan förankringen med ^ och $ skulle ett mönster som max\.muster@partner\.example även passa max.muster@partner.example.net. Lägg till nya avsändare med Set-TransportRule och den fullständiga, utökade listan med mönster; parametern ersätter den befintliga listan.

Begränsning i båda varianterna: Avsändaradressen kan förfalskas

Båda varianterna kontrollerar endast avsändaradressen. Exchange fastställer inte om meddelandet verkligen kommer från den godkända partnern. Den som känner till adressen till en godkänd avsändare kan förfalska den och därmed nå listan. För en lista med interna deltagare är detta en ingångspunkt för nätfiske, som dessutom ger intryck av att komma från en välkänd adress.

SPF, DKIM och DMARC täpper till luckan. Om partnerns domän har en DMARC-policy med p=reject eller p=quarantine och din e-postgateway tillämpar den policyn, når förfalskade meddelanden från denna domän inte ens Exchange. För domäner utan DMARC-policy eller med p=none saknas detta skydd.

Om din gateway skriver kontrollresultatet i huvudet Authentication-Results, kan en andra transportregel dessutom avvisa godkända avsändare om DMARC inte har godkänts:

$regel = @{
    Name                            = "Projektteam: freigegebene Absender nur mit DMARC pass"
    SentTo                          = "projektteam@example.com"
    FromScope                       = "NotInOrganization"
    FromAddressMatchesPatterns      = '^max\.muster@partner\.example$',
                                      '@lieferant\.example$'
    ExceptIfHeaderMatchesMessageHeader = "Authentication-Results"
    ExceptIfHeaderMatchesPatterns   = 'dmarc=pass'
    RejectMessageReasonText         = "Absender konnte nicht verifiziert werden."
    RejectMessageEnhancedStatusCode = "5.7.1"
}
New-TransportRule @regel

Denna regel fungerar bara tillförlitligt om gatewayen tar bort eller skriver över inkommande Authentication-Results-huvuden från internet. Annars kan en avsändare själv inkludera huvudet med dmarc=pass. Vilka huvuden din gateway sätter och om den tar bort externa huvuden beskrivs i dess dokumentation; Exchange utvärderar inte själv DMARC.

Vilken variant passar

Leveransbegränsning med kontakter passar för listor med en fast, liten grupp externa avsändare och begränsar vid behov även interna avsändare. Transportregeln passar när alla internt får skicka, hela partnerdomäner ska godkännas eller inga kontakter ska skapas i Active Directory. Oavsett variant bör du kontrollera DMARC-policyn för varje godkänd domän och dokumentera vem som underhåller listan över tillåtna avsändare.