Renvoyer le trafic de Netskope vers Exchange

Ce guide détaille comment acheminer le trafic email sortant de Microsoft 365 Exchange Online vers le proxy SMTP Netskope pour données Prévention des pertes de données (DLP (Prévention des pertes de données)) et l’inspection des politiques, puis le renvoyer en toute sécurité vers Exchange pour une livraison externe. Cette architecture est connue sous le nom de déploiement en boucle.

Aperçu du processus de flux de courrier

Lorsque votre environnement n’utilise pas un Agent de Transfert de Courrier (MTA) tiers, vous devez configurer Microsoft 365 Exchange Online pour permettre à Netskope de rediriger le trafic inspecté vers votre serveur de messagerie principal.

Le cycle de vie suivant décrit le flux de courrier en boucle de bout en bout

1. Outbound Initiation: Un utilisateur envoie un e-mail depuis son compte d’entreprise à un destinataire externe.

2. Proxy RedirectionExchange Online intercepte les emails sortants et les acheminent via SMTP vers le proxy SMTP de Netskope pour inspection.

3. Policy & Inspection: La plateforme Netskope applique des données configurées Prévention des pertes de données (Prévention des pertes de données)) et des politiques de conformité.

4. Loopback Handoff: Une fois validé, Netskope redirige le trafic vers Exchange Online (le prochain saut) via SMTP.

5. External Resolution & Delivery: Exchange Online performs an MX lookup via DNS to locate the recipient’s mail server and delivers the message via the Internet.

Conditions préalables au déploiement

Pour établir la configuration de boucle, vous devez effectuer des modifications administratives à la fois sur le locataire Netskope et dans le centre d’administration Microsoft Exchange (EAC) :

Netskope Tenant Configuration

Configurez Microsoft 365 Exchange Online comme passerelle de prochain saut faisant autorité.

Microsoft Exchange Admin Center (EAC) Configuration

• Outbound Connector: Dirige le trafic email sortant désigné de l’entreprise vers le proxy Netskope SMTP.

• Inbound Connector: Fait explicitement confiance et accepte le trafic SMTP entrant revenant du proxy SMTP Netskope.

• Mail Flow Rule (Prévention des boucles) : Active le connecteur sortant et arrête les boucles de routage infinies en vérifiant les en-têtes d'inspection spécifiques.

• Connection Filtering Protection: Configure les périmètres sous-jacents pour permettre à Exchange d’accepter le trafic provenant des plages IP désignées du Proxy SMTP de Netskope.

Configurez Exchange Online comme prochain saut dans Netskope

Pour configurer le locataire Netskope afin de renvoyer les courriels inspectés vers votre environnement, vous devez récupérer votre nom de domaine Exchange Online unique (FQDN)

1. Connectez-vous au centre d’administration Microsoft 365.

2. Dans le menu de navigation de gauche, cliquez sur ...Show All, puis allez à Settings > Domains.

   

3. Cliquez sur votre Default Domain et sélectionnez l’onglet DNS records .

   

4. Sous la section Exchange Online , cliquez sur l’enregistrement MX pour afficher la vitrine MX à droite.

   

5. Localisez la chaîne sous Points to address ou Value et copiez-la.

   

6. Connectez-vous à votre Netskope Tenant, allez dans l’espace de travail Edit Microsoft Office 365 Exchange Settings et collez la valeur FQDN copiée dans le champ Saut suivant.

7. Définissez explicitement le port Next Hop comme 25 et enregistrez vos modifications.

Établir le connecteur entrant dans Exchange Online

Vous devez établir un connecteur entrant qui permette à Microsoft 365 Exchange Online d’accepter et de faire confiance aux flux de courrier retournés depuis le proxy Netskope SMTP :

1. Navigate to the Exchange admin center (EAC), click mail flow in the left navigation pane, and select the connectors tab.

   

2. Cliquez sur l’icône + (Ajouter) pour lancer l’assistant de configuration du New Connector.

3. Dans la fenêtre Select your mail flow scenario , cartographiez précisément les limites de routage : From: le serveur de messagerie de votre organisation (ne sélectionnez pas Organisation partenaire) et To: Office 365. Cliquez Next.

   

4. Fournir un nom d’identifiant clair (par exemple, Netskope-à-Échange) et ajouter une description opérationnelle.

   

5. Assurez-vous que Turn it on et Retain internal Exchange email headers (recommended) sont cochés, puis cliquez sur Suivant.

6. À l’écran suivant, sélectionnez l’option bouton radio : «By verifying that the IP address of the sending server matches one of these IP addresses that belong to your organization».

7. Cliquez sur l’icône + pour entrer les blocs IP CIDR opérationnels des serveurs Proxy SMTP Netskope qui renvoient le trafic vers Exchange.

   

8. Révisez vos paramètres configurés et cliquez sur Save pour créer le connecteur.

Établir la règle de prévention des connecteurs sortants et des boucles

Pour acheminer proprement le trafic sortant vers Netskope, vous devez déployer un connecteur sortant et une règle de flux de courrier par paire.

1. Dans le centre d’administration Exchange, créez un Outbound Connector conçu pour transmettre des messages d’Office 365 à une organisation partenaire (représentant la passerelle Proxy SMTP Netskope).

2. Déploie un Mail Flow Transport Rule pour gouverner ce connecteur sortant. La règle applique les politiques d’inspection tout en agissant comme un système critique de prévention des boucles :

   • La règle vérifie la présence de la chaîne x-netskope-inspected: true à l’intérieur des en-têtes SMTP.

   • Si l’en-tête est présent, Exchange reconnaît que le flux de courrier a déjà été traité par Netskope et contourne le connecteur sortant pour éviter une boucle infinie.

   • Si l’en-tête est absent, Exchange aroute le mail non inspecté directement vers le proxy SMTP de Netskope.

Configurer le filtrage des connexions (Listage des permis)

Assurez-vous que le trafic revenant de Netskope n’est pas limité ou bloqué à tort par les filtres de sécurité anti-spam d’Exchange Online :

1. Dans le Exchange admin center, sélectionnez protection et cliquez sur l’onglet connection filter .

   

   Si votre locataire a migré vers l'architecture de sécurité moderne de Microsoft, configurez ces paramètres dans l'espace de travail des stratégies Microsoft Defender Security and Compliance Center via Anti-spam .

2. Highlight the Default connection filter policy and click the Edit (Pencil) icon.

3. Dans la fenêtre de politique de filtre anti-spam, choisissez connection filtering dans le sous-menu.

   

4. Under the IP Allow list section, click the + icon.

5. Ajoutez la liste complète des plages IP Proxy Netskope SMTP autorisées.

6. Cliquez sur Save pour appliquer le changement de configuration.

IP Ranges for Allowlisting

Pour une liste complète et mise à jour des adresses IP, rendez-vous dans la section DLP de Netskope Email (Prévention des pertes de données) (SMTP) pour la liste des autorisations dans cet article : NewEdge Liste consolidée des plages IP pour la liste.