NetskopeからのトラフィックをExchangeに送り返す

このガイドでは、Microsoft 365 Exchange Onlineから Netskope SMTPプロキシへ送信する電子メールトラフィックをデータ損失防止(DLP)およびポリシー検査のためにルーティングし、安全にExchangeへ外部配信に戻す方法を詳述しています。 このアーキテクチャはループバック展開として知られています。

メールフロープロセスの概要

環境がサードパーティのメール転送エージェント(MTA)を利用していない場合、Microsoft 365 Exchange Onlineを設定して、Netskopeが検査されたトラフィックをプライマリメールサーバーに戻すようにする必要があります。

以下のライフサイクルは、エンドツーエンドのループバックメールフローの概要を示しています。

1. Outbound Initiation: ユーザーが企業アカウントから外部受信者に電子メールを送信します。

2. Proxy Redirection: Exchange Onlineは送信される電子メールを傍受し、SMTP経由で Netskope SMTPプロキシにルーティングして検査を行います。

3. Policy & Inspection: Netskope プラットフォームは、設定されたデータ損失防止(DLP)およびコンプライアンスポリシーを適用します。

4. Loopback Handoff検証が完了すると、NetskopeはSMTPを介してトラフィックをExchange Online(次のホップ)にルーティングします。

5. External Resolution & DeliveryExchange Online は、DNS を介して MX レコードを検索し、受信者のメール サーバーを特定して、インターネット経由でメッセージを配信します。

展開の前提条件

ループバック設定を確立するには、NetskopeテナントとMicrosoft Exchange管理センター(EAC)の両方で管理変更を実行する必要があります:

Netskope Tenant Configuration

Microsoft 365 Exchange Online を、権限のあるネクストホップゲートウェイとして構成します。

Microsoft Exchange 管理センター (EAC) の構成

• Outbound Connector: 指定された企業の電子メールトラフィックを Netskope SMTPプロキシに誘導します。

• Inbound Connector: Netskope SMTPプロキシから戻る受信SMTPトラフィックを明示的に信頼し受け入れます。

• Mail Flow Rule （ループ防止）：送信コネクタをアクティブ化し、特定の検査ヘッダーをチェックすることで無限ルーティングループを停止します。

• Connection Filtering Protection: Exchangeが指定されたNetskope SMTPプロキシIP範囲からのトラフィックを受け付けるように、基盤となる境界を設定します。

NetskopeでExchange Onlineを次のホップとして設定する

Netskopeテナントを設定して検査済みメールを環境に戻すには、固有のExchange Onlineドメイン名(FQDN)を取得する必要があります

1. Microsoft 365 管理センターにログインしてください。

2. 左側のナビゲーションメニューで...Show Allをクリックし、 Settings > Domainsに進みます。

   

3. Default Domainをクリックして、 DNS recordsタブを選択してください。

   

4. Exchange Onlineセクションで、 MXレコードをクリックすると、右側に MX レコード ペインが表示されます。

   

5. Points to addressまたは Value の下にある文字列を見つけてコピーします。

   

6. Netskope Tenantにログインし、 Edit Microsoft Office 365 Exchange Settingsワークスペースに移動して、コピーしたFQDN値を「ネクストホップ」フィールドに貼り付けてください。

7. ネクストホップポートを明示的に25として定義し、変更を保存してください。

Exchange Onlineで受信コネクタを確立する

Microsoft 365 Exchange OnlineがNetskope SMTPプロキシからの返送メールストリームを受け入れ、信頼できるようにインバウンドコネクタを確立する必要があります:

1. Exchange 管理センター (EAC) に移動し、左側のナビゲーション ペインでmail flowをクリックして、 connectorsタブを選択します。

   

2. +(追加)アイコンをクリックすると、新しいコネクタセットアップウィザードを起動します。

3. Select your mail flow scenarioウィンドウで、ルーティング境界を正確にマップします: From : 組織の電子メール サーバー (パートナー組織は選択しないでください) およびTo : Office 365 。 Nextをクリックしてください。

   

4. 明確な識別子名(例: Netskope-to-Exchange)を提供し、操作可能なデスクリプションを追加します。

   

5. Turn it onとRetain internal Exchange email headers (recommended)両方にチェックが入っていることを確認してから、「次へ」をクリックしてください。

6. 次の画面で、ラジオボタンのオプション「 By verifying that the IP address of the sending server matches one of these IP addresses that belong to your organization 」を選択してください。

7. +アイコンをクリックすると、Exchangeにトラフィックを送るNetskope SMTPプロキシサーバーの運用CIDR IPブロックを入力します。

   

8. 設定内容を確認し、 Saveをクリックしてコネクタを作成します。

アウトバウンドコネクタとループ防止ルールを確立する

アウトバウンドトラフィックをNetskopeにクリーンにルーティングするには、アウトバウンドコネクターとペアリングメールフロールールを展開する必要があります。

1. Exchange管理センターで、Office 365からパートナー組織へのメッセージを配信するための Outbound Connector を作成します(Netskope SMTPプロキシゲートウェイを表します)。

2. このアウトバウンドコネクタを制御するために、 Mail Flow Transport Ruleをデプロイします。このルールは検査ポリシーを強制しつつ、重要なループ防止システムとして機能します。

   • このルールは、SMTPヘッダー内にx-netskope-inspected: true文字列が存在するかどうかをチェックします。

   • ヘッダーが存在すると、ExchangeはメールストリームがNetskopeによってすでに処理済みと認識し、無限ループを防ぐためにアウトバウンドコネクタをバイパスします。

   • ヘッダーがない場合、Exchangeは未検査のメールを直接Netskope SMTPプロキシにルーティングします。

接続フィルタリング（許可リスト）の設定

Netskopeから戻るトラフィックがExchange Onlineのスパム防止セキュリティフィルターによって制限されたり誤ってブロックされたりしていないか確認してください:

1. Exchange admin centerでprotectionを選択し、 connection filterタブをクリックします。

   

   テナントがMicrosoftの最新のセキュリティアーキテクチャに移行している場合は、Anti-spamポリシーワークスペースを通じてMicrosoft Defender Security and Compliance Centerでこれらの設定を設定してください。

2. Highlight the Default connection filter policy and click the Edit (Pencil) icon.

3. スパムフィルターポリシーウィンドウ内で、サブメニューで connection filtering を選択します。

   

4. IP Allow listセクションの下にある+アイコンをクリックします。

5. Netskope SMTPプロキシIP範囲の完全なリストを追加してください。

6. 設定変更を適用するには、 Saveをクリックしてください。

許可リスト登録対象のIPアドレス範囲

IPアドレスの完全かつ最新のリストについては、この記事の「Netskope 電子メールDLP(SMTP)許可リスト」セクションをご覧ください: NewEdge IP範囲の統合リスト。