このチュートリアルでは、Email security を MX レコードとして Cisco IronPort を設定します。
このチュートリアルでの変更をすぐに反映するには、対象ドメインの既存 MX レコードの TTL（Time to Live）を 5 分に更新します。デプロイするすべてのドメインで行います。
TTL を変更すると、DNS サーバーは責任ネームサーバーに更新を問い合わせるまで、この値をどれだけキャッシュするかを指示されます。MX レコードを Email security に切り替える前に、TTL を変更してください。これにより、変更がすぐに反映され、必要ならすぐに元に戻せます。DNS マネージャーで TTL を 5 分に設定できない場合は、設定できる最短の値にしてください。
現在の TTL を確認するには、ターミナルを開き、ドメインに対して次のコマンドを実行します。
dig mx <YOUR_DOMAIN>; <<>> DiG 9.10.6 <<>> mx <YOUR_DOMAIN>
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 39938
;; flags: qr rd ra; QUERY: 1, ANSWER: 5, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;<YOUR_DOMAIN>. IN MX
;; ANSWER SECTION:
<YOUR_DOMAIN>. 300 IN MX 10 mxa.global.inbound.cf-emailsecurity.net.
<YOUR_DOMAIN>. 300 IN MX 10 mxb.global.inbound.cf-emailsecurity.net.上の例では、TTL は秒単位で 300（5 分）と表示されています。
DNS に Cloudflare を使っている場合は、TTL 設定を Auto のまま にできます。
よく使われるサービスで MX レコードを編集する手順は、次のとおりです。
- Cloudflare: メールレコードを設定する
- GoDaddy: MX レコードを編集する ↗
- AWS: Amazon Route 53 コンソールでレコードを作成する ↗
- Azure: Web アプリのカスタムドメインに DNS レコードを作成する ↗
新しい Sender Group を追加する手順は次のとおりです。
-
Mail Policies > HAT Overview を開きます。
-
Add Sender Group を選択します。
-
新しい Sender Group を次のように設定します。
- Name:
Email security。 - Order: 既存の WHITELIST Sender Group より上に配置します。
- Comment:
Email security Email Protection egress IP Addresses。 - Policy:
TRUSTED（このメールフローポリシーでは、デフォルトでスパム検出が無効です）。 - SBRS: 空のままにします。
- DNS Lists: 空のままにします。
- Connecting Host DNS Verification: すべてのオプションをオフのままにします。
- Name:
-
Submit and Add Senders を選択し、Egress IPs に記載されている IP アドレスを追加します。
Incoming Relays を設定して、上流のホップを無視するよう IronPort に伝えます。接続はすべて Email security から来るためです。この手順は、IronPort が元の IP を取得して IP レピュテーションを計算するために必要です。IronPort は Anti-Spam（IPAS）のメッセージスコアリングにもこの情報を使います。
- Incoming Relays 機能を有効にするには、Network > Incoming Relays を選択します。
- Enable を選択し、変更をコミットします。
- Incoming Relay を追加します。Network > Incoming Relays を選択します。
- Add Relay を選択し、リレーに名前を付けます。
- メールゲートウェイに接続して受信メッセージを中継する MTA、MX、またはその他のマシンの IP アドレスを入力します。IPv4 または IPv6 アドレスを使えます。
- 元の外部送信者の IP アドレスを識別する
Received:ヘッダーを指定します。 - 変更をコミットします。
IronPort で Sender Policy Framework（SPF）チェックを無効にしてください。Email security が MX レコードとして動作するため、SPF チェックを無効にしないと、IronPort は SPF 失敗によりメールをブロックします。
SPF チェックの無効化については、Cisco のドキュメント ↗ を参照してください。
前提条件の手順が完了したら、Cloudflare ダッシュボードで MX/Inline を設定します。次の手順は MX/Inline デプロイを設定する を参照してください。