[SOPHOS XG] EMail Protection einrichten

Wichtig: Dieses Feature benötigt ein Abonnement
Wichtig2: Für TLS wird ein SSL Zertifikat benötigt


Wichtig hierbei ist, das sowohl der eingehende Mailverkehr (z.B: zum Exchange Server) sowie der ausgehende Verkehr (z.B: vom Exchange Server) eingerichtet wird


 Allgemeine Einstellungen
-------------------------------------------------------------------------------------------------------------------

Protect -> Email
General Settings

SMTP Deployment Mode: Hier empfehle ich den MTA Modus


SMTP Hostname:
Hier den Hostnamen Eintragen mit welcher die Sophos XG antwortet, z.B: mail.contoso.com

SMTP TLS Configuration:
Hier das SSL Zertifikat angeben (Vorher unter System -> Certificates importieren)

Allow Invalid Certificates: Ein (gibt leider viele Server mit invaliden Zertifikaten)

Skip TLS negotiation:
Hier kann (falls der Interne Mailserver TLS nicht sauber unterstützt) die TLS übersprungen werden

z.B: erscheint beim Exchange im Empfangsconnector Log folgender Fehler: "TLS negotiation failed"

Smarthost Settings:
Wird ausgehend ein Smarthost verwendet, kann dieser hier konfiguriert werden. Anonnsten verschickt die Sophos XG das Mail direkt


Eingehender Verkehr
-------------------------------------------------------------------------------------------------------------------

System -> Administration
Device Access

Hier muss SMTP Relay eingeschaltet werden auf der WAN seite

Protect -> Email -> Policies
Policies

Hier eine neue Policy erstellen (SMTP Route & Scan)

Protected Domain
Hier den Domänenname eingeben: z.B. contoso.com

Route By
Static Host -> Hier den Mailserver auswählen (oder zuerst hinzufügen)

Spam Protection Einschalten

Recipient Verification: With Callout
(Prüft ob der Empfänger überhaupt existiert)

Malware Protection Einschalten
Sandstorm einschalten sofern Lizenziert

Optional: File Protection einschalten
Schaut was sinn macht, z.B. "nur" Executable Files oder noch mehr

Hier can mit gedrückter Ctrl Taste mehrere Dateitypen gewählt werden, welche Geblockt werden sollen. z.B:
Executable Files, System Files, Developer Files, Plugin Files, Encoded Files,


Ausgehender Verkehr
-------------------------------------------------------------------------------------------------------------------


System -> Administration
Device Access

Hier muss SMTP Relay eingeschaltet werden auf der LAN seite

Protect -> Email -> Relay Settings

Host Based Relay: Hier der Interne Mailserver eintragen


Nun kann auf dem Mailserver die Sophos XG als Smarthost eingerichtet werden


Firewall Regel
-------------------------------------------------------------------------------------------------------------------

Beim einschalten von MTA wird eine automatische Firewall-Regel erstellt.
Diese macht, das alle Netzwerkclients die MTA als SMTP Server nehmen. Ist nicht umbedingt toll, da wenn ein Client z.B. GMail in Outlook eingerichtet hatt, nicht mehr über GMail versenden kann.

Ich empfehle, die Regel komplett zu löschen


Quarantine Digest
-------------------------------------------------------------------------------------------------------------------

Damit die User einen Report der Mails an Sie erhalten, welche in der Quarantäne gelandet sind muss dies wie folgt eingestellt werden:

Protect -> Email
Quarantine Digest

Einschalten

E-Mail Frequency: Daily at 10:00

From: z.B. quarantine@contoso.com

Display Name: Quarantine Digest

Referenc User Portal IP: Port1 (LAN Port der Sophos XG)

Wichtig: Unter Change User's Quarantine Digest Settings, muss jeder User drinnstehen, welcher ein Quarantine Digest Mail erhalten soll


ANMERKUNG BEI EXCHANGE
-------------------------------------------------------------------------------------------------------------------

Mittels Exchange Powershell, die MTA in die Whitelist setzen (umgeht dann den ContenFilter des Exchanges) bzw. den Exchange eigenen ContentFilter und SenderID Agent deaktivieren:

Get-ContentFilterConfig
Set-ContentFilterConfig -Enabled $false
Set-ContentFilterConfig -ExternalMailEnabled $false
Add-IPAllowListEntry -IPAddress X.X.X.X

Get-SenderIDconfig

Set-SenderIDconfig -enabled $false

Set-SenderIDconfig -externalmailenabled $false