Konfigurieren von Google Workspace (Gmail)

Einleitung

In diesem Dokument werden die Schritte zur Integration von Google Workspace (vormals G Suite) und Gmail mit Cisco Secure Email für die ein- und ausgehende E-Mail-Zustellung beschrieben. Dieses Dokument gilt für Hardware vor Ort, virtuelles Cisco Secure Email Gateway und Cisco Secure Email Cloud Gateway.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über das erforderliche Wissen und den administrativen Zugriff auf Ihre Umgebung verfügen:

• Sichere E-Mail von Cisco
• CLI-Zugriff auf Ihr Cisco Secure Email Gateway oder Cisco Secure Email Cloud Gateway
  • Cisco Secure Email Cloud Gateway? Klicken Sie hier, um weitere Informationen zum CLI-Zugriff zu erhalten.
• Google Workspace und Gmail
• SMTP
• DNS

In Ihrem Begrüßungsschreiben zum Cisco Secure Email Cloud Gateway finden Sie die Host- und IP-Informationen, die Sie für das gesamte Dokument benötigen. Wenn Sie das Begrüßungsschreiben noch nicht erhalten haben oder keine Kopie davon haben, wenden Sie sich unter Angabe Ihres Namens, Ihrer Kontaktinformationen, des Firmennamens und des Domänennamens an ces-activations@cisco.com.

     

Der Cisco Secure Email Cloud Gateway-Host und die IP-Adressen sind für jede Zuweisung dediziert und werden nicht ohne Ankündigung geändert. Daher können Sie den zugewiesenen Host und die IP-Informationen in Ihrer Google Workspace (Gmail)-Konfiguration verwenden.

     

Hinweis: Validieren Sie Konfigurationsänderungen vor einer geplanten Produktions-E-Mail-Umstellung, da die Replikation von Konfigurationsänderungen in der Google Workspace-Konsole einige Zeit in Anspruch nimmt. Warten Sie mindestens eine Stunde, bis alle Änderungen übernommen wurden.

     

     

Konfigurieren von Google Workspace (Gmail)

Eingehende E-Mails (Eingangs-Gateway) in Google Workspace (Gmail) konfigurieren

1. Melden Sie sich bei Ihrer Google Admin-Konsole an (https://admin.google.com)
2. Navigieren Sie zu Apps > Google Workspace.
3. Klicken Sie auf Gmail
4. Blättern Sie nach unten, und klicken Sie auf Spam, Phishing und Malware.
5. Suchen Sie nach Inbound Gateway, zeigen Sie darauf, und klicken Sie zum Bearbeiten auf
6. Geben Sie die erforderlichen Informationen ein, die Sie in Ihrem Begrüßungsschreiben angegeben haben:
   1. Aktivieren auswählen
   2. Klicken Sie für Gateway-IPs auf Hinzufügen, geben Sie alle IP-Adressen in Ihrem Begrüßungsschreiben ein, und klicken Sie auf Speichern.
   3. Wählen Sie Externe IP automatisch erkennen (empfohlen) aus.
   4. Wählen Sie Nachricht als Spam aus, wenn der folgende Header-reguläre Ausweis übereinstimmt und geben Sie x-ipas-suspiant für den regulären Ausweis ein.

      • Die Konfiguration der Nachrichtenkennzeichnung ist optional, aber empfehlenswert, da wir den Spam-Ordner in Gmail mit einem X-Header verwenden können

      • Siehe "Senden von verdächtigem Spam an den Spam-Ordner von Gmail [Optional]" weiter unten in diesem Dokument.

   5. Klicken Sie unten rechts in Ihrem Browser auf Speichern.

     

Vergleichen Sie die endgültige Konfiguration des Eingangs-Gateways in Google Workspace mit:

          

Hinweis: Für weitere Informationen zur Einrichtung und Fragen stellt Google die Google Workspace-Administrationshilfe bereit: https://support.google.com/a/answer/60730?hl=en

     

     

Konfigurieren eingehender E-Mails für Ihren Google Workspace (Gmail) in Cisco Secure Email

     

Zielsteuerelemente

Die Konfiguration einer Bereitstellungsdomäne in den Zielsteuerelementen erfordert eine Selbstdrosselung. Natürlich können Sie diese Zielkontrolle später entfernen, aber da Ihre Cisco Secure Email Gateways "neue" IPs für Google sind, möchten Sie aufgrund ihrer unbekannten Reputation keine Drosselung durch Google.

1. Melden Sie sich bei Ihrem Cisco Secure Email Gateway an.
2. Navigieren Sie zu Mail Policies > Destination Controls (E-Mail-Richtlinien > Zielsteuerelemente).
3. Klicken Sie auf Add Destination (Ziel hinzufügen).
4. Verwenden Sie folgende Werte:
   1. Ziel: Ihr Domänenname
   2. Parallele Verbindungen: Standard verwenden (500)
   3. Maximale Anzahl Nachrichten pro Verbindung: Standard verwenden (50)
   4. Empfänger: maximal 20 pro 1 Minute
   5. TLS-Unterstützung: Bevorzugt
5. Klicken Sie auf Submit (Senden).
6. Klicken Sie oben rechts auf der Benutzeroberfläche auf Änderungen bestätigen, um die Konfigurationsänderungen zu speichern.

     

Recipient Access Table

Legen Sie als Nächstes die Recipient Access Table (RAT) fest, um E-Mails für Ihre Domänen zu akzeptieren:

1. Navigieren Sie zu Mail Policies > Recipient Access Table (RAT) (E-Mail-Richtlinien > Recipient Access Table [RAT]).
   • Hinweis: Stellen Sie sicher, dass "Overview for Listener" auf "IncomingMail" festgelegt ist, wenn mehrere Listener konfiguriert sind.
2. Klicken Sie auf Add Recipient (Empfänger hinzufügen).
3. Empfängeradresse: Ihr Domänenname
   • Hostnamen wie "example.com", IPv4, IPv6
   • Partielle Hostnamen wie ".example.com".
   • Benutzernamen wie "admin@".
   • Geben Sie E-Mail-Adressen wie "joe@example.com", "joe@[IPv4]" oder "joe@[IPv6]" ein.
   • Trennen Sie mehrere Adressen durch Kommas.
4. Aktion: Wählen Sie die Standardaktion von Akzeptieren
5. Klicken Sie auf Submit (Senden).
6. Klicken Sie oben rechts auf der Benutzeroberfläche auf Änderungen bestätigen, um die Konfigurationsänderungen zu speichern.    

     

SMTP-Routen

Konfigurieren Sie die SMTP-Route, um E-Mails von Ihrem bzw. Ihren Cisco Secure Email Gateway(s) an Ihre Google Workspace (Gmail)-Domäne zu senden:

1. Navigieren Sie zu Network > SMTP Routes (Netzwerk > SMTP-Routen).
2. Klicken Sie auf Add Route ... (Route hinzufügen).
3. Domäne: Ihr Name
   • Hostname: exchange.example.com
   • Vollständige Domäne: example.com
   • Teildomäne: .example.com
   • IPv4-Adresse
   • IPv6-Adresse
4. Ziel-Hosts: Fügen Sie die unten angegebenen Google Workspace (Gmail)-Datensätze hinzu, und fügen Sie nach Bedarf weitere Zeilen hinzu.
5. Klicken Sie auf Submit (Senden).
6. Klicken Sie oben rechts auf der Benutzeroberfläche auf Änderungen bestätigen, um die Konfigurationsänderungen zu speichern. 

     

     

Google Workspace (Gmail) Ziel-SMTP-Hosts:

Priorität	Ziel	Anschluss
1	aspmx.l.google.com	25
5	alt1.aspmx.l.google.com	25
5	alt2.aspmx.l.google.com	25
10	alt3.aspmx.l.google.com	25
10	alt2.aspmx.l.google.com	25

     

     

Konfiguration der eingehenden E-Mails abgeschlossen!

     

     

DNS-Konfiguration (MX-Eintrag)

Sie sind bereit, Ihre Domäne durch eine Änderung der Mail Exchange (MX)-Datensätze zu löschen. Wenden Sie sich zunächst an Ihren DNS-Administrator, um Ihre MX-Einträge unter den IP-Adressen Ihres bzw. Ihrer Cisco Secure Email Gateway(s) aufzulösen, wie in Ihrem Cisco Secure Email Begrüßungsschreiben angegeben.

Sobald dies abgeschlossen ist, können Sie die DNS-Änderungen in der Google Workspace-Konsole überprüfen, was Google sieht Ihre Domain MX:

1. Melden Sie sich bei Ihrer Google Admin-Konsole an (https://admin.google.com)
2. Navigieren Sie zu Apps > Google Workspace.
3. Klicken Sie auf Gmail
4. Navigieren Sie zu Setup, und klicken Sie zum Anzeigen.
5. Die aktuellen MX-Datensätze, wie Google Ihre DNS- und MX-Datensätze, die mit Ihrer Domäne verknüpft sind, bereitstellt, werden angezeigt.

          

Hinweis: Lassen Sie Zeit für die Propagierung, wenn Sie aktualisieren oder ändern Sie Ihre Domain DNS TTL.

     

     

Ausgehende E-Mails für Ihren Google Workspace (Gmail) in Cisco Secure Email konfigurieren

Sehen Sie in Ihrem Cisco Secure Email-Begrüßungsschreiben nach. Darüber hinaus wird eine sekundäre Schnittstelle für ausgehende Nachrichten über das Cisco Secure Email Gateway benötigt.

1. Melden Sie sich bei Ihrem Cisco Secure Email Gateway an.
2. Navigieren Sie zu Mail Policies > HAT Overview (E-Mail-Richtlinien > HAT-Übersicht).
   • Hinweis: Stellen Sie sicher, dass "Sender Groups (Listener)" (Absendergruppen (Listener)) auf "Outgoing" (Ausgehend) eingestellt ist, wenn mehrere Listener konfiguriert sind.
3. Klicken Sie auf Add Sender Group... (Absendergruppe hinzufügen).
4. Konfigurieren Sie die Absendergruppe als:
   1. Name: RELAY_GMAIL
   2. Kommentar: Absendergruppe & Relay für Gmail
   3. Richtlinie: WEITERGELEITET
   4. Klicken Sie auf Submit and Add Senders (Senden und Absender hinzufügen).
   5. Sender (Absender): .google.com
      • Hinweis: Das "." (Punkt) am Anfang des Absender-Domänennamens ist erforderlich.
      • Beispiele für Ihre Konfiguration:
        • IPv4-Adressen, Subnetze, Bereiche
        • IPv6-Adressen, Subnetze, Bereiche
        • Hostnamen wie example.com
        • Partielle Hostnamen wie .example.com
   6. Klicken Sie auf Submit (Senden).
   7. Klicken Sie oben rechts auf der Benutzeroberfläche auf Änderungen bestätigen, um die Konfigurationsänderungen zu speichern. 

     

Vergleichen Sie Ihre endgültige Absendergruppenkonfiguration mit:

     

     

Ausgehende E-Mails (Eingangs-Gateway) in Google Workspace (Gmail) konfigurieren

1. Melden Sie sich bei Ihrer Google Admin-Konsole an (https://admin.google.com)
2. Navigieren Sie zu Apps > Google Workspace.
3. Klicken Sie auf Gmail
4. Blättern Sie nach unten, und klicken Sie auf Routing.
5. Geben Sie als Outbound-Gateway die IP-Adresse oder den Hostnamen Ihres "Outgoing Listener" oder "OutgoingMail" ein, und klicken Sie auf Save.
6. Klicken Sie auf Konfigurieren für Routing.
   • Konfigurieren Sie das Routing wie folgt:
     1. Beschreibung: "CES-GMAIL_AUTH", oder geben Sie einen Namen ein, der später einfach identifiziert werden kann
     2. Betroffene E-Mail-Nachrichten:
        • Ausgehend
        • Intern - Senden
     3. Für diese Arten von Nachrichten:
        • Auswählen, benutzerdefinierte Header hinzufügen
          • Hinweis: Um nicht autorisierte Nachrichten über Ihr Gmail zu verhindern, wird ein geheimer x-Header verwendet, wenn Nachrichten Ihre Gmail-Domäne verlassen. Dieser Header wird dann von Cisco Secure Email ausgewertet und vor der Zustellung an das Internet entfernt.
        • Klicken Sie auf Hinzufügen, und geben Sie Folgendes ein: X-OUTBOUND-AUTH, mysecretkey
          • Ersetzen Sie "mysecretkey" durch einen Schlüssel Ihrer Wahl. Dieser wird im nächsten Abschnitt verwendet.
        • Klicken Sie auf Save (Speichern).

     

Vergleichen Sie Ihre Routing- und Outbound-Gateway-Konfiguration mit:

Fahren Sie mit der Konfiguration Ihres Setups für ausgehende E-Mails fort, und greifen Sie auf die CLI für das Cisco Secure Email Gateway zu.

     

Hinweis: Cisco Secure Email Cloud Gateway? Klicken Sie hier, um weitere Informationen zum CLI-Zugriff zu erhalten.

     

Erstellen Sie einen Nachrichtenfilter, um ausgehende Nachrichten auf den Header und Wert des X-Headers zu überprüfen, den wir gerade mithilfe der Google Workspace (Gmail)-Konfiguration erstellt haben. Dieser Nachrichtenfilter entfernt auch den Header, wenn er existiert. Der Nachrichtenfilter verwirft die über das Gateway verarbeitete ausgehende Nachricht, wenn der Header nicht vorhanden ist.

1. Melden Sie sich bei Ihrem Cisco Secure Email Gateway an.
2. Führen Sie den Befehl Filters aus.
3. Da alle Cisco Secure Email Cloud-Gateways geclustert sind, klicken Sie auf Return, um die Filter im Cluster-Modus zu bearbeiten.
4. Verwenden Sie den Vorgang Neu, um einen Nachrichtenfilter zu erstellen, kopieren Sie dann den bereitgestellten Code, und fügen Sie ihn ein:

   gmail_outbound: if sendergroup == "RELAY_GMAIL" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }​

5. Stellen Sie sicher, dass Sie den "mysecretkey" mit dem Schlüssel Ihrer Wahl im vorherigen Abschnitt bearbeiten, mit "^" (Anfang der Zeichenfolge) und "$" (Ende der Zeichenfolge) für Ihre reguläre Zeichenfolge.
6. Drücken Sie einmal die Eingabetaste, um eine neue, leere Zeile zu erstellen.
7. Geben Sie "." (Punkt) in der neuen Zeile ein, um den Filter für die neue Nachricht zu aktivieren.
8. Drücken Sie die Eingabetaste einmal, um das Filtermenü zu verlassen.
9. Führen Sie den Commit-Befehl aus, um die Änderungen an Ihrer Konfiguration zu speichern.

     

     

Konfiguration der ausgehenden E-Mails abgeschlossen!

     

     

Ausgehende E-Mails testen

Verfassen Sie eine ausgehende Nachricht von Ihrer von Gmail verwalteten E-Mail-Adresse und senden Sie sie an einen externen Domänenempfänger. Anschließend können Sie die Nachrichtenverfolgung überprüfen, um sicherzustellen, dass der ausgehende Anruf ordnungsgemäß weitergeleitet wurde.

Beispiel für eine Nachricht, bei der der X-Header nicht übereinstimmt:

     

Beispiel einer Nachricht mit erfolgreicher Zustellung:

     

     

Internes E-Mail-Routing ohne Cisco Secure Email Scanning [optional]

Wenn Sie das Routing von Benutzer zu Benutzer innerhalb von Google Workspace (Gmail) beibehalten möchten [optional, aber von Cisco empfohlen], befolgen Sie die folgenden Anweisungen:

1. Melden Sie sich bei Ihrer Google Admin-Konsole an (https://admin.google.com)
2. Navigieren Sie zu Apps > Google Workspace.
3. Klicken Sie auf Gmail
4. Klicken Sie auf Hosts.
5. Klicken Sie auf Route hinzufügen.
6. Pop-Up "Add mail route" (Mail-Route hinzufügen): 
   1. Oberste Zeile: "Internes Routing ohne CES-Scanning", oder geben Sie einen Namen ein, der später einfach identifiziert werden kann.
   2. E-Mail-Server angeben: Mehrere Hosts
      • Primär: aspmx.l.google.com, (Port) 25, (Last %) 100
      • Sekundär: alt1.aspmx.l.google.com, alt2.aspmx.l.google.com, (Port) 25, (Load%) 50
   3. Optionen:
      • Deaktivieren Sie Zertifikat mit CA-Signatur erforderlich (empfohlen).
   4. Klicken Sie auf Save (Speichern).
7. Klicken Sie im Hauptabschnitt Hosts auf Speichern

     

Weiter:

1. Klicken Sie auf Einstellungen für Gmail
2. Blättern Sie nach unten, und klicken Sie auf Routing.
3. Klicken Sie im Abschnitt "Routing" auf Andere Regel hinzufügen
4. Pop-Up "Add mail route" (Mail-Route hinzufügen):
   1. Oberste Zeile: "Internes Routing ohne CES-Scanning", oder geben Sie einen Namen ein, der später einfach identifiziert werden kann.
   2. Betroffene E-Mail-Nachrichten: Intern - Senden
   3. Für diese Arten von Nachrichten:
      • Als Nachricht ändern lassen
      • Wählen Sie für Route: Route ändern und auch Spam umleiten.
   4. Klicken Sie auf Optionen anzeigen, und führen Sie einen Bildlauf nach unten durch
   5. Für "B. Zu beeinflussender Kontotyp": Benutzer und Gruppen
   6. Für "C. Umschlagfilter": Wählen Sie Nur bestimmte Umschlagabsender betreffen
      • Musterzuordnung auswählen
      • Für Regexp: .*your_domain
        • Hinweis: Die Zeichen "." (Punkt) und "*" (Sternchen) am Anfang des Domänennamens sind erforderlich.
   7. Klicken Sie auf Save (Speichern).

Testen der internen Weiterleitung von E-Mails Senden Sie eine E-Mail an einen anderen Empfänger mit dem identischen internen E-Mail-Domänennamen.

     

     

E-Mail-Zustellung testen und validieren

Verfassen Sie eine Nachricht an Ihre von Gmail verwaltete E-Mail-Adresse. Dann überprüfen Sie, um zu sehen, dass es in Ihrem Gmail-verwalteten E-Mail-Posteingang ankommt.

Validieren Sie anschließend die Nachrichtenübermittlung in Message Tracking (Nachrichtenverfolgung) in Cisco Secure Email.

1. Melden Sie sich bei Ihrem Gateway an (z. B. https://dhXXYY-esa1.iphmx.com/ng-login), oder wenn Sie Cisco Secure Manager verwenden (z. B. https://dhXXYY-sma1.iphmx.com/ng-login)
2. Klicken Sie auf Tracking (Nachverfolgung).
3. Geben Sie die Suchkriterien für die Nachrichteninformationen ein (Betreff, Umschlagempfänger), und klicken Sie auf Suchen. Die Suchergebnisse sehen ähnlich aus:

E-Mail-Protokolle in Google Workspace (Gmail) anzeigen:

1. Melden Sie sich bei der G Suite Admin-Konsole an (https://admin.google.com)
2. Navigieren zu Berichten
3. Blättern Sie nach unten, und wählen Sie im rechten Menü die Option E-Mail-Protokollsuche aus.
4. Geben Sie die erforderlichen Suchkriterien ein, und klicken Sie auf Suchen. Die Ergebnisse sehen ähnlich aus:

     

     

Spam-verdächtig an Spam-Ordner von Gmail senden [Optional]

Wenn Sie Cisco Secure Email verwenden möchten, um Spam-verdächtige Nachrichten an den Spam-Ordner in Gmail zu senden:

1. Melden Sie sich bei Ihrem Cisco Secure Email Gateway an.
2. Navigieren Sie zu Mail-Policys > Mail-Policys für \"Eingehend\"
3. Wählen Sie als Richtliniennamen Anti-Spam aus, oder verwenden Sie die Standardrichtlinie.
4. Klicken Sie auf Erweitert, um Einstellungen für Spam-verdächtig zu erhalten.
5. Fügen Sie für "Benutzerdefinierten Header hinzufügen" (optional) "x-ipas-suspiant" ein.
   • Hinweis: Dies kann auch für die Einstellungen für positiv identifizierte Spam konfiguriert werden, wenn Sie Spam nicht über das Cisco Secure Email Gateway verwerfen/in Quarantäne verschieben möchten.

     

Vergleichen Sie die endgültigen Anti-Spam-Einstellungen für Spam-verdächtig mit:

Suchen Sie in Ihrer von Google Mail verwalteten E-Mail nach "in:spam", oder suchen Sie in Ihrer E-Mail-Anwendung im Spam-Ordner.

     

     

Zugehörige Informationen

Technischer Support und Dokumentation für Cisco Systeme