Google Workspace Konfiguration

Dieser Artikel ist eine Anleitung zur Konfiguration von Google Workspace mit Libraesva ESG.

Inbound-Konfiguration

[fruitful_alert type="alert-warning"]WARNUNG: Wenn Sie innerhalb Ihres Google Workspace-Tenants Regeln für internes Forwarding erstellt haben, folgen Sie bitte zunächst dieser Anleitung[/fruitful_alert] Google Inbound Gateway

• Melden Sie sich beim Google Workspace Domain Management Portal an.
• Navigieren Sie zu Apps > Google Workspace> Gmail > Spam, Phishing and Malware
• Suchen Sie das Inbound gateway und geben Sie den öffentlichen Libraesva ESG Hostnamen oder die IP-Adresse ein

[fruitful_alert type="alert-info"]Hinweis: Achten Sie darauf, das Kontrollkästchen „Only let users receive email from the email gateways listed above“ zu aktivieren. Alle anderen E-Mails werden abgelehnt.[/fruitful_alert] Google Email Allowlist

• Suchen Sie die Email Allowlist Table und geben Sie die öffentliche IP-Adresse des Libraesva ESG bzw. bei einem Cluster die IP-Adressen ein

Mit dieser Konfiguration leitet Google auch interne E-Mails (von Ihrer Domain an Ihre Domain) über ESG. Dies bietet Ihnen Einblick in den internen E-Mail-Verkehr. Um Spam-Prüfungen für interne E-Mails NICHT durchzuführen, können Sie eine Whitelist für eine E-Mail aus Ihrer Domain hinzufügen (die Sicherheitsprüfungen werden dennoch durchgeführt). Wenn Sie möchten, dass interne E-Mails innerhalb von Google verbleiben und nicht über ESG geleitet werden, lesen Sie den Abschnitt „How to bypass ESG for internal email“ weiter unten.

Hinzufügen eines Relays auf Libraesva Email Security Gateway

[fruitful_alert type="alert-warning"] WARNUNG: Der Google Workspace Mail Server-Eintrag wurde vom ALTEN "aspmx.l.google.com" zum NEUEN "smtp.google.com" geändert. WENN IHRE E-MAIL FUNKTIONIERT, MÜSSEN SIE IHRE AKTUELLE KONFIGURATION NICHT ÄNDERN. Weitere Informationen hier: https://support.google.com/a/answer/1600425 [/fruitful_alert] Um eine Domain hinzuzufügen und saubere E-Mails an Google Apps weiterzuleiten, navigieren Sie im Admin Area des ESG zu Mail Transport >Relay Configuration und wählen Sie Domain Relay > New. Füllen Sie die Felder wie folgt aus:

• Domain: Geben Sie Ihre Domain an, die Sie bei Google Apps haben
• Mail Server: smtp.google.com
• Port: 25
• Use MX: NO.
• Recipient Verification: Dynamic Verification or Valid Recipient List (oder „Disabled“, falls Sie eine „catch-all address“ aktiviert haben)
• Dynamic Verification Server Address: smtp.google.com
• Dynamic Verification Port: 25
• Domain Anti-spoofing stellen Sie auf SPF.

Denken Sie schließlich daran, einen MX-Eintrag mit der höchsten Priorität (geringstem Gewicht) für Ihre ESG-Appliance hinzuzufügen, um den Mail-Fluss über Libraesva ESG zu leiten.

Outbound-Konfiguration (optional)

Dies ist eine optionale Konfiguration.

Google Workspace in Libraesva ESG vertrauenswürdig einstufen

Um Google Workspace als vertrauenswürdig einzustufen und das Outbound-Mail-Relay zu aktivieren, navigieren Sie im ESG Admin Area zu Mail Transport >Relay Configuration und wählen Sie Trusted Networks. Klicken Sie auf die Schaltfläche Enable neben Trust Google Suite.

Hinzufügen einer neuen Host Route in Google Workspace

• Melden Sie sich beim Google Workspace Domain Management Portal an.
• Navigieren Sie zu Apps > Google Workspace > Gmail > Hosts
• Klicken Sie auf ADD ROUTE
• Vergeben Sie einen Namen, zum Beispiel ESG
• Wählen Sie Single Host, wenn Sie eine einzelne ESG-Instanz haben, oder Multiple hosts, wenn Sie einen Cluster haben
• Geben Sie die IP-Adresse(n) Ihrer ESG-Appliance(s) ein und, im Falle mehrerer Hosts, das Gewicht.

Dies ist ein Beispiel für eine Konfiguration mit einem einzelnen ESG: Dies ist ein Beispiel für eine Konfiguration mit einem ESG-Cluster: Durch Deaktivieren von „Require mail to be transmitted via a secure(TLS) connection“ erlauben Sie selbstsignierte TLS-Zertifikate auf dem ESG. Wenn Sie dieses Kontrollkästchen aktivieren möchten, stellen Sie sicher, dass Sie über ein gültiges, nicht selbstsigniertes Zertifikat für SMTP auf Ihrer/Ihren ESG-Appliance(s) verfügen. Sie haben soeben einen Host erstellt, der noch nicht verwendet wird. Im nächsten Schritt werden Sie ihn für eine Outbound-Regel verwenden.

(Optional) Benachrichtigungen zu freigegebenen Dokumenten für externe Empfänger nicht über ESG leiten

Wenn Sie Dokumente mit externen Empfängern teilen, müssen Sie eine zusätzliche Routing Rule hinzufügen, um ESG zu umgehen.

• Melden Sie sich beim Google Workspace Domain Management Portal an.
• Navigieren Sie zu Apps > Google Workspace > Gmail > Routing
• Klicken Sie auf ADD ROUTE
• Vergeben Sie einen Namen, zum Beispiel Route google drive notification normally
• Setzen Sie „Messages to affect“ auf Outbound
• Aktivieren Sie das Flag „Change route“ und wählen Sie Normal Routing.
• Klicken Sie auf Show more options und wählen Sie sowohl Users als auch Groups
• Wählen Sie unter „Envelope filter“ „Only affect specific envelope senders“
• Wählen Sie aus dem Dropdown-Menü „Single email address“
• Geben Sie die folgende, von Google Drive-Benachrichtigungen verwendete E-Mail-Adresse ein: drive-shares-dm-noreply@google.com
• Klicken Sie auf SAVE

[fruitful_alert type="alert-info"]Hinweis: Die Routing Rule zum Umgehen des ESG für Google Drive-Benachrichtigungen muss vor der Regel konfiguriert werden, die den gesamten Outbound-Datenverkehr über Libraesva ESG leitet[/fruitful_alert]

Hinzufügen einer neuen Routing Rule für den Outbound-Datenverkehr in Google Workspace

• Melden Sie sich beim Google Workspace Domain Management Portal an.
• Navigieren Sie zu Apps > Google Workspace > Gmail > Routing
• Klicken Sie auf ADD ROUTE
• Vergeben Sie einen Namen, zum Beispiel Outbound route
• Setzen Sie „Messages to affect“ auf „Outbound“
• Aktivieren Sie das Flag „Change route“ und wählen Sie den im vorherigen Schritt erstellten Host (ESG) aus.
• Klicken Sie auf SAVE

So sieht die endgültige Konfiguration aus: Klicken Sie unten auf der Seite auf SAVE, und Ihr ausgehender E-Mail-Verkehr wird über Ihr ESG geleitet.

So umgehen Sie ESG für interne E-Mails (empfohlen)

Standardmäßig leitet Google interne E-Mails (von Ihrer Domain an Ihre Domain) an das Inbound Gateway (ESG). Wenn Sie die Spam-Prüfung für internen Datenverkehr deaktivieren möchten, wird empfohlen, den Datenverkehr nicht über ESG zu leiten. Dies reduziert die Belastung der Appliance erheblich (z. B. Warteschlangenzeit und Speicherbedarf). Sicherheitsprüfungen werden bei internen E-Mails weiterhin durchgeführt. Wenn Sie möchten, dass interne E-Mails innerhalb von Google verbleiben und nicht an ESG weitergeleitet werden, müssen Sie die unten stehenden Konfigurationen durchführen.

Konfiguration zum Umgehen von ESG für interne E-Mails (Schritt 1 von 3)

• Melden Sie sich beim Google Workspace Domain Management Portal an.
• Navigieren Sie zu Apps > Google Workspace > Gmail > Hosts
• Klicken Sie auf ADD ROUTE
• Vergeben Sie einen Namen, zum Beispiel GOOGLE
• Wählen Sie Single Host
• Geben Sie smtp.google.com ein
• Setzen Sie den Port auf 25
• Klicken Sie auf SAVE

So sieht die Konfiguration aus:

Konfiguration zum Umgehen von ESG für interne E-Mails (Schritt 2 von 3)

• Melden Sie sich beim Google Workspace Domain Management Portal an.
• Navigieren Sie zu Apps > Google Workspace > Gmail > Spam, Phishing and Malware
• Suchen Sie the Inbound gateway und klicken Sie auf EDIT
• Deaktivieren Sie „Reject all mail, not from gateway IPs“

Eine Alternative zum Deaktivieren von „Reject all mail, not from gateway IPs“ besteht darin, dem Inbound Gateway alle Google-IP-Subnetze hinzuzufügen, die Sie über den TXT-Eintrag von Google abrufen können spf.google.com.

Konfiguration zum Umgehen von ESG für interne E-Mails (Schritt 3 von 3)

• Melden Sie sich beim Google Workspace Domain Management Portal an.
• Navigieren Sie zu Apps > Google Workspace > Gmail > Routing
• Fügen Sie eine neue Route mit dem Namen „Internal“ hinzu
• Wählen Sie unter „Messages to affect“ „Internal – sending“
• Wählen Sie unter „Envelope filter“ „Only affect specific envelope recipients“
• Wählen Sie aus dem Dropdown-Menü „Pattern match“
• Geben Sie das folgende Muster ein und ersetzen Sie yourdomain.com durch Ihre Domain: .*\@yourdomain\.com
• HINWEIS: Dies ist ein regulärer Ausdruck, daher ist es wichtig, den Backslash beizubehalten.
• Aktivieren Sie unter „Route“ die Option „Change route“ und wählen Sie aus dem Dropdown-Menü die Route „google“ aus.
• Klicken Sie am Ende des Formulars auf „show options“ und aktivieren Sie sowohl „users“ als auch „groups“
• Klicken Sie auf ADD SETTING
• Klicken Sie auf SAVE

So sieht die Konfiguration aus: