Otsus: postkast jääb, MX muutub
E-posti teenuse vahetamine ja kaitse vahetamine on kaks eri projekti. Esimene viib üle postkastid, ajaloo, kalendrid ja telefonides olevad kontod. Teine puudutab ainult saabuva posti teekonda.
See teekond on ühes DNS-kirjes: MX-kirjes, mis näitab saatvatele serveritele, kuhu teie domeeni post toimetada. Kui see osutab lüüsile, võtab lüüs kirja vastu, analüüsib selle ja annab postkastiserverile edasi. See kehtib:
- Microsoft 365 (Exchange Online) kohta;
- Google Workspace’i kohta;
- teie ruumides paigaldatud või majutatud Exchange’i kohta;
- mis tahes muu SMTP kaudu posti vastu võtva e-posti serveri kohta;
- Klytic Maili kohta, mis on vaid üks juhtum teiste seas, mitte eeltingimus.
See juhend käsitleb juhtumit, kus postkast jääb alles. Kui vahetate ka serverit, kirjeldavad seda projekti juhendid üleminek Microsoft 365-lt ja üleminek Google Workspace’ilt.
Kes mida muudab
| Seadistus | Kus | Kes |
|---|
| Domeeni MX-kirje | DNS-tsoon registripidaja või DNS-teenuse pakkuja juures | DNS-i haldav inimene või teenusepakkuja, kellele see on delegeeritud |
| Lüüsi määramine e-posti teenuses | Microsoft 365, Google Workspace’i või serveri halduskonsool | E-posti administraator |
| SPF, DKIM ja DMARC | DNS-tsoon | DNS-i haldaja, pärast domeeni nimel saatvate serverite inventuuri |
| Domeenid ja edastusserver | Lüüs | Lüüsi pakkuja, kes valmistab seadistuse ette |
Põhimõte Microsoft 365 puhul
Microsofti dokumentatsioon kolmanda osapoole teenuse kaudu filtreerimise kohta on selge: domeeni MX peab osutama sellele teenusele, mis edastab seejärel posti Exchange Online’ile. Microsoft soovitab sissetulevat „partneri“ tüüpi konnektorit, mis võib tagasi lükata teenusest mööda saabunud posti. Samuti soovitab see lubada konnektorite täiustatud filtreerimise, et tema enda analüüs hindaks tegelikku saatjat, mitte lüüsi aadressi. Microsoft ei soovita lihtsalt oma filtreerimisest kolmanda osapoole teenuse aadresside puhul mööda minna.
Põhimõte Google Workspace’i puhul
Google kirjeldab „sissetuleva posti lüüsi“: MX osutab lüüsile ja administraator määrab konsoolis selle IP-aadressid. Gmail kasutab neid, et leida päistest saatja tegelik aadress, millest sõltuvad SPF ja Gmaili rämpsposti hinnang. Samuti saab tagasi lükata posti, mis ei tule lüüsist. Google täpsustab, et ta ei rakenda saatja DMARC-poliitikat määratud lüüsi kaudu saabunud postile: see kontroll jääb siis lüüsi ülesandeks.
See juhend ei kopeeri nende konsoolide kuvasid, mis muutuvad. Järgige seadistamise ajal lehe allosas viidatud ametlikku lehte.
Mitu serverit ühe lüüsi taga
Kontsernis sage juhtum: emaettevõte on Microsoft 365-s, üks tütarettevõte Google Workspace’is, kolmas vanas serveris. Üks lüüs võib olla kõigi kolme ees.
Põhimõte on domeenipõhine marsruutimine. Iga domeeni MX osutab lüüsile. Iga domeeni puhul teab lüüs serverit, kellele post pärast analüüsi edastada. Analüüs on ühine, sihtkoht erineb.
Kasu: sama filtreerimispoliitika või domeeniti erinevad seadistused ning kõigi otsuste lugemine ühes kohas. Mida ette valmistada: domeen, mille postkastid on jaotatud kahe serveri vahel, nõuab aadressi kaupa teadmist, kuhu post toimetada. Seda juhtumit uuritakse enne üleminekut.
Mis muutub ja mis mitte
Ei muutu: aadressid, postkastid, ajalugu, e-posti programm, veebipost, telefonid. E-posti sisseehitatud filter töötab edasi. Õigused ja sisemine jagamine jäävad platvormi omaks.
Muutub:
- Esimene server, mis posti vastu võtab. See näeb algset ühendust ja kontrollib saatja autentimist.
- Postkastiserver ei näe enam saatjat otse, vaid lüüsi. Sellest ka eespool kirjeldatud määramine.
- Kirjadel on lüüsi otsusepäised: administraator saab neist lugeda, miks kiri edastati või kõrvale pandi.
- Kui lüüs edastab ka väljuvat posti, peab domeeni SPF-kirje seda lubama ja selle jaoks tuleb avaldada DKIM-allkiri. Nende mehhanismide mõtet selgitab juhend SPF, DKIM ja DMARC.
Kui vahetate hiljem ka postkastiserverit, võib lüüs paigale jääda: muutub ainult selle edastusserver. Juhend e-posti katkestuseta migreerimine jääb selleks päevaks aluseks, ka SPF-i, DKIM-i ja DMARC-i osas.
Kasutuselevõtt järjekorras
- Inventuur: domeenid, igaühe postkastiserver, rakendused, mis saadavad domeeni nimel posti.
- Lüüsi ettevalmistamine selle pakkuja poolt: aktsepteeritud domeenid, edastusserver, väljuva posti reeglid.
- Lüüsi määramine e-posti teenuses (sissetulev konnektor või sissetulev lüüs), kui platvorm seda ette näeb.
- MX-kirje TTL-i eelnev vähendamine, seejärel MX-i muutmine. DNS-vahemälu kehtivuse ajal toimetab osa saatjaid posti veel otse postkastiserverile: see on normaalne.
- Kontroll: välisaadressilt saadetud kiri peab saabuma lüüsi otsusepäistega.
- Karantiini jälgimine esimestel päevadel, et vabastada valepositiivsed ja kohandada reegleid.
Tagasipöördumine on lihtne: taastada vana MX. See valmistatakse ette nagu üleviimise puhul, koos inimesega, kellel on õigus selle üle otsustada.
Mida lüüs ei tee
Lüüs näeb posti, mis temast läbi läheb, ja ainult seda. See ei näe kirju, mida vahetatakse sama platvormi kahe postkasti vahel ja mis platvormilt ei lahku, ega veebisalves jagatud faile ega kasutajate sisselogimisi.
Seega ei asenda see Microsoft 365 ega Google Workspace’i sisemisi seadistusi: õigused, kaheastmeline autentimine, sisselogimishoiatused, automaatse edasisaatmise reeglid. Varastatud konto on eelkõige e-posti teenuse teema. Juhend Rämpspost, õngitsemine, pahavara ja kompromiteeritud konto eristab neid.
Lõpuks võib saatja, kes teab postkastiserveri tehnilist aadressi, proovida posti otse sellele toimetada, MX-ist mööda minnes. Sellepärast pakuvad Microsoft (partneri konnektor) ja Google (lüüsivälise posti tagasilükkamine) lukustamist.
Korduma kippuvad küsimused
Kas kasutajaid tuleb teavitada?
Nende aadressid ei muutu. Teavitage neid aga, et nad võivad saada karantiiniteateid: vt Karantiin, valepositiivsed tulemused ja teatamine.
Kas Microsoft 365 või Google’i filter tuleb välja lülitada?
Ei. Microsoft soovitab jätta oma analüüsi sisse ja seadistada see nii, et see näeks tegelikku saatjat, mitte sellest mööda minna.
Kui kaua üleminek aega võtab?
MX-i muutus ise jõustub DNS-vahemälu tempos. Ettevalmistus sõltub domeenide ja serverite arvust. Klytic MTA kohta vt järgmist jaotist.
Kas ette paigutatud lüüs muudab meie saadetiste kohaletoimetatavust?
Ainult siis, kui see edastab ka väljuvat posti. Sel juhul peavad SPF ja DKIM seda arvestama: vt SPF, DKIM ja DMARC.
Miks mitte lihtsalt e-posti teenust vahetada?
See on teine otsus teiste kriteeriumidega. Seda käsitleb juhend Euroopa ärilise e-posti valimine.
Klyticu positsioon
Klytic MTA paigutub teie olemasoleva e-posti ette: Microsoft 365, Google Workspace, Exchange, Klytic Mail või mis tahes muu server. See ei eelda Klyticu postkasti.
- Kasutuselevõtt: tavaliselt 24 kuni 48 tundi. Klytic valmistab seadistuse ette; teie muudate oma domeeni MX-kirjet või teeb Klytic seda teie eest. Lüüsi määramise Microsoft 365 või Google Workspace’i konsoolis teeb selle e-posti administraator ning see valmistatakse kasutuselevõtu ajal ette koos Klyticuga.
- Juurutamine: Klyticu pilv, eraldatud instants või kliendi serverid. Erivajaduste korral saab Klyticuga kavandada muid arhitektuure, näiteks filtreerimine pilves ja teie juurde paigaldatud relee või mitu piirkonda.
- Paketid: Essential ja Advanced. Essential hõlmab autentimist, rämpspostitõrjet, viirusekaitset, õngitsemist, teisikdomeene, karantiini, väljuvate kirjade DKIM-allkirja ja enne saatmist tagasikutsumist. Advanced lisab finantspettuse, klõpsamisaegse kaitse, DMARC-konsooli ja logide ekspordi SIEM-i.
- Prooviperiood: 30 päeva tasuta, e-posti teenust vahetamata.
Klytic MTA ei halda teie praeguse e-posti teenuse õigusi ega kontosid ega luba võrdväärsust Microsoft 365 või Google Workspace’i sisseehitatud turvatööriistadega: see lisandub nende ette.
See leht kirjeldab põhimõtet. Microsofti ja Google’i konsoolid muutuvad: tegevuse osas on määrav nende ametlik dokumentatsioon.
Allikad
Vaadatud oktoobris 2026.
- Microsoft Learn, „Manage mail flow using a third-party cloud service with Exchange Online“: MX peab osutama kolmanda osapoole teenusele; sissetulev partneri tüüpi konnektor; konnektorite täiustatud filtreerimine filtreerimisest möödaminemise asemel. learn.microsoft.com
- Google Workspace’i abi, „Set up an inbound mail gateway“: MX lüüsile, selle IP-aadresside määramine, lüüsivälise posti võimalik tagasilükkamine; Gmail ei rakenda saatja DMARC-poliitikat lüüsi kaudu saabunud postile. knowledge.workspace.google.com
- RFC 5321, SMTP: vahehostid määratakse üldjuhul DNS-i MX-kirjega. rfc-editor.org
- Klytic, Klytic MTA leht: Essential- ja Advanced-paketi moodulid, lisavõimalused, juurutusviisid, kasutuselevõtt MX-kirje kaudu. klytic.com
