Päätös: postilaatikko säilyy, MX vaihtuu
Sähköpostijärjestelmän vaihto ja suojauksen vaihto ovat kaksi eri hanketta. Ensimmäinen siirtää postilaatikot, historian, kalenterit ja puhelinten tilit. Jälkimmäinen koskee vain saapuvan postin reittiä.
Tämä reitti määritetään yhdellä DNS-tietueella: MX-tietueella, joka kertoo lähettäville palvelimille, minne verkkotunnuksenne posti toimitetaan. Kun se osoittaa yhdyskäytävään, yhdyskäytävä vastaanottaa ja analysoi viestin ja toimittaa sen sitten postilaatikkopalvelimelle. Tämä pätee seuraaviin:
- Microsoft 365 (Exchange Online);
- Google Workspace;
- omissa tiloissanne oleva tai hostattu Exchange;
- mikä tahansa muu sähköpostipalvelin, joka vastaanottaa SMTP:llä;
- Klytic Mail, joka on vain yksi tapaus muiden joukossa, ei edellytys.
Tämä opas käsittelee tilannetta, jossa postilaatikko säilyy. Jos vaihdatte myös palvelimen, oppaat migraatio Microsoft 365:stä ja migraatio Google Workspacesta kuvaavat sen hankkeen.
Kuka muuttaa mitäkin
| Asetus | Missä | Kuka |
|---|
| Verkkotunnuksen MX-tietue | DNS-vyöhyke verkkotunnusrekisteröijällä tai DNS-palveluntarjoajalla | DNS:ää hallinnoiva henkilö tai palveluntarjoaja, jolle hallinta on delegoitu |
| Yhdyskäytävän ilmoittaminen sähköpostijärjestelmälle | Microsoft 365:n, Google Workspacen tai palvelimen hallintakonsoli | Sähköpostin pääkäyttäjä |
| SPF, DKIM ja DMARC | DNS-vyöhyke | DNS:n hallinnoija, kun verkkotunnuksen nimissä lähettävät palvelimet on kartoitettu |
| Verkkotunnukset ja toimituspalvelin | Yhdyskäytävä | Yhdyskäytävän toimittaja, joka valmistelee määritykset |
Periaate Microsoft 365:n puolella
Microsoftin dokumentaatio kolmannen osapuolen palvelun suodatuksesta on selkeä: verkkotunnuksen MX-tietueen on osoitettava tähän palveluun, joka toimittaa postin sitten Exchange Onlineen. Microsoft suosittaa ”kumppani”-tyyppistä saapuvan postin liitintä, joka voi hylätä palvelun ohi saapuneen postin. Se suosittaa myös ottamaan käyttöön liittimien tehostetun suodatuksen, jotta sen oma analyysi arvioi todellisen lähettäjän eikä yhdyskäytävän osoitetta. Se ei suosittele pelkästään ohittamaan suodatustaan kolmannen osapuolen palvelun osoitteille.
Periaate Google Workspacen puolella
Google kuvaa ”saapuvan postin yhdyskäytävän”: MX osoittaa yhdyskäytävään, ja pääkäyttäjä ilmoittaa sen IP-osoitteet konsolissa. Gmail käyttää niitä löytääkseen lähettäjän todellisen osoitteen otsakkeista, mistä SPF ja sen roskapostiarvio riippuvat. Postin, joka ei tule yhdyskäytävästä, voi myös hylätä. Google täsmentää, ettei se sovella lähettäjän DMARC-politiikkaa ilmoitetun yhdyskäytävän kautta vastaanotettuun postiin: tämä tarkistus jää silloin yhdyskäytävälle.
Tämä opas ei kopioi näiden konsolien näkymiä, jotka muuttuvat. Noudattakaa asetuksia tehdessänne sivun alalaidassa mainittua virallista sivua.
Useita palvelimia yhden yhdyskäytävän takana
Konsernissa yleinen tilanne: emoyhtiö Microsoft 365:ssä, tytäryhtiö Google Workspacessa ja kolmas yhtiö vanhalla palvelimella. Yksi yhdyskäytävä voi olla kaikkien kolmen edessä.
Periaatteena on verkkotunnuskohtainen reititys. Jokaisen verkkotunnuksen MX osoittaa yhdyskäytävään. Yhdyskäytävä tietää kunkin verkkotunnuksen osalta, mille palvelimelle posti toimitetaan analyysin jälkeen. Analyysi on yhteinen, kohde vaihtelee.
Hyöty: sama suodatuspolitiikka tai verkkotunnuskohtaiset asetukset sekä kaikkien päätösten tarkastelu samassa paikassa. Valmisteltava seikka: verkkotunnus, jonka postilaatikot jakautuvat kahdelle palvelimelle, edellyttää tietoa osoite osoitteelta, minne posti toimitetaan. Tämä tapaus selvitetään ennen siirtymää.
Mikä muuttuu ja mikä ei
Ei muutu: osoitteet, postilaatikot, historia, sähköpostiohjelma, verkkosähköposti ja puhelimet. Sähköpostin integroitu suodatin toimii edelleen. Käyttöoikeudet ja sisäiset jaot pysyvät alustan omina.
Muuttuu:
- Ensimmäinen postin vastaanottava palvelin. Se näkee alkuperäisen yhteyden ja tarkistaa lähettäjän todennuksen.
- Postilaatikkopalvelin ei enää näe lähettäjää suoraan vaan yhdyskäytävän. Siksi tarvitaan edellä kuvattu ilmoitus.
- Viesteissä on yhdyskäytävän päätösotsakkeet: pääkäyttäjä voi lukea niistä, miksi viesti toimitettiin tai siirrettiin sivuun.
- Jos yhdyskäytävä välittää myös lähtevän postin, verkkotunnuksen SPF-tietueen on sallittava se, ja DKIM-allekirjoitus on julkaistava sille. Näiden mekanismien merkitys selitetään oppaassa SPF, DKIM ja DMARC.
Kun vaihdatte joskus myös postilaatikkopalvelimen, yhdyskäytävä voi pysyä paikallaan: vain sen toimituspalvelin vaihtuu. Opas sähköpostin migraatio ilman käyttökatkoa on silloin edelleen ohjeena, myös SPF:n, DKIM:n ja DMARC:n osalta.
Käyttöönotto järjestyksessä
- Kartoitus: verkkotunnukset, kunkin postilaatikkopalvelin ja sovellukset, jotka lähettävät postia verkkotunnuksen nimissä.
- Toimittaja valmistelee yhdyskäytävän: hyväksytyt verkkotunnukset, toimituspalvelin ja lähtösäännöt.
- Yhdyskäytävän ilmoittaminen sähköpostijärjestelmässä (saapuvan postin liitin tai saapuvan postin yhdyskäytävä), jos alusta sitä edellyttää.
- MX-tietueen TTL-arvon laskeminen etukäteen ja sitten MX-tietueen muutos. DNS-välimuistin voimassaolon ajan osa lähettäjistä toimittaa vielä suoraan postilaatikkopalvelimelle: se on normaalia.
- Tarkistus: ulkoisesta osoitteesta lähetetyn viestin on saavuttava yhdyskäytävän päätösotsakkeiden kanssa.
- Karanteenin seuranta ensimmäisinä päivinä väärien positiivisten vapauttamiseksi ja sääntöjen hienosäätämiseksi.
Paluu on yksinkertainen: vanha MX palautetaan. Se valmistellaan kuten migraatiossa, ja siitä päättää henkilö, jolla on siihen oikeus.
Mitä yhdyskäytävä ei tee
Se näkee sen läpi kulkevan postin ja vain sen. Se ei näe saman alustan kahden postilaatikon välisiä viestejä, jotka eivät poistu alustalta, eikä verkkotallennustilassa jaettuja tiedostoja tai käyttäjien kirjautumisia.
Se ei siis korvaa Microsoft 365:n tai Google Workspacen sisäisiä asetuksia: käyttöoikeuksia, kaksivaiheista tunnistautumista, kirjautumishälytyksiä ja automaattisen edelleenlähetyksen sääntöjä. Varastettu tili on ensisijaisesti sähköpostijärjestelmän asia. Opas roskaposti, tietojenkalastelu, haittaohjelmat ja murrettu tili erottelee asiat.
Lisäksi lähettäjä, joka tuntee postilaatikkopalvelimen teknisen osoitteen, voi yrittää toimittaa postia suoraan sille MX-tietueen ohi. Tästä syystä Microsoft (kumppaniliitin) ja Google (yhdyskäytävän ohi tulevan postin hylkäys) tarjoavat lukituksen.
Usein kysyttyä
Pitääkö käyttäjille ilmoittaa?
Heidän osoitteensa eivät muutu. Kertokaa heille kuitenkin, että he voivat saada karanteeni-ilmoituksia: katso Karanteeni, väärät positiiviset ja ilmoitukset.
Pitääkö Microsoft 365:n tai Googlen suodatin poistaa käytöstä?
Ei. Microsoft suosittaa pitämään analyysinsä käytössä ja säätämään sen näkemään todellisen lähettäjän sen sijaan, että se ohitettaisiin.
Kuinka kauan siirtymä kestää?
Itse MX-muutos tulee voimaan DNS-välimuistin tahdissa. Valmistelu riippuu verkkotunnusten ja palvelinten määrästä. Klytic MTA:n osalta katso seuraava osio.
Muuttaako eteen sijoitettu yhdyskäytävä lähetystemme toimitettavuutta?
Vain jos se välittää myös lähtevän postin. Tällöin SPF:n ja DKIM:n on otettava se huomioon: katso SPF, DKIM ja DMARC.
Miksi ei yksinkertaisesti vaihdeta sähköpostijärjestelmää?
Se on eri päätös eri kriteerein. Sitä käsitellään oppaassa eurooppalaisen yrityssähköpostin valinta.
Klyticin asema
Klytic MTA sijoittuu nykyisen sähköpostinne eteen: Microsoft 365, Google Workspace, Exchange, Klytic Mail tai mikä tahansa muu palvelin. Se ei edellytä Klyticin postilaatikkoa.
- Käyttöönotto: yleensä 24–48 tuntia. Klytic valmistelee määritykset; te muutatte verkkotunnuksenne MX-tietueen tai Klytic tekee sen puolestanne. Yhdyskäytävän ilmoittamisen Microsoft 365:n tai Google Workspacen konsolissa tekee kyseisen sähköpostin pääkäyttäjä, ja se valmistellaan yhdessä Klyticin kanssa käyttöönoton yhteydessä.
- Toteutustapa: Klyticin pilvi, omistettu instanssi tai asiakkaan palvelimet. Erityistarpeisiin voidaan suunnitella yhdessä Klyticin kanssa muita arkkitehtuureja, esimerkiksi pilvessä tapahtuva suodatus ja omiin tiloihinne asennettu välityspalvelin tai useita alueita.
- Paketit: Essential ja Advanced. Essential kattaa todennuksen, roskapostin ja virusten torjunnan, tietojenkalastelun, samannäköiset verkkotunnukset, karanteenin, lähetysten DKIM-allekirjoituksen ja peruutuksen ennen lähetystä. Advanced lisää taloudellisten huijausten torjunnan, suojauksen klikkaushetkellä, DMARC-konsolin ja lokien viennin SIEM-järjestelmään.
- Kokeilu: 30 päivää maksutta, sähköpostia vaihtamatta.
Klytic MTA ei hallinnoi nykyisen sähköpostinne käyttöoikeuksia eikä tilejä, eikä se lupaa vastaavuutta Microsoft 365:n tai Google Workspacen integroitujen tietoturvatyökalujen kanssa: se lisätään niiden eteen.
Tämä sivu kuvaa periaatteen. Microsoftin ja Googlen konsolit muuttuvat: niiden virallinen dokumentaatio on toimenpiteen osalta ratkaiseva.
Lähteet
Tarkistettu lokakuussa 2026.
- Microsoft Learn, ”Manage mail flow using a third-party cloud service with Exchange Online”: MX-tietueen on osoitettava kolmannen osapuolen palveluun; kumppani-tyyppinen saapuvan postin liitin; liittimien tehostettu suodatus suodatuksen ohittamisen sijaan. learn.microsoft.com
- Google Workspacen ohjeet, ”Set up an inbound mail gateway”: MX yhdyskäytävään, sen IP-osoitteiden ilmoittaminen, mahdollisuus hylätä yhdyskäytävän ohi tuleva posti; Gmail ei sovella lähettäjän DMARC-politiikkaa yhdyskäytävän kautta vastaanotettuun postiin. knowledge.workspace.google.com
- RFC 5321, SMTP: välipalvelimet osoitetaan yleensä DNS:n MX-tietueella. rfc-editor.org
- Klytic, Klytic MTA -sivu: Essential- ja Advanced-pakettien moduulit, lisäpalvelut, käyttöönottotavat, käyttöönotto MX-tietueen kautta. klytic.com
