Odluka: zadržati sandučić, promijeniti MX
Promjena sustava e-pošte i promjena zaštite dva su različita projekta. Prvi seli sandučiće, povijest, kalendare i račune na telefonima. Drugi dira samo put dolazne pošte.
Taj put stane u jedan DNS zapis: MX, koji poslužiteljima pošiljateljima pokazuje kamo isporučiti poštu za vašu domenu. Kada upućuje na pristupnik, on prima, analizira i zatim predaje poruku poslužitelju sandučića. To vrijedi za:
- Microsoft 365 (Exchange Online);
- Google Workspace;
- Exchange instaliran kod vas ili na hostingu;
- bilo koji drugi poslužitelj e-pošte koji prima putem SMTP-a;
- Klytic Mail, koji je samo jedan od slučajeva, a ne preduvjet.
Ovaj vodič obrađuje slučaj u kojem se sandučić zadržava. Ako mijenjate i poslužitelj, vodiči preseljenje s Microsoft 365 i preseljenje s Google Workspacea opisuju taj projekt.
Tko mijenja što
| Postavka | Gdje | Tko |
|---|
| MX zapis domene | DNS zona, kod registrara ili pružatelja DNS usluge | Osoba koja upravlja DNS-om ili pružatelj usluga kojem je to povjereno |
| Prijava pristupnika u sustavu e-pošte | Administratorska konzola Microsoft 365, Google Workspacea ili poslužitelja | Administrator e-pošte |
| SPF, DKIM i DMARC | DNS zona | Osoba koja upravlja DNS-om, nakon popisa poslužitelja koji šalju za domenu |
| Domene i poslužitelj za isporuku | Pristupnik | Pružatelj pristupnika, koji priprema konfiguraciju |
Načelo kod Microsoft 365
Microsoftova dokumentacija o filtriranju putem usluge treće strane jasna je: MX domene mora upućivati na tu uslugu, koja zatim isporučuje u Exchange Online. Microsoft preporučuje dolazni konektor vrste „partner“, koji može odbiti poštu pristiglu mimo usluge. Preporučuje i uključivanje poboljšanog filtriranja za konektore kako bi njegova vlastita analiza ocjenjivala stvarnog pošiljatelja, a ne adresu pristupnika. Ne preporučuje jednostavno zaobilaženje svojeg filtriranja za adrese usluge treće strane.
Načelo kod Google Workspacea
Google opisuje „pristupnik za dolaznu poštu“: MX upućuje na pristupnik, a administrator zatim u konzoli upisuje njegove IP adrese. Gmail ih koristi kako bi u zaglavljima pronašao stvarnu adresu pošiljatelja, o kojoj ovise SPF i njegova procjena neželjene pošte. Može se odbiti i pošta koja ne dolazi preko pristupnika. Google navodi da DMARC politiku pošiljatelja ne primjenjuje na poštu primljenu preko prijavljenog pristupnika: ta provjera tada pripada pristupniku.
Ovaj vodič ne prepisuje zaslone tih konzola, koji se mijenjaju. U trenutku postavljanja slijedite službenu stranicu navedenu na dnu.
Više poslužitelja iza jednog pristupnika
Čest slučaj u grupi: matično društvo na Microsoft 365, ovisno društvo na Google Workspaceu, treće na starijem poslužitelju. Jedan pristupnik može stajati ispred sva tri.
Načelo je usmjeravanje po domeni. MX svake domene upućuje na pristupnik. Za svaku domenu pristupnik zna kojem poslužitelju nakon analize predaje poštu. Analiza je zajednička, odredište se mijenja.
Prednost: ista politika filtriranja ili različite postavke po domeni te pregled svih odluka na jednom mjestu. Što treba pripremiti: domena čiji su sandučići raspoređeni na dva poslužitelja zahtijeva da se, adresu po adresu, zna kamo isporučiti. Taj se slučaj proučava prije prelaska.
Što se mijenja, a što ne
Ne mijenja se: adrese, sandučići, povijest, klijent e-pošte, web-pošta, telefoni. Ugrađeni filtar sustava e-pošte i dalje radi. Prava i interna dijeljenja ostaju ona platforme.
Mijenja se:
- Prvi poslužitelj koji prima poštu. On vidi izvornu vezu i provjerava autentifikaciju pošiljatelja.
- Poslužitelj sandučića više ne vidi pošiljatelja izravno, nego pristupnik. Otuda prijava opisana gore.
- Poruke nose zaglavlja s odlukom pristupnika: administrator u njima može pročitati zašto je poruka isporučena ili izdvojena.
- Ako pristupnik prenosi i odlaznu poštu, SPF zapis domene mora ga ovlastiti, a za njega mora biti objavljen DKIM potpis. Smisao tih mehanizama objašnjen je u SPF, DKIM i DMARC: što štite, a što ne štite.
Kada jednoga dana promijenite i poslužitelj sandučića, pristupnik može ostati: mijenja se samo njegov poslužitelj za isporuku. Vodič migrirati e-poštu bez prekida ostaje mjerodavan za taj dan, uključujući SPF, DKIM i DMARC.
Uvođenje, redom
- Popis: domene, poslužitelj sandučića za svaku, aplikacije koje šalju poštu u ime domene.
- Priprema pristupnika kod njegova pružatelja: prihvaćene domene, poslužitelj za isporuku, početna pravila.
- Prijava pristupnika u sustavu e-pošte (dolazni konektor ili dolazni pristupnik), ako to platforma predviđa.
- Prethodno smanjenje TTL-a MX zapisa, zatim izmjena MX zapisa. Tijekom trajanja DNS predmemorije dio pošiljatelja još isporučuje izravno poslužitelju sandučića: to je normalno.
- Provjera: poruka poslana s vanjske adrese mora stići sa zaglavljima odluke pristupnika.
- Praćenje karantene prvih dana, radi puštanja lažno pozitivnih rezultata i prilagodbe pravila.
Povratak je jednostavan: vratiti stari MX zapis. Priprema se kao kod preseljenja, s osobom ovlaštenom da o tome odluči.
Što pristupnik ne radi
Vidi poštu koja kroz njega prolazi, i samo nju. Ne vidi poruke razmijenjene između dvaju sandučića iste platforme koje je ne napuštaju, ni datoteke dijeljene u internetskom prostoru za pohranu, ni prijave korisnika.
Stoga ne zamjenjuje unutarnje postavke Microsoft 365 ili Google Workspacea: prava, dvofaktorsku autentifikaciju, upozorenja o prijavama, pravila automatskog prosljeđivanja. Ukradeni račun ostaje prije svega pitanje sustava e-pošte. Vodič Neželjena pošta, phishing, zlonamjerni softver i kompromitirani račun razgraničuje te slučajeve.
Naposljetku, pošiljatelj koji zna tehničku adresu poslužitelja sandučića može mu pokušati isporučiti izravno, mimo MX zapisa. To je razlog zaključavanja koje nude Microsoft (partnerski konektor) i Google (odbijanje pošte mimo pristupnika).
Česta pitanja
Treba li obavijestiti korisnike?
Njihove se adrese ne mijenjaju. No obavijestite ih da bi mogli primati obavijesti o karanteni: pogledajte Karantena, lažno pozitivni rezultati i prijave.
Treba li isključiti filtar Microsoft 365 ili Googlea?
Ne treba. Microsoft preporučuje da se njegova analiza ostavi uključenom i postavi tako da vidi stvarnog pošiljatelja, umjesto da se zaobilazi.
Koliko traje prelazak?
Sama promjena MX zapisa stupa na snagu brzinom DNS predmemorije. Priprema ovisi o broju domena i poslužitelja. Za Klytic MTA pogledajte sljedeći odjeljak.
Mijenja li pristupnik postavljen ispred isporučivost naše odlazne pošte?
Samo ako prenosi i odlaznu poštu. U tom slučaju SPF i DKIM moraju to uzeti u obzir: pogledajte SPF, DKIM i DMARC: što štite, a što ne štite.
Zašto jednostavno ne promijeniti sustav e-pošte?
To je druga odluka, s drugim kriterijima. Obrađena je u odabrati europsku poslovnu e-poštu.
Gdje se nalazi Klytic
Klytic MTA postavlja se ispred e-pošte koju imate: Microsoft 365, Google Workspace, Exchange, Klytic Mail ili bilo koji drugi poslužitelj. Ne pretpostavlja sandučić Klytic.
- Puštanje u rad: uglavnom 24 do 48 sati. Klytic priprema konfiguraciju; vi mijenjate MX zapis svoje domene ili to Klytic čini umjesto vas. Prijavu pristupnika u konzoli Microsoft 365 ili Google Workspacea obavlja administrator tog sustava e-pošte, a priprema se s Klyticom pri puštanju u rad.
- Implementacija: oblak Klytic, namjenska instanca ili poslužitelji klijenta. Za posebne potrebe s Klyticom se osmišljavaju i druge arhitekture, primjerice filtriranje u oblaku i relej instaliran kod vas ili više regija.
- Paketi: Essential i Advanced. Essential obuhvaća autentifikaciju, zaštitu od neželjene pošte, antivirusnu zaštitu, phishing, slične domene, karantenu, DKIM potpisivanje odlazne pošte i opoziv prije slanja. Advanced dodaje financijske prijevare, zaštitu pri kliku, DMARC konzolu i izvoz zapisnika u SIEM.
- Isprobavanje: 30 dana besplatno, bez promjene sustava e-pošte.
Klytic MTA ne upravlja pravima ni računima vašeg postojećeg sustava e-pošte i ne obećava jednakovrijednost sa sigurnosnim alatima ugrađenima u Microsoft 365 ili Google Workspace: dodaje se ispred njih.
Ova stranica opisuje načelo. Konzole Microsofta i Googlea mijenjaju se: za sam postupak mjerodavna je njihova službena dokumentacija.
Izvori
Pregledano u listopadu 2026.
- Microsoft Learn, „Manage mail flow using a third-party cloud service with Exchange Online“: MX mora upućivati na uslugu treće strane; dolazni konektor vrste partner; poboljšano filtriranje za konektore umjesto zaobilaženja filtriranja. learn.microsoft.com
- Pomoć za Google Workspace, „Set up an inbound mail gateway“: MX prema pristupniku, upis njegovih IP adresa, mogućnost odbijanja pošte mimo pristupnika; Gmail ne primjenjuje DMARC politiku pošiljatelja na poštu primljenu preko pristupnika. knowledge.workspace.google.com
- RFC 5321, SMTP: posrednički hostovi općenito se određuju MX zapisom u DNS-u. rfc-editor.org
- Klytic, stranica Klytic MTA: moduli paketa Essential i Advanced, opcije, načini implementacije, puštanje u rad putem MX zapisa. klytic.com
