Hogyan állítsuk be az SMTP-t a Microsoft OAuth2.0-val ?

Questa guida spiega come configurare il gateway per l'invio di e-mail tramite SMTP con l'autenticazione Microsoft OAuth 2.0 attraverso un account Microsoft 365. OAuth 2.0 fornisce un'autenticazione sicura, basata su token, che sostituisce i metodi di autenticazione di base meno sicuri. È possibile seguire questi passaggi per registrare un'applicazione in Microsoft Azure e configurare il gateway per SMTP. Questa funzione è supportata da uOS versione 1.35 e successive. Nota: SMTP con Microsoft OAuth 2.0 è supportato su USG Flex H series. Questo esempio è stato testato con USG FLEX 200HP (versione firmware: uOS 1.35).

Prerequisiti

• Un account Microsoft 365 con una casella di posta elettronica Exchange Online con licenza.
• Accesso amministrativo al portale Microsoft Azure (https://portal.azure.com).
• SMTP AUTH è abilitato per la casella di posta elettronica (vedere il passaggio 3 sotto).
• Il dispositivo gateway con accesso alla configurazione SMTP (versione firmware uOS1.35 o superiore).

Istruzioni passo per passo

Passo 1: Registrazione di un'applicazione nel portale Azure

1. Accedere ad Azure Portal:

• Accedete a https://portal.azure.com e accedete con un account che abbia privilegi amministrativi per Microsoft Entra ID.

2. Andare su Registrazioni applicazioni:

• Nel menu di sinistra, selezionare Microsoft Entra ID > Registrazioni app > Nuova registrazione.

3. Configurare l'applicazione:

• Nome: Inserire un nome descrittivo (ad esempio, "Gateway SMTP App").
• Tipi di account supportati: Selezionare Accounts in this organizational directory only (Single tenant) per la maggior parte dei casi.
• URI di reindirizzamento: L'URI di reindirizzamento specifica dove il server di autorizzazione deve rinviare l'utente dopo l'autenticazione per restituire un token di accesso al suo account e-mail.
• Tipo: Selezionare"Web".
• URI: Immettere https://[devicefqdn o ip]/cgi-bin/msoauth2.cgi. Sostituire [Device FQDN or IP] con il nome di dominio completamente qualificato o l'indirizzo IP di un'interfaccia interna a cui il computer dell'amministratore può connettersi. (Nota: l'URI di reindirizzamento deve iniziare con lo schema https).
• Fare clic su Registra.

4. Copiare gli ID applicazione:

• Nella pagina Panoramica dell'applicazione, copiare l'ID dell'applicazione (client) e l'ID della directory (tenant). Questi sono necessari per la configurazione del gateway.

5. Creare un segreto cliente:

• Andare su Certificati e segreti > Segreti client > Nuovo segreto client.
• Aggiungere una descrizione (ad esempio, "SMTP Secret") e selezionare un periodo di scadenza (ad esempio, 24 mesi).
• Fare clic su Aggiungi, quindi copiare immediatamente il valore del segreto del client. Nota: questo valore viene visualizzato una sola volta e non sarà possibile recuperarlo dopo aver lasciato questa pagina. Se lo si perde, è necessario generarne uno nuovo. Questo è il vostro "ClientSecret".
• Conservatela in modo sicuro, perché garantisce l'accesso alla vostra applicazione.

Fase 2: Concessione dei permessi API

1. Aggiungere i permessi:

• Nella navigazione a sinistra della pagina di panoramica dell'applicazione, fate clic su Autorizzazioni API > +Aggiungi un'autorizzazione.
• Selezionate Microsoft Graph
• Scegliete Autorizzazioni delegate > Cerca accesso offline
• Fare clic su Aggiungi permessi.
• Aggiungere la seconda autorizzazione. Fare clic su +Aggiungiun permesso
• Selezionare Microsoft Graph
• Scegliete Autorizzazioni delegate > selezionate SMTP.Invia
• Fare clic su Aggiungi autorizzazioni.

Passo 3: Abilitare SMTP AUTH per la cassetta postale

1.Accedere al centro di amministrazione di Microsoft 365 - Accedere a Utenti > Utenti attivi > fare clic sulla casella di posta dell'utente > selezionare la scheda Posta.

2.Assicurarsi che la casella di controllo "SMTP autenticato" sia selezionata.

Passo 4: Configurare SMTP nel gateway

1. Accedere all'interfaccia grafica del gateway:

• Accedere all'interfaccia di configurazione del dispositivo dall'interfaccia interna (lato LAN).
• Navigare su Sistema > Notifica > Server di posta

2.Inserire le impostazioni SMTP:

• Server di posta: smtp.office365.com
• Porta: 587 (consigliata, supporta STARTTLS).
• Crittografia: Abilita STARTTLS
• Metodo di autenticazione: Selezionare Microsoft OAuth2.0.
• Indirizzo e-mail del mittente: Immettere l'indirizzo e-mail di Microsoft 365 (ad esempio, sender@yourdomain.com).
• ID cliente: Incollare l'ID dell'applicazione (client) dal passaggio 1-4.
• Segreto del client: incollare il valore del segreto del client dal passaggio 1-5.
• ID tenant: Incollare l'ID della directory (tenant) dal passaggio 1-4.

3. Applicare la configurazione:

• È necessario fare clic su Apply prima di richiedere un token.
• Fare clic su Apply per salvare la configurazione sul gateway.

4.Ottenere il token OAuth 2.0

• Dopo aver applicato la configurazione, fare clic sul pulsante"Ottieni nuovo token".
• Si aprirà una nuova scheda del browser con la pagina di accesso a Microsoft Azure.
• Accedere con l'account Microsoft 365 associato all'indirizzo e-mail del mittente (ad esempio, sender@yourdomain .com).
• Concedere le autorizzazioni quando richiesto
• Il browser si chiuderà automaticamente al termine dell'autenticazione e il gateway avrà ottenuto in modo sicuro un token di autenticazione da Microsoft.
• Il campo Stato del token verrà aggiornato. (ad esempio, "Valido").
• Se il browser non si apre: Fare clic sul pulsante "Aggiorna stato token" per verificare se il token è stato ottenuto con successo o per riprovare il processo di recupero del token.

Verifica della funzione SMTP con Microsoft OAuth2.0

1. Assicuratevi che il token sia stato acquisito con successo.

Compilare l'indirizzo e-mail del destinatario e inviare un'e-mail di prova.

Navigare in Log & Report>Log/Events>System e controllare il messaggio di log di recupero del token.

2. Navigare in Log & Report > Email Daily Report > Send Report Now per inviare un'e-mail attraverso il firewall.

Assicurarsi che l'e-mail venga ricevuta con successo nella casella di posta elettronica.

Risoluzione dei problemi

Autenticazione fallita:

• Ricontrollare le credenziali: Assicurarsi che l'ID cliente, l'ID inquilino e il Segreto cliente siano copiati esattamente senza spazi aggiuntivi.
• Assicurarsi che sia stato concesso il consenso dell'amministratore per le autorizzazioni API.
• Verificare che l'indirizzo e-mail del mittente esista nel tenant Microsoft 365.

Autorizzazione negata:

• Confermare che l'autorizzazione API è stata concessa (passaggio 2-1).
• Verificare che l'applicazione abbia il consenso dell'amministratore
• Verificare che l'account e-mail del mittente sia attivo

Segreto cliente scaduto:

• Generare un nuovo client secret in Azure Portal e aggiornarlo nelle impostazioni del gateway.

Problemi di connessione

• Verificare le impostazioni del server SMTP (smtp.office365. com:587). Assicurarsi che la porta 587 sia sbloccata.
• Assicurarsi che la crittografia STARTTLS sia abilitata.
• Controllare il firewall/la connettività di rete

Problemi del browser

• Il browser non si apre: Verificare se i blocchi pop-up sono abilitati e consentire i pop-up per il gateway.
• Il browser si apre ma mostra un errore: Verificare la configurazione dell'URI di reindirizzamento dell'applicazione Azure. Assicurarsi che il PC dell'amministratore si trovi in una rete in grado di accedere all'URI (si consiglia di trovarsi sul lato LAN del gateway).
• Il token non è stato acquisito dopo l'accesso: Fare clic sul pulsante"Aggiorna stato del token" per controllare lo stato del token.
• Più schede del browser aperte: Chiudere le schede extra e riprovare
• Il browser non si chiude automaticamente: Chiudere manualmente la scheda dopo l'accesso

Problemi con il token:

• L'acquisizione del token non è riuscita: Verificate la connettività internet e provate a cliccare nuovamente su"Ottieni un nuovo token ".
• Il token scade rapidamente: È normale: il gateway aggiorna automaticamente i token.
• Il pulsante "Refresh Token Status" non mostra alcun token: Ripetere il processo"Ottieni un nuovo token".
• Lo stato del token non si aggiorna: Attendere 10-15 secondi e cliccare nuovamente su"Aggiorna stato token".

Migliori pratiche di sicurezza

Gestione dei segreti

• Conservare i segreti dei clienti in modo sicuro
• Ruotare i segreti prima della scadenza
• Utilizzare applicazioni diverse per scopi diversi

Controllo degli accessi

• Concedere solo le autorizzazioni minime richieste
• Rivedere regolarmente le autorizzazioni delle applicazioni
• Monitorare l'utilizzo delle applicazioni attraverso i log di Azure

Monitoraggio

• Abilitare la registrazione degli audit in Microsoft Entra ID
• Monitoraggio di modelli di autenticazione insoliti
• Impostare avvisi per i tentativi di autenticazione non riusciti

Informazioni aggiuntive

Ciclo di vita dei token

• I token di accesso scadono dopo 1 ora
• Il gateway gestisce automaticamente l'aggiornamento dei token
• Il token iniziale deve essere acquisito tramite l'accesso via browser
• I successivi rinnovi dei token avvengono automaticamente in background
• Non è richiesta alcuna interazione da parte dell'utente per il rinnovo del token dopo la configurazione iniziale

Tipi di e-mail supportati

• Email in chiaro
• Email formattate in HTML
• Email con allegati
• Invio di e-mail in massa (entro i limiti Microsoft)

Limiti di velocità

• Microsoft impone dei limiti di invio:
• 30 messaggi al minuto
• 10.000 messaggi al giorno (predefinito)
• Limiti più elevati sono disponibili tramite il supporto Microsoft

Assistenza

In caso di problemi:

1. Verificare che tutti i passaggi siano stati completati correttamente
2. Controllare i registri di controllo di Microsoft Entra ID per verificare la presenza di errori di autenticazione.
3. Contattare l'amministratore di sistema per problemi di accesso ad Azure
4. Consultare la documentazione ufficiale OAuth 2.0 di Microsoft.

Per assistenza tecnica con il dispositivo gateway, contattare il nostro team di assistenza con i dettagli della configurazione (non condividere mai i segreti del client).