Búsqueda de sitios web

Cómo configurar SMTP DANE entrante con DNSSEC en Exchange Online

Microsoft configuró SMTP DANE saliente con funcionalidad DNSSEC en marzo de 2022. No tuvo que hacer nada para eso. Sin embargo, les tomó años más antes de que finalmente lo agregaran al flujo de correo entrante. En este artículo, aprenderá cómo configurar Dane SMTP entrante con DNSSEC en Exchange Online.

¿Qué son SMTP DANE y DNSSEC?

  • SMTP DANE (autenticación de entidades nombradas basada en DNS) es un protocolo de seguridad que utiliza DNS para verificar la autenticidad de los certificados utilizados para proteger la comunicación por correo electrónico con TLS y proteger contra ataques de degradación de TLS.
  • DNSSEC (Extensiones de seguridad del sistema de nombres de dominio) es un conjunto de extensiones de DNS que proporciona verificación criptográfica de los registros DNS, lo que evita la suplantación de DNS y los ataques de adversario intermedio al DNS.

Nota: Microsoft incluye SMTP DANE entrante con DNSSEC de forma gratuita como parte de sus esfuerzos por mejorar la seguridad del correo electrónico para todos. No es necesario configurar SMTP DANE saliente con DNSSEC porque Microsoft lo ha agregado desde marzo de 2022.

Configurar SMTP entrante DANE y DNSSEC en Exchange Online

Para configurar SMTP DANE y DNSSEC entrantes en Exchange Online (Microsoft 365), siga los pasos a continuación:

Paso 1. Verificar que el dominio esté firmado por DNSSEC

Para recibir todos los beneficios de seguridad de la función, asegúrese de que el dominio esté firmado por DNSSEC:

  1. Vaya a la herramienta depuradora DNSSEC de Verisign
  2. Complete el nombre de dominio
  3. Pulsa Entrar
  4. Verifique que todos los campos tengan una marca de verificación verde

Si el dominio no está firmado por DNSSEC, asegúrese de habilitarlo en su registrador de DNS antes de continuar. Supongamos que su registrador no tiene esta función disponible, mueva su dominio a otro registrador con soporte DNSSEC.

Paso 2. Actualice el registro MX TTL existente en el registrador DNS

  1. Inicia sesión en tu registrador DNS
  2. Editar el registro MX existente
  3. Reduce el TTL de tu registro MX existente a 1 minuto
  4. Asegúrese de que la prioridad de su registro MX esté establecida en 0 o 10.
  5. Haga clic en Guardar

  1. Espere a que caduque el TTL anterior antes de continuar. Por ejemplo, si el TTL del registro MX existente era 1 hora, debes esperar 1 hora antes de continuar con el siguiente paso.

Paso 3. Conéctese a Exchange Online PowerShell

Ejecute PowerShell como administrador y conéctese a Exchange Online PowerShell.

Connect-ExchangeOnline

Paso 4. Habilite DNSSEC para el dominio

Habilite DNSSEC para el dominio con el siguiente comando.

Enable-DnssecForVerifiedDomain -DomainName "alitajran.com"

Aparece el siguiente resultado.

DnssecMxValue                   Result  ErrorData
-------------                   ------  ---------
alitajran-com.k-v1.mx.microsoft Success

Paso 5. Agregue un nuevo registro MX al registrador DNS

  1. Vaya a su registrador DNS
  2. Crear un nuevo registro MX
  3. Copie el DnssecMxValue del resultado del paso anterior y péguelo como valor.
  4. Establece el TTL en 1 minuto
  5. Establece la prioridad del nuevo registro MX en 20
  6. Haga clic en Guardar

Paso 6. Verificar el nuevo registro MX

  1. Ir a la prueba de correo electrónico SMTP entrante
  2. Complete una dirección de correo electrónico que termine con su dominio
  3. Haga clic en Realizar prueba

  1. El resultado muestra que la prueba fue exitosa para el MX que termina en mx.microsoft

Paso 7. Eliminar el registro MX antiguo en el registrador DNS

  1. Vaya a su registrador DNS
  2. Eliminar el registro MX antiguo

Paso 8. Cambiar la prioridad del nuevo registro MX en el registrador DNS

  1. Editar el nuevo registro MX en el registrador DNS
  2. Cambiar prioridad a 0
  3. Haga clic en Guardar

Paso 9. Verificar la validación de DNSSEC

  1. Ir a Prueba de Validación DNSSEC y DANE
  2. Complete el nombre de dominio
  3. Asegúrese de seleccionar el tipo de prueba Validación DNSSEC
  4. Haga clic en Realizar prueba

  1. La pantalla muestra que la prueba de validación de DNSSEC es exitosa para el MX que termina en mx.microsoft.

Paso 10. Habilite SMTP DANE entrante para el dominio

Habilite SMTP DANE entrante para el dominio con el siguiente comando cuando todavía esté conectado a Exchange Online PowerShell.

Enable-SmtpDaneInbound -DomainName "alitajran.com"

Aparece el siguiente resultado.

Result  ErrorData
------  ---------
Success

Importante: Espere entre 15 y 30 minutos antes de continuar porque el registro TLSA debe propagarse.

Paso 11. Verificar la Validación del DANE (incluyendo DNSSEC)

  1. Ir a Prueba de Validación DNSSEC y DANE
  2. Complete el nombre de dominio
  3. Asegúrese de seleccionar el tipo de prueba Validación DANE (incluido DNSSEC)
  4. Haga clic en Realizar prueba

  1. La pantalla muestra que la prueba de validación DANE (incluido DNSSEC) es exitosa para el MX que termina en mx.microsoft

Nota: Exchange Online aloja varios registros TLSA para aumentar la confiabilidad del éxito de las validaciones SMTP DANE. Se espera que algunos de los registros TLSA no superen la validación. Siempre que 1 registro TLSA pase la validación, SMTP DANE está configurado correctamente y el correo electrónico está protegido con SMTP DANE.

¡Eso es todo!

Leer más: Cómo comprobar que SPF/DKIM/DMARC estén configurados correctamente »

Conclusión

Aprendió a configurar SMTP DANE entrante con DNSSEC en Exchange Online. Cada organización de Microsoft 365 debe configurar esto para sus dominios aceptados en Exchange Online para proteger su flujo de correo entrante. Recuerda que es completamente gratis.

¿Disfrutaste este artículo? También te puede gustar el Analizador de configuración recomendada de Office 365. No olvides seguirnos y compartir este artículo.

Artículos relacionados