Guide / security

Quando un vincolo migliora il progetto: ricostruire in locale

Niente tenant, quindi niente filtro cloud. Ricostruirlo in locale ha insegnato di più: attivare un servizio mostra dov'è l'interruttore, ricostruirlo cosa fa.

Il programma prevedeva di configurare un servizio cloud di protezione della posta come host smart. Il laboratorio non aveva né tenant né dominio pubblico.

La risposta ovvia è saltare quella parte e segnarla come non provata. Quello che è successo invece ha prodotto l’architettura più utile dell’intero percorso, e vale la pena ricostruire la sequenza — non per Exchange, ma perché la forma si ripresenta.

La sequenza

Il percorso da seguire configurava un servizio cloud di protezione della posta come host smart.
L’ambiente disponibile era interamente locale: nessun tenant, nessun dominio pubblico.
Prima constatazione: il servizio non è replicabile in locale. È una funzionalità del tenant, non un componente installabile. Non c’è nessun pacchetto da scaricare.
Seconda constatazione: nemmeno il transito attraverso quel servizio era praticabile. I record MX su un DNS interno non hanno effetto sull’instradamento della posta da Internet — il record che conta è quello pubblico, e un dominio pubblico non c’era.
Invece di rinunciare, si è deciso di ricostruire in locale i concetti che quel servizio implementa nel cloud: prima con i motori di filtro nativi di Exchange, poi con un gateway di sicurezza open source.

Perché il sostituto ha insegnato più dell’originale

L’architettura che ne è uscita ha ogni meccanismo implementato, osservato nei log e verificato singolarmente — invece che acceso da una console cloud.

In concreto, la sostituzione ha imposto domande che la versione gestita non pone mai:

Su quale porta arriva la posta in ingresso, e da quale esce quella in uscita? Nel cloud lo decidono per te. In locale ha prodotto un 454 Relay access denied e la comprensione vera del perché la porta 25 rifiuti di inoltrare verso domini esterni.
Cosa vede davvero il filtro? Il Content Filter ignora la posta interna autenticata. Non c’è console cloud che te lo dica, perché dall’interno non lo provi mai.
Quale connettore vince? Il routing sceglie il più economico. Un connettore rimasto lì con un costo inferiore ha silenziosamente avuto la precedenza sul percorso corretto — un modo di rompersi che esiste solo quando i connettori puoi crearli tu.

Le lacune dichiarate valgono più di quelle nascoste

Diverse cose non sono state fatte. Elencarle, con il motivo, è più utile che ometterle in silenzio:

Non fatto	Perché	Cosa servirebbe
Configurazione del filtro cloud	Erogato esclusivamente come servizio cloud	Un tenant Microsoft 365, anche di prova
Migrazione cutover	Per definizione sposta le cassette verso il cloud	Un tenant con Exchange Online
Configurazione ibrida	Richiede fiducia OAuth verso l’identità cloud	Tenant e dominio pubblico verificato
Collaudo completo di MAPI su HTTP	Richiede autenticazione integrata da macchina nel dominio	Un client Outlook su un membro del dominio
Gruppo di disponibilità del database	Richiede almeno due server Cassette postali	Una settima macchina virtuale
Bilanciamento del carico	Con un solo server non c’è carico da distribuire	Due o più server Cassette postali

Tre pezzi di igiene che il laboratorio si è lasciato dietro

Vale la pena scriverli, perché un laboratorio finito tende a restare nello stato in cui è finito.

Filtro simmetrico. Il gateway oggi filtra solo la posta in uscita. Metterlo anche davanti al server Edge per quella in ingresso completa il modello — e obbliga a spostare il gateway nel segmento perimetrale, che è dove architetturalmente appartiene.

ORA         Internet --> Edge --> Exchange
            Exchange --> Edge --> gateway --> Internet

SIMMETRICO  Internet --> gateway:25 --> Edge --> Exchange
            Exchange --> Edge --> gateway:26 --> Internet

Riduzione dell’esposizione. L’interfaccia WAN del firewall è stata resa realmente raggiungibile per provare l’accesso dall’esterno. Finita quella prova, dovrebbe tornare dietro NAT. Un’interfaccia raggiungibile è un’esposizione, e «serviva per una prova il mese scorso» non è un motivo per tenerla.

Di cosa parlava davvero l’esercizio

Il valore di un laboratorio non è l’elenco dei componenti installati. È la catena di ragionamenti che ha prodotto.

Un vincolo apparentemente insormontabile ha imposto una scelta progettuale. Quella scelta ha prodotto un’architettura più complessa. Quella complessità ha prodotto guasti. E ogni guasto, diagnosticato fino alla causa reale, ha prodotto una comprensione che una configurazione riuscita al primo colpo non avrebbe dato.