Configurar un conector basado en certificados para retransmitir mensajes de correo electrónico a través de Microsoft 365

Introducción

Si su organización tiene una implementación híbrida (local más Microsoft 365), con frecuencia tiene que retransmitir mensajes de correo electrónico a Internet a través de Microsoft 365. Es decir, los mensajes que envíe desde el entorno local (buzones, aplicaciones, escáneres, máquinas de fax, etc.) a los destinatarios de Internet se enrutan primero a Microsoft 365 y, a continuación, se envían.

Ilustración: Correo electrónico retransmitido desde los servidores de correo electrónico locales a Internet a través de Microsoft 365

Para que esta retransmisión funcione correctamente, la organización debe seguir estos pasos:

1. Cree uno o varios conectores en Microsoft 365 para autenticar mensajes de correo electrónico desde los servidores de correo locales mediante la dirección IP de envío o un certificado.

2. Configure los servidores locales para retransmitir a través de Microsoft 365.

3. Configure la configuración para que cualquiera de las condiciones siguientes sea verdadera:

   • Dominio del remitente

     El dominio remitente pertenece a su organización (es decir, ha registrado el dominio en Microsoft 365).

     Nota Para obtener más información, vea Agregar usuario y dominio en Microsoft 365.

   • Configuración del conector basado en certificados

     El servidor de correo electrónico local está configurado para usar un certificado para enviar correo electrónico a Microsoft 365 y el Common-Name (CN) o nombre alternativo del firmante (SAN) en el certificado contiene un nombre de dominio que ha registrado en Microsoft 365 y ha creado un conector basado en certificados en Microsoft 365 que tiene ese dominio.

Si ninguna de las condiciones del paso 3 es verdadera, Microsoft 365 no puede determinar si el mensaje que se envió desde el entorno local pertenece a su organización. Por lo tanto, si usa implementaciones híbridas, debe asegurarse de que cumple cualquiera de las condiciones del paso 3.

Resumen

A partir del 5 de julio de 2017, Microsoft 365 ya no admite la retransmisión de mensajes de correo electrónico si un cliente de entorno híbrido no ha configurado su entorno para ninguna de las condiciones del paso 3. Estos mensajes se rechazan y desencadenan el siguiente mensaje de error:

550 5.7.64 Acceso de retransmisión denegado ATTR36. Para obtener más información, consulte KB 3169958.

Además, debe cumplir la segunda condición ("configuración del conector basado en certificados") en el paso 3 de la sección Introducción si su organización requiere que cualquiera de los escenarios siguientes siga funcionando después del 5 de julio de 2017.

Nota:

La fecha límite original para este nuevo proceso se trasladó del 1 de febrero de 2017 al 5 de julio de 2017, para proporcionar tiempo suficiente para que los clientes implementen los cambios.

Escenarios en los que Microsoft 365 no admite la retransmisión de mensajes de correo electrónico de forma predeterminada

• Su organización tiene que enviar informes de no entrega (NDR) desde el entorno local a un destinatario de Internet y tiene que retransmitir los mensajes a través de Microsoft 365. Por ejemplo, alguien envía un mensaje de correo electrónico a john@contoso.com, un usuario que solía existir en el entorno local de la organización. Esto hace que se envíe un NDR al remitente original.

• Su organización tiene que enviar mensajes desde el servidor de correo electrónico en el entorno local desde dominios que su organización no ha agregado a Microsoft 365. Por ejemplo, su organización (contoso.com) envía correo electrónico como el dominio fabrikam.com, y fabrikam.com no pertenece a su organización.

• Una regla de reenvío está configurada en el servidor local y los mensajes se retransmiten a través de Microsoft 365.

  Por ejemplo, contoso.com es el dominio de la organización. Un usuario del servidor local de su organización, kate@contoso.com, permite el reenvío de todos los mensajes a kate@tailspintoys.com. Cuando john@fabrikam.com envía un mensaje a kate@contoso.com, el mensaje se reenvía automáticamente a kate@tailspintoys.com.

  Desde el punto de vista de Microsoft 365, el mensaje se envía desde john@fabrikam.com a kate@tailspintoys.com. Dado que el correo de Kate se reenvía, ni el dominio del remitente ni el dominio del destinatario pertenecen a su organización.

Figura: Un mensaje reenviado de contoso.com que tiene permitido ser reenviado a través de Microsoft 365 porque se cumple la condición de "configuración del conector basado en certificados" del paso 3.

Información adicional

Puede configurar un conector basado en certificados para Que Microsoft 365 retransmita mensajes a Internet. Para ello, use el método siguiente.

Paso 1: Crear o cambiar un conector basado en certificados en Microsoft 365

Para crear o cambiar un conector basado en certificados, siga estos pasos:

1. Inicie sesión en el portal de Microsoft 365 (https://portal.office.com), haga clic en Administrador y, a continuación, abra el Centro de administración de Exchange. Para obtener más información, consulte Centro de administración de Exchange en Exchange Online.

   

2. Haga clic en flujo de correo, haga clic en conectores y, a continuación, realice una de las acciones siguientes:

   • Si no hay conectores, haga clic en (Agregar) para crear un conector.

     

   • Si ya existe un conector, selecciónelo y haga clic en (Editar).

     

3. En la página Seleccionar el escenario de flujo de correo , seleccione el servidor de correo electrónico de su organización en el cuadro Desde y, a continuación, seleccione Microsoft 365 en el cuadro Para .

   Nota:

   Esto crea un conector que indica que el servidor local es el origen de envío de los mensajes.

   

4. Escriba el nombre del conector y otra información y, a continuación, haga clic en Siguiente.

5. En la página Nuevo conector o Editar conector , seleccione la primera opción para usar un certificado de Seguridad de la capa de transporte (TLS) para identificar el origen del remitente de los mensajes de la organización. El nombre de dominio de la opción debe coincidir con el nombre CN o SAN en el certificado que está usando.

   Nota:

   Este dominio debe ser un dominio que pertenezca a su organización y que tenga que haber agregado a Microsoft 365. Para obtener más información, vea Agregar dominios en Microsoft 365.

   Por ejemplo, Contoso.com pertenece a su organización y forma parte del nombre cn o san en el certificado que usa su organización para comunicarse con Microsoft 365. Si el dominio del certificado contiene varios dominios (como mail1.contoso.com, mail2.contoso.com), se recomienda que el dominio de la interfaz de usuario del conector sea *.contoso.com.

   Nota:

   Los clientes híbridos existentes que usaron el Asistente para configuración híbrida para configurar sus conectores deben comprobar su conector existente para asegurarse de que usa, por ejemplo, *.contoso.com en lugar de mail.contoso.com o <nombre de host.contoso.com>. Esto se debe a que es posible que mail.contoso.com y <hostname.contoso.com> no estén registrados en Microsoft 365.

   

   Ilustración: Configuración del conector para usar el formato "contoso.com" (por ejemplo)

Paso 2: Registrar el dominio en Microsoft 365

Para registrar el dominio, siga los pasos descritos en el siguiente artículo de Office:

Agregar usuarios y dominio a Microsoft 365

En el Centro de administración de Microsoft 365, haga clic en Configuración, y luego haga clic en Dominios para ver la lista de dominios registrados.

Paso 3: Configuración del entorno local

Para configurar el entorno local, siga estos pasos:

1. Si su organización usa Exchange Server para su servidor local, configure el servidor para enviar mensajes a través de TLS. Para ello, consulte Configurar el servidor de correo electrónico para retransmitir el correo a Internet a través de Microsoft 365.

   Nota:

   Si ya ha usado el Asistente para configuración híbrida, puede seguir usándolo. Sin embargo, asegúrese de usar un certificado que coincida con los criterios descritos en el paso 1, subproceso 5 de esta sección.

2. Instale un certificado en el entorno local. Para ello, consulte Paso 6: Configuración de un certificado SSL.

Referencias

Para obtener más información sobre cómo abordar el requisito de configuración del conector, consulte Aviso importante del conector.

Para obtener más información sobre cómo retransmitir mensajes a través de Microsoft 365, vea la sección "Configurar el flujo de correo donde algunos buzones están en Microsoft 365 y algunos buzones están en los servidores de correo de su organización" de procedimientos recomendados de flujo de correo para Exchange Online y Microsoft 365.

¿Todavía necesitas ayuda? Vaya ala Comunidad de Microsoft o a los foros de TechNet de Exchange.