配置连接筛选
提示
你知道可以免费试用Office 365计划 2 Microsoft 365 Defender 中的功能吗？ 在 Microsoft 365 Defender 门户试用中心使用 90 天Defender for Office 365试用版。 在此处了解谁可以注册和试用条款。
适用对象
具有Exchange Online邮箱或独立Exchange Online Protection (EOP 的 Microsoft 365 组织) 没有Exchange Online邮箱的组织可以使用连接筛选和默认连接筛选器策略按 IP 地址识别好或坏源电子邮件服务器。 默认连接筛选器策略的关键组件包括：
IP 允许列表：跳过对源电子邮件服务器（通过 IP 地址或 IP 地址范围指定的）的所有传入邮件的垃圾邮件筛选。 有关来自这些源的邮件仍可能发生垃圾邮件筛选的情况，请参阅本文后面的来自 IP 允许列表中的源的邮件仍被筛选的方案 部分。 有关 IP 允许列表如何适应整体安全发件人策略的详细信息，请参阅 在 EOP 中创建安全发件人列表。
IP 阻止列表：阻止来自源电子邮件服务器的所有传入邮件，这些服务器由 IP 地址或 IP 地址范围指定。 传入邮件将被拒绝，不会标记为垃圾邮件，也不会进行其他筛选。 有关 IP 阻止列表应如何适应整体阻止发件人策略的详细信息，请参阅 在 EOP 中创建阻止发件人列表。
安全列表： 安全列表 是 Microsoft 数据中心中不需要客户配置的动态允许列表。 Microsoft 从各种第三方列表的订阅中识别这些受信任的电子邮件源。 启用或禁用安全列表的使用;无法在安全列表中配置源电子邮件服务器。 从安全列表上的电子邮件服务器跳过垃圾邮件筛选。
本文介绍如何在 Microsoft 365 Microsoft 365 Defender门户或 PowerShell Exchange Online 中配置默认连接筛选器策略。 有关 EOP 如何使用连接筛选是组织整体反垃圾邮件设置的一部分的详细信息，请参阅 反垃圾邮件保护。
开始前，有必要了解什么？
访问 https://security.microsoft.com 打开 Microsoft 365 Defender 门户。 若要直接转到“反垃圾邮件策略”页面，请使用 https://security.microsoft.com/antispam。
若要连接到 Exchange Online PowerShell，请参阅连接到 Exchange Online PowerShell。 若要连接到独立 EOP PowerShell，请参阅连接到 Exchange Online Protection PowerShell。
需要先分配权限，然后才能执行本文中的过程。 可以选择下列选项：
- Microsoft 365 Defender基于角色的访问控制 (RBAC) ：配置/安全 (管理) 或配置/安全 (读取) 。 目前，此选项需要Microsoft 365 Defender预览版计划的成员身份。
- Exchange Online RBAC：
- 修改策略： 组织管理 或 安全管理员 角色组中的成员身份。
- 对策略的只读访问权限：全局读取者、安全读取者或仅查看组织管理角色组中的成员身份。
- Azure AD RBAC： 全局管理员、 安全管理员、 全局读取者或 安全读取者 角色的成员身份为用户提供 Microsoft 365 中其他功能所需的权限 和 权限。
若要查找要允许或阻止的电子邮件服务器 (发件人) 的源 IP 地址，可以在邮件头中检查连接 IP (CIP) 标头字段。 若要查看各种电子邮件客户端中的邮件头，请参阅 在 Outlook 中查看 Internet 邮件头。
IP 允许列表优先于 IP 阻止列表， (两个列表中的地址不会) 阻止。
IP 允许列表和 IP 阻止列表分别支持最多 1273 个条目，其中一个条目是单个 IP 地址、一个 IP 地址范围或无类域间路由 (CIDR) IP。
使用Microsoft 365 Defender门户修改默认连接筛选器策略
在 Microsoft 365 Defender 门户中https://security.microsoft.com，转到“策略”&部分中Email&协作>策略规则>威胁策略>反垃圾邮件。 若要直接转到“反垃圾邮件策略”页面，请使用 https://security.microsoft.com/antispam。
在 “反垃圾邮件策略 ”页上，单击策略名称，从列表中选择“ 连接筛选器策略 (默认) ”。
在出现的策略详细信息浮出控件中，配置以下任何设置：
“说明 ”部分：单击“ 编辑名称和说明”。 在出现的 “编辑名称和说明 ”浮出控件中，在“ 说明 ”框中输入可选的描述性文本。
完成后，单击“保存”。
“连接筛选”部分：单击“ 编辑连接筛选器策略”。 在显示的浮出控件中，配置以下设置：
始终允许来自以下 IP 地址或地址范围的消息：此设置是 IP 允许列表。 单击框中，输入一个值，然后按 Enter 或选择框下方显示的完整值。 有效值包括
- 单个 IP：例如 192.168.1.1。
- IP 范围：例如 192.168.0.1-192.168.0.254。
- CIDR IP：例如 192.168.0.1/25。 有效的子网掩码值为 /24 到 /32。 若要跳过 /1 到 /23 的垃圾邮件筛选，请参阅本文后面的 跳过 CIDR IP 超出可用范围的垃圾邮件筛选 部分。
根据需要重复执行此步骤（次数不限）。 若要删除现有值，请单击值旁边的“
。
若要添加 IP 地址或地址范围，请在框中输入值，然后单击“添加
若要删除条目，请在“允许的 IP 地址”中选择条目，然后单击“删除
”。 完成后，单击“保存”。始终阻止来自以下 IP 地址或地址范围的消息：此设置是 IP 阻止列表。 在框中输入单个 IP、IP 范围或 CIDR IP，如前面“ 始终允许来自以下 IP 地址或地址范围” 设置中所述。
启用安全列表：启用或禁用使用安全列表来识别将跳过垃圾邮件筛选的已知良好发件人。 若要使用安全列表，请选中复选框。
完成时，请单击“保存”。
返回策略详细信息浮出控件，单击“关闭”。
使用Microsoft 365 Defender门户查看默认连接筛选器策略
在 Microsoft 365 Defender 门户中https://security.microsoft.com，转到“策略”&部分中Email&协作>策略规则>威胁策略>反垃圾邮件。 若要直接转到“反垃圾邮件策略”页面，请使用 https://security.microsoft.com/antispam。
在 “反垃圾邮件策略 ”页上，策略列表中显示了以下属性：
- 名称：此值为 连接筛选器策略 (默认连接 筛选器策略的默认) 。
- 状态：对于默认连接筛选器策略，此值始终 处于打开状态 。
- 优先级：对于默认连接筛选器策略，此值为 “最低 ”。
- 类型：对于默认连接筛选器策略，此值为空。
选择默认连接筛选器策略时，策略设置将显示在浮出控件中。
使用 Exchange Online PowerShell 或独立 EOP PowerShell 修改默认连接筛选器策略
使用以下语法:
Set-HostedConnectionFilterPolicy -Identity Default [-AdminDisplayName <"Optional Comment">] [-EnableSafeList <$true | $false>] [-IPAllowList <IPAddressOrRange1,IPAddressOrRange2...>] [-IPBlockList <IPAddressOrRange1,IPAddressOrRange2...>]
注意：
- 有效的 IP 地址或地址范围值为：
- 单个 IP：例如 192.168.1.1。
- IP 范围：例如 192.168.0.1-192.168.0.254。
- CIDR IP：例如 192.168.0.1/25。 有效的网络掩码值为 /24 到 /32。
- 若要 使用 指定的值覆盖任何现有条目，请使用以下语法：
IPAddressOrRange1,IPAddressOrRange2,...,IPAddressOrRangeN。 - 若要 在 不影响其他现有条目的情况下添加或删除 IP 地址或地址范围，请使用以下语法：
@{Add="IPAddressOrRange1","IPAddressOrRange2",...,"IPAddressOrRangeN";Remove="IPAddressOrRange3","IPAddressOrRange4",...,"IPAddressOrRangeN"}。 - 若要清空 IP 允许列表或 IP 阻止列表，请使用值
$null。
此示例使用指定的 IP 地址和地址范围配置 IP 允许列表和 IP 阻止列表。
Set-HostedConnectionFilterPolicy -Identity Default -IPAllowList 192.168.1.10,192.168.1.23 -IPBlockList 10.10.10.0/25,172.17.17.0/24
本示例从 IP 允许列表中添加和删除指定的 IP 地址和地址范围。
Set-HostedConnectionFilterPolicy -Identity Default -IPAllowList @{Add="192.168.2.10","192.169.3.0/24","192.168.4.1-192.168.4.5";Remove="192.168.1.10"}
有关详细语法和参数信息，请参阅 Set-HostedConnectionFilterPolicy。
如何知道操作成功？
若要验证是否已成功修改默认连接筛选器策略，请执行以下步骤：
在 Microsoft 365 Defender 门户中https://security.microsoft.com/antispam的“反垃圾邮件”页上，单击策略名称，从列表中选择“连接筛选器策略 (默认) ”，然后验证设置。
在 Exchange Online PowerShell 或独立 EOP PowerShell 中，运行以下命令并验证设置：
Get-HostedConnectionFilterPolicy -Identity Default从 IP 允许列表上的条目发送测试消息。
IP 允许列表的其他注意事项
以下部分介绍了配置 IP 允许列表时需要了解的其他项目。
跳过超出可用范围的 CIDR IP 的垃圾邮件筛选
如本文前面所述，只能在 IP 允许列表中将 CIDR IP 与网络掩码 /24 到 /32 配合使用。 若要跳过从 /1 到 /23 范围内的源电子邮件服务器的邮件的垃圾邮件筛选，需要使用 Exchange 邮件流规则 (也称为传输规则) 。 但是，建议不要使用邮件流规则方法，因为如果 /1 到 /23 CIDR IP 范围内的 IP 地址出现在 Microsoft 的专有或第三方阻止列表中，邮件将被阻止。
现在已完全了解潜在问题，可以创建具有以下设置的邮件流规则， (至少) ，以确保来自这些 IP 地址的邮件跳过垃圾邮件筛选：
- 规则条件：如果>发件人>IP 地址位于这些范围中的任何一个或完全匹配>， (使用 /1 到 /23 网络掩码) 输入 CIDR IP，则应用此规则。
- 规则操作： 修改邮件属性>设置垃圾邮件置信度级别 (SCL) >绕过垃圾邮件筛选。
可以审核规则、测试规则、在特定时间段内激活规则和其他选择。 我们建议首先在一段时间内测试规则，然后再强制应用。 有关详细信息，请参阅在 Exchange Online 中管理邮件流规则。
跳过对来自同一源的选择性电子邮件域的垃圾邮件筛选
通常，将 IP 地址或地址范围添加到 IP 允许列表意味着你信任来自该电子邮件源的所有传入邮件。 如果该源从多个域发送电子邮件，而你希望跳过其中一些域的垃圾邮件筛选，而不是其他域，该怎么办？ 可以将 IP 允许列表与邮件流规则结合使用。
例如，源电子邮件服务器 192.168.1.25 从域 contoso.com、fabrikam.com 和 tailspintoys.com 发送电子邮件，但你只想跳过 fabrikam.com 中发件人的邮件的垃圾邮件筛选：
将 192.168.1.25 添加到 IP 允许列表。
使用以下设置配置邮件流规则， (最低) ：
- 规则条件：如果>发件人>IP 地址位于这些范围中的任何一个或完全匹配> 192.168.1.25 (上一步添加到 IP 允许列表) 的相同 IP 地址或地址范围，则应用此规则。
- 规则操作： 修改邮件属性>设置垃圾邮件置信度 (SCL) >0。
- 规则例外： 发件人>域> 仅 fabrikam.com (要跳过垃圾邮件筛选) 的域。
仍筛选来自 IP 允许列表中的源的消息的方案
在以下情况下，来自 IP 允许列表中的电子邮件服务器的邮件仍会受到垃圾邮件筛选的约束：
IP 允许列表中的 IP 地址也配置在 Microsoft 365 (任何 租户中基于 IP 的本地入站连接器中配置，让我们调用此租户 A) ， 而 租户 A 和 EOP 服务器（第一次遇到消息）恰好位于 Microsoft 数据中心 的同一 Active Directory 林中。 在此方案中， IPV：CAL将 添加到邮件的 反垃圾邮件标头 (指示邮件已绕过垃圾邮件筛选) ，但邮件仍受垃圾邮件筛选的约束。
包含 IP 允许列表的租户和首次遇到消息的 EOP 服务器恰好位于 Microsoft 数据中心 的不同 Active Directory 林中。 在此方案中， IPV：CAL不会 添加到邮件头，因此邮件仍受垃圾邮件筛选的约束。
如果遇到上述任一情况，可以创建具有以下设置的邮件流规则， (最低) ，以确保来自有问题的 IP 地址的邮件将跳过垃圾邮件筛选：
- 规则条件：如果>发件人>IP 地址位于这些范围中的任何一个或完全匹配> (您的 IP 地址) ，则应用此规则。
- 规则操作： 修改邮件属性>设置垃圾邮件置信度级别 (SCL) >绕过垃圾邮件筛选。
不熟悉 Microsoft 365？
不熟悉 Microsoft 365？ 通过 LinkedIn Learning 为你介绍 面向 Microsoft 365 管理员和 IT 专业人员的免费视频课程。