Nhiều doanh nghiệp không để MX trỏ thẳng vào Microsoft 365 hoặc còn dùng gateway bảo mật thứ ba phía trước. Khi đó, nếu không cấu hình connectors và Enhanced Filtering đúng cách, Exchange Online có thể nhìn nhầm gateway là nguồn gửi thật và làm méo toàn bộ kết quả anti-spam, anti-phishing và mail trace.
Vì sao connectors không phải tuỳ chọn ngẫu nhiên?
Connectors là tập chỉ dẫn cho Exchange Online biết mail đến từ đâu, đi đâu, và nên áp dụng rule nào khi tuyến mail không còn đơn giản kiểu internet -> Microsoft 365. Điều này thường xuất hiện trong hybrid, gateway third-party, relay nội bộ hoặc các mô hình mail flow đặc thù.
Enhanced Filtering cho Connectors là phần rất quan trọng vì nó giúp Exchange Online bỏ qua các địa chỉ loopback, private IP hoặc nguồn trung gian để nhìn ra IP gốc của người gửi. Nếu không làm vậy, bạn sẽ thấy spam scoring sai, spoof detection sai, policy hit sai và việc triage trở nên rất khó.
Khi nào cần connectors và enhanced filtering?
| Tình huống | Cần gì? | Rủi ro nếu bỏ qua |
|---|---|---|
| MX đi qua gateway thứ ba | Inbound connector + enhanced filtering | Scoring sai và lệch nguồn thật. |
| Hybrid Exchange | Connector giữa on-prem và Exchange Online | Mail flow khó kiểm soát và trace rối. |
| On-prem relay / app server | Connector + accepted domains phù hợp | Mail bị coi là bên ngoài hoặc bị chặn nhầm. |
Lợi ích vận hành
- Giữ được tính chính xác của spam/phishing scoring khi mail đi qua trung gian.
- Tăng độ rõ ràng trong message trace và điều tra sự cố.
- Giúp doanh nghiệp có nhiều lớp mail security mà không tự phá lớp bảo vệ của Microsoft 365.
Checklist triển khai
- Xác định rõ mail đi qua mấy hop trước khi vào Microsoft 365.
- Cấu hình inbound/outbound connectors đúng mô hình thực tế.
- Bật Enhanced Filtering cho connector inbound khi MX không trỏ trực tiếp vào Microsoft 365.
- Rà lại accepted domains và transport rules để tránh xung đột.
Sai lầm thường gặp
- Để gateway chặn mail nhưng lại không cho Exchange Online biết IP gốc.
- Tự tạo rule bypass thay vì dùng connector đúng chuẩn.
- Không kiểm tra hậu quả với spam score, SPF, DMARC và message trace.
