Intégration Exchange avec HIN Gateway¶

Ce guide explique comment configurer Microsoft Exchange (Online et On-Premises) pour acheminer les courriels via la passerelle HIN Gateway pour la signature et le chiffrement S/MIME.

Aperçu¶

HIN Gateway agit comme un relais de courrier entre les serveurs de courrier externes et votre environnement Exchange. Deux modèles d'intégration sont pris en charge:

Modèle A - Exchange Online comme MX principal avec règles de transport :

flowchart LR
    I1 --> EO --> TR --> C --> S1 --> EO
    E2 --> TR2 --> OC --> S2 --> I2
    I1["Internet"]
    I2["Internet"]
    EO["Exchange Online"]
    E2["Exchange Online"]
    TR["Règle de transport"]
    TR2["Règle de transport"]
    OC["Connecteur sortant"]
    C["Connecteur"]
    S1["HIN Gateway"]
    S2["HIN Gateway"]

Modèle B - HIN Gateway comme MX principal:

flowchart LR
    I1 --> mx15 --> mx20
    EO --> TR --> OC --> HG --> I2
    I1["Internet"]
    I2["Internet"]
    mx15["HIN Gateway (priorité MX 15)"]
    mx20["Exchange Online (priorité MX 20)"]
    EO["Exchange Online"]
    TR["Règle de transport"]
    OC["Connecteur sortant"]
    HG["HIN Gateway"]

Dans les deux modèles, vous avez besoin de:

Enregistrements DNS pointant vers le serveur HIN Gateway
Connecteur sortant - achemine les courriels d'Exchange vers HIN Gateway
Connecteur entrant - accepte les courriels de HIN Gateway dans Exchange
Règle de transport - déclenche le connecteur sortant pour les destinataires externes

Prérequis¶

Avant de configurer Exchange, assurez-vous que:

HIN Gateway est installé et en cours d'exécution (instructions de déploiement)
Vous disposez de l'adresse IP publique du serveur HIN Gateway (référencée ci-dessous comme <HIN Gateway_IP>)
Vous disposez du nom d'hôte de courrier du serveur HIN Gateway (référencé ci-dessous comme <MAIL_HOSTNAME>, ex. mail.example.com)
Vous connaissez votre domaine de courrier (référencé ci-dessous comme <YOUR_DOMAIN>, ex. example.com)
Vous avez un accès admin Exchange (Centre d'administration Exchange ou Shell de gestion Exchange sur site)
Les enregistrements DNS sont configurés selon le Guide de configuration DNS (A, MX, SPF au minimum)

Partie 1: Configuration DNS¶

Consultez le Guide de configuration DNS pour des instructions complètes sur la configuration des enregistrements A, MX, SPF, PTR, DMARC et DKIM.

Au minimum, avant de procéder à la configuration Exchange ci-dessous, vous avez besoin de:

Enregistrement A: <MAIL_HOSTNAME> pointant vers <HIN Gateway_IP>
Enregistrement MX: <YOUR_DOMAIN> avec HIN Gateway à une priorité plus élevée (nombre inférieur) qu'Exchange
Enregistrement SPF: ip4:<HIN Gateway_IP> et ip4:<HIN_SEALER_IP> ajoutés à l'enregistrement TXT de votre domaine (voir Guide de configuration DNS - SPF pour les IPs du scelleur)

Partie 2: Configuration Exchange Online¶

Étape A: Créer le connecteur sortant (Office 365 → HIN Gateway)¶

Ce connecteur achemine les courriels sortants d'Exchange Online vers le serveur relais HIN Gateway.

Accédez au Centre d'administration Exchange - Connecteurs
Cliquez sur "+ Ajouter un connecteur"
Connexion depuis: Sélectionnez "Office 365"
Connexion vers: Sélectionnez "Serveur de courrier de votre organisation"
Cliquez sur "Suivant"
Nom du connecteur: Entrez un nom descriptif, ex.:

From Office 365 to HIN Gateway relay server

Cochez "Conserver les en-têtes de courrier internes Exchange"
Cliquez sur "Suivant"
Utilisation du connecteur: Sélectionnez "Uniquement lorsque j'ai une règle de transport configurée qui redirige les messages vers ce connecteur"
Cliquez sur "Suivant"

Tip

Ceci est important - le connecteur n'acheminera aucun courrier par lui-même. Il ne sera utilisé que lorsqu'il sera déclenché par la règle de transport créée à l'étape C.

Routage: Sélectionnez "Acheminer les courriels via ces hôtes intelligents"
Entrez l'adresse IP du serveur HIN Gateway: <HIN Gateway_IP>
Cliquez sur "+" pour l'ajouter, puis sur "Suivant"
Restrictions de sécurité: Sélectionnez "Tout certificat numérique, y compris les certificats auto-signés"
Cliquez sur "Suivant"

Note

Le MTA de HIN Gateway (Stalwart) accepte TLS opportuniste sur les connexions entrantes. Sélectionner "tout certificat numérique" assure la connectivité même avec des certificats auto-signés.

Courriel de validation: Entrez une adresse de courrier valide pour votre domaine (ex. user@<YOUR_DOMAIN>)
Cliquez sur "+", puis sur "Valider"
Attendez que la validation se termine, puis cliquez sur "Suivant"

Tip

Pour que la validation réussisse, le serveur HIN Gateway doit être en cours d'exécution et accepter les courriels sur le port 25.

Examinez les paramètres et cliquez sur "Créer un connecteur"
Sur l'écran de confirmation, cliquez sur "Terminé"

Étape B: Créer le connecteur entrant (HIN Gateway → Office 365)¶

Ce connecteur accepte les courriels du serveur relais HIN Gateway dans Exchange Online.

Depuis la page Connecteurs, cliquez sur "+ Ajouter un connecteur"
Connexion depuis: Sélectionnez "Serveur de courrier de votre organisation"
Connexion vers: Affiche "Office 365" (automatique)
Cliquez sur "Suivant"
Nom du connecteur: Entrez un nom descriptif, ex.:

Receive mail from HIN Gateway relay server

Cochez "Conserver les en-têtes de courrier internes Exchange"
Cliquez sur "Suivant"
Authentification des courriels envoyés: Sélectionnez "En vérifiant que l'adresse IP du serveur d'envoi correspond à l'une des adresses IP suivantes qui appartiennent exclusivement à votre organisation"
Entrez l'adresse IP du serveur HIN Gateway: <HIN Gateway_IP>
Cliquez sur "+" pour l'ajouter, puis sur "Suivant"

Note

Cela indique à Exchange Online de faire confiance aux courriels provenant de cette adresse IP spécifique, en contournant les vérifications supplémentaires de spam/authentification pour les courriels déjà traités par HIN Gateway.

Examinez les paramètres et cliquez sur "Créer un connecteur"
Cliquez sur "Terminé"

Vérifier les connecteurs¶

Après avoir créé les connecteurs (y compris le connecteur Send to MX de l'étape D), la page Connecteurs devrait afficher:

Statut	Nom	Depuis	Vers
Activé	Receive mail from HIN Gateway relay server	Votre org	O365
Activé	From Office 365 to HIN Gateway relay server	O365	Votre org
Activé	Send to MX	O365	Votre org

Étape C: Créer la règle de transport¶

La règle de transport redirige tous les courriels sortants via le connecteur sortant HIN Gateway, sauf les courriels provenant de HIN Gateway lui-même (pour éviter les boucles de courrier).

Accédez au Centre d'administration Exchange - Règles
Cliquez sur "+ Ajouter une règle" → "Créer une nouvelle règle"
Nom de la règle: Entrez un nom descriptif, ex.:

Relay all mail to HIN Gateway except mail coming from it

Appliquer cette règle si: Sélectionnez "Le destinataire..." → "est externe/interne" → "En dehors de l'organisation"
Cliquez sur "Enregistrer"

Note

Cette condition garantit que seuls les courriels sortants (vers des destinataires externes) sont redirigés via HIN Gateway.

Faire ce qui suit: Sélectionnez "Rediriger le message vers..." → "le connecteur suivant" → sélectionnez le connecteur sortant créé à l'étape A (ex. "From Office 365 to HIN Gateway relay server")
Cliquez sur "Enregistrer"
Sauf si: Cliquez sur "+" pour ajouter une exception
Sélectionnez "L'expéditeur..." → "L'adresse IP se trouve dans l'une de ces plages"
Entrez l'adresse IP du serveur HIN Gateway: <HIN Gateway_IP>
Cliquez sur "Ajouter", vérifiez que l'IP est listée, puis cliquez sur "Enregistrer"

Warning

Cette exception est critique - elle empêche les boucles de courrier. Sans elle, les courriels de HIN Gateway arrivant dans Exchange Online seraient redirigés vers HIN Gateway dans une boucle infinie.

Examinez le résumé de la règle. Il devrait afficher:
Appliquer cette règle si: Le destinataire est situé En dehors de l'organisation
Faire ce qui suit: Rediriger le message vers le connecteur "From Office 365 to HIN Gateway relay server"
Sauf si: L'adresse IP de l'expéditeur se trouve dans l'une de ces plages: <HIN Gateway_IP>
Cliquez sur "Suivant", puis sur "Suivant" à nouveau, puis sur "Terminer", puis sur "Terminé"
Activer la règle: La règle est créée dans un état désactivé. Cliquez sur la règle dans la liste et basculez "Activer ou désactiver la règle" sur "Activé"

Tip

N'oubliez pas d'activer la règle - elle ne fonctionnera pas tant qu'elle ne sera pas activée.

Étape D: Outgoing to MX (connecteur Send to MX et règle)¶

Une fois que HIN Gateway a traité (signé ou chiffré) un message sortant, il le renvoie à Exchange Online via le connecteur entrant de l'étape B. Exchange Online doit ensuite le remettre au serveur de courrier du destinataire. C'est le rôle de la configuration «Outgoing to MX»: un connecteur dédié Send to MX envoie le message au MX du destinataire externe, et la règle de transport outgoing_to_mx redirige les messages traités vers ce connecteur.

Créer le connecteur Send to MX (Office 365 → Organisation partenaire)¶

Depuis la page Connecteurs, cliquez sur "+ Ajouter un connecteur"
Connexion depuis: Sélectionnez "Office 365"
Connexion vers: Sélectionnez "Organisation partenaire"
Cliquez sur "Suivant"
Nom du connecteur: Entrez un nom descriptif, ex.:

Send to MX

Assurez-vous que le connecteur est activé
Cliquez sur "Suivant"

Note

Le nom du connecteur peut être choisi librement. Si vous utilisez un autre nom, sélectionnez ce nom dans la règle outgoing_to_mx décrite ci-dessous.

Utilisation du connecteur: Sélectionnez "Uniquement lorsque j'ai une règle de transport configurée qui redirige les messages vers ce connecteur"
Cliquez sur "Suivant"

Tip

Comme le connecteur sortant de l'étape A, ce connecteur n'achemine aucun courrier par lui-même. Il n'est utilisé que lorsque la règle outgoing_to_mx décrite ci-dessous lui redirige un message.

Routage: Sélectionnez "Utiliser l'enregistrement MX associé au domaine du partenaire"
Cliquez sur "Suivant"
Restrictions de sécurité: Laissez "Toujours utiliser TLS (Transport Layer Security) pour sécuriser la connexion" décoché, afin qu'aucune restriction de sécurité ne s'applique
Cliquez sur "Suivant"

Note

Ce connecteur remet le courrier à n'importe quel destinataire externe. Exiger TLS ou un certificat précis bloquerait la remise vers les serveurs destinataires qui ne remplissent pas ces conditions.

Courriel de validation: Entrez une adresse de courrier externe (en dehors de votre organisation)
Cliquez sur "+", puis sur "Valider"
Attendez que la validation se termine, puis cliquez sur "Suivant"
Examinez les paramètres et cliquez sur "Créer un connecteur"
Cliquez sur "Terminé"

Le résumé du connecteur devrait afficher:

Scénario de flux de courrier: Depuis Office 365, vers Organisation partenaire
Nom: Send to MX
Statut: Activé
Utilisation du connecteur: Utiliser uniquement lorsque j'ai une règle de transport configurée qui redirige les messages vers ce connecteur
Routage: Utiliser l'enregistrement MX associé au domaine du partenaire
Restrictions de sécurité: Aucune

Créer la règle de transport outgoing_to_mx¶

Cette règle redirige vers le connecteur Send to MX les messages sortants qui reviennent de HIN Gateway. Elle reconnaît ces messages grâce à l'en-tête outgoing.

Accédez au Centre d'administration Exchange - Règles
Cliquez sur "+ Ajouter une règle" → "Créer une nouvelle règle"
Nom de la règle: Entrez:

outgoing_to_mx

Appliquer cette règle si: Sélectionnez "Les en-têtes du message..." → "correspondent à ces modèles de texte"
Nom de l'en-tête: outgoing
Modèle de texte: outgoing_<YOUR_DOMAIN> (ex. outgoing_example.com)
Cliquez sur "Enregistrer"

Note

L'en-tête outgoing doit déjà figurer dans le message lorsqu'il revient de HIN Gateway. Dans la configuration de référence HIN, il est ajouté par une règle distincte (set_header), qui s'applique lorsque l'expéditeur se trouve dans l'organisation et définit l'en-tête outgoing avec la valeur outgoing_<YOUR_DOMAIN>. Sans cet en-tête, la règle outgoing_to_mx ne s'applique jamais.

Faire ce qui suit: Sélectionnez "Rediriger le message vers" → "le connecteur suivant" → sélectionnez "Send to MX"
Cliquez sur "Enregistrer"
Sauf si: Laissez vide
Cliquez sur "Suivant" pour ouvrir les paramètres de la règle:
Mode de la règle: "Appliquer"
Gravité: "Non spécifiée"
Laissez "Activer cette règle le" et "Désactiver cette règle le" décochés
Cochez "Arrêter le traitement des règles suivantes"
Laissez "Différer le message si le traitement de la règle n'est pas terminé" décoché
Faire correspondre l'adresse de l'expéditeur dans le message: "En-tête"
Cliquez sur "Suivant", puis sur "Terminer", puis sur "Terminé"
Définir la priorité: Cliquez sur la règle dans la liste, puis sur "Modifier les paramètres de la règle", et donnez-lui une priorité plus élevée (nombre plus petit) que celle de la règle de transport de l'étape C, ex. 1
Cliquez sur "Enregistrer"

Warning

La priorité et l'option «Arrêter le traitement des règles suivantes» sont critiques. La règle doit être évaluée avant celle de l'étape C et doit arrêter le traitement. Sinon, un message qui revient de HIN Gateway risque d'être redirigé à nouveau vers HIN Gateway au lieu d'être remis au destinataire.

Examinez les détails de la règle. Ils devraient afficher:
- Nom de la règle: outgoing_to_mx
- Mode: Appliquer
- Gravité: Non spécifiée
- Plage de dates: Aucune plage de dates spécifique n'est définie
- Adresse de l'expéditeur: Correspondance avec l'en-tête
- Priorité: 1
- En cas d'erreurs de traitement de la règle: Ignorer
- Appliquer cette règle si: L'en-tête 'outgoing' correspond aux modèles suivants: 'outgoing_<YOUR_DOMAIN>'
- Faire ce qui suit: Acheminer le message via le connecteur «Send to MX» et arrêter le traitement des règles suivantes
Activer la règle: La règle est créée dans un état désactivé. Basculez "Activer ou désactiver la règle" sur "Activé"

Tip

N'oubliez pas d'activer la règle: elle ne fonctionnera pas tant qu'elle ne sera pas activée.

Partie 3: Configuration du serveur Exchange On-Premises¶

Pour Exchange Server On-Premises (2016, 2019), la configuration est similaire mais effectuée via la console de gestion Exchange (EAC) ou le Shell de gestion Exchange (PowerShell).

Connecteur d'envoi (On-Premises → HIN Gateway)¶

Créez un connecteur d'envoi pour acheminer les courriels sortants via HIN Gateway:

Shell de gestion Exchange (PowerShell) :

New-SendConnector -Name "To HIN Gateway Relay" `
  -AddressSpaces "SMTP:*;1" `
  -SmartHosts "<HIN Gateway_IP>" `
  -SmartHostAuthMechanism None `
  -DNSRoutingEnabled $false `
  -SourceTransportServers "<VOTRE_SERVEUR_EXCHANGE>"

Centre d'administration Exchange (GUI) :

Accédez à Flux de courrier → Connecteurs d'envoi
Cliquez sur + pour créer un nouveau connecteur
Nom: "To HIN Gateway Relay"
Type: Sélectionnez "Internet"
Paramètres réseau: Sélectionnez "Acheminer les courriels via des hôtes intelligents", ajoutez <HIN Gateway_IP>
Authentification de l'hôte intelligent: Sélectionnez "Aucune"
Espace d'adressage: Ajoutez * (tous les domaines) ou des domaines externes spécifiques
Serveur source: Sélectionnez votre ou vos serveurs de transport Exchange

Connecteur de réception (HIN Gateway → On-Premises)¶

Créez ou modifiez un connecteur de réception pour accepter les courriels de HIN Gateway:

Shell de gestion Exchange (PowerShell) :

New-ReceiveConnector -Name "From HIN Gateway Relay" `
  -Bindings "0.0.0.0:25" `
  -RemoteIPRanges "<HIN Gateway_IP>" `
  -TransportRole FrontendTransport `
  -Usage Custom `
  -AuthMechanism ExternalAuthoritative `
  -PermissionGroups ExchangeServers

Centre d'administration Exchange (GUI) :

Accédez à Flux de courrier → Connecteurs de réception
Cliquez sur + pour créer un nouveau connecteur
Nom: "From HIN Gateway Relay"
Type: Sélectionnez "Transport frontal"
Liaisons des adaptateurs réseau: Laissez par défaut ou liez à une IP spécifique
Paramètres réseau distants: Supprimez la valeur par défaut 0.0.0.0-255.255.255.255 et ajoutez uniquement <HIN Gateway_IP>
Authentification: Cochez "Sécurisé externellement"
Groupes de permissions: Cochez "Serveurs Exchange"

Règle de transport (On-Premises)¶

Créez une règle de transport pour rediriger les courriels sortants via le connecteur d'envoi:

Shell de gestion Exchange (PowerShell) :

New-TransportRule -Name "Relay outbound via HIN Gateway" `
  -SentToScope NotInOrganization `
  -RouteMessageOutboundConnector "To HIN Gateway Relay" `
  -ExceptIfSenderIpRanges "<HIN Gateway_IP>"

Centre d'administration Exchange (GUI) :

Accédez à Flux de courrier → Règles
Cliquez sur + → "Créer une nouvelle règle"
Nom: "Relay outbound via HIN Gateway"
Appliquer cette règle si: "Le destinataire est situé..." → "En dehors de l'organisation"
Faire ce qui suit: "Rediriger le message vers..." → "le connecteur suivant" → "To HIN Gateway Relay"
Sauf si: "L'adresse IP de l'expéditeur est dans..." → ajoutez <HIN Gateway_IP>

Partie 4: Configuration côté HIN Gateway¶

Configuration automatique (Par défaut)¶

Par défaut, Stalwart découvre automatiquement où livrer les courriels traités en consultant les enregistrements MX pour chaque domaine configuré via la page /mail du tableau de bord. Il filtre son propre nom d'hôte et utilise les entrées MX restantes comme cibles de livraison.

Cela fonctionne lorsque:

Votre domaine a des enregistrements MX pointant à la fois vers HIN Gateway et Exchange
HIN Gateway a un enregistrement MX de priorité plus élevée (nombre inférieur) qu'Exchange

Remplacement manuel via le tableau de bord¶

Si vous souhaitez que tous les courriels sortants de HIN Gateway aillent vers un seul point de terminaison Exchange (ex. Exchange Online Protection), définissez l'hôte de relais via la page /mail du tableau de bord (ex. [smtp.office365.com]). Le tableau de bord envoie la valeur à l'API REST de mtaconf et le démon l'applique à Stalwart.

Note

Un seul hôte de relais envoie tous les courriels via un seul serveur et ne prend pas en charge le routage par domaine. Pour plusieurs domaines acheminés via différents serveurs Exchange, utilisez la carte de relais par domaine sur la même page du tableau de bord (configure sender_dependent_relayhost_maps en arrière-plan) - voir Configuration multi-domaines ci-dessous.

Configuration multi-domaines¶

Pour les configurations avec plusieurs domaines et différents serveurs Exchange (ex. BALZ Informatik AG avec 26 domaines), utilisez les enregistrements MX pour le routage par domaine:

domain1.com    MX 10  exchange1.domain1.com
domain1.com    MX 20  stargate.domain1.com

domain2.com    MX 10  exchange2.domain2.com
domain2.com    MX 20  stargate.domain2.com

Les enregistrements MX de chaque domaine indiquent à HIN Gateway où livrer les courriels traités pour ce domaine spécifique.

Vérifier la configuration HIN Gateway¶

Après la configuration, vérifiez la configuration de Stalwart:

Vérifier la configuration du relais¶

docker logs stargate-stalwart --tail 50 | grep -i relay

Vérifier la file d'attente des courriels (devrait être vide quand tout fonctionne)¶

docker exec stargate-stalwart stalwart-cli -u http://localhost:8080 queue list

Envoyer un courriel de test et vérifier les logs¶

docker logs stargate-stalwart --tail 50

Dépannage¶

Les courriels ne quittent pas Exchange Online¶

Vérifiez que la règle de transport est activée (elle est créée dans un état désactivé)
Vérifiez les conditions de la règle - elle devrait s'appliquer aux destinataires "En dehors de l'organisation"
Vérifiez que la validation du connecteur sortant a réussi
Vérifiez la trace des messages Exchange dans le Centre d'administration pour l'état de livraison

Boucles de courrier (messages dupliqués)¶

Assurez-vous que la règle de transport a l'exception pour l'adresse IP de HIN Gateway
Sans cette exception, les courriels de HIN Gateway arrivant dans Exchange sont redirigés vers HIN Gateway

HIN Gateway n'accepte pas les courriels d'Exchange¶

Vérifiez que le port 25 est ouvert sur le pare-feu du serveur HIN Gateway
Vérifiez que l'enregistrement SPF inclut l'IP HIN Gateway
Vérifiez les logs Stalwart: docker logs stargate-stalwart

Exchange Online rejette les courriels de HIN Gateway¶

Vérifiez que le connecteur entrant est configuré avec la bonne IP HIN Gateway
Vérifiez que l'IP HIN Gateway n'a pas changé
Vérifiez que le connecteur est activé (Statut: Activé)

Erreurs de certificat TLS¶

HIN Gateway utilise TLS opportuniste avec un certificat auto-signé. Le connecteur sortant dans Exchange doit être configuré pour accepter "Tout certificat numérique, y compris les certificats auto-signés". Si vous voyez des erreurs liées à TLS:

Vérifiez que le paramètre de sécurité du connecteur sortant autorise les certificats auto-signés
Pour Exchange On-Premises, assurez-vous que le connecteur d'envoi ne nécessite pas TLS (-RequireTLS $false)

La validation échoue lors de la création du connecteur¶

La validation du connecteur sortant nécessite:

Le serveur HIN Gateway est en cours d'exécution et accepte les connexions sur le port 25
L'adresse de courrier de validation est valide pour votre domaine
Le chemin réseau entre Exchange Online et HIN Gateway est ouvert (pas de blocage par pare-feu)

Référence rapide¶

Composant	Emplacement Exchange Online	Objectif
Connecteur sortant	Centre d'administration → Flux de courrier → Connecteurs	Acheminer les courriels sortants vers HIN Gateway
Connecteur entrant	Centre d'administration → Flux de courrier → Connecteurs	Accepter les courriels de HIN Gateway
Règle de transport	Centre d'administration → Flux de courrier → Règles	Déclencher le connecteur sortant pour les destinataires externes
Connecteur Send to MX	Centre d'administration → Flux de courrier → Connecteurs	Remettre au MX du destinataire les courriels qui reviennent de HIN Gateway
Règle outgoing_to_mx	Centre d'administration → Flux de courrier → Règles	Acheminer vers le connecteur Send to MX les courriels qui reviennent de HIN Gateway

Enregistrement DNS	Exemple	Objectif
A	`mail IN A <HIN Gateway_IP>`	Pointer le nom d'hôte vers HIN Gateway
MX (HIN Gateway)	`@ IN MX 15 mail.<YOUR_DOMAIN>.`	Les courriels entrants frappent d'abord HIN Gateway
MX (Exchange)	`@ IN MX 20 <DOMAIN>.mail.protection.outlook.com.`	Secours / cible de livraison
SPF	`ip4:<HIN Gateway_IP>` et `ip4:<HIN_SEALER_IP>` ajoutés à l'enregistrement TXT existant	Autoriser HIN Gateway et le scelleur HIN à envoyer des courriels

Pour la configuration DNS complète (y compris PTR, DMARC, DKIM et multi-domaines), consultez le Guide de configuration DNS.