Benodigde instellingen Microsoft 365 (Office365) icm Maq2

Wilt u Maq2 Spamfilter gebruiken voor Microsoft 365 (Office 365)?

In deze handleiding leest u hoe u inkomende e-mail eerst door Maq2 laat controleren en vervolgens veilig laat afleveren in Exchange Online. We behandelen de domeininstellingen, de inkomende connector, Microsoft Defender, de MX-records en het testen van de mailstroom.

Maq2 controleert inkomende e-mail op ongewenste berichten, phishing en malware voordat deze uw Microsoft 365-omgeving bereikt. Met de juiste configuratie blijven mailauthenticatie en beveiliging in Microsoft 365 correct functioneren.

Hoe werkt Maq2 Spamfilter met Microsoft 365?

Na het aansluiten verloopt het inkomende e-mailverkeer via internet → Maq2 Spamfilter → Microsoft 365 → uw mailbox. De MX-records sturen inkomende berichten naar Maq2. Maq2 controleert deze berichten en levert toegestane e-mail door aan Exchange Online.

Voorbereiding: wat heeft u nodig?

• Een actief Maq2-account en toegang tot mijn.maq2.nl.
• Beheerrechten in Microsoft 365, bij voorkeur als Exchange-beheerder.
• Toegang tot het DNS-beheer van uw domeinnaam.
• Een werkend Microsoft 365-domein met mailboxen en een correct Exchange Online-afleveradres.
• Een extern testadres om de aflevering na de wijziging te controleren.

Belangrijk: zet de MX-records pas om wanneer de afleverroute via Maq2 is ingesteld en getest. Voer de migratie bij voorkeur uit op een rustig moment.

Stap 1. Stel Microsoft 365 in als afleverserver bij Maq2

1. Log in op het Maq2-beheerportaal.
2. Open Domeinen en selecteer het domein dat u met Microsoft 365 wilt koppelen. Maak het domein indien nodig eerst aan.
3. Vul bij het afleveradres of de mailserver de Exchange Online Protection-hostnaam van uw Microsoft 365-domein in, bijvoorbeeld voorbeeld-nl.mail.protection.outlook.com.
4. Sla de instellingen op en gebruik de functie Verbinding om de aflevering te controleren.

De exacte Microsoft 365-hostnaam vindt u in het Microsoft 365-beheercentrum bij Instellingen → Domeinen, bij de DNS-instellingen van het betreffende domein. Neem de getoonde MX-bestemming over als afleverserver in Maq2; het bovenstaande adres is alleen een voorbeeld.

Let op: het Exchange Online-afleveradres blijft de bestemming achter Maq2. Dit is straks niet het publieke MX-record van uw domein.

Stap 2. Maak een veilige inkomende connector aan

Met een inkomende connector kan Microsoft 365 herkennen welke e-mail door de Maq2-servers wordt aangeleverd. Gebruik hiervoor de door Maq2 bevestigde aflever-IP-adressen.

1. Ga naar het Exchange-beheercentrum – Connectors.
2. Open Mail flow → Connectors en kies Add a connector.
3. Kies bij de bron Partner organization en bij de bestemming Office 365.
4. Geef de connector een herkenbare naam, bijvoorbeeld Maq2 Spamfilter – inkomend.
5. Configureer de herkomstcontrole aan de hand van de aflever-IP-adressen van Maq2. Controleer zo nodig de TLS-instellingen met Maq2 voordat u verplichte TLS of certificaatvoorwaarden inschakelt.
6. Controleer de samenvatting en sla de connector op.

De Maq2-FAQ noemt de volgende IP-adressen voor aflevering aan uw mailserver:

• 92.119.29.136
• 92.119.29.137

Stap 3. Activeer Enhanced Filtering for Connectors

Dit is de aanbevolen Microsoft-configuratie. Enhanced Filtering for Connectors zorgt ervoor dat Exchange Online bij e-mail via Maq2 beter kan vaststellen waar het bericht oorspronkelijk vandaan komt. Dat helpt bij controles op SPF, DKIM, DMARC en spoofing, zonder de Microsoft-beveiliging in haar geheel te omzeilen.

1. Open Microsoft Defender – Enhanced Filtering for Connectors.
2. Selecteer de inkomende Maq2-connector uit stap 2.
3. Kies Skip these IP addresses that are associated with the connector en voeg de bevestigde Maq2-IP-adressen toe. Bij een eenvoudige mailroute kunt u, indien passend, kiezen voor Automatically detect and skip the last IP address.
4. Test de instelling bij voorkeur eerst met een beperkte groep ontvangers via Apply to a small set of users.
5. Sla de instelling voor de testgebruikers op. Test na het aanpassen van de MX-records (stap 4) de aflevering zoals beschreven in stap 7. Pas de instelling pas daarna toe op Apply to entire organization.

Belangrijk: maak bij deze aanbevolen configuratie geen aanvullende algemene mailflowregel die voor alle Maq2-berichten het Spam Confidence Level op -1 zet. Microsoft adviseert om zo’n bypassregel uit te schakelen wanneer Enhanced Filtering for Connectors actief is, zodat de resterende beveiligingslagen correct kunnen blijven werken.

Stap 4. Pas de MX-records van uw domein aan

Zijn het domein en de afleverroute bij Maq2 correct ingesteld? Dan kunt u de publieke MX-records bij uw DNS-provider wijzigen. De onderliggende filterinfrastructuur gebruikt volgens de beschikbare documentatie onderstaande bestemmingen:

Controleer vóór publicatie welke MX-records Maq2 voor uw account opgeeft. Verwijder andere publieke MX-records voor hetzelfde domein, waaronder een rechtstreeks naar Microsoft 365 verwijzend MX-record, zodra de Maq2-mailstroom aantoonbaar werkt. Anders kunnen berichten buiten het Maq2-filter om worden afgeleverd.

DNS-wijzigingen kunnen enige tijd nodig hebben voordat alle verzenders de nieuwe route gebruiken. Laat de bestaande mailroute daarom gecontroleerd overgaan en monitor beide omgevingen.

Stap 5. Voorkom dat e-mail Maq2 omzeilt

Een MX-record bepaalt waar reguliere verzenders e-mail afleveren, maar voorkomt op zichzelf niet dat iemand rechtstreeks naar de Microsoft 365-afleverhost mailt. Wanneer de eerste tests zijn geslaagd, kunt u de inkomende Partner-connector zodanig beperken dat niet-geautoriseerde rechtstreekse afleverpogingen worden geweigerd.

Laat deze strengere toegangsbeperking bij voorkeur door uw Microsoft 365-beheerder controleren, vooral wanneer u ook hybride Exchange, andere e-mailgateways, printers, applicaties of extra domeinen gebruikt. Een te strenge connector kan legitieme e-mail blokkeren.

Meer technische informatie: Microsoft – mailflow via een externe filterdienst.

Stap 6. Controleer SPF, DKIM en DMARC

De MX-records zijn bedoeld voor inkomende e-mail. Het SPF-record beschrijft welke servers namens uw domein uitgaande e-mail mogen verzenden. Pas SPF dus alleen aan wanneer de verzendroute daarom vraagt.

U verzendt uitsluitend via Microsoft 365

v=spf1 include:spf.protection.outlook.com -all

U verzendt via Microsoft 365 én de Maq2 SMTP-dienst

v=spf1 include:spf.protection.outlook.com include:_spf.onlinespamfilter.nl -all

De tweede regel is alleen van toepassing wanneer Maq2 daadwerkelijk e-mail namens uw domein naar internet verstuurt. Voeg andere toegestane verzenddiensten toe indien nodig. Publiceer maximaal één SPF-record per domein en controleer de DNS-lookup-limiet.

Laat bovendien DKIM voor uw Microsoft 365-domein correct configureren en zorg voor een passend DMARC-beleid. Deze beveiligingsmaatregelen zijn geen vervanging voor Maq2, maar vullen de filtering aan.

Stap 7. Test de koppeling met Microsoft 365

1. Verstuur een testbericht vanaf een extern e-mailadres, bijvoorbeeld bij een andere e-mailprovider, naar een Microsoft 365-mailbox in uw domein.
2. Controleer in mijn.maq2.nl of het bericht zichtbaar is in de mailgeschiedenis en correct is doorgestuurd.
3. Controleer vervolgens de aflevering in de Outlook-mailbox.
4. Controleer zo nodig de Message trace in Exchange Online en de quarantaine in Microsoft Defender.
5. Herhaal de test met meerdere externe afzenders en met aliassen of gedeelde mailboxen die voor uw organisatie belangrijk zijn.

Bij gebruik van Enhanced Filtering kunt u in de berichtheaders onder meer zoeken naar X-MS-Exchange-ExternalOriginalInternetSender om de verwerking van de oorspronkelijke afzender te controleren.

Veelvoorkomende problemen oplossen

Een bericht staat op Deferred bij Maq2

Controleer onder Domeinen → Verbinding het afleveradres en de verbinding met Exchange Online. Kijk bij fouten ook naar de connectorvoorwaarden, eventuele TLS-verplichtingen en de Microsoft 365-berichttrace.

Een geldig bericht komt in Ongewenste e-mail of quarantaine

Controleer of Enhanced Filtering op de juiste connector is geactiveerd en of alle gebruikte aflever-IP’s zijn opgenomen. Bekijk daarnaast de Microsoft Defender-detectie en de resultaten van SPF, DKIM en DMARC. Voeg niet zonder onderzoek brede uitzonderingen toe.

Een bericht verschijnt niet in het Maq2-portaal

Controleer de publieke MX-records. Mogelijk staat er nog een extra MX-record ingesteld of verstuurt een systeem e-mail rechtstreeks naar Exchange Online. E-mail binnen dezelfde Microsoft 365-tenant hoeft niet via de publieke MX-route te lopen.

Onbekende ontvangers veroorzaken foutmeldingen

Niet-bestaande adressen kunnen bij verkeerd ingestelde ontvangersvalidatie onnodige foutmeldingen en backscatter veroorzaken. Laat de instellingen voor recipient filtering bij Maq2 en Exchange Online beoordelen.

Veelgestelde vragen

Moet het spamfilter van Microsoft 365 volledig uit?

Nee. Voor nieuwe integraties adviseren we Enhanced Filtering for Connectors, zodat Microsoft de echte herkomst van berichten beter kan herkennen en extra bescherming kan blijven bieden. Een algemene bypassregel is niet de voorkeursoplossing.

Werkt Maq2 met Outlook en Exchange Online?

Ja. Maq2 filtert het inkomende e-mailverkeer op domeinniveau. Gebruikers blijven hun mailboxen gewoon gebruiken via Outlook, Outlook op het web en andere ondersteunde Microsoft 365-clients.

Wordt uitgaande e-mail automatisch via Maq2 verzonden?

Nee. Deze handleiding gaat over inkomende e-mail. Uitgaande filtering via Maq2 is een aparte configuratie met een eigen SMTP-route en bijbehorende SPF-instellingen.

Wat gebeurt er als Microsoft 365 tijdelijk geen e-mail kan ontvangen?

Maq2 biedt volgens zijn dienstinformatie buffering wanneer de achterliggende mailserver niet bereikbaar is. Controleer de status en heraflevering in het Maq2-beheerportaal.

Hulp bij Maq2 en Microsoft 365?

Wilt u Maq2 Spamfilter veilig koppelen aan Microsoft 365, of wilt u een bestaande configuratie laten controleren? Neem contact op met Maq2. Wij helpen u met de juiste DNS-records, connectoren en aflevercontroles.

Deze handleiding beschrijft de aanbevolen inrichting voor inkomende e-mail via Maq2 naar Exchange Online. Microsoft kan de benamingen en locatie van instellingen wijzigen. Stem IP-adressen en specifieke routeringsvoorwaarden af op uw actuele Maq2-configuratie.