วิธีแก้ไขข้อผิดพลาด 550 5.7.509: การเข้าถึงถูกปฏิเสธใน Exchange Online

ข้อผิดพลาด 550 5.7.509 เกี่ยวข้องกับการตรวจสอบข้อความ DMARC และได้รับการตีกลับเมื่อคุณส่งอีเมลและผู้รับปฏิเสธอีเมลของคุณเนื่องจาก DMARC ล้มเหลว ข้อผิดพลาดที่แน่นอนจะมีลักษณะดังนี้:

style="color: #333333; font-family: SegoeUI, Lato, 'Helvetica Neue', Helvetica, Arial, sans-serif; Font-size: 14px; Font-style: Normal; Font-variant-ligatures: ปกติ ; font-variant-caps: Normal; background-color: #ffffff;">550 5.7.509: การเข้าถึงถูกปฏิเสธ การส่งโดเมน yourdomain.com ไม่ผ่านการตรวจสอบ DMARC และมีนโยบาย DMARC ของการปฏิเสธ

ในบทช่วยสอนนี้ ฉันจะแสดงให้คุณเห็นว่าคุณสามารถแก้ไขข้อผิดพลาด Exchange Online ได้อย่างง่ายดายได้อย่างไร

DMARC ทำงานอย่างไร

DMARC ย่อมาจาก Domain-based Message Authentication, Reporting & Conformance และเป็นวิธีการและกระบวนการในการช่วยเซิร์ฟเวอร์เมลในการพิจารณาว่าข้อความนั้นถูกต้องหรือไม่ นโยบาย DMARC ที่กำหนดค่าบนโดเมนที่ส่งจะช่วยเซิร์ฟเวอร์เมลที่รับในการจัดการกับเมลขาเข้าที่ไม่ผ่านการตรวจสอบ DMARC

ด้านล่างนี้เป็นแผนภาพที่ช่วยให้เห็นภาพกระบวนการตรวจสอบสิทธิ์ DMARC:

เพื่อสรุปภาพด้านบน:

1. ผู้ใช้ส่งข้อความเมลใหม่ก่อน เซิร์ฟเวอร์เมลที่ส่งจะประมวลผลและส่งข้อความนี้ไปยังเซิร์ฟเวอร์เมลของผู้รับตามระเบียน MX ที่กำหนดค่าบนโดเมนของผู้รับใน DNS สาธารณะ

2. บริการอีเมลของผู้รับจะทำการตรวจสอบโดเมนที่แตกต่างกัน 3 แบบเมื่อได้รับอีเมล:

• • ประการแรก เซิร์ฟเวอร์ของผู้รับจะตรวจสอบว่าที่อยู่ IP ของเซิร์ฟเวอร์ผู้ส่งตรงกับของเซิร์ฟเวอร์ที่ได้รับอนุญาตภายในบันทึก SPF ใน DNS สาธารณะหรือไม่
  • ประการที่สอง เซิร์ฟเวอร์ของผู้รับจะจับคู่ลายเซ็น DKIM ที่เข้ารหัสในส่วนหัวของข้อความกับบันทึก DKIM ใน DNS สาธารณะ
  • สุดท้ายนี้ เซิร์ฟเวอร์ของผู้รับจะตรวจสอบบันทึก DMARC สำหรับโดเมนของผู้ส่งใน DNS สาธารณะ บันทึกนี้จะกำหนดวิธีจัดการข้อความหากการตรวจสอบอีเทอร์ครั้งแรกหรือครั้งที่สองล้มเหลว

3. ประการที่สาม หากผ่านการตรวจสอบทั้ง SPF และ DKIM DMARC จะส่งผลให้มีการผ่านและข้อความอีเมลจะถูกส่งไปยังกล่องจดหมายของผู้รับ หาก DMARC ส่งผลให้เกิดความล้มเหลว โดยขึ้นอยู่กับนโยบาย DMARC ที่กำหนดค่าไว้ใน DNS สาธารณะของผู้ส่ง ข้อความจะถูกส่งไปยังการกักกันหรือถูกปฏิเสธด้วย NDR ที่ส่งไปยังผู้ส่ง ซึ่งมีข้อผิดพลาด 550 5.7.509

4. สุดท้ายนี้ หากบันทึก DMARC ของผู้ส่งได้รับการกำหนดค่าสำหรับการรายงานแบบรวมหรือทางนิติวิทยาศาสตร์ เมลจะถูกส่งในรูปแบบ XML หรือข้อความธรรมดาที่มีข้อมูลในข้อความเมลไปยังปลายทางที่ต้องการ (โดยปกติจะเป็นกล่องจดหมายเฉพาะหรือแพลตฟอร์มการวิเคราะห์ DMARC)

EasyDMARC มีเครื่องมือที่เรียบง่ายและใช้งานง่ายสำหรับการรายงาน DMARC ลองดูสิ!

เหตุใดฉันจึงได้รับข้อผิดพลาด 550 5.7.509

เหตุผลที่คุณได้รับข้อผิดพลาด 550 5.7.509 คือคุณไม่ได้รับการรับรองความถูกต้องอย่างถูกต้องในการส่งในนามของโดเมนของคุณ ตัวอย่างเช่น หากโดเมนของคุณคือ ourcloudnetwork.com และที่อยู่อีเมลของคุณคือ [email บริการอีเมลที่คุณใช้ เช่น Microsoft 365 ไม่ตรงกับบันทึก DKIM หรือ SPF ที่กำหนดค่าในผู้ให้บริการ DNS สาธารณะของคุณ (เช่น GoDaddy เป็นต้น) และด้วยเหตุนี้จึงส่งคืนว่าล้มเหลว

นี่ไม่ได้หมายความว่าครั้งหนึ่งเคยกำหนดค่าไม่ถูกต้อง แต่อาจหมายความว่ามีบางอย่างเปลี่ยนแปลงไป ด้วยเหตุนี้ คุณควรตรวจสอบว่าใครบ้างที่มีสิทธิ์เข้าถึงเพื่อทำการเปลี่ยนแปลงบันทึก DNS สาธารณะของคุณ เนื่องจากบ่อยครั้งที่ผู้ให้บริการบุคคลที่สามจะร้องขอการเข้าถึง (เช่น นักพัฒนาเว็บ) ทั้งที่ในความเป็นจริง การเข้าถึงนี้ควรเป็นของผู้ให้บริการไอทีที่เชื่อถือได้ของคุณเท่านั้น

นอกจากนี้ คุณยังได้รับข้อความแสดงข้อผิดพลาดนี้เนื่องจากคุณได้กำหนดค่านโยบาย DMARC ของคุณด้วยการตั้งค่าปฏิเสธ นี่เป็นแนวทางที่เข้มงวดที่สุด โดยที่ข้อความจะถูกปฏิเสธโดยมีข้อผิดพลาด 550 5.7.509 หากนโยบายไม่ผ่าน

วิธีแก้ไขข้อผิดพลาด 550 5.7.509

เพื่อแก้ไขข้อผิดพลาดนี้ ฉันจะเน้นขั้นตอนที่จำเป็นทั้งหมดที่คุณควรดำเนินการในสภาพแวดล้อมของคุณ เพื่อให้อีเมลได้รับการทำเครื่องหมายอย่างถูกต้องว่าถูกต้องและผ่านการตรวจสอบ DMARC ทำตามขั้นตอนด้านล่าง:

ขั้นตอนที่ 1: ระบุเซิร์ฟเวอร์การส่งของคุณ

บางครั้ง โดยเฉพาะอย่างยิ่งหากคุณไม่ได้มีส่วนร่วมในการตั้งค่าโซลูชันเมลขององค์กรของคุณ เซิร์ฟเวอร์การส่งจะไม่เหมือนกับเซิร์ฟเวอร์ที่คุณใช้ในการเข้าถึงอีเมลของคุณ ตัวอย่างเช่น แผนภาพด้านล่างแสดงกรณีที่ผู้ส่งใช้ Exchange Online สำหรับเซิร์ฟเวอร์อีเมลหลักของตน ใน Exchange Online ตัวเชื่อมต่อการส่งได้รับการกำหนดค่าซึ่งจะนำจดหมายขาออกไปยังบริการกรองจดหมายของบุคคลที่สามก่อนที่จะส่งต่อไปยังผู้รับ

สิ่งสำคัญคือต้องกำหนดค่าบริการกรองอีเมลนี้อย่างถูกต้องสำหรับ SPF และ DKIM ซึ่งจะทำให้ DMARC สามารถผ่านได้ ฉันขอแนะนำให้คุณเปลี่ยนการรับส่งเมลของคุณให้เป็นไดอะแกรม ซึ่งทำให้ใครก็ตามที่ต้องการทำความคุ้นเคยกับมันเป็นเรื่องง่าย

ขั้นตอนที่ 2 ตรวจสอบและแก้ไขระเบียน SPF

เมื่อคุณคุ้นเคยกับการรับส่งอีเมลแล้ว สิ่งแรกที่ต้องตรวจสอบคือระเบียน SPF ของคุณได้รับการกำหนดค่าอย่างถูกต้องกับบริการอีเมลที่ส่งในนามของโดเมนของคุณ หากต้องการ คุณสามารถทดสอบได้ว่าปัจจุบันการตรวจสอบ SPF ของคุณผ่านหรือไม่โดยการส่งอีเมลไปยังบริการซึ่งจะไม่ปฏิเสธอีเมลของคุณตามค่าเริ่มต้น (เช่น บัญชี GMail ส่วนตัว) และดูคุณสมบัติของข้อความ นี่คือตัวอย่างจากอีเมลทดสอบที่ฉันส่งให้ตัวเองจากบริการปลอมแปลง:

มีหลายวิธีในการตรวจสอบว่าระเบียน SPF ได้รับการกำหนดค่าอย่างไร วิธีที่เร็วที่สุดคือการใช้เครื่องมือ nslookup ในบรรทัดคำสั่งบนเวิร์กสเตชันของคุณ ลองเรียกใช้คำสั่งต่อไปนี้และเปลี่ยน 'ourcloudnetwork.com' เป็นโดเมนอีเมลของคุณ:

nslookup -type=txt ourcloudnetwork.com

นี่คือผลลัพธ์ของฉัน:

หากคำสั่งนี้ไม่ส่งคืนผลลัพธ์ที่มี v=spf1 แสดงว่าคุณรู้ว่านี่เป็นส่วนหนึ่งของปัญหา ระเบียน SPF สามารถเขียนทับหรือลบออกได้อย่างรวดเร็ว หากมีคนทำการเปลี่ยนแปลงกับผู้รับจดทะเบียน DNS ของคุณ เช่น รีเซ็ตระเบียนทั้งหมดหรือเปลี่ยนเนมเซิร์ฟเวอร์

ตรวจสอบให้แน่ใจว่าคุณได้กำหนดค่าระเบียน SPF อย่างถูกต้อง ระเบียน SPF ควรเป็นระเบียน DNS แบบ txt และเริ่มต้นด้วย v=spf1 และลงท้ายด้วย -all (ควรดีกว่า) ส่วน include: ควรปรากฏซึ่งประกอบด้วย IP สาธารณะของเซิร์ฟเวอร์อีเมลที่ส่งหรือโดเมนย่อย spf เฉพาะที่ได้รับจากผู้ให้บริการอีเมลของคุณ ตัวอย่างเช่น ระเบียน SPF ของ Microsoft 365 คือ spf .protection.outlook.com

ขั้นตอนที่ 3 ตรวจสอบและแก้ไข DKIM สำหรับโดเมนของคุณ

เป้าหมายของ DKIM นั้นคล้ายคลึงกับ SPF เพื่อตรวจสอบว่าผู้ส่งได้รับอนุญาตให้ส่งในนามของโดเมนที่ส่ง แม้ว่ามันจะทำงานแตกต่างออกไปเล็กน้อย DKIM ใช้การเข้ารหัสเพื่อลงนามอีเมลโดยใช้คีย์ส่วนตัวจากเซิร์ฟเวอร์การส่งที่ได้รับอนุญาต (ในหลายกรณีคือ Microsoft 365) ผู้รับเมลจะใช้คีย์สาธารณะที่เผยแพร่โดยเซิร์ฟเวอร์ DNS สาธารณะของโดเมนที่ส่งเพื่อตรวจสอบข้อความ หากลายเซ็นที่แนบมากับอีเมลไม่ได้รับการแก้ไขระหว่างการส่ง ข้อความจะผ่านการยืนยัน DKIM

ในบางกรณี DKIM อาจไม่ได้รับการกำหนดค่า (หรือไม่เคยได้รับการกำหนดค่า) นอกจากนี้ หากบริการอีเมลส่งอีเมลโดยไม่ได้ลงนาม DKIM (ไม่ว่าจะถูกต้องตามกฎหมายหรือโดยเจตนาร้าย) DKIM จะกลับมาเป็นไม่มี (dkim=none) ซึ่งอาจส่งผลให้ผู้รับปฏิเสธอีเมลเนื่องจากขาดการรับรองความถูกต้องโดยสิ้นเชิง

หากบริการอีเมลลงนามอีเมลด้วย DKIM แต่คีย์สาธารณะไม่ตรงกันในการถอดรหัสลายเซ็น ข้อผิดพลาดต่อไปนี้จะพบได้ในส่วนหัวของอีเมลของคุณ:

หากต้องการแก้ไขบันทึก DKIM คุณควรทำตามคำแนะนำที่ได้รับจากผู้ให้บริการอีเมลของคุณ เนื่องจากขั้นตอนในการเปิดใช้งานการลงนาม DKIM จากฝั่งบริการอีเมลจะแตกต่างกันไปสำหรับผู้ให้บริการแต่ละราย สำหรับ Microsoft 365 คุณควรทำตามขั้นตอนด้านล่าง:

เข้าสู่ระบบพอร์ทัลผู้ดูแลระบบ Microsoft Defender > นโยบายและกฎ > นโยบายภัยคุกคาม > การตั้งค่าการตรวจสอบสิทธิ์อีเมล > DKIM > เลือกโดเมนของคุณและเปิดใช้งาน DKIM

ณ จุดนี้ คุณจะได้รับบันทึก DNS ที่จำเป็นซึ่งคุณจำเป็นต้องเพิ่มลงในผู้ให้บริการ DNS สาธารณะของคุณ

ณ จุดนี้ สำหรับคนส่วนใหญ่ หากคุณได้กำหนดค่า SPF และ DKIM อย่างถูกต้องแล้ว คุณไม่ควรได้รับข้อความตีกลับอีกต่อไป และจดหมายควรได้รับ จัดส่งเรียบร้อยแล้ว อย่างไรก็ตาม หากคุณใช้บริการของบุคคลที่สามอื่นในการส่งอีเมล หรือหากคุณยังคงได้รับข้อความ NDR ให้ทำตามขั้นตอนถัดไป

ขั้นตอนที่ 4 เปลี่ยน DMARC ของคุณกลับเป็น 'ไม่มี' และกำหนดค่ารายงาน DMARC

โดยพื้นฐานแล้ว ข้อผิดพลาด 550 5.7.509 จะถูกส่งกลับเป็นอีเมลตีกลับเมื่อนโยบาย DMARC ของคุณได้รับการกำหนดค่าให้ปฏิเสธ (dmarc=reject) ดังนั้น วิธีแก้ปัญหาที่ง่ายที่สุด (ระยะสั้น) คือการตั้งค่านโยบาย DMARC กลับเป็น ไม่มี ขณะที่คุณดำเนินการแก้ไขและแก้ไขปัญหาต่างๆ ต่อไป

ณ จุดนี้ ทั้งขั้นตอนที่ 2 และ ขั้นตอนที่ 3 สำหรับ SPF และ DKIM ยังคงมีความเกี่ยวข้องมากที่สุด อย่างไรก็ตาม มีแนวโน้มว่าคุณกำลังใช้บริการอีเมลของบุคคลที่สามในการส่ง อีเมลจากโดเมนของคุณ ตัวอย่างบางส่วนอาจเป็นระบบค่าใช้จ่าย ระบบทรัพยากรบุคคล หรือระบบการตลาด

DMARC ยังรองรับการรายงานเมื่ออีเมลไม่ผ่านการตรวจสอบกับบันทึก DMARC วิธีนี้ช่วยให้คุณในฐานะผู้ดูแลระบบสามารถตรวจสอบอีเมลรายงานเหล่านี้เพื่อระบุปัญหาการกำหนดค่าสำหรับบริการที่ส่งอีเมลในนามของโดเมนของคุณ น่าเสียดายที่บริการอีเมลส่วนใหญ่ไม่มีบริการวิเคราะห์ในตัว อย่างไรก็ตาม รายงาน DMARC สามารถส่งไปยังอีเมลใดก็ได้ที่จะอ่านและตีความ ตามหลักการแล้ว ควรใช้บริการจากบุคคลที่สามเพื่อการวิเคราะห์รายงานที่แม่นยำ

นี่คือตัวอย่างระเบียน DMARC ที่ตั้งค่านโยบายเป็นไม่มี:

v=DMARC1; p=none; pct=100; [email ; fo=1"

หากต้องการแยกย่อยนโยบายนี้:

• P=none - ตั้งค่านโยบาย DMARC เป็น none โดยแนะนำให้ผู้รับไม่ดำเนินการใดๆ กับอีเมลที่ไม่ผ่านการตรวจสอบ DMARC
• pct=100 - ซึ่งหมายความว่านโยบายจะมีผลกับอีเมลที่ได้รับ 100%
• rua=%email% - นี่คือปลายทางที่คุณต้องการรับรายงานรวมเกี่ยวกับความล้มเหลวของ DMARC

ขั้นตอนที่ 5 ตั้งค่านโยบาย DMARC ของคุณกลับเป็น "ปฏิเสธ"

บางครั้ง ส่วนที่ยากที่สุดของการปรับใช้ DMARC คือการรู้ว่าเมื่อใดควรเปลี่ยนนโยบาย DMARC กลับเป็นปฏิเสธ (p=reject) การดำเนินการเร็วเกินไปอาจส่งผลให้อีเมลตีกลับและต้องถูกส่งซ้ำ แต่การปล่อยทิ้งไว้นานเกินไปจะทำให้คุณถูกเปิดเผยโดยผู้ไม่ประสงค์ดีอีก

ฉันขอแนะนำให้คุณเผื่อเวลาสูงสุด 1 เดือนเพื่อยืนยันว่าคุณได้บันทึกและดำเนินการข้อมูลทั้งหมดที่ได้รับผ่านการรายงาน DMARC ของคุณ ซึ่งช่วยให้สามารถบันทึกและแก้ไขบริการใดๆ ที่ส่งอีเมลสูงสุดหนึ่งเดือนต่อเดือนได้