首页›指南›电子邮件安全
电子邮件安全 · 了解
是的，无需更换邮件系统，就可以加强对Microsoft 365、Google Workspace、Exchange或其他服务器的保护。域名的MX指向网关，由网关分析邮件后再投递到现有服务器。用户保留各自的邮箱；DNS管理人员和邮件系统管理员各需完成一项设置。
更换邮件系统和更换防护是两个不同的项目。前者要迁移邮箱、历史邮件、日历以及手机上的账户。后者只涉及入站邮件的传输路径。
这条路径由一条DNS记录决定：MX记录，它告诉发件服务器将您域名的邮件投递到哪里。当MX指向网关时，由网关接收、分析，然后将邮件交给邮箱服务器。这适用于：
本指南讨论的是保留邮箱的情况。如果您同时要更换服务器，从Microsoft 365迁移和从Google Workspace迁移指南介绍了那类项目。
| 设置项 | 位置 | 负责人 |
|---|---|---|
| 域名的MX记录 | DNS区域，在域名注册商或DNS托管商处 | 管理DNS的人员，或获得授权的服务商 |
| 向邮件系统声明网关 | Microsoft 365、Google Workspace或服务器的管理控制台 | 邮件系统管理员 |
| SPF、DKIM和DMARC | DNS区域 | DNS管理人员，在盘点所有代表该域名发信的服务器之后 |
| 域名与投递服务器 | 网关 | 网关供应商，负责准备配置 |
Microsoft关于第三方服务过滤的文档说得很清楚：域名的MX必须指向该服务，再由该服务投递到Exchange Online。Microsoft建议使用“合作伙伴”类型的入站连接器，它可以拒收未经该服务的邮件。Microsoft还建议启用连接器增强型筛选，使其自身的分析能够评估真实发件人，而不是网关的地址。Microsoft不建议仅仅对第三方服务的地址绕过其过滤。
Google描述了一种“入站邮件网关”：MX指向网关，然后由管理员在控制台中声明网关的IP地址。Gmail据此在邮件头中找到发件人的真实地址，SPF及Gmail的垃圾邮件评估都依赖于此。还可以拒收不是来自网关的邮件。Google特别说明，对于经由已声明网关接收的邮件，它不会应用发件人的DMARC策略：此时该项检查由网关负责。
本指南不复制这些控制台的界面，因为它们会变化。设置时，请以页面底部引用的官方页面为准。
这在集团中很常见：母公司使用Microsoft 365，一家子公司使用Google Workspace，第三家使用一台老服务器。一个网关就可以部署在这三者前端。
其原理是按域名路由。每个域名的MX都指向网关。对于每个域名，网关都知道分析后应将邮件交给哪台服务器。分析是共用的，目的地各不相同。
好处：可以统一过滤策略，也可以按域名设置不同参数，并在同一处查看所有判定。需要提前准备的一点：如果某个域名的邮箱分布在两台服务器上，就需要逐个地址明确投递位置。这种情况应在切换前研究清楚。
不变的：邮件地址、邮箱、历史邮件、邮件客户端、网页邮箱、手机。邮件系统内置的过滤器继续工作。内部的权限和共享仍由平台管理。
会变的：
将来您更换邮箱服务器时，网关可以保持不变：只需更改其投递服务器。不中断业务的邮件系统迁移指南仍是那时的参考，包括SPF、DKIM和DMARC方面。
回退很简单：恢复原来的MX即可。回退方案应像迁移一样提前准备，并指定一位有权做出该决定的人员。
网关只能看到经过它的邮件，也仅限于此。它看不到同一平台内两个邮箱之间、未离开该平台的邮件，看不到在线存储空间中共享的文件，也看不到用户的登录。
因此，它不能替代Microsoft 365或Google Workspace的内部设置：权限、双因素认证、登录告警、自动转发规则。账户被盗首先是邮件系统自身的问题。垃圾邮件、网络钓鱼、恶意软件与被入侵账户指南对此有所区分。
最后，知道邮箱服务器技术地址的发件人可能会尝试绕过MX直接投递。这就是Microsoft（合作伙伴连接器）和Google（拒收非网关邮件）提供锁定机制的原因。
他们的邮件地址不变。但请提醒他们可能会收到隔离通知：请参阅隔离区、误报与举报。
不需要。Microsoft建议保持其分析开启，并将其调整为能看到真实发件人，而不是绕过它。
MX变更本身随DNS缓存更新而生效。准备工作取决于域名和服务器的数量。关于Klytic MTA，请参阅下一节。
只有在它也中继外发邮件时才会。在这种情况下，SPF和DKIM必须将其考虑在内：请参阅SPF、DKIM和DMARC。
那是另一项决策，有另一套评判标准。详见选择欧洲企业邮件系统。
Klytic MTA部署在您现有的邮件系统前端：Microsoft 365、Google Workspace、Exchange、Klytic Mail或任何其他服务器。它不以使用Klytic邮箱为前提。
Klytic MTA不管理您现有邮件系统的权限和账户，也不承诺等同于Microsoft 365或Google Workspace内置的安全工具：它是部署在它们前端的附加一层。
本页介绍的是原理。Microsoft和Google的控制台会不断更新：具体操作以其官方文档为准。
查阅于2026年10月。
