Google Workspace (Gmail)

Как перевести фильтрацию почты Google Workspace на Спаморез: Спаморез принимает почту первым и передаёт её в Gmail через настройку «Inbound gateway». Встроенная защита Gmail остаётся вторым уровнем.

Размещение Спамореза перед Google Workspace даёт дополнительную защиту почты от входящих атак и фишинга. Нужно настроить Gmail так, чтобы он доверял Спаморезу и принимал почту через шлюз (шаг 3 порядка подключения описывает роль оценки Gmail). Встроенный фильтр Gmail добавит к защите дополнительную проверку.

Что подготовить

Права суперадминистратора в консоли администратора Google (admin.google.com).
Доступ к DNS-зоне, текущие записи MX (обычно aspmx.l.google.com и запасные), SPF, DKIM, DMARC. За сутки до работ снизьте TTL MX до 300 секунд.
Адреса серверов Спамореза: в письме с данными подключения (они же указаны на странице Google Workspace).
Список серверов, отправляющих почту наружу через Google (SMTP-реле, сайты, принтеры).

Что выгрузить из Google Workspace

Что	Где взять	Куда перенести в Спаморез
Список разрешённых отправителей (Email allowlist)	Консоль администратора → Apps → Google Workspace → Gmail → Spam, Phishing and Malware → Email allowlist	Белые списки
Заблокированные отправители	Gmail → Compliance (раздел блокировки отправителей); а также правила в Spam, Phishing and Malware	Чёрные списки
Правила маршрутизации и фильтры содержимого	Gmail → Routing, Compliance (Content compliance), Spam, Phishing and Malware	Правила обработки
Исходящие хосты и релеи	Gmail → Hosts, SMTP relay service	«Релей клиенты» — Настройка smarthost

Сохраните скриншоты и списки: они нужны для отката.

Порядок подключения

Добавьте домен в Спаморез
В панели: Домены → Добавить. В поле «Целевой сервер» укажите aspmx.l.google.com (Домены, Маршрутизация).

Настройте Inbound gateway в Google
Консоль администратора → Apps → Google Workspace → Gmail → Spam, Phishing and Malware → Inbound gateway → Edit. Включите «Enable» и добавьте в «Gateway IPs» публичные адреса серверов Спамореза (закрытые адреса не поддерживаются). Опцию «Reject all mail not from gateway IPs» на этом этапе не включайте: иначе при ошибке почта перестанет приходить. См. справку Google о шлюзе.

Определите роль оценки Gmail
Рекомендуем оставить оценку Gmail включённой: тогда он работает вторым уровнем. Если нужно полностью опираться на Спаморез, включите «Disable Gmail spam evaluation on mail from this gateway»: решение о спаме тогда принимается по заголовкам, которые добавляет шлюз (например, пометка спама по регулярному выражению заголовка). Выбирайте этот режим только после наблюдения за ложными срабатываниями.

Смените MX и SPF
Замените MX домена на адреса Спамореза и удалите прежние записи Google (Смена MX-записей). Сначала Inbound gateway, потом MX: порядок по рекомендации Google. SPF: v=spf1 include:spf.spamorez.ru include:_spf.google.com ~all (SPF / DMARC / DKIM).

Проверьте цепочку
Отправьте тестовое письмо с внешнего адреса. В Трекере оно должно быть принято и доставлено, а в заголовках письма Gmail («Показать оригинал») должен быть виден настоящий IP отправителя.

Включите ограничение приёма
Через 1–2 суток, когда в Трекере идёт вся почта, включите «Reject all mail not from gateway IPs»: Google будет принимать почту только от Спамореза, и прямая доставка мимо него закроется.

При доставке через Inbound gateway Gmail не применяет политику DMARC отправителя (по документации Google). Проверку DMARC теперь выполняет Спаморез (SPF / DMARC / DKIM).

Исходящая почта (по желанию)

Чтобы исходящие письма проходили через Спаморез (подпись DKIM, скрытие исходного сервера, лимиты), в Gmail настраивается маршрутизация на внешний хост (Routing → outbound gateway) с адресом Спамореза. Адреса Google, с которых письма придут на Спаморез, добавьте в «Релей клиенты» (Настройка smarthost). Проводите этот этап отдельно, после перевода входящей почты. Подпись DKIM для Google настраивается в Gmail → Authenticate email.

Топ функций Google Workspace (Gmail) и их настройка в Спаморезе

Главные функции защиты и их настройка в панели Спамореза. Строки «Нет аналога» не обещайте клиенту.

Функция в старой системе	Как это настроить в Спаморезе
Фильтр спама Gmail	Включён для всех доменов сразу. Отдельных настроек порога не требуется; исключения и усиления задаются правилами и списками (Как работает фильтрация).
Защита от вредоносных вложений	Встроенный ClamAV работает сразу. Внешний антивирус (Kaspersky Scan Engine, Dr.Web, c-icap) подключается в Интеграции → Антивирус по ICAP, с основным и резервным сервером и выбором действий при угрозе и сбое (Антивирус и песочница).
Security Sandbox	Интеграции → Песочница (ICAP): PT Sandbox, Kaspersky KATA. Встроенной песочницы нет; по умолчанию проверяются исполняемые файлы, документы и архивы (Антивирус и песочница).
Защита от фишинга: ссылки и подозрительные страницы	В SPZGate есть Link Shield: ссылки подменяются на проверочную страницу `/secure/`, опасные блокируются. Проверьте наличие функции и её включение в вашей версии. Анализ ссылок при клике на уровне крупных вендоров (Time of Click, глубокая детонация) пока не заявляйте.
Email allowlist	Правила → Белый список: адрес, домен (`@company.com`) или IP/подсеть. Не добавляйте публичные домены (gmail.com, yandex.ru). Пользователи могут вести личный список в кабинете (Белые списки).
Blocked senders	Правила → Чёрный список: адрес, домен или IP/подсеть; блокировка на уровне SMTP, до приёма тела письма. Репутацию IP по RBL проверяет шлюз автоматически (Чёрные списки).
Правила Compliance и Routing	Правила: условия «От кого / Кому / Тема / IP / Заголовок / Слово в теле» через AND/OR, действия «Пометить как спам, Доставить, Отклонить (550), Переслать, Добавить в тему или заголовок». Порядок правил задаётся перетаскиванием (Правила обработки).
Карантин администратора, пользовательский спам	Раздел Карантин: доставить, доставить и добавить в белый список, удалить, пожаловаться. Дайджесты включаются в настройках; срок хранения по умолчанию 30 дней, меняется в настройках домена (Карантин).
Защита от спуфинга и проверка SPF, DKIM, DMARC	Выполняется автоматически на этапе проверки отправителя. Для своей исходящей почты настройте SPF, DKIM и DMARC в DNS (SPF / DMARC / DKIM).
Исходящий шлюз и SMTP-реле	Релей клиенты: добавьте IP почтового сервера, выберите домен и режим «Скрыть сервер». Исходящая почта проверяется антиспамом и лимитами, подписывается DKIM (Настройка smarthost, Скрытие исходного сервера).
Журнал электронной почты (Email Log Search), Investigation tool	Раздел Трекер: путь каждого письма и причина решения. События во внешнюю систему: Настройки → SIEM / Syslog (SIEM и Syslog), метрики для Zabbix/Prometheus (Мониторинг).
Защита от подмены имени и целевых атак	Нет аналога. Частично закрывают проверка SPF/DKIM/DMARC, правила по теме и имени отправителя и белые/чёрные списки. Не обещайте клиенту функции, которых нет.
DLP и шифрование (S/MIME, CSE)	Нет аналога. Если DLP нужен, оставьте его в вашей системе или подключите отдельным продуктом.

Проверка

В Трекере видна входящая почта домена с вердиктами и причинами.
Письма из белых списков доставляются, из чёрных блокируются.
В «Показать оригинал» SPF, DKIM, DMARC проходят; виден настоящий IP отправителя.
Спам не приходит в обход (после шага 6 прямая доставка отклоняется).
Проверьте папку «Спам» в первые дни: письма, помеченные Gmail, не должны теряться.

Если что-то не работает

Проблема	Что проверить
Почта перестала приходить после смены MX	В Inbound gateway нет адресов Спамореза или включено «Reject all mail not from gateway IPs» до проверки. Временно отключите опцию.
Gmail помечает много писем спамом	Не указаны адреса шлюза в Inbound gateway: Gmail оценивает письмо по адресу Спамореза. Добавьте адреса и проверьте «Gateway IPs».
SPF/DMARC падает	В SPF нет `include:spf.spamorez.ru`; см. SPF / DMARC / DKIM.
Часть почты идёт мимо Спамореза	В DNS остались MX Google; ограничение приёма по IP не включено (шаг 6).
Нужно срочно вернуться	Верните прежние MX Google (TTL 300 с), в Inbound gateway отключите «Reject all mail not from gateway IPs».

→ Google Workspace → Миграция → SPF / DMARC / DKIM