THAI DATA CLOUD
Manual Microsoft 365

External Forwarding: แก้ Forward ออกนอกองค์กรไม่ได้ 5.7.520

5.7.520 คือ Microsoft 365 บล็อก External Forwarding อัตโนมัติด้วย Outbound spam policy ผู้ดูแลสร้างนโยบายเฉพาะผู้ใช้ที่จำเป็นตั้งเป็น On แทนการเปิดทั้งองค์กร

โดย ทีมงาน THAI DATA CLOUD อ่าน 15 นาที

แชร์FacebookXLINELinkedIn
External Forwarding — External Forwarding: แก้ Forward ออกนอกองค์กรไม่ได้ 5.7.520
External Forwarding: แก้ Forward ออกนอกองค์กรไม่ได้ 5.7.520

คำตอบสั้น ๆ: 5.7.520 คือ Microsoft 365 บล็อก External Forwarding อัตโนมัติด้วย Outbound spam policy ผู้ดูแลสร้างนโยบายเฉพาะผู้ใช้ที่จำเป็นตั้งเป็น On แทนการเปิดทั้งองค์กร

คู่มือนี้อธิบาย External Forwarding ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย

External Forwarding คือการส่งต่ออีเมลอัตโนมัติจากกล่องจดหมายในองค์กรไปยังที่อยู่ภายนอก เช่น ตั้งกฎใน Outlook ให้ forward อีเมลทุกฉบับไป Gmail ส่วนตัว เมื่อ Microsoft 365 บล็อกการส่งต่อแบบนี้ ระบบจะส่งอีเมลตีกลับ (NDR) ที่มีข้อความ 550 5.7.520 Access denied, Your organization does not allow external forwarding. Please contact your administrator for further assistance. AS(7555) สาเหตุคือการตั้งค่า Automatic forwarding rules ใน Outbound spam policy ซึ่งปิด External Forwarding ไว้โดยค่าเริ่มต้นในองค์กรส่วนใหญ่ วิธีแก้ที่ปลอดภัยคือให้ผู้ดูแลสร้างนโยบายเฉพาะผู้ใช้ที่จำเป็นต้อง forward จริง ตั้งค่าเป็น On แล้วจำกัดปลายทาง แทนการเปิดให้ทั้งองค์กร

คู่มือนี้เขียนสำหรับผู้ดูแล Microsoft 365 ที่ได้รับแจ้งว่ากฎ forward ใน Outlook ไม่ทำงาน หรือมีคนได้ NDR 5.7.520 กลับมาทุกครั้งที่ส่งอีเมลหาพนักงานคนหนึ่ง และสำหรับผู้ใช้ที่อยากรู้ว่าทำไมกฎ forward ของตัวเองถูกบล็อก เมื่อทำครบ คุณจะรู้ว่าอีเมลถูกบล็อกที่จุดไหน อนุญาต External Forwarding ได้เฉพาะคนและปลายทางที่ตกลงกันแล้ว และตรวจได้ว่าใครกำลัง forward อีเมลออกนอกองค์กร

สิ่งที่ต้องเตรียม

เตรียมสิ่งเหล่านี้ก่อนแก้ปัญหา External Forwarding

  • บทบาทผู้ดูแลที่แก้นโยบายได้ เช่น Security Administrator หรือ Organization Management ใน Exchange Online ส่วน Global Reader หรือ Security Reader ดูได้อย่างเดียว
  • NDR ที่ได้รับทั้งฉบับ หรือข้อมูลผู้ส่ง ผู้รับ และเวลา เพื่อค้นใน Message Trace
  • ชื่อผู้ใช้ที่ต้อง forward และที่อยู่ปลายทาง พร้อมเหตุผลทางธุรกิจที่หัวหน้าอนุมัติ
  • Exchange Online PowerShell สำหรับตรวจกฎของผู้ใช้ (ติดตั้งโมดูล ExchangeOnlineManagement แล้วใช้ Connect-ExchangeOnline)

สาเหตุของ 5.7.520 และ External Forwarding ที่ถูกบล็อก

Microsoft อธิบายในเอกสาร Control external email forwarding and fix 5.7.520 errors ว่า Microsoft 365 มีการส่งต่ออัตโนมัติสองแบบ คือ Inbox rules ที่ผู้ใช้ตั้งเองใน Outlook และ mailbox forwarding (SMTP forwarding) ที่ผู้ดูแลตั้งให้ ทั้งสองแบบนับเป็น External Forwarding เมื่อปลายทางอยู่นอกองค์กร และถูกควบคุมด้วยค่า Automatic forwarding rules ใน Outbound spam policy ซึ่งมีสามค่า

  • Automatic - System-controlled: ค่าเริ่มต้น ตั้งแต่ปี 2021 ค่านี้มีผลเท่ากับปิดการส่งต่อสำหรับองค์กรใหม่และองค์กรที่ไม่ได้ใช้การส่งต่ออยู่ Microsoft แนะนำให้เลือก On หรือ Off ให้ชัดแทน เพราะผลต่างกันในแต่ละองค์กร
  • On - Forwarding is enabled: อนุญาต External Forwarding
  • Off - Forwarding is disabled: บล็อก External Forwarding ทั้งหมด และส่ง NDR กลับไปหาผู้ส่ง

สองเรื่องที่มักทำให้สับสน อย่างแรก การส่งต่ออัตโนมัติระหว่างผู้ใช้ภายในองค์กรไม่ได้รับผลจากนโยบายนี้ อย่างที่สอง ไม่ใช่ทุกกรณีที่มี NDR Microsoft ระบุว่าระบบสร้าง NDR เมื่ออีเมลต้นฉบับมาจากผู้ส่งภายนอก (ทุกวิธีส่งต่อ) และเมื่ออีเมลจากผู้ส่งภายในถูกส่งต่อด้วย mailbox forwarding ถ้าอีเมลจากเพื่อนร่วมงานถูกส่งต่อด้วย Inbox rule จะไม่มี NDR เลย ผู้ใช้ที่ตั้งกฎจึงอาจไม่รู้ว่ากฎของตัวเองไม่ทำงาน ส่วนอีเมลต้นฉบับยังเข้ากล่องของผู้ใช้ตามปกติ

แผนภาพอีเมลจากผู้ส่งภายนอกเข้ากล่องผู้ใช้ Microsoft 365 แล้ว Inbox rule ส่งต่อออกไป ถูก Outbound spam policy บล็อก External Forwarding
อีเมลต้นฉบับเข้ากล่องของผู้ใช้ตามปกติ ที่ถูกบล็อกคือสำเนาที่ส่งต่ออัตโนมัติออกนอกองค์กร

ขั้นตอนที่ 1: ยืนยันว่าเป็น 5.7.520 และหาว่าใคร forward ไปที่ไหน

เปิด NDR ดูรหัสและข้อความ ต้องเป็น 5.7.520 Access denied, Your organization does not allow external forwarding ถ้าเป็นรหัสอื่น เช่น 5.7.1 หรือ 5.1.1 ไม่ใช่เรื่อง External Forwarding ให้อ่านตามรหัสนั้น

ใน Exchange admin center ไปที่ Mail flow > Message trace ค้นด้วยผู้รับที่ตั้งกฎ ดูรายการที่มีสถานะ Failed แล้วเปิดรายละเอียดเพื่อดูปลายทางที่ถูกบล็อก วิธีใช้ Message Trace อยู่ในคู่มือ Message Trace จากนั้นหากฎที่ทำการส่งต่อ

Connect-ExchangeOnline -UserPrincipalName [email protected]
Get-InboxRule -Mailbox [email protected] | Where-Object {$_.ForwardTo -or $_.RedirectTo -or $_.ForwardAsAttachmentTo} | Format-List Name,Enabled,ForwardTo,RedirectTo,ForwardAsAttachmentTo
Get-Mailbox [email protected] | Format-List ForwardingSmtpAddress,DeliverToMailboxAndForward

ถ้าเจอกฎ forward ที่ผู้ใช้ยืนยันว่าไม่ได้สร้าง ให้หยุดตรงนี้ ปิดกฎ เปลี่ยนรหัสผ่าน และตรวจ Sign-in logs ก่อน เพราะกฎส่งต่อออกนอกองค์กรเป็นวิธีที่ผู้โจมตีใช้ดูดอีเมลหลังเจาะบัญชีได้ นี่คือเหตุผลที่ Microsoft ปิด External Forwarding ไว้ตั้งแต่ต้น

ตารางเปรียบเทียบค่า Automatic forwarding rules ใน Outbound spam policy ทั้ง Automatic, On และ Off กับผลต่อ External Forwarding
Microsoft แนะนำให้ตั้งเป็น On หรือ Off ให้ชัด เพราะ Automatic ทำงานต่างกันในแต่ละองค์กร

ขั้นตอนที่ 2: ตรวจค่า External Forwarding ในนโยบายปัจจุบัน

  1. ลงชื่อเข้าใช้ Microsoft Defender portal ที่ https://security.microsoft.com
  2. ไปที่ Email & collaboration > Policies & rules > Threat policies > Anti-spam หรือเข้าตรงที่ https://security.microsoft.com/antispam
  3. คลิกแถวของ Anti-spam outbound policy (Default) (คลิกที่แถว ไม่ใช่ช่องติ๊ก) และนโยบาย outbound อื่นที่มี
  4. ดูส่วน Protection settings ค่า Automatic forwarding rules ของแต่ละนโยบาย และดูว่านโยบายแบบกำหนดเองผูกกับผู้ใช้หรือกลุ่มไหน

นโยบายแบบกำหนดเองทำงานตามลำดับ Priority (0 คือสูงสุด) และนโยบาย Default ทำงานเป็นลำดับสุดท้ายเสมอ ผู้ส่งแต่ละคนจะโดนนโยบายแรกที่ตรงกับเขาเพียงนโยบายเดียว ถ้าผู้ใช้อยู่ในนโยบายที่ตั้ง Off และมี Priority สูงกว่านโยบายที่ตั้ง On การอนุญาต External Forwarding จะไม่มีผล ดูค่าเดียวกันด้วย PowerShell ได้จากคำสั่ง Get-HostedOutboundSpamFilterPolicy | Format-Table Name,AutoForwardingMode

ขั้นตอนที่ 3: ตัดสินใจก่อนว่าควรอนุญาต External Forwarding หรือไม่

อย่าเปลี่ยนนโยบาย Default เป็น On เพื่อแก้ปัญหาของผู้ใช้คนเดียว เพราะจะเปิดให้ทุกบัญชีในองค์กรรวมถึงบัญชีที่ถูกเจาะ forward อีเมลออกได้โดยไม่มีใครเห็น ถามสามข้อก่อน

  • ผู้ใช้ต้องการอะไรจริง ๆ ถ้าแค่อยากอ่านอีเมลบนมือถือ ให้ใช้แอป Outlook Mobile ดีกว่าการ forward ไปอีเมลส่วนตัว
  • ปลายทางเป็นของใคร ระบบของคู่ค้าที่มีสัญญา ระบบ ticket ของบริษัท หรืออีเมลส่วนตัวของพนักงาน ข้อมูลที่ forward ออกไปอยู่นอกการควบคุมขององค์กรทันที
  • มีทางอื่นที่ไม่ต้อง forward หรือไม่ เช่น ให้เลขาเข้าถึงกล่องด้วยสิทธิ์ Delegate หรือใช้ Shared Mailbox แทน

ถ้าคำตอบคือต้อง forward จริงและหัวหน้าอนุมัติ ให้ทำขั้นตอนที่ 4 และ 5 ซึ่งเปิด External Forwarding ให้เฉพาะคนและเฉพาะปลายทาง

ขั้นตอนที่ 4: สร้างนโยบาย External Forwarding เฉพาะผู้ใช้ที่จำเป็น

  1. ในหน้า Anti-spam policies คลิก Create policy แล้วเลือก Outbound
  2. ตั้งชื่อ เช่น Allow forwarding - Finance แล้วคลิก Next
  3. ในหน้า Users, groups, and domains ใส่ผู้ใช้ในช่อง Users หรือกลุ่มในช่อง Groups (รองรับ distribution group, mail-enabled security group และ Microsoft 365 Group แต่ไม่รองรับ dynamic distribution group)
  4. ในหน้า Protection settings ส่วน Forwarding rules เลือก Automatic forwarding rules เป็น On - Forwarding is enabled ส่วนอื่นปล่อยตามค่าเริ่มต้นหรือตามนโยบายของบริษัท
  5. ตรวจหน้า Review แล้วคลิก Create
  6. ตั้งนโยบาย Default ให้ Automatic forwarding rules เป็น Off - Forwarding is disabled ให้ชัด แทน Automatic - System-controlled

ทำแบบเดียวกันด้วย PowerShell ได้ โดยสร้างนโยบายที่อนุญาต External Forwarding ก่อน แล้วสร้างกฎที่ผูกนโยบายกับกลุ่ม รายละเอียดของแต่ละพารามิเตอร์อยู่ในเอกสาร Configure outbound spam policies

New-HostedOutboundSpamFilterPolicy -Name "Allow forwarding - Finance" -AutoForwardingMode On
New-HostedOutboundSpamFilterRule -Name "Allow forwarding - Finance" -HostedOutboundSpamFilterPolicy "Allow forwarding - Finance" -FromMemberOf "Finance Forwarding"
Set-HostedOutboundSpamFilterPolicy -Identity Default -AutoForwardingMode Off

วิธีตรวจว่าแก้แล้ว: ให้ผู้ส่งภายนอกส่งอีเมลทดสอบถึงผู้ใช้ในกลุ่ม แล้วดูว่าปลายทางได้รับสำเนาและผู้ส่งไม่ได้ NDR 5.7.520 การเปลี่ยนนโยบายอาจใช้เวลาสักพักกว่าจะมีผล ถ้าทดสอบทันทีแล้วยังถูกบล็อก ให้รอแล้วทดสอบอีกครั้ง

หน้าจอจำลอง Protection settings ของ Outbound spam policy ใน Defender portal ตั้ง Automatic forwarding rules เป็น On
ตั้ง On เฉพาะในนโยบายที่ผูกกับกลุ่มผู้ใช้ที่จำเป็น นโยบาย Default ปล่อยเป็น Off (ภาพจำลอง)

ขั้นตอนที่ 5: จำกัดปลายทางด้วย Remote domains

นโยบายในขั้นตอนที่ 4 อนุญาต External Forwarding ไปที่ไหนก็ได้ ถ้าต้องการให้ forward ได้เฉพาะโดเมนของคู่ค้า ให้ใช้ Remote domains ร่วมด้วย Microsoft ระบุว่าเมื่อการตั้งค่าหนึ่งอนุญาตแต่อีกการตั้งค่าหนึ่งบล็อก การบล็อกมักชนะ จึงใช้ Remote domains เป็นตัวกรองชั้นที่สองได้

  1. ใน Exchange admin center ไปที่ Mail flow > Remote domains
  2. เปิด Default (ใช้กับทุกโดเมนภายนอก) แก้ส่วน Email reply types ให้เอาเครื่องหมายถูกออกจาก Allow automatic forwarding
  3. คลิก Add a remote domain สร้างรายการของโดเมนคู่ค้า แล้วติ๊ก Allow automatic forwarding ในรายการนั้น
Set-RemoteDomain -Identity Default -AutoForwardEnabled $false
New-RemoteDomain -Name "Partner A" -DomainName partner.example.net
Set-RemoteDomain -Identity "Partner A" -AutoForwardEnabled $true

ผลคือผู้ใช้ในกลุ่มที่ได้รับอนุญาตทำ External Forwarding ได้เฉพาะไปที่ partner.example.net ส่วนปลายทางอื่นยังถูกบล็อก ระวังว่าการปิด Allow automatic forwarding ใน Default มีผลกับทุกคน ถ้าองค์กรมีการส่งต่อที่อนุญาตไว้แล้ว ให้สร้างรายการ Remote domain ของปลายทางเหล่านั้นก่อน

ขั้นตอนที่ 6: ตั้งกฎ forward ใน Outlook และติดตามการส่งต่อออกนอกองค์กร

เมื่อผู้ดูแลอนุญาต External Forwarding แล้ว ผู้ใช้ตั้งการส่งต่อได้ตามปกติ

  • classic Outlook: File > Info > Manage Rules & Alerts > New Rule ใช้การกระทำ forward it to people or public group วิธีสร้างกฎทีละขั้นอยู่ในคู่มือสร้าง Rules ใน Outlook
  • new Outlook และ Outlook on the web: Settings > Mail > Forwarding เปิด Enable forwarding ใส่ที่อยู่ปลายทาง และเลือก Keep a copy of forwarded messages ถ้าต้องการเก็บสำเนาไว้ในกล่องด้วย
  • ผู้ดูแลตั้งให้: ใช้ mailbox forwarding ใน Microsoft 365 admin center ตามคู่มือตั้งค่า Forward อีเมลจาก Microsoft 365 Admin Center ซึ่งก็อยู่ภายใต้นโยบายเดียวกัน

ติดตาม External Forwarding เป็นประจำด้วยรายงาน Auto forwarded messages report ใน Exchange admin center ที่ Reports > Mail flow รายงานนี้แสดงผู้ใช้ที่ forward อีเมลออกนอกองค์กร ถ้าเห็นชื่อที่ไม่ได้อยู่ในรายการที่อนุมัติ ให้ตรวจกฎของบัญชีนั้นตามขั้นตอนที่ 1 ทันที

ผลคำสั่ง PowerShell ตรวจค่า AutoForwardingMode ของ Outbound spam policy และหา Inbox rule ที่ทำ External Forwarding ของผู้ใช้
รู้ทั้งค่าของนโยบายและกฎที่ผู้ใช้สร้าง จะตัดสินใจได้ว่าควรอนุญาตหรือปิดกฎนั้น

ปัญหาที่พบบ่อยเกี่ยวกับ External Forwarding

ทำไมมี NDR 5.7.520 ทุกครั้งที่มีคนส่งอีเมลหาพนักงานคนหนึ่ง?

พนักงานคนนั้นมีกฎ forward อัตโนมัติออกนอกองค์กร อีเมลต้นฉบับเข้ากล่องของพนักงานแล้ว แต่สำเนาที่ถูก forward ถูกบล็อก และ Microsoft 365 สร้าง NDR แจ้งการบล็อก ให้ปิดกฎนั้นหรืออนุญาตเฉพาะผู้ใช้ตามขั้นตอนที่ 4 แล้ว NDR จะหยุด

กด Forward อีเมลเองทีละฉบับได้ไหม?

ได้ นโยบายนี้ควบคุมเฉพาะ External Forwarding แบบอัตโนมัติ การกด Forward ด้วยมือคือการส่งอีเมลใหม่จากผู้ใช้ ไม่ถูกบล็อกด้วย 5.7.520 แต่ยังอยู่ภายใต้นโยบายอื่นขององค์กร เช่น DLP

เปลี่ยนเป็น On แล้วยังขึ้น 5.7.520 ต้องตรวจอะไร?

ตรวจว่าผู้ใช้ไม่ได้ตรงกับนโยบาย External Forwarding อื่นที่ตั้ง Off และมี Priority สูงกว่า ตรวจ Remote domains ว่าปลายทางไม่ได้ถูกปิด Allow automatic forwarding และตรวจ Mail flow rules ที่บล็อกอีเมลส่งต่อ เพราะเมื่อมีการบล็อกที่ใดที่หนึ่ง การบล็อกมักชนะ

บัญชี IMAP ใน Outlook โดนบล็อก External Forwarding แบบนี้ด้วยไหม?

ไม่โดนนโยบายนี้ 5.7.520 เป็นการควบคุมของกล่องจดหมาย Exchange Online เท่านั้น บัญชี IMAP บนเซิร์ฟเวอร์อีเมลอื่นใช้การตั้งค่าการส่งต่อของเซิร์ฟเวอร์นั้น ซึ่งผู้ให้บริการอาจมีข้อจำกัดของตัวเอง

ปิด External Forwarding ทั้งองค์กรแล้วกฎ forward ภายในบริษัทจะเสียไหม?

ไม่เสีย Microsoft ระบุว่าการส่งต่ออัตโนมัติระหว่างผู้ใช้ภายในองค์กรไม่ได้รับผลจาก Outbound spam policy กฎที่ forward ไปหาเพื่อนร่วมงานในโดเมนเดียวกันยังทำงานตามปกติ

ถ้าต้องการให้ช่วยทบทวนการตั้งค่า External Forwarding และนโยบายความปลอดภัยของอีเมลทั้งองค์กร หรือเจอกฎ forward ที่น่าสงสัยในหลายบัญชี ติดต่อทีมงาน THAI DATA CLOUD ได้ทันที และดูรายละเอียดบริการดูแล Microsoft 365 ได้ที่หน้าบริการของเรา

อ่านเพิ่มเติมเกี่ยวกับ External Forwarding

แชร์FacebookXLINELinkedIn

มีคำถามเรื่องบริการ? ติดต่อทีมงาน