Fejl 550 5.7.520: Videresendelse til ekstern mail i Microsoft 365

Du har sat en regel op i Outlook, så dine mails automatisk sendes videre til din private Gmail – eller din administrator har slået videresendelse til på en medarbejders postkasse. Men mailen kommer aldrig frem. I stedet får afsenderen en returmail med denne tekst:

550 5.7.520 Access denied, Your organization does not allow external forwarding.
Please contact your administrator for further assistance. AS(7555)

Mailen er altså modtaget fint i Microsoft 365. Det er selve videresendelsen ud af organisationen, der bliver stoppet.

Hvorfor sker det?

Microsoft 365 blokerer som standard automatisk videresendelse til eksterne adresser. Det er en sikkerhedsfunktion: En af de første ting, en angriber gør efter at have overtaget en postkasse, er at oprette en skjult regel, der sender alle mails videre til en adresse udenfor virksomheden.

Blokeringen styres af indstillingen Automatic forwarding rules i den udgående spampolitik (outbound spam filter policy) i Microsoft Defender. Den har tre værdier:

• Automatic - System-controlled – standard. Siden 2021 betyder den i praksis "slået fra" for de fleste organisationer.
• On - Forwarding is enabled – automatisk ekstern videresendelse er tilladt.
• Off - Forwarding is disabled – automatisk ekstern videresendelse blokeres, og afsenderen får fejlen 5.7.520.

Blokeringen gælder både indbakkeregler, som brugeren selv laver i Outlook, og videresendelse, som en administrator sætter på postkassen (SMTP-videresendelse). Videresendelse mellem interne brugere i samme organisation påvirkes ikke.

Løsningen: Tillad videresendelse kun for dem, der har brug for det

Du kan sætte standardpolitikken til On, men så må alle i virksomheden videresende alt til hvor som helst. Det anbefaler vi ikke. Lav i stedet en særskilt politik, der kun gælder de brugere, som har et reelt behov.

Trin 1: Opret en udgående spampolitik i Defender-portalen

1. Log ind på Microsoft Defender-portalen på https://security.microsoft.com/antispam som administrator. Du finder også siden under Email & collaboration > Policies & rules > Threat policies > Anti-spam.
2. Klik Create policy og vælg Outbound.
3. Giv politikken et sigende navn, fx Tillad ekstern videresendelse.
4. På siden Users, groups, and domains vælger du de brugere (eller en gruppe), der må videresende. Brug en gruppe, hvis det er flere – så er det nemmere at vedligeholde.
5. På siden Protection settings finder du afsnittet Forwarding rules. Sæt Automatic forwarding rules til On - Forwarding is enabled. Lad de øvrige indstillinger stå.
6. Gennemse indstillingerne og klik Create.

Standardpolitikken forbliver uændret, så alle andre brugere stadig er beskyttet.

Trin 2: Alternativt med PowerShell

Foretrækker du PowerShell, kan det samme gøres i Exchange Online PowerShell. Har du ikke forbindelsen sat op, så se vores guide Sådan forbinder du sikkert til Exchange Online PowerShell.

Connect-ExchangeOnline

# Opret politikken med videresendelse slået til
New-HostedOutboundSpamFilterPolicy -Name "Tillad ekstern videresendelse" -AutoForwardingMode On

# Knyt politikken til de brugere, der må videresende
New-HostedOutboundSpamFilterRule -Name "Tillad ekstern videresendelse" `
    -HostedOutboundSpamFilterPolicy "Tillad ekstern videresendelse" `
    -From "anna@firma.dk","bo@firma.dk"

Vil du hellere bruge en gruppe, erstatter du -From med -FromMemberOf "Navn på gruppe".

Trin 3: Test

Ændringer i politikker kan tage lidt tid om at slå igennem. Vent gerne en halv times tid, og send så en ny testmail fra en ekstern adresse til brugeren. Tjek at den både lander i postkassen og hos den eksterne modtager.

Bemærk, at mails, der allerede er afvist med 5.7.520, ikke bliver sendt igen automatisk. Afsenderen må sende dem på ny.

Problemer?

• Fejlen kommer stadig: Tjek at brugeren faktisk er omfattet af den nye politik, og at reglen er slået til. Kør Get-HostedOutboundSpamFilterRule | Format-Table Name,State,Priority for at se status.
• Forkert afsender i politikken: Politikken ser på den primære adresse på den postkasse, der videresender. Er der tale om en delt postkasse, skal det være den delte postkasse, der er med i politikken.
• Andre blokeringer: Hvis der også er en mailflowregel (transport rule) eller en fjerndomæne-indstilling (remote domain), der blokerer automatisk videresendelse, vinder blokeringen. Tjek fx Get-RemoteDomain | Format-Table Name,AutoForwardEnabled.
• Hvem videresender i forvejen? Rapporten over automatisk videresendte mails i Exchange Admin Center viser, hvilke brugere der sender mails ud af huset. Se Microsofts vejledning: https://learn.microsoft.com/en-us/exchange/monitoring/mail-flow-reports/mfr-auto-forwarded-messages-report

Overvej om videresendelse er den rigtige løsning

Automatisk videresendelse til en privat Gmail betyder, at virksomhedens mails ligger et sted, I ikke har kontrol over. Ofte er det bedre at give adgang til postkassen via Outlook-appen på telefonen, eller at bruge en delt postkasse. Videresendte mails kan desuden fejle på SPF og DMARC hos modtageren – det har vi skrevet om i arc=fail i dine DMARC-rapporter.

Kort sagt

Fejlen 5.7.520 betyder, at Microsoft 365 med vilje blokerer automatisk videresendelse ud af organisationen. Opret en separat udgående spampolitik med Automatic forwarding rules sat til On for de få brugere, der har brug for det, og lad resten være beskyttet.

Har du brug for en hånd med opsætningen, hjælper Todo-IT gerne.