Cisco Cisco Content Security Management Appliance M1070 Mode D'Emploi

 shows a typical network configuration incorporating the Security 

Management appliance and multiple DMZs. You deploy the Security 
Management appliance outside your DMZ, in your internal networks. All 
connections are initiated by the Security Management appliances (Cisco IronPort 
M-Series) to the managed Email Security appliances (Cisco IronPort C-Series) 
and managed Web Security appliances (Cisco IronPort S-Series). 

Corporate data centers can share a Security Management appliance to perform 
centralized reporting and message tracking for multiple Web and Email Security 
appliances, and centralized policy configuration for multiple Web Security 
appliances. The Security Management appliance can also be used as an external 
Cisco IronPort Spam Quarantine. 

After you connect the Email Security appliance and the Web Security appliances 
to a Security Management appliance and properly configure all appliances, 
AsyncOS gathers and aggregates data from the managed appliances. From the 
aggregated data, reports can be generated and an overall view of email and web 
usage can be determined.

Mail is sent to the Security Management appliance from the Email Security 
appliances. An Email Security appliance that sends mail to a Security 
Management appliance does not reprocess the messages when it receives them 
back from the Security Management appliance; the messages bypass the HAT and 
other policy or scanning settings. For this to work, the IP address of the Security 
Management appliance must be the same for both receiving and sending 
messages. Otherwise, when an Email Security appliance receives messages from 
the Security Management appliance, it would process the message again as if it 
were another incoming message. 

Always use the same IP address for receiving and sending on the Security 
Management appliance.