magicpeter

Moin, wir haben einen Kunden der hat in seiner Firma 3 E-Mail Domains mit dem er E-Mail empfängt und sendet. Jeder Benutzer hat diese 3 E-Mail Konten. Für jedes E-Mail Konto ist ein extra Exchange Konto eingerichtet. Jeder Benutzer hat also 3 Exchange Konten. Das klappt auch alles richtig gut. Der Kunde setzt einen Exchange 2019 ein. Jetzt integrieren wir DMARC bei dem Kunden und haben das Problem das wir nur für die Hauptdomain aaa.com die E-Mail DKIM signiert bekommen. Da ja alle nur über einen Sendeconnector mit einem Smarthost läuft. Meine Idee wäre jetzt, das man pro Domain einen Sendeconnector anlegt und die entsprechenden E-Mail werden dann mit dem entsprechenden Sendeconnector versendet. Somit kann jede E-Mail mit dem korrekten DKIM signiert werden. Folgende E-Mail Domains sind im Einsatz: aaa.com, bbb.com, ccc.com Sendeconnector aaa.com verwendet die E-Mails die als SMTP aaa.com haben Sendeconnector bbb.com verwendet die E-Mails die als SMTP bbb.com haben Sendeconnector ccc.com verwendet die E-Mails die als SMTP ccc.com haben Geht das so? Kann man das Exchange so beibringen?

Moin Jan, ja kann er.

Genau, ich dachte nur es könnte helfen. Da ich gerade DMARC bei uns aktiviert habe, aber noch mit p=None Policy. Es scheint alles zu funktionieren. E-Mails werden zugestellt. Ich wollte in der nächsten Woche auf p=quarantine Policy stellen. Verdoppeln Sie den Markenschutz mit DMARC Der größte Unterschied zwischen DMARC und Spam-Filtern ist, dass DMARC andere Personen vor gefälschten E-Mails schützt die Ihren Domainnamen verwenden. Wenn Sie einen Spam-Filter verwenden, werden nur Ihr Posteingang vor Phishing-E-Mails geschützt. DMARC verwendet E-Mail-Authentifizierungsprotokolle, um sicherzustellen, dass jeder Empfangsserver E-Mails blockiert, wenn ein Angreifer versucht, sich als Ihre Marke auszugeben und E-Mails zu senden. Verdoppeln Sie den Markenschutz mit DMARC Der größte Unterschied zwischen DMARC und Spam-Filtern ist, dass DMARC andere Personen vor gefälschten E-Mails schützt die Ihren Domainnamen verwenden. Wenn Sie einen Spam-Filter verwenden, werden nur Ihr Posteingang vor Phishing-E-Mails geschützt. DMARC verwendet E-Mail-Authentifizierungsprotokolle, um sicherzustellen, dass jeder Empfangsserver E-Mails blockiert, wenn ein Angreifer versucht, sich als Ihre Marke auszugeben und E-Mails zu senden.

Was ist die DMARC-Quarantäne? p=quarantine Policy [EXPLAINED] https://powerdmarc.com/de/what-is-dmarc-quarantine-policy/

So jetzt geht es an die Auswertung der DMARC Berichte RUA vs. RUF: Die Vielfalt der DMARC-Berichte https://dmarcadvisor.com/de/rua-vs-ruf/ DMARC XML to Human Converter https://eu.dmarcadvisor.com/dmarc-xml/ DMARC-Alignment https://dmarcadvisor.com/de/alignment/

Lese ich mir morgen durch. Danke Dir. Die DMARC Spezifikation wird noch erstellt.... und jetzt erst mal gute Nacht....

OK, und wieder ein neues Wort... "dmarc Spezifikation" Keine Ahnung. Wo wird diese denn konfiguriert? #### Auch eine schöne Anleitung Bevor Sie DMARC einrichten https://support.google.com/a/answer/10032674?hl=de

Gerne ;) Wie oft kommen denn diese DMARC Berichte?

Nichts, ich wollte nur noch mal zeigen das ich das auch verstanden habe So hier ist jetzt noch einmal eine gute und einfache 'Anleitung für DMARC. DMARC einrichten: Ein Schritt-für-Schritt-Leitfaden https://www.mailjet.com/de/blog/zustellbarkeit/dmarc-einrichten/

Es ging sich mir nur darum kasserver.com mit inculde funktionieren nicht, darum immer mit a: einbauen. Ich dachte mir ich muss den Allinkl-Server mit in die SPF aufnehmen, so wie auch Klicktipp mitaufgenommen habe damit der Server des Drittanbieters die E-Mails auch versenden kann. SPF ist eine Standardmethode zur E-Mail-Authentifizierung, bei der Absender die IP-Adressen von vertrauenswürdigen SMTP-Servern angeben, die von einer Domain aus versenden dürfen. Dieser Eintrag wird daraufhin von dem Eingangsserver geprüft, um die E-Mail zu validieren und an den Posteingang zu senden. Die Authentifizierung mit DKIM funktioniert hingegen über eine Signatur, die den DNS-Einträgen hinzugefügt und mit einem eigenen Schlüssel in Ihrem Nachrichtenheader überprüft wird.

Alles klar. Hier die Header die jetzt mit korrekter Signatur versendet werden. Authentication-Results: spf=pass (sender IP is 85.13.145.105) smtp.mailfrom=xxxxxxx.com; dkim=pass (signature was verified) header.d=xxxxxxxx.com;dmarc=pass action=none header.from=xxxxxxx.com;compauth=pass reason=100 Hier die Header die jetzt mit korrekter Signatur versendet werden. So jetzt noch einmal kurz zusammengefasst. Wenn dein Provider DKIM und DMARC nicht unterstütz kannst du über ein Allinkl Tarif für 4,99 mit 3 Domains deinen Exchange Server mit einem Smarthost ausstatten der das kann. 1. Tarif bei allinkl Buchen (der kleine Webhosting Tarif reicht aus (Privat Tarif heißt der) 2. Deine Kundendomain dort im KAS unter Domains anlegen. (Die Domain muss nicht transferiert werden. Sie wird nur dort angelegt) 3. In der Domain DKIM aktivieren 4. Unter Tools / DNS-Einstellungen auf Bearbeiten klicken und die Records _dmarc und kas202307161533._domainkey rauskopieren und bei dem Nameserver des Kunden provider eintragen. Zusätzlich den SPF Record anpassen. Wichtig: v=spf1 mx a:w01e2bf9.kasserver.com include:kundenprovider.de include:spf.strold.io (Klicktipp) -all kasserver.com mit inculde funktionieren nicht 5. Unter E-Mail / E-Mail Postfach anlegen mit der Domain des Kunden. Ja, ich weis die Domain ist nicht transferiert, aber das ist OK. Wichtig: zusätzliche Absenderadressen erlauben und dort die Domain: @xxxxxxxxx.com eintragen und dann funktioniert die E-Mail auch als Smarthost. 6. Einen neuen Sendeconnector (Smarthost) im Exchange einrichten und aktivieren. Von jetzt an versendet der Exchange DKIM signierte E-Mails und besteht die DKIM, SPF und DMARC Prüfung ohne Probleme. So jetzt arbeite ich mich einmal in DMARC ein um zu sehen wie man da am besten Integriert.

Nein, ich konnte mich da einarbeiten und der ALLinkl Support ist echt klasse auch Sonntags ;) Ja, ich werde mich jetzt weiter in DMARC einarbeiten, wie man da genau vorgehen sollte. Kannst du mir da einen Tip oder eine URL geben wo das genau beschreiben steht. Danke für deinen Input auch am Wochenende. LG Peter

Moin, der DKIM und DMARC Record lauten: _dmarc v=DMARC1; p=none; kas202307161533._domainkey v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA17yVoqIV???????????????????? Laut MXTools sind die auch korrekt...

Problem gelöst konnte am Sonntag noch gelöst werden.... Ja, wenn man eine neuen Provider nutzt sind die Menüs immer etwas unübersichtlich, aber die Hotline ist SUPER. Sogar am Sontag Telefonsupport. Man muss nur Wichtig: "zusätzliche Absenderadressen erlauben" und dort die Domain: @xxxxxxx des Kunden eintragen und dann funktioniert die E-Mail auch als Smarthost im Exchange. DKIM SPF und DMARC funktionieren einwandfrei. Danke für eueren wie immer super Support....

Schade, das wäre auch zu schön gewesen. Es klappt leider nicht. Beim Versender der E-Mail kommt im Outlook die E-Mail zurück mit der Meldung: Ihre Nachricht wurde aufgrund eines Berechtigungs- oder Sicherheitsproblems nicht zugestellt. Sie wurde möglicherweise von einem Moderator zurückgewiesen, über die Adresse können nur E-Mails von bestimmten Absendern empfangen werden, oder eine weitere Einschränkung verhindert die Zustellung der Nachricht. Die folgende Organisation hat Ihre Nachricht abgelehnt: dd26416.kasserver.com. Sender address rejected: not owned by user m069f8b2

Ja, aber bei Domainfactory ist das leider so. Du kannst alles im NS ablegen aber die stellen nix zur Verfügung. Ich probiere das einmal aus. Ich habe mir jetzt die Domain smarthost123.de bei allinkl. registriert und werde dort mal DKIM für die subdomain kunde1.smarthost123.de einrichten. Dann werde ich den öffentlichen Schlüssel bei Domainfactory einrichten und den neuen Smarthost im Exchange einrichten. Damit sollte alles Palettie sein. Im NS steht der der öffentliche DKIM Schlüssel und in der E-Mail wird der DKIM Header vom Smarthost eingefügt. Dann sollte es eigentlich funktionieren Ich teste das einmal und geben euch bescheid. Ich wünsche dir auch ein schönes Wochenende. LG Brian

Super Danke dir. Jetzt weis ich bescheid. Der Provider ist Domainfactory. Wenn ich mir jetzt eine Domain bei allinkl.com holen würde, smarthost123.de und dann für meine Kunden jeweils eine subdomain einrichten würde. kunden1.smarthost123.de - sh@kunden1.smarthost123.de kunden2.smarthost123.de - sh@kunden1.smarthost123.de https://all-inkl.com/wichtig/anleitungen/kas/tools/dns-werkzeuge/dkim-bei-versand-ueber-unsere-mailserver_541.html Könnte ich dann darüber die DKIM, SPF und DMARC realisieren? Was meinst du? Obwohl die E-Mail Domain eine ganz andere wäre. @kunden1.de, @kunde2.de, etc.. DNS-Werkzeuge: DMARC von all-inkl https://all-inkl.com/wichtig/anleitungen/kas/tools/dns-werkzeuge/dmarc_562.html Das wäre richtig gut. Oder halt Mailgun: https://www.mailgun.com/de/produkte/versenden/smtp/ Wäre dann aber das gleiche wir allinkl

OK, dann hatte ich das falsch verstanden. Ich dachte ich lasse mir die beiden Schlüssel erstellen und trage dann den öffentlichen im DNS ein und den privaten in der E-Mail ( aber wo in der E-Mail ) Da aber der Provider keinen DKIM Schlüssel erstellt und mein Smarhsot ist kann ich das wohl vergessen. Sollte ich dann den Exchange besser direkt das Versenden der E-Mail erlauben und dann den DKIM... verdammt jetzt bin ich raus... Ja, die https://powerdmarc.com/de/power-dmarc-pricing-policy/ bieten sowas doch an. Alles klar Danke Dann suche ich mir mal einen Smarhostanbieter mit DKim SPF, und DMARC Unterstützung. Kennst du da einen guten? Ich habe da vom Franky eine Artikel dazu gefunden: Exchange Server und DKIM https://www.frankysweb.de/exchange-server-und-dkim/ Auch nicht schlecht erklärt... Leider wurde die Entwicklung eingestellt.

Hier habe ich einen gefunden: https://powerdmarc.com/de/dkim-record-generator/ Aber ist der vertauen würdig? Ich frage mein meinen Zertifkatsanbieter PSW ob die sowas machen. https://www.psw-group.de

OK, das macht aber keinen Sinn denn: Security notes This online wizard is fine for generating keys for testing and evaluation. If you decide to use DKIM Core in production, though, you might want to consider the security risks. The wizard records your DKIM Core keys, including your private key, until you delete them. That means that I have access to your private key, and could forge email to appear to be from you. I'm not going to do that, of course, but if you're concerned about the risk then you can generate DKIM Core keys on your own machine using openssl, as described in the specification. Ich suche jetzt einmal einen Anbieter der mir sichere DKIM Schlüssel erstellt.

OK, dann brauche ich aber den öffentlichen Schlüssel. Den kann ich mir doch bestimmt irgendwo erstellen lassen und dann im DNS Server eintragen. Ah, da habe ich was gefunden. Alternativ kann das Schlüsselpaar mit einem Online-Generator erstellt werden, möglich ist das z.B. mit dem folgenden Generator: http://dkimcore.org/tools/keys.html

DKIM-Eintrag erstellen: So machen Sie es richtig https://dmarcadvisor.com/de/dkim-eintrag-erstellen/ Der Smarthost auf dem Exchange versendet die E-Mails. Der Smarthsot der der SMTP-Server des Providers.

Ja, ich wußte das wird nicht so einfach. JA, toll das der Provider keinen DKIM Schlüssel erstellt. Jetzt stehe ich jetzt da. Woher bekomme ich denn den öffentliche Schlüssel (public key) für den Record?

Und hier die Meldung vom Provider: DKIM: Ist ein DKIM-Eintrag im DNS hinterlegt, werden eingehende E-Mails auf DKIM geprüft. Dann wird der Public Key gegen die Signatur geprüft und die E-Mail wird entweder zugestellt, oder abgelehnt. Der Header sieht wie folgt aus: Bei einem FAIL: X-DKIM: DKIM failed: (address=$sender_address domain=$dkim_cur_signer), signature is bad. Wenn die Signatur falsch ist: X-DKIM: DKIM passed: $dkim_cur_signer ($dkim_verify_status), but signature is invalid. Wenn die Signatur korrekt ist: X-DKIM: DKIM passed: (address=$sender_address domain=$dkim_cur_signer), signature is good. Erfolgreiche Prüfung der Signatur: X-DKIM: DKIM passed: (address=benutzer@domain.tld domain=domain.tld), signature is good. Bitte beachten Sie: Es werden keine E-Mails abgelehnt, wenn die SPF/DKIM Prüfung anschlägt. Es wird lediglich der Header markiert! Es ist geplant, dass Sie solche Mails künftig auch direkt über eine Einstellung im Kundenmenü ablehnen können. Ja, ne klar.... Setzt ihr denn DKIM und DMARC ein? Ich suche mir jetzt einmal eine Anleitung wie das genau funktioniert und das einzurichten ist ohne das auf einmal keine E-Mails mehr ankommen oder zugestellt werden können Oder hat einer von euch so was rum liegen...?

Hier die Rückmeldung vom Provider: Einen SPF-Record können Sie in den Nameserver-Einstellungen hinterlegen - wir bieten Ihnen dort auch einen Assistenten an, wenn Sie für einen neuen Eintrag den Typ SPF wählen. DMARC wird von uns nicht unterstützt, Sie müssten daher über einen externen Dienstleister gehen, der Ihnen entsprechende Records erzeugt - hinterlegen geht aber auch hier als Nameserver-Eintrag (TXT).