Senden über Sophos UTM?

[Dabinam 1]

Hallo zusammen,

ich habe mal eine Frage zum Versenden von Mails mit einem Exchange Server 2019. 

Momentan ist es so konfiguriert, dass der Exchange Server beim Versenden von E-Mails diese zuerst an eine Sophos UTM schickt und diese dann über einen Smarthosteintrag zum 1und1 Server (mit Authentifizierung) weiterleitet.

Macht das ganze eigentlich Sinn oder sollte beim Exchange Server nicht gleich im Sende-Connector der 1und1 Server konfiguriert werden?

Danke schonmal für eure Hinweise.

[NorbertFe 1.809]

Geht beides. Welche Variante die "bessere" ist, kann man so pauschal nicht sagen.

[testperson 1.538]

Hi,

 

spontaner Benefit durch die UTM wäre DKIM.

 

Ich würde ggfs. prüfen, ob man den 1und1 Smarthost nicht aus dem Mailflow raus bekommt.

 

Gruß

Jan

[NorbertFe 1.809]

Genau, denn der stört bei DKIM, bzw. das DKIM der Sophos wär dann überflüssig. Ansonsten kann Exchange mit zusätzlichem Transport Agent auch DKIM, wenn man mag/muss.

 

Bye

Norbert

[Dabinam 1]

vor 49 Minuten schrieb testperson:

Ich würde ggfs. prüfen, ob man den 1und1 Smarthost nicht aus dem Mailflow raus bekommt.

Wie prüft man sowas?

[testperson 1.538]

Habt ihr (mindestens) eine statische, öffentliche IPv4 Adresse?

[Nobbyaushb 1.362]

Meine erste Frage in dem Zusammenhang wäre, wie kommen die Mails vom Provider (1und1) zu dem Exchange bzw. zu der UTM?

[Dabinam 1]

vor 15 Stunden schrieb testperson:

Habt ihr (mindestens) eine statische, öffentliche IPv4 Adresse?

Ja, haben wir.

[testperson 1.538]

Hi,

 

dann wäre es "grob" in diesen beiden Artikeln beschrieben:

• Exchange Server: Umstellung von POP Abruf zu MX Record - Frankys Web
• Sophos UTM: Konfiguration der Email Protection für Exchange - Frankys Web

Gruß

Jan

[Dabinam 1]

vor 13 Stunden schrieb Nobbyaushb:

Meine erste Frage in dem Zusammenhang wäre, wie kommen die Mails vom Provider (1und1) zu dem Exchange bzw. zu der UTM?

Die Sophos nimmt die E-Mails (SMTP) an, macht Viren-und Spamschutz und sendet dann an den Exchange Server.

Der Sendeconnector des Exchange Servers zeigt auf die Sophos, die wiederum an einen 1und1-Server weiterleitet.

[Nobbyaushb 1.362]

vor 19 Minuten schrieb Dabinam:

Die Sophos nimmt die E-Mails (SMTP) an, macht Viren-und Spamschutz und sendet dann an den Exchange Server.

Der Sendeconnector des Exchange Servers zeigt auf die Sophos, die wiederum an einen 1und1-Server weiterleitet.

OK, das heißt ihr Empfangt die Mails per SMTP - warum dann über den 1und1 senden?

Oder Stellt 1und1 die Mails per SMTP zu?

Extern ausgestelltes Zertifikat werdet ihr ja haben, also warum nicht direkt senden?

Wohin zeigen denn MX und PTR Record?

 

Das man alles fragen muss...

bearbeitet 4. Juli 2023 von Nobbyaushb

[Dabinam 1]

vor 3 Stunden schrieb Nobbyaushb:

OK, das heißt ihr Empfangt die Mails per SMTP - warum dann über den 1und1 senden?

Genau das will ich herausbekommen - hat ein Vorgänger konfiguriert und ich will jetzt vielleicht was verbessern/korrigieren.

 

vor 3 Stunden schrieb Nobbyaushb:

Oder Stellt 1und1 die Mails per SMTP zu?

Ja, sieht so aus.

Der Header einer versendeten E-Mail sieht gekürzt so aus:

from mout.kundenserver.de ([xxx.xxx.xxx.xxx])

Received:    
from Name_Sophos_UTM ([unsere-externe_IP-Adresse]) by mrelayeu.kundenserver.de

Received:    
from [IP-Adresse Exchange Server] (port=49421 helo=Exchange-Server.UnsereDomain.de) by Name_Sophos_UTM

 

vor 3 Stunden schrieb Nobbyaushb:

Extern ausgestelltes Zertifikat werdet ihr ja haben, also warum nicht direkt senden?

Ja, wir haben eine offizielles, gekauftes Zertifikat .

 

vor 3 Stunden schrieb Nobbyaushb:

Wohin zeigen denn MX und PTR Record?

 

Der MX-Record zeigt auf Mail.UnsereDomain.de und unsere unsere-externe_IP-Adresse 

 

Google Public DNS sagt zu unserem PTR-Record:

unsere-externe_IP-Adresse.in-addr.arpa

"Answer": [
    {
      "name": "unsere-externe_IP-Adresse.in-addr.arpa.",
      "type": 12 /* PTR */,
      "TTL": 21600,
      "data": "ip-unsere-externe_IP-Adresse.in-addr.arpa.um19.pools.vodafone-ip.de."

}

 

 

 

 

[Nobbyaushb 1.362]

Moin,

https://mxtoolbox.com/

sagt dir dir alles

Wenn die (scheinbar) direkt kommen und auch ein Zertifikat da ist, warum dann der Versand über den Smarthost?

Wäre noch zu klären, welche SAN im Zertifikat stehen

[Dabinam 1]

vor einer Stunde schrieb Nobbyaushb:

Wäre noch zu klären, welche SAN im Zertifikat stehen

Bei uns stehen drei Namen im Zertifikat:

Exchange.UnsereDomain.de

Autodiscover.UnsereDomain.de

OWA.UnsereDomain.de

 

Muss dann nur im Sendeconnector des Exchange Servers "Mit der Empfängerdomäne verbundener MX-Eintrag" ausgewählt werden?

 

 

 

[NorbertFe 1.809]

vor 3 Minuten schrieb Dabinam:

Muss dann nur im Sendeconnector des Exchange Servers "Mit der Empfängerdomäne verbundener MX-Eintrag" ausgewählt werden?

 

Im Endeffekt ja. Dazu sollte dann im Sendeconnector natürlich einer der Namen des Zertifikats im EHLO String stehen.

 

Bye

Norbert