Win2019 - SMTP-Server Telekom Relay

[Heckflosse 10]

Hallo, 

ich benötige für den E-Mail-Versand den MS SMTP-Server als Relay. Als Smarthost dient der Telekom Relay-Server unter der Adresse: securesmtprelay.t-online.de. Das passende Paket dazu ist verfügbar. Benutzername und Kennwort sind auch korrekt. Der Versand über einen Kerio Mail-Server über das Relay funktioniert einwandfrei.
Beim IIS SMTP bekomme ich jedoch folgende Meldungen:
-Die Nachrichtenübermittlung an den Host "194.25.134.102" ist fehlgeschlagen, während an die Remotedomäne  "t-online.de" übermittelt wurde. Ursache: Der Remote-SMTP-Dienst hat die AUTH-Vereinbarung zurückgewiesen.
-Für die virtuelle SMTP-Serverinstanz '1' wurde kein verwendbares TLS-Serverzertifikat gefunden. Für diesen virtuellen Server wird TLS deaktiviert.
TLS ist in den Eigenschaften des SMTP aktiviert. 

Kann es sein, dass der 2019er SMTP eine veraltete TLS-Version verwendet die von T-Online nicht unterstützt wird?

Gruß

[NorbertFe 2.276]

vor 16 Minuten schrieb Heckflosse:

dass der 2019er SMTP eine veraltete TLS-Version verwendet die von T-Online nicht unterstützt wird?

2019 hat per default NUR TLS 1.2 mit den dazugehörigen ciphers aktiv, da aber der SMTP seit Jahren abgekündigt ist, solltest du da ggf. nach einer anderen Lösung schauen, falls der eben kein TLS 1.2 sprechen sollte. Am Ende steht doch klar da, was ihn stört im SMTP Service ist kein TLS Zertifikat (oder kein valides) gebunden. Aber ansonsten musst du mal per nmap nachschauen, welche TLS Version und welche Ciphers angeboten werden.

 

bearbeitet 17. Januar 2024 von NorbertFe

[zahni 587]

Vielleicht fehlt das Root-Zertifikat im Cert-Store? Besonders wenn der Server die CA-Liste nicht automatisch updaten kann?

[NorbertFe 2.276]

Die Fehlermeldung läßt eher darauf schließen, dass da ein Zertifikatsnamen mismatch besteht.

[zahni 587]

vor 2 Minuten schrieb NorbertFe:

Die Fehlermeldung läßt eher darauf schließen, dass da ein Zertifikatsnamen mismatch besteht.

Das kann auch sein. Vielleicht IP-Adresse eingetragen?

[Heckflosse 10]

Beim Tausch des FQDN zur IP erscheint bei OK: Der Domänenname ist ungültig.

[zahni 587]

vor 25 Minuten schrieb Heckflosse:

Beim Tausch des FQDN zur IP erscheint bei OK: Der Domänenname ist ungültig.

Das darfst Du natürlich nicht. Hostname ist FQDN ist richtig. Überwelchen Port willst Du denn TLS machen?

 

PS: Port 465 macht dort Plain TLS, 25 StartTLS. Was kann der MS-SMTP-Server gleich nochmal...?

bearbeitet 17. Januar 2024 von zahni

[NorbertFe 2.276]

vor 41 Minuten schrieb Heckflosse:

Beim Tausch des FQDN zur IP erscheint bei OK: Der Domänenname ist ungültig.

 

Welcher Name steht denn im Zertifikat?

 

IP Adressen müssen in brackets.

Zitat

If you type an IP address, enclose the address in brackets (for example, [192.168.188.228]). When you do so, you can increase performance because Microsoft SMTP Service does not perform name resolution.

 

[Heckflosse 10]

T-Online will Port 25 mit TLS oder 465 mit SSL. Da beim IIS SMTP nur TLS wählbar ist, habe ich Port 25 konfiguriert. IP in Brackets bringt auch keine Verbesserung.

 

vor 40 Minuten schrieb NorbertFe:

 

Welcher Name steht denn im Zertifikat?

 

Welches Zertifikat meinst Du? Ich selbst habe keins installiert oder von T-Online bekommen? 

 

[zahni 587]

Plain TLS funktioniert bei Port 25 nicht. Dort StartTLS nutzen. Kannst hier testen:

 

https://esmtp.email/tools/tls/

[Heckflosse 10]

Da kommt das:

[Nobbyaushb 1.580]

vor 2 Stunden schrieb Heckflosse:

 

Hallo, 

ich benötige für den E-Mail-Versand den MS SMTP-Server als Relay.

Warum muss das denn ein MS-Server mit SMTP sein?
Du hast ja selber geschrieben, das es mit einem Kerio klappt

[Heckflosse 10]

Weil es leider eine Bastelumgebung ist. Der Kerio ist auf T-Online-Adressen eingerichtet. Somit können Kerio-intern alle Mails an eine T-Online-Adresse nicht zugestellt werden, weil die Benutzerpostfächer nicht existieren. Ich lasse diese nicht zustellbaren E-Mails weiterleiten an den MS SMTP, dieser sendete per 1und1-Relay weiter. 1und1 hat aber seit gestern Ihre Sicherheit erhöht und der Versand mit nicht identischen Absenderdomänen ist nicht mehr möglich. 
 

[testperson 1.857]

Hi,

 

ob jetzt ein guter Zeitpunkt wäre einen Schlussstrich unter diese Bastelei zu ziehen und das einfach vernünftig umzusetzen?

 

Gruß

Jan

[Heckflosse 10]

So wird es kommen. Jetzt heißt es zunächst einen Workaround zu finden. Der Umstieg auf M365 dauert etwas.

Ich werde es mal hiermit probieren: https://www.hmailserver.com/