Regionales RechenZentrum Erlangen 02. Februar 2011

Transkript

1 PRAXIS DER DATENKOMMUNIKATION Reiner Fischer Regionales RechenZentrum Erlangen 02. Februar 2011

2 Überblick Allgemeines Unterschiedliche Mail-Welten Internet-Mail: Beteiligte Systeme Briefpost vs. Internet-Mail Mail-Transport SMTP: Historie/Charakteristika SMTP-Dialog Mail-Routing SMTP mit Authentifizierung MIME-Kodierung Zugriff auf Postfach POP3 IMAP Webmail Mailserver am RRZE FAU-Mailrelay FAUMail/StudMail Nachrichtenfilter Server-/Clientseitig Autoreply Sortierfilter Gruppen-Mail am RRZE Funktionsverteiler Funktionspostfach Mailingliste Typische User-Probleme Mail-Projekte am RRZE 2

3 Unterschiedliche Mail-Welten Historisch: unterschiedliche Mail-Standards Firmenstandards, z.b. Novell Microsoft Internetstandard SMTP Simple Mail Transfer Protocol ISO-/CCITT-Standard MHS/X400 im Industriebereich verbreitet im Hochschulbereich ohne Bedeutung Übergang durch Gateways 3

4 Internet-Mail: Beteiligte Systeme Benutzeroberflächen / Mail-Clients vernetzter PC Mail-Client (Thunderbird, Opera, MS Outlook,...) vernetzte Unix-WS Mail-Client (Thunderbird, Opera, mutt, ) Internet-Cafe Web-Browser (Firefox, Opera, MS IE, ) Server für den Mail-Transport Kommunikation (Client-Server und Server-Server) via SMTP (Simple Mail Transfer Protocol) Server für den Postfach-Zugriff Schnittstellen (Zugriffsprotokolle) POP3 (Post Office Protocol Version 3) Einfaches Protokoll mit eingeschränkten Fähigkeiten IMAP (Internet Message Access Protocol) Wesentlich vielseitiger und leistungsfähiger HTTP (Hypertext Transfer Protocol) Webmail, unabhängig von lokalem Rechnerzugang 4

5 Briefpost vs. Internet-Mail Briefumschlag Envelope Briefbogen Content Briefkopf Header Brieftext Body Anschrift Mailadresse Poststempel Received - Header Briefkasten Mail-Server Postamt Mail-Server Verteilerpostamt Mail-Relay-Server 5

6 -Struktur der FAU 6

7 SMTP: Charakteristika der -Standard im Internet (RFC 5321), TCP/IP-basiert nur für ASCII-Texte (7 Bit) konzipiert verwendet MIME (Multipurpose Internet Mail Extensions) als Internet-Standard zur Kodierung/Dekodierung von 8-Bit-Daten RFC 2045 bis RFC 2049 (1996) nutzt Domain Name System (DNS) für Mail-Routing Adressformat gem. RFC 5322 Beispiel: Server wartet standardmäßig auf Verbindunganfragen von Servern und Clients auf TCP-Port 25 (SMTP-Port) von Clients auf TCP-Port 587 (Submission Port) Sendender Server/Client eröffnet SMTP-Dialog telnet <Ziel-Server> <Ziel-Port> ermöglicht manuelle Überprüfung der Erreichbarkeit des Ziel-Servers 7

8 Beispiel für SMTP-Dialog (1) Dialogpartner: <<: Sender-Host (Mailserver oder einliefernder Mailclient) >>: Empfänger-Host (Mailserver) Dialog: >> 220 smtp.uni-erlangen.de Sentinel 2003 ESMTP Service ready << EHLO rabea.rrze.uni-erlangen.de >> 250-smtp.uni-erlangen.de << MAIL >> 250 sender OK << RCPT >> 250 recipient OK 8

9 Beispiel für SMTP-Dialog (2) << DATA >> 354 Enter mail, end with. on a line by itself << From: Reiner.Fischer@rrze.uni-erlangen.de << To: Peter.Test@rrze.uni-erlangen.de << Subject: Testmail << << Dies ist eine Testnachricht. <<. >> 250 Message received and queued Bedeutung der Codes: 45x Sende-Host soll Übermittlung erneut versuchen (temp. Ablehnung) 55x Sende-Host muss Unzustellbarkeitsreport generieren (perm. Ablehnung) 250 nach DATA-Phase: Abnahme-Quittung 9

10 SMTP: Historische Entwicklung RFC 821: Simple Mail Transfer Protocol (1982) RFC 822: Standard for the format of ARPA Internet text messages (1982) RFC 974: Mail routing and the domain system (1986) RFC 1869: SMTP Service Extensions (1995) (ESMTP) RFC 2554: SMTP Service Extensions for Authentication (1999) RFC 2821: Simple Mail Transfer Protocol (2001) ersetzt RFC 821, 974 u.a. RFC 2822: Internet Message Format (2001) ersetzt RFC 822 RFC 3461: SMTP Service Extension for Delivery Status Notifications (DSNs) (2003) RFC 4954: SMTP Service Extensions for Authentication (2007) ersetzt RFC 2554 RFC 5321: Simple Mail Transfer Protocol (2008) ersetzt RFC 2821, 1869 RFC 5322: Internet Message Format (2008) ersetzt RFC

11 SMTP: Mail-Routing (1) Ausgangsrechner: Mailserver, bei dem Einlieferung erfolgt Postausgangsserver für Mail-Clients Dieser bestimmt nächsten Rechner, an den die Mail übermittelt wird Dies kann sein: ein spezieller Rechner, der alle Mails von diesem System annimmt (Relay Host, Smart Relay) ein weiterer Zwischenrechner (Hop) der Zielrechner, auf dem das Postfach des Empfängers liegt In der X400-Terminologie heißen diese Rechner Message Transfer Agent (MTA) Im Internet heißen solche Rechner Mail exchanger (MX) 11

12 SMTP: Mail-Routing (2) Zieladresse: Adressteil hinter wird als IP-Domain interpretiert und als Mail-Domain bezeichnet. Sender-Host sucht Ziel-Host für die Mail- Domain über einen MX-Record im DNS: DNS-Request mit Type = mx für Mail exchanger (=Ziel-Host) Antwort: Satz von Rechneradressen inkl. Präferenz Antwort: non-existent domain, falls kein Eintrag gefunden wird. Mail wird direkt an den so ermittelten MaileXchanger abgeschickt. 12

13 SMTP: Mail-Routing (3) Beispiele: MX-Einträge für Mail-Domains der FAU Mail-Domain rrze.uni-erlangen.de: rrze.uni-erlangen.de preference 10 mx-rz-1.rrze... rrze.uni-erlangen.de preference 10 mx-rz-2.rrze... rrze.uni-erlangen.de preference 10 mx-rz-3.rrze... Mail-Domain physik.uni-erlangen.de: physik.uni-erlangen.de preference 10 faurelaysub-1.rrze... physik.uni-erlangen.de preference 10 faurelaysub-2.rrze... physik.uni-erlangen.de preference 20 faurelaysub-3.rrze... 13

14 SMTP: Mail-Routing (4) DNS-Einträge für FAU werden vom RRZE zentral verwaltet (Beantragung von MX-Einträgen durch Subnetzbetreuer an mit Kopie an MX-Einträge nachschlagen im RRZE-Unix-Verbund mit /usr/sbin/nslookup set type=mx Adreßteil hinter eingeben (z.b. rrze.uni-erlangen.de) für weitere Hilfe? zum Verlassen: exit nslookup-kommando auch unter Windows vorhanden Neuere Alternative: dig 14

15 SMTP/AUTH: Hintergrund Problem: Nutzung eines SMTP-Servers i.d.r. nur möglich, wenn sich der Host des Senders im gleichen Netz befindet wie der Server (Spam-Relay-Schutz) Abhilfe: SMTP/AUTH als Erweiterung des ESMTP- Protokolls um Authentifizierungsmechanismen mit Benutzername und Passwort (RFC 4954) Bei Mechanismen mit Klartextübertragung von Benutzername und Passwort nur zusammen mit Verbindungsverschlüsselung (TLS/SSL) sinnvoll Verbindungsverschlüsselung i.a. nur bis zum Einlieferungsserver, nicht auf dem gesamten Transportweg! 15

16 SMTP/AUTH: Gängige Mechanismen SASL-Mechanismen (Simple Authentication and Security Layer) PLAIN (RFCs 2595, 4616) Klartext-Übertragung von Benutzername/Passwort (nur base64-kodiert) CRAM-MD5 (RFC 2195) LOGIN Challenge-Response-Prinzip auf Basis des MD5-HMAC-Algorithmus Keine Klartext-Übertragung von Benutzername/Passwort Sichere Authentifizierung auch über unverschlüsselte Kanäle Wie PLAIN, aber Übertragung von Benutzername/Passwort in zwei Schritten SPA (Secure Password Authentication) basiert auf Microsoft-eigenem Authentifizierungsprotokoll NTLM 16

17 MIME-Kodierung Kodierstandard für Nicht-ASCII-Zeichen RFCs 2045 Multipurpose Internet Mail Extensions (MIME) (1996) ergänzt durch RFCs bzw Verwendet die Standard-Mail-Header Content-Type Content-Transfer-Encoding Kodiermethoden quoted-printable (für Nicht-7bit-ASCII-Zeichen) base64 (bei Windows/Unix für Binärdaten) erhöht Platzbedarf um etwa 33% binhex (bei Apple Macintosh für Binärdaten) Multipart-Message mit mehreren Bodyparts, abgegrenzt durch Grenzlinie (boundary) Erweiterter Standard für Inhaltsverschlüsselung und digitale Signatur PGP/MIME (kompatibel zu PGP) S/MIME (Secure MIME) 17

18 MIME-Kodierung: Textnachricht Return-Path: Received: from [ ] by max6.rrze.uni-erlangen.de with ESMTP for Mon, 24 Nov :11: From: Reiner Fischer Date: Mon, 24 Nov :11: To: Peter Test Subject: Testmail Message-ID: User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.0; en-us; rv:1.4) Gecko/ MIME-Version: 1.0 Content-Type: text/plain; charset=us-ascii Content-Transfer-Encoding: 7bit Dies ist eine Testnachricht. 18

19 MIME-Kodierung: Mehrteilige Nachricht From: To: Subject: der Betreff der Nachricht MIME-Version: 1.0 Content-type: multipart/mixed; boundary="example-1" --example-1 Content-type: text/plain; charset=utf-8 Hier steht der Text dieser Beispielnachricht. --example-1 Content-type: image/gif; name="bild.gif" (Art der Nachricht, z.b. Klartext, Bilder...) Content-Transfer-Encoding: base64 (Kodierverfahren) R0lGODlhIgFGAOYAAABmmYCruf///zCIpa/S3QCZzECZtgCNvN/p7CB3lKDDzmCZrA CGsxB2 $(B!D(B --example

20 MIME-Kodierung: Delivery Status Notification (DSN) Return-Path: <> To: From: Subject: Delivery failure for Content-Type: multipart/report; report-type=delivery-status; boundary=defgh MIME-Version: defgh Your message, originally addressed to and forwarded from there to could not be delivered, for the following reason: write error to mailbox, disk quota exceeded --defgh Content-type: message/delivery-status Reporting-MTA: Boondoggle.GOV Original-Envelope-ID: QQ Original-Recipient: Final-Recipient: Action: failed Status: (disk quota exceeded) --defgh Content-type: message/rfc822-headers (headers of returned message go here) --defgh-- 20

21 SMTP: Adressmodifikation (Rewriting) Unterscheidung von Mailadressen auf dem Briefumschlag (Envelope): für tatsächliche Adressierung entscheidend, für Benutzer unsichtbar auf dem Briefkopf (Header): für tatsächliche Adressierung unerheblich Domainspezifisches Rewriting von Absender- und Zieladresse Benutzerspezifisches Rewriting der Absenderadresse Empfängerspezifisches Rewriting der Zieladresse z.b. Alias-Auflösung oder Auto-Forward ggf. wird neuer Zielhost nach Adress-Rewriting über DNS ermittelt. 21

22 Postfach-Zugriff per POP3 Aktueller Standard: POP3 (RFC 1939) ergänzt durch RFCs 1957, 2449, 5034 Download der Mails vom Server auf den lokalen Rechner Authentifizierung mit Benutzername und Passwort Eingeschränkter Zugriff auf die Mails auf dem Server manche Mail-Clients erlauben selektiven Zugriff Wahlweise Löschen der Mails auf dem Server nach erfolgreichem Download oder Belassen einer Kopie auf dem Server Vorteile: einfaches Protokoll, wenige Befehle, leicht konfigurierbar Offline-Betrieb nach Download von praktisch allen Mail-Clients und Providern unterstützt Nachteile: unhandlich bei wechselnden Arbeitsplätzen 22

23 Postfach-Zugriff per IMAP Proposed Standard : RFC 3501 (IMAP4rev1, 2003) Updates: RFCs 4314, 4466, 4469, 4551 Kein Download der Mails vom Server auf lokalen Rechner notwendig, aber möglich Zugriff auf Server-Ordner wie auf lokale Ordner Verwaltung von Mail-Ordnern auf dem Server (Erstellen, Umbenennen, Löschen; Setzen/Löschen von Flags; Suchen von Mails) Offline-Betrieb und Resynchronisation mit dem Server Vorteile: Zugriff auf zentrales Postfach von verschiedenen Arbeitsplätzen aus (gleiche Sicht unabhängig vom Standort) wird von allen gängigen Mail-Clients und den meisten Mailprovidern unterstützt 23

24 Mailserver am RRZE FAU-Mail-Relay (3-fach ausgelegt) Greylisting Virenfilter Spamanalyse Relaying + Rewriting Mailinglistenverwaltung z.t. weitere Spamabwehrmassnahmen (RBL-Blacklists, HELO-Checks) Message Store (2-fach ausgelegt) mit dediziertem Fileserver FAUMail- / StudMail-Postfächer mit POP-/IMAP-/Web-Zugang Serverseitige Zustellfilter, Ordnerbasierte Vorhaltezeiten, Shared Folders, Funktionspostfächer Webmail-Portal mit Zusatzfunktionen ( RRZE Mail Einstellungen ) Änderung des Mailpassworts (jetzt ausschliesslich über IdM Self Service) Einstellung von Postfachzustellung/Weiterleitung (jetzt auch über IdM Self Service) Abonnieren diverser Mailinglisten Management-Funktion für Funktionsverteiler Mercury- Server (IZI, IZN) unter Novell Novell GroupWise-Server 24

25 FAU-Mailrelay des RRZE Smart Relays: für Mail-Server innerhalb FAU-Netz: mailhub.rrze.uni-erlangen.de für Mail-Clients innerhalb FAU-Netz: smtp.uni-erlangen.de für Mail-Clients von überall: smtp-auth.uni-erlangen.de Zentraler Eintrittspunkt für Mail aus dem Internet in die FAU (historisch bedingt zusätzl. der Mail-Relay der Informatik) Relay-Server und Spam-Relay-Schutz für andere Mail-Server der FAU (Relaying nur für IP-Adressbereiche der FAU und ext. Kunden) Software: BT Sentinel 2003 (kommerziell) + Postfix (Open Source) Zusatzdienste neben Relaying und Rewriting Seit Okt. 2003: Zentrale Spam-Analyse und -Markierung Seit Okt. 2004: Zentraler Virenfilter Seit Feb. 2006: Greylisting als Spam-Abwehrmassnahme für alle Mail-Domains der FAU Seit Feb. 2010: RBL-Blacklists, HELO-Checks, für einige Domains 25

26 SMTP/AUTH am FAU-Mailrelay FAU-Mailrelay kann mit SMTP/AUTH von Studierenden und Mitarbeitern der FAU auch bei Internetverbindung über beliebige Provider zum Einliefern von Mail genutzt werden Konfigurationsdaten für Mailprogramm: Postausgangsserver: smtp-auth.uni-erlangen.de Port 587, TLS bzw. STARTTLS aktiviert (bevorzugt) Port 465, SSL aktiviert (alternativ) Benutzername: Mailadresse Passwort: Mailpasswort 26

27 POP3-Server am RRZE für FAUMail-/StudMail-Postfächer Posteingangsserver: faumail.uni-erlangen.de Zugangsdaten: Mailadresse, Mailpasswort Port 110 mit TLS/STARTTLS (bevorzugt) Port 995 mit SSL für GroupWise-Postfächer Posteingangsserver: gwia.uni-erlangen.de Zugangsdaten: GroupWise-Kennung/-Passwort Port 110 mit TLS/STARTTLS (bevorzugt) Port 995 mit SSL für Mercury-Postfächer (historisch, werden abgebaut) Beispiel: Jura am IZI Posteingangsserver: pop.jura.uni-erlangen.de Zugangsdaten: Vollständiger Novell-Kontext, Novell-Passwort Port 110 (unverschlüsselt) 27

28 IMAP-Server am RRZE für FAUMail-/StudMail-Postfächer: Posteingangsserver: faumail.uni-erlangen.de Zugangsdaten: Mailadresse, Mailpasswort Port 143 mit TLS/STARTTLS (bevorzugt) Port 993 mit SSL für GroupWise-Postfächer Posteingangsserver: gwia.uni-erlangen.de Zugangsdaten: GroupWise-Kennung/-Passwort Port 143 mit TLS/STARTTLS (bevorzugt) Port 993 mit SSL 28

29 Auto-Forward unter FAUMail/StudMail Webmail-Portal Zugangsdaten: Mailadresse, Mailpasswort Menü RRZE Mail Einstellungen >> Postfach/Weiterleitung Haken bei FAUMail-Postfach setzen und/oder Weiterleitungsadresse eintragen IdM Self Service Menü Dienstleistungen, Typ Achtung: Änderungen werden bis zu drei Stunden später aktiv 29

30 Nachrichtenfilter Ausführen bestimmter Aktionen mit Mails, die vorgegebene Kriterien bzgl. bestimmter Kopfzeilen und/oder Inhalte erfüllen Anwendungen: Spam-Filter: siehe Ordnen der Mail nach Funktionsbereich des Adressaten anhand klassifizierender Zeichenfolgen in Betreffzeile u.ä. Serverseitige Zustellfilter (Delivery Filters) FAUMail/StudMail: >> Serverseitige Filter Clientseitige Filter Mozilla Thunderbird: Tools Message Filters Pegasus Mail: Tools Mail filtering rules 30

31 Autoreply unter FAUMail/StudMail Webmail-Portal Menü Serverseitige Filter Filtervorlage Automatische Antwort verwenden Vermeidet Autoreply-Loops Sendet Autoreply nur dann an Absender, wenn dessen letzte Mail bereits 7 Tage zurück liegt Anwendung: u.a. Abwesenheitsnotizen 31

32 Gruppen-Mail am RRZE Oberbegriff für die Adressierung mehrerer Empfänger über eine einzige Mailadresse Varianten Funktionsverteiler Verteilung an Einzeladressen -> ggf. Mehrfachspeicherung z.t. administrierbar über FAUMail-Portal Funktionspostfach unter FAUMail Speichernde Stelle mit verantwortlicher Person Freigabemöglichkeit an weitere Personen Funktionalität wie persönliches Postfach Vermeidung von Password Sharing Mailingliste Umfangreiche Zugriffsschutzmechanismen Listenverwaltungssysteme am RRZE: Majordomo (Open Source, wird abgelöst) nur Mailinterface Mailman (Open Source) Mail- und Webinterface 32

33 Typische Mailprobleme (1): POP3-Zugriff bricht ab Häufige Ursache: übergroße Mail in der Server-Mailbox Timer des Mail-Client-Programms läuft ab (speziell bei schmalbandiger Internetverbindung) Verbindungsabbruch durch Mail-Client Abhilfe: selektives Löschen der entsprechenden Mail auf dem Server, danach normalen POP3-Zugriff erneut starten Problem: Manche Mail-Clients erlauben über POP3 keinen selektiven Zugriff auf einzelne Mails Lösung: Hilfsprogramme 33

34 Typische Mailprobleme (2): Hilfsprogramme für POP3-Benutzer Eremover (Freeware): siehe ftp://ftp.uni-erlangen.de/pub/internet/mail/setup24.exe POP3-Manager (Freeware): Nur Briefköpfe werden heruntergeladen Datum, Absender, Betreff und Größe der Mails Erlaubt selektives Löschen von Mails aus der Server-Mailbox Eremover: Konfiguration mehrerer Mail-Accounts möglich Sehr hilfreich, wenn Download der Mails vom Server blockiert, weil sich z.b. eine übergroße Mail in der Mailbox befindet 34

35 Typische Mailprobleme (3): Syntaxfehler in Mailadressen Gültige Adressierungen gem. RFC 5322: Hans Prof. Dr. Hans Muster Prof. Dr. Hans Muster (Institut A) Unzulässige Adressierungen gem. RFC 5322: Prof. Dr. Hans Muster Hans (Prof. Dr. Hans Muster) Ursache oft fehlerhafte Adressbucheinträge Vorsicht bei Cut & Paste! Strichpunkt als Trennzeichen für Adressen nicht erlaubt! 35

36 LDAP-Verzeichnisdienste am RRZE Hierarchisch organisierte Datenhaltung (Baumstruktur) Datenbasis für Mail-Routing am FAU-Mail-Relay domainspezifisch und benutzerspezifisch Datenbasis für die Alias-Tabellen von Mailservern diverser Einrichtungen der FAU Elektronisches Adressbuch für Mailprogramme LDAP-Schnittstelle (Lightweight Directory Access Protocol) Server name: ldap.rrze.uni-erlangen.de, Port 389 Search root: o=universitaet Erlangen-Nuernberg, c=de Benutzerverwaltung 36

37 Mailprojekte am RRZE FAUMail / StudMail Ablösung des kommerziellen Message Store (BT IntraStore 2003) durch Open-Source-Produkt (Dovecot) Umwandlung bestehender Majordomo-Listen in Mailman- Listen (Neuanlage von Mailinglisten ausschließlich unter Mailman) Ablösung der kommerziellen Mailrelay-Software durch Open-Source-Produkt (Postfix) Projekt IdMail (IdM-Anbindung für Dienst ) Groupware-Projekt Exchange@FAU 37

38 Dokumentation Mail-Dienste am RRZE: RRZE-Starthilfe: Starthilfe ins Internet (Konfiguration von Mailprogrammen, u.a. Spamfilterkonfiguration u.v.m): Antworten auf die häufigsten Fragen: 38

39 Kontaktadressen Allgemeiner First-Level Support: (erzeugt Helpdesk-Ticket) Probleme mit benutzerseitiger Mailkonfiguration: Mail-Routing / Funktionsverteiler/-postfächer / Mailinglisten: postmaster@uni-erlangen.de Spam-Probleme: spam-admin@rrze.uni-erlangen.de 39