Steuern vn SMTP-Relaying mit Micrsft Exchange (Engl. Originaltitel : Cntrlling SMTP Relaying with Micrsft Exchange) Vn Paul Rbichaux Definitin vn Relaying Wenn Sie schn einmal unerwünschte Spammail in Ihrem Pstfach vrgefunden haben, wissen Sie bereits, was Relaying (Weiterleitung) bedeutet: das Verwenden eines Servers zum Annehmen und anschließenden erneuten Senden vn E-Mail an Empfänger auf einem anderen Server. Im einfachsten Fall stellt alice@a.cm eine Verbindung zum SMTP-Server unter b.cm her und verwendet diesen zum Übermitteln einer Nachricht an charlie@c.cm. Beachten Sie, dass sich dieser Vrgang vm Verwenden des SMTP-Servers der eigenen Organisatin vn Alice unterscheidet. Dies ist ein realistischeres Beispiel: Angenmmen, Sie sind mit Ihrem Laptp unterwegs. Sie verfügen möglicherweise über eine DFÜ-Verbindung (der eine Breitbandverbindung), die Ihnen eine IP-Adresse außerhalb Ihres nrmalen Netzwerkblcks zuweist. Wenn Ihr SMTP-Server Nachrichten vn Ihnen für die Übermittlung an Dritte akzeptiert (z. B. Adressen, die sich nicht auf Ihrem eigenen Mailserver befinden), handelt es sich um Relaying. Ein Server, für den Relaying aktiviert ist, akzeptiert E-Mail für Empfänger in anderen Dmänen und versucht anschließend, diese erneut zu übermitteln. Erwägenswerte Aspekte In einigen Fällen ist Relaying wünschenswert, z. B., wenn Sie unterwegs sind und den regulären Cmputer mit Exchange Server als SMTP-Hst verwenden möchten. Es ist jedch wichtig, Relaying mit Einschränkungen und Authentifizierung zu kmbinieren. Wenn Sie anders vrgehen, können Spammailsender Ihr Relay zum Senden vn Spamnachrichten verwenden und Sie scheinen verantwrtlich zu sein, weil die Nachrichten vn Ihrem Server zu stammen scheinen! Sie vermeiden nicht nur die Verbreitung vn Spammail, sndern verhindern auch, dass Sie einen Kanal für Spammail zur Verfügung stellen, wenn Sie die Relayeinstellungen des Cmputers mit Exchange Server richtig knfigurieren. Sie sparen Bandbreite und gehen möglichem Ärger aus dem Weg. Mögliche Aktinen gegen Spammail Für Exchange Server 5.5 und Exchange 2000 Server sind separate Knfiguratinsvrgänge erfrderlich. In beiden Fällen knfigurieren Sie die Kmpnente, die Internet-E-Mail verarbeitet s, dass E-Mail zurückgewiesen wird, die an nicht lkale Empfänger adressiert ist. Außerdem können Sie einige zusätzliche Einstellungen vrnehmen, die Relaying mit Authentifizierung der vn bestimmten IP-Adressen zulassen. Denken Sie daran, dass Sie Relaying auf irgendeine Art aktivieren müssen, wenn der Cmputer mit Exchange Server SMTP-Dienste für POP3- der IMAP4-Clients bereitstellt. Blckieren vn Relaying in Exchange 2000 Server Exchange 2000 Server verfügt über eine sehr flexible Sammlung vn integrierten Antirelayfeatures. Sie knfigurieren diese auf der Ebene des virtuellen SMTP-Servers und können daher unterschiedliche Relayeigenschaften für verschiedene Server festlegen. Eine gebräuchliche Anwendungsweise für dieses Vrgehen besteht im Einrichten zweier virtueller Server: eines Servers, auf dem Relaying an Prt 25 für Standardverkehr deaktiviert ist, swie eines weiteren Servers, für den auf Authentifizierung basierendes Relaying an einer nicht standardmäßigen Prtnummer aktiviert ist. Die Remteclients können ihre Mailclients für die Verwendung des nicht standardmäßigen Prts knfigurieren. Diese Vrgehensweise vermeidet das Prblem vn Spammailsendern, die nach geöffneten Relays suchen, auf elegante Weise.
Der tatsächliche Vrgang zum Steuern vn Relays ist einfach, unterscheidet sich jedch geringfügig in Abhängigkeit davn, b Sie Relaying für den virtuellen SMTP-Server der einen SMTP-Cnnectr knfigurieren möchten. (Wenn Sie den Unterschied zwischen virtuellen Servern und Cnnectrs nicht kennen, lesen Sie den Micrsft Knwledge Base-Artikel Q294736 [englischsprachig]). Cnnectrrelaysteuerungen werden in diesem Beitrag nicht behandelt. Lesen Sie den Abschnitt "Weitere Infrmatinen" weiter unten, um Einzelheiten zu erfahren. Steuern vn Relaying des virtuellen SMTP-Servers 1. Starten Sie den Exchange 2000 System-Manager. Navigieren Sie zu Ihrem virtuellen Standardserver für SMTP (Sie finden diesen, wenn Sie unter Administrative Gruppen zunächst auf Ihre_Admin_Gruppe, dann auf Ihr_Servername und anschließend auf Prtklle/SMTP klicken). 2. Klicken Sie mit der rechten Maustaste auf den virtuellen Server, und klicken Sie dann auf Eigenschaften. 3. Wählen Sie die Registerkarte Zugriff aus. 4. Verwenden Sie die Schaltfläche Verbindung zur Angabe, welche Adressen SMTP-Verbindungen herstellen dürfen, um eingehende SMTP-Verbindungen auf einen bestimmten Adressbereich zu beschränken (z. B., wenn Ihre POP3/IMAP4-Clients einen Blck vn Adressen über eine VPN- der DFÜ-Verbindung verwenden). Beachten Sie, dass die Einstellungen im Dialgfeld Verbindung für alle Hsts gelten, die versuchen, diesen SMTP-Server zu verwenden. Zum Steuern vn SMTP-Relaying klicken Sie auf die Schaltfläche Relay. Im Dialgfeld Relayeinschränkungen (Relay Restrictins; siehe Abbildung 1) können Sie eine der flgenden Optinen auswählen: Aktivieren Sie das Optinsfeld Nur Cmputern in der Liste unten (Only the list belw) und lassen die Cmputerliste dann leer, um das gesamte Relaying vn allen Adressen zu deaktivieren. Dies ist die Standardeinstellung. Für das Zulassen vn Relaying vn einem einzelnen Cmputer der einem Blck vn Netzwerkadressen verwenden Sie die Schaltfläche Hinzufügen (Add). S fügen Sie die IP- Adressen der Blöcke hinzu, deren Relay möglich sein sll (siehe Abbildung 2). Sie können auch Relaying über den Dmänennamen statt über die IP-Adresse zulassen. Dies führt jedch zu einer Leistungsverschlechterung. Wählen Sie das Optinsfeld Alle, mit Ausnahme der Cmputer in der Liste unten (All except the list belw) aus, um eine bestimmte IP-Adressmenge zu blckieren, und verwenden Sie dann die Schaltfläche Hinzufügen, um die entsprechenden Cmputer der Netzwerkadressen hinzuzufügen, über die das Relay möglich sein sll. Stellen Sie sicher, dass das Kntrllkästchen Jedem Cmputer, der erflgreich authentifiziert ist, unabhängig vn der Liste ben das Relay erlauben (Allw all cmputers which successfully authenticate t relay, regardless f the list abve) aktiviert ist, um für in Exchange 2000 Server authentifizierte Cmputer, unabhängig vn anderen definierten Einschränkungen, das Relay zuzulassen.
Abbildung 1: Relayeinschränkungen Abbildung 2: Hinzufügen der Relayerlaubnis
Blckieren vn Relaying in Exchange Server 5.5 Das Wichtigste zuerst: Exchange Server 5.5 hat zu der IMS-Schnittstelle Relaysteuerungsfeatures in Service Pack 1 hinzugefügt. Sie sllten unbedingt das aktuellste Service Pack ausführen. Wenn dies nch nicht der Fall ist, sllten Sie die deutsche bzw. die englische Versin dwnladen und installieren, bevr Sie den Vrgang mit diesen Anleitungen frtsetzen. Jedes Service Pack enthält Sicherheitsfixes, die auf jedem internetfähigen Server vrhanden sein sllten. (Wenn Sie aus unerfindlichen Gründen nicht auf Service Pack 1 der höher aktualisieren können, lesen Sie den Micrsft Knwledge Base-Artikel Q193922 (englischsprachig), um Hilfe zum manuellen Knfigurieren des IMS-Relayuntersystems zu erhalten). Wenn Sie IMS installieren, fragt das Exchange-Administratinsprgramm, b Relaying aktiviert werden sll; standardmäßig ist Relaying deaktiviert. Nach der Installatin steuern Sie Relaying in Exchange Server 5.5 über die Registerkarte Weiterleitung [Ruting],siehe Abbildung 3) des Dialgfeldes Eigenschaften für Internet Mail-Dienst (Internet Mail Service Prperties). Beachten Sie, dass jede Änderung der Relayeinstellungen erfrdert, dass Sie IMS beenden und anschließend neu starten, bevr diese wirksam werden kann. Abbildung 3: Registerkarte "Weiterleitung" des Dialgfeldes "Eigenschaften für Internet Mail-Dienst" S deaktivieren Sie Relaying vllständig Wenn Sie jedes SMTP-Relaying hne Ausnahme verhindern möchten, stellen Sie sicher, dass das Optinsfeld Eingehende SMTP-Nachrichten nicht umleiten (D nt rerute incming SMTP mail) ausgewählt ist. S einfach ist das! Dieses Optinsfeld kann möglicherweise für Server innerhalb des Firewalls aktiviert sein, die nrmalerweise keine Verbindungen vn Clients außerhalb des Firewalls annehmen.
S lassen Sie einige Arten vn Relaying zu Zuerst müssen Sie Relaying aktivieren, indem Sie das Optinsfeld Eingehende SMTP-Nachrichten umleiten (erfrderlich für POP3-Unterstützung) (Rerute incming SMTP mail (required fr POP3/IMAP4 supprt) auswählen. Nachdem Sie diesen Schritt durchgeführt haben, stehen zwei Hauptmechanismen zum Steuern vn Relaying zur Verfügung: Die Weiterleitungsliste zeigt, für welche Dmänen der Server SMTP-Mail annimmt. Im vrliegenden Beispiel werden ratest.cm und huntsville.ratest.cm als eingehend aufgelistet. Dies bedeutet, dass IMS E-Mail annimmt und versucht, diese lkal zu übermitteln. Die Dmäne rbichaux.net wird ausdrücklich als Relaydmäne aufgelistet. Dies bedeutet, dass sie manuell (über die Schaltfläche Hinzufügen) als Dmäne hinzugefügt wurde, für die hne Ausnahme SMTP-Mail angenmmen werden sll. Über die Schaltflächen Hinzufügen (Add), Bearbeiten (Edit) und Entfernen (Remve) können Sie ändern, welche Dmänen in der Weiterleitungsliste angezeigt werden. Außerdem können Sie die Vrgehensweise vn IMS für E-Mail für diese Dmänen anpassen: blckieren, zum Relaying annehmen der als eingehende E-Mail behandeln. Mit der Schaltfläche Rutingbeschränkungen (Ruting Restrictins; siehe Abbildung 4) können Sie die Vrgehensweise angeben, für die sich die meisten Administratren entscheiden: für legitime Clients das Relay zulassen, während Spammailsender blckiert werden. Standardmäßig sind alle Steuerelemente in diesem Dialgfeld deaktiviert. Sie müssen die individuellen Einschränkungen festlegen, die Sie erzwingen möchten. Wenn jeder Client, der sich anmeldet (z. B. für POP3- der IMAP4-Zugriff), relayberechtigt sein sll, aktivieren Sie das Kntrllkästchen Hsts und Clients, die erflgreich authentifiziert werden (Hsts and clients that successfully authenticate). Beachten Sie, dass durch Verlangen vn SMTP-Authentifizierung in Kmbinatin mit dieser Optin für SMTP-Server nicht nur für Clients das Relay über Ihren Server zugelassen werden kann. Aktivieren Sie das Kntrllkästchen Hsts und Clients mit flgenden IP-Adressen, um für bestimmte IP-Adressen intern der extern das Relay zuzulassen. Verwenden Sie dann die Schaltflächen Hinzufügen, Bearbeiten und Entfernen, um die Liste der IP-Adressen zu erstellen, vn denen Relayverkehr angenmmen werden sll. Denken Sie daran, dass dieses Kntrllkästchen das Relaying steuert, wenn Sie das Optinsfeld Eingehende SMTP- Nachrichten umleiten auf der Registerkarte Weiterleitung ausgewählt haben. Sie sllten dieses Kntrllkästchen nrmalerweise aktivieren. Auf diese Weise wird Relaying verhindert. Wenn Sie es deaktiviert lassen, ist der Server für das Relay aktiviert. Wenn Sie die Relaying nur vn Clients zulassen möchten, die Verbindungen zu einer bestimmten IP-Adresse auf dem Server herstellen, aktivieren Sie das Kntrllkästchen Hsts und Clients, die sich mit flgenden internen Adressen verbinden (Hsts and clients cnnecting t these internal addresses). Wenn Sie verhindern möchten, dass eine bestimmte Gruppe vn Hsts der Clients jemals E- Mail weiterleitet, übernehmen Sie deren IP-Adressen und Netzmasken in die Liste Geben Sie die Hsts und Clients an, die NIE Nachrichten ruten können (Specify the hsts and clients that can NEVER rute mail).
Abbildung 4: Einschränken bestimmter Hsts und Clients Weitere Infrmatinen Sie können Ihre Server darauf hin überprüfen, b es sich um geöffnete Relays handelt, indem Sie ein Tl, wie z. B. Sam Spade (englischsprachig), verwenden (weitere Infrmatinen hierzu finden Sie in einem englischsprachigen Artikel im Infrmatin Security Magazine). Einige weitere Tls finden Sie im Micrsft Knwledge Base-Artikel Q249266 (englischsprachig). Im Micrsft Knwledge Base-Artikel Q260973 (englischsprachig) werden die Feinheiten beim Einrichten vn SMTP-Cnnectrs für das Zulassen vn Mailrelaying über Dmänen statt über Clientadressen behandelt. Wenn Sie nicht sicher sind, b Sie einen virtuellen SMTP-Server der einen SMTP-Cnnectr verwenden sllten, finden Sie möglicherweise eine Entscheidungshilfe im Micrsft Knwledge Base- Artikel Q265293 (englischsprachig). Wenn Sie hingegen einen Relayhst einrichten möchten, ist dies ebenfalls möglich. Dies kann z. B. erfrderlich sein, wenn Sie über eine Sammlung vn SMTP-Gatewayservern verfügen, an die interne Hsts Nachrichtenverkehr übergeben müssen. Bereiten Sie sich srgfältig vr, und lesen Sie den Micrsft Knwledge Base-Artikel Q293800 (englischsprachig), bevr Sie den Vrgang frtsetzen. Das Internet Mail Cnsrtium stellt einen faszinierenden Bericht zu einigen Experimenten (englischsprachig) zur Verfügung, die durchgeführt wurden, um die Anzahl vn Relayhsts im Internet zu ermitteln.
Paul Rbichaux ist Vrstand vn Rbichaux & Assciates, Inc. Das Unternehmen stellt Kunden jeder Größe vn lkalen Authändlern bis hin zu Micrsft Prgrammier-, technische Kmmunikatins- und Sicherheitsdienste bereit. Rbichaux hat gerade sein aktuellstes Buch Managing Micrsft Exchange Server (O'Reilly & Assciates; englischsprachig) veröffentlicht und genießt es, mmentan wieder mehr Zeit mit seiner Familie verbringen zu können. Leseranfragen an security@rbichaux.net (in Englisch) sind jederzeit willkmmen. Das Team der Micrsft Crpratin hfft, dass die Infrmatinen in diesem Dkument für Sie vn Nutzen sind. Die Verwendung der in diesem Dkument enthaltenen Infrmatinen erflgt jedch auf eigene Gefahr. Alle Infrmatinen werden wie besehen bereitgestellt, hne jede Gewährleistung, sei sie ausdrücklich der knkludent, für die Richtigkeit, die Vllständigkeit, die Eignung für einen bestimmten Zweck, den Eigentumsvrbehalt der die Nichtverletzung vn Rechten Dritter, und keine der in diesem Dkument genannten Fremdherstellerprdukte der Infrmatinen vn Dritten wurden/werden vn der Micrsft Crpratin verfasst, empfhlen der unterstützt, und Micrsft Crpratin übernimmt keine Garantie dafür. Die Micrsft Crpratin kann nicht für Schäden haftbar gemacht werden, die aus der Verwendung dieser Infrmatinen entstehen, ungeachtet dessen, b es sich um direkte der indirekte, spezielle, zufällig entstandene der Flgeschäden handelt, selbst dann nicht, wenn Micrsft Crpratin auf die mögliche Entstehung slcher Schäden hingewiesen wurde. Die im vrliegenden Dkument genannten Preise für Prdukte können jederzeit hne vrherige Ankündigung geändert werden.