17.12.2013

48632

Exchange 2010 - 1und1 Smarthost - Sendeconnector per SSL (Port 587)

Hallo zusammen...

ab 2014 erlaubt 1&1 wohl nur noch den Versand und Empfang von Mails über SSL.
Das heißt, dass auch die Smarthost-Konfiguration bei meinem Exchange Server geändert werden muss.

Wie stelle ich den Sendeconnector so um, dass er Mails zukünftig per SSL versendet?

Besten Dank für Antworten.

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 224775

Url: https://administrator.de/forum/exchange-2010-1und1-smarthost-sendeconnector-per-ssl-port-587-224775.html

Ausgedruckt am: 23.12.2024 um 01:12 Uhr

38 Kommentare

Neuester Kommentar

Darf ich fragen, woher du diese Information hast? Der eine oder andere der von mir betreuten Kunden hat auch 1&1 und hat noch keine solche Information erhalten.

Es gab eine direkte Rundmail von 1und1.

Habe die Mail gerade nicht vorliegen, aber habe gerade diese Seite gefunden: http://www.aegee-stuttgart.org/de/2013/12/12/auf-sicherere-e-mails-umst ...

Es ist also FAKT, dass 1&1 auf SSL umstellt ab 2014 !!!!

Hallo Leutz,

ein bisschen ausführlicher Suchen und man findet auch die korrekte Antwort.
Für alle die auch davon betroffen sind: Über die GUI (Exchange Management Console) lässt sich der Port nicht umstellen.
Dafür benötigt man die Exchange Power Shell.

Einfach für den gewünschten Sendeconnector folgenden Befehl absetzen:

Set-SendConnector –Identity “Name-des-Sendeconnectors” -Port 587

Habe es gerade getestet.

Gefunden habe ich diese Lösung auf folgender Seite:
http://www.mharder.eu/exchange-2003-2007-2010-smarthost-smtp-port-umste ...

Schöne Feiertage!

Hallo zusammen,

Exchange 2010 unterstützt nur die TLS-Verschlüsselung.
Port 587 ist übrigens nur die alternative zu Port 25 der standardmäßig für den SMTP Versand genutzt wird und hat erstmal nichts mit der Verschlüsselung zu tun.

Der korrekte Port für Outgoing SSL wäre Port 465, allerdings wird das einfache Umstellen auf diesen Port nicht helfen da es dann beim Aushandeln der Verschlüsselung scheitern wird.

Ich stehe gerade übrigens vor dem selben Problem und es wird einem wohl nichts anderes übrig bleiben als auf MX umzustellen, d.h. der Server empfängt und versendet die Mails dann direkt.

Ich habs befürchtet, dass es nicht so einfach geht. Aber so richtig testen kann man das wohl erst, wenn es soweit ist...

Da muss es doch von Microsoft eine Lösung geben.....

Moin,

ich klinke mich mal ein.

Ich hab hier zwar "nur" ein 2007er laufen, aber das "Problem" bleibt das gleiche.

Abrufen tun wir die Mails via Popconnector. Das Umstellen auf Pop3-SSL ist hier also mit einem Klick getan.

Ich habe gerade mit 1und1 gesprochen und dort sagte man mir, dass die Änderung des Sendeconnectors anhand des Servernamens automatisch erfolgen soll. (Ich frage mich zwar wie, aber nun gut)
Ansonsten soll es wohl in der Tat reichen den Port auf 465 zu stellen.

Wir werden sehen...

Gruß

Hallo BlueStarDE, Hallo Community,

vorweg einmal: Vergiss deine Nachricht vom 17.12.2013 22:00 Uhr. Der Exchange unterstützt für das Versenden von E-Mails über Smarthost kein SSL. Du wirst in der Warteschlangenanzeige sehen das alle ausgehenden Mails einen Authentifizierungs- bzw. Zertifikatsfehler melden werden. (Stell in dem Fall den Port wieder auf 25 um. Deine E-Mails werden dann erstmal wieder versendet) Wie Henley richtig gesagt hat kann Exchange kein SSL beim Versenden.

Das Problem ist gravierender als ihr denkt. Den mit einem einfachen Umstellen auf DNS ist es in den Meisten Fällen nicht getan!

Rekapitulieren wir einmal:
- Warum wir ein Smarthost zum versenden der E-Mails benutzt?
Ein Grund kann schlicht sein, das man seinen lokalen Mail Server nicht jedem Empfänger bekannt machen möchte
Der wichtigste Grund sind die Spamfilter im großen weiten Internetz. Diese klassifizieren E-Mails welche von dynamisches IP Adressen versendet werden einfach mal als Spam.
Dritter Grund kann der höhere Konfigurationsaufwand und die höhere Fehleranfälligkeit sein. Ihr müsst zusehen das die DNS Konfiguration des Netzwerks sauber eingerichtet ist und das der Exchange Server über HELO den korrekten externen FQDN ausgibt.

- Welche Gefahren gibt es?
1. E-Mails können nicht zugestellt werden wenn der DNS Server nicht korrekt eingerichtet ist.
2. E-Mails werden korrekt versendet aber von einen Spamfilter abgefangen. (Können wir nicht nachvollziehen)
3. Auf Grund von Punkt zwei landet die Domain auf einer globalen Blacklist.

Also alles gar nicht so einfach. Ich plädiere ja dafür das 1und1 eine separate Subdomain einrichtet die ohne SSL erreichbar ist. Kann von mir aus auch auf einem anderen Port liegen z.B. 587. Könnte ja z.B. smarthost.1und1.de heißen... Allerdings muss dafür natürlich ein wenig Druck bei 1und1 aufgebaut werden. Aber ich denke diese Strategie ist erfolgsversprechender als bei Microsoft anzuklopfen. Also meldet am besten eure Fälle mit einer detaillierten Beschreibung bei 1und1. Vielleicht bewegen sich die Kollegen aus Montabaur dann ein wenig ;)

Mit freundlichen Grüßen
kami

Moin,

also nach viel hin und hergestelle folgende Info:

Ich habe nun erfahren, dass beim Senden von Mails nun zwingend TLS vorausgesetzt wird (also ab kommendem Jahr).

Dies lässt sich ja in den Einstellungen des Sendeconnectors problemlos einstellen. Beim Abruf wird SSL benötigt, was beim Popcon kein Problem ist.

Ich habe ihn das gefühlte 5 mal gefragt und er gab mir ein klares Ja!

Senden nur über TLS beim Exchange.

Ich bin gespannt was passiert am 01.01.2014

Gruß

Hast Du diese Aussage schriftlich? Ich glaube ich werde mal den 1&1 Support schriftlich kontaktieren. Was handfestes ist immer besser....
Aber Danke für die Info!

Nein, hab ich nicht schriftlich.

Viel Erfolg. Eine Info auf deren Webseite wäre auch nicht verkehrt.

Gruß

Das wäre zu viel verlangt. Schließlich ist 1&1 (k)ein Anbieter für Profis!

Und außerdem haben die ihr eigenes Exchange-Produkt.

Auf der Seite:
http://hilfe-center.1und1.de/sicherheit-c84638/sicher-mit-e-mails-umgeh ...

Wenn du mal die einzelnen Clients durchsiehst wirst du sehen, dass in der Regel beim Senden "automatisch" oder SSL/TLS oder TLS steht. Ich denke da wird es in der Tat keine Probleme geben.

Gruß

Habe jetzt mal eine schriftliche Anfrage gestellt und hoffe auf eine SCHRIFTLICHE Rückmeldung.
Sieht zwar alles danach aus, dass es funktionieren kann, aber es ist schon echt blöd, wenn man mehrere Kunden hat, die dann alle direkt in der Silvesternacht noch anrufen, weil man einfach nur "hoffen und beten" kann...

Hab das gleiche Problem bei mehreren Kunden.
Am 01.01.2014 passiert noch gar nichts nach aussage der Hotline, erst irgendwann im Februar wird SMTP ohne Verschlüsselung endgültig deaktiviert.
Die Premium Partner Hotline sagte mir auch, das aktuell noch nicht fest steht ob TLS geht oder nicht, dies wird aber in kürze entschieden.

Ich bekomme Bescheid wenn es eine definitive Aussage dazu geben wird.

Dann warten wir mal ab, sonnst muss ich mit meinen Kunden einfach zu einem anderen Provider wechseln. Ich persönlich mag DF eh lieber

Zur Not kann man auch die DF SMTP Server als Smarthost / Relay nutzen (sofern man da eine Domain hat), ist zwar nicht schön, aber besser als kein E-Mail Versand.

Gruß
Roman

TLS ist nichts anderes als der Nachfolger von SSL, 1und1 nutzt in der Rundmail halt den Begriff SSL weil dieser unter den Ottonormal-Usern eher geläufig ist als TLS. Es wird lediglich die unverschlüsselte Variante der Anmeldung an die Konten deaktiviert, sonst bleibt alles beim alten.
Den Nachfolger der SSL-Verschlüsselung wird man wohl nicht deaktivieren.
Also keine Panik auf der Titanic

Grüße Uwe

Rückmeldung vom 1&1-Support:

"vielen Dank für Ihre E-Mail zum Thema "Umstellung auf SSL - eigener Exchange Server". Selbstverständlich helfen wir Ihnen gerne.

Die Abschaltung nichtverschlüsselter Verbindungen wird nicht vor dem Ende des ersten Quartals 2014 erfolgen. Aktuell sind die Fachabteilungen dabei zu planen, in welchen Szenarien (z. B. authentifizierter SMTP-Versand) es Möglichkeiten gibt, hier Alternativen bereit zu stellen.

Aktuell gehen wir davon aus, dass die Optionen "TLS" oder "STARTTLS" in Kombination mit dem Server-Port 587 funktionieren.

Am besten schauen Sie öfter mal in unser 1&1 Hilfecenter. Unter dem folgenden Link finden Sie alle Informationen zur SSL-Umstellung. Die Artikel dort werden ständig aktualisiert:
http://hilfe-center.1und1.de/sicherheit-c84638/sicher-mit-e-mails-umgeh ...

Wir hoffen, dass wir Ihnen weiterhelfen konnten.

Mit freundlichen Grüßen

Kundenservice 1&1 WebHosting"

ACHTUNG mit Windows Server 2003!

Neu(e od. neu konfigurierte) SMTP Server von 1&1 wie auch GMX und Web.de sprechen nicht via TLS mit Windows 2003!
Diese Erfahrung habe ich jedenfalls beim Empfang von Mails mit einem Exchange 2003 auf einem Windows Server 2003 gemacht (mit STARTTLS). Und ich kann mir vorstellen, dass sich das beim Versenden genauso verhält.

Laut GMX Service unterstützt Windows 2003 nicht die erforderlichen Cipher Suiten.
Vom Service bekam ich auf eine Anfrage zum Problem diese Rückmeldung:

Unsere Sysadmins konnten das Problem soweit analysieren, dass sich die kommunizierenden Server offenbar auf einen älteren Cipher einigen konnten.
Nach dem Verbindungsaufbau bleibt das System dann im MAIL FROM Stage hängen. Vermutlich weil Ihr System nicht genügend Entropie für diesen Cipher erzeugt und somit die Verbindung dann abbricht.

Wir empfehlen Ihnen daher Ihren Exchange Server dahingehend zu prüfen und zu aktualisieren.

In den Anwendungs- und System-Logs gab es dazu keinerlei Einträge. Im SMTP-Log kam nach STARTTLS noch FROM und RCPT und dann QUIT. Also keine Datenübertragung.

In einem anderen Forum meinte ein Mitglied dazu, dass Windows 2003 einen Bug im TLS Protokoll hätte.
Nachdem ich mithilfe eines sog. Microsoft Hotfix die Ciphers des Servers um AES 128 u. AES 256 erweitert hatte und das Problem dennoch nicht behoben war (dafür gab es aber einige andere

), war mir jedenfalls klar, dass es an der Cipher-Stärke nicht liegt.
Ob es aber tatsächlich ein Bug ist? Weiter konnte ich darüber nichts in Erfahrung bringen.
Ich halte es aber auch für möglich, dass die 1&1 Server nach den NSA-Skandalen nun PFS vorraussetzen und das beherrscht Win 2003 definitiv nicht und es würde das Beenden der SMTP-Verbindung erklären.

Wie auch immer, der 2003er ist ohnedies veraltet und muss erstetzt werden. Beim Mailempfang kann ich mir einstweilen noch helfen, indem ich den betroffenen Servern gar keine Verschlüsselung anbiete.
Wer aber noch einen im Produktiv-Einsatz hat und eine verschlüsselte SMTP Verbindung zu 1&1 bracuht, sollte sich schleunigst nach Alternativen umsehen.

Grüße

Zitat von @viragomann:
Neu(e od. neu konfigurierte) SMTP Server von 1&1 wie auch GMX und Web.de sprechen nicht via TLS mit Windows 2003!
Diese Erfahrung habe ich jedenfalls beim Empfang von Mails mit einem Exchange 2003 auf einem Windows Server 2003 gemacht (mit STARTTLS). Und ich kann mir vorstellen, dass sich das beim Versenden genauso verhält.

Zur Info: Versenden via TLS über 1und1 Smarthost funktioniert einwandfrei auf einem Server 2003(SBS) (gerade getestet)

Grüße Uwe

Versenden via TLS über 1und1 Smarthost funktioniert auch hier 1A auf einem SBS 2011 per Port 587.

Ändern des Ports per Shell Console

Port ändern --> Set-Sendconnector “Name-des-Sendconnector” -Port 587
Port Anzeigen --> Get-Sendconnector “Name-des-Sendconnector” | fl Port*

Vielleicht hilft es ja dem einem oder anderem

Grüße Mike

Bei mir hab ich gar nichts geändert und es geht...

Gruß

Hallo.
Leider bekomme ich nach der Umstellung des Sendeconectors auf TLS kein Mailversand hin. weder per Port 25 noch per Port 587.
Bei 1und1 habe ich bereits nachgefragt:
Hier die ANtwort... die mich ebenso wenig weiter brachte:

"Sehr geehrter Herr xxxx,

vielen Dank für Ihre Nachricht zur Thematik eigener E-Mailserver und der Abschaltung des unverschlüsselten Kommunikationskanals. Wir möchten Ihnen schnell und unkompliziert weiterhelfen. Daher haben wir versucht, Sie telefonisch zu erreichen. Das ist uns leider nicht gelungen. Selbstverständlich helfen wir Ihnen auch auf diesem Weg weiter.

Bitte haben Sie Verständnis dafür, dass wir die Anleitungen zur Einstellung des E-Mail-Programms nicht für jedes Produkt geben können. Wir können Ihnen jedoch die Werte nennen, die für die Umstellung wichtig sind.

Falls Sie den 1&1 Mailserver als Smarthost für einen externen Server (z. B. Exchange-Server, Tobit-Server) nutzen, ist das selbstverständlich auch nach der Umstellung möglich.
Neben der SMTP-Authentifizierung ist lediglich die Aktivierung von TLS mit Port 587 (oder alternativ Port 25) erforderlich.

Weitere Informationen dazu finden Sie in unserem 1&1 Hilfe-Center unter http://hilfe-center.1und1.de/article/783435.

Wir freuen uns, wenn wir Ihre Fragen zu Ihrer Zufriedenheit beantwortet haben.

Mit freundlichen Grüßen

Kundenservice 1&1 WebHosting

1&1 Internet AG
Elgendorfer Straße 57
56410 Montabaur"

Hast du den Transportdienst neu gestartet nach der Änderung?

Übrigens danke für die Mail. Das bedeutet, alles bleibt bei 1&1 wie es ist.

Ich habe, um nicht den kompletten Mail Versand lahm zu legen, einen weiteren Connector (1&1 TLS) erstellt der nur für eine Domain (Test Domäne) zuständig ist.
So konnte ich ganz bequem die Umstellung auf TSL Testen. Im Anschluss haben ich den alten Connector gelöscht und den neuen für alles Zuständig gemacht.

Hallo zusammen, folgendes hat bei mir geholfen (SBS 2011):

• Exchange-Verwaltungsshell starten
• Befehl 1: Get-SendConnector
o Schreibt auf, wie Euer Exchange-Server heißt. Das müsste sein: “Windows SBS Internet Send <meinexchengeserver>” (der Name ist der ganze String innerhalb der Anführungszeichen)
• Befehl 2: Get-SendConnector | fl port
o Hier wird einem nun der Port angezeigt, auf dem der Smarthost des Exchange Servers sendet
• Befehl 3: Set-SendConnector -Identity “Windows SBS Internet Send <meinexchengeserver>” -Port 587
o Erneut den Befehl 2 ausführen um zu sehen, ob die Änderung übernommen wurde.
Ein Neustart des Servers ist hier normalerweise nicht nötig.

Grüße aus dem Westerwald

Na alle guten Dinge sind ja drei!;)

Glückwunsch zur zweiten Wiederholung! ;)

Gruß

Liebe Kolleginnen und Kollegen,

ihr habt jetzt also den Port auf 587 gesetzt. Was macht euch so sicher, dass der SBS jetzt die Mails per TLS verschlüsselt an den Smarthost weiterleitet?
Wenn ich in Outlook über den Port 587 versende, und dort bei Verschlüsselung explizit "keine" angebe, dann werden meine Mails derzeit trotzdem versendet.
Ich bin nicht überzeugt, dass die Sache damit erledigt ist. Ich stelle also infrage dass, nur weil ihr Port 587 ausgewählt habt, überhaut eine TLS-ilierte Verbindung zustande gekommen ist. Sollte 1&1 also demnächst nur noch TLS erlauben, sehe ich die eine oder andere Überraschung noch auf uns zu kommen.

Gruß

B.

Zitat von @Bizzler:
ihr habt jetzt also den Port auf 587 gesetzt. Was macht euch so sicher, dass der SBS jetzt die Mails per TLS verschlüsselt an den Smarthost weiterleitet?

hab das natürlich mit Wireshark überprüft ...(SBS2003)

Grüße Uwe

OK, das beruhigt mich.

Gruß
Bizzler

Zitat von @Bizzler:

Liebe Kolleginnen und Kollegen,

ihr habt jetzt also den Port auf 587 gesetzt. Was macht euch so sicher, dass der SBS jetzt die Mails per TLS verschlüsselt an
den Smarthost weiterleitet?
Wenn ich in Outlook über den Port 587 versende, und dort bei Verschlüsselung explizit "keine" angebe, dann
werden meine Mails derzeit trotzdem versendet.
Ich bin nicht überzeugt, dass die Sache damit erledigt ist. Ich stelle also infrage dass, nur weil ihr Port 587
ausgewählt habt, überhaut eine TLS-ilierte Verbindung zustande gekommen ist. Sollte 1&1 also demnächst nur noch
TLS erlauben, sehe ich die eine oder andere Überraschung noch auf uns zu kommen.

Gruß

B.

Im Sendeconnector gibts da noch ein kleines Kontrollkästchen, mit dem die "Standardauthentifizierung über TLS" aktiviert werden kann.

Im Sendeconnector gibts da noch ein kleines Kontrollkästchen, mit dem die "Standardauthentifizierung über TLS"
aktiviert werden kann.

Also nachdem ich das aktiviert habe, ging nichts mehr raus. Die reine Umstellung auf Port 587 war problemlos.

Update:

Nachdem ich den Dienst Microsoft-Exchange-Transport neu gestartet hatte, war dann alles OK.

Hallo erst mal.

Jetzt muß ich da leider wegen dem Kontrollkästchen, mit dem die "Standardauthentifizierung über TLS" aktiviert werden kann fragen.

Reicht es dieses zu aktivieren oder muß der Port gesondert umgestellt werden?

Muß das bei einem SBS 2011 und SBS 2003 machen.

Danke

Also ich habe bei allen 8 Servern den Haken gesetzt und den Port umgestellt.
Alle laufen Problemlos. Bei zwei Servern hat es ca. 5 Minuten dauert bis wieder Mails verschickt werden konnten.

Danke für die Antwort.
Wenn ich mir den Thread hier durchlese schreiben einige das es mit dem SBS 2003 funktioniert und andere das es nicht funktioniert, was stimmt den jetzt?
Und sorry ich stehe gerade auf der Leitung, wo stelle ich das denn beim SBS 2003 für SMTP und POP ein?
Es geht natürlich um die aktuelle Änderung bei 1und1.

Danke

Hi,

Zitat von @katzundmaus:
Wenn ich mir den Thread hier durchlese schreiben einige das es mit dem SBS 2003 funktioniert und andere das es nicht funktioniert,
was stimmt den jetzt?

SMTP geht auf dem SBS mit 1und1 über TLS auf Port 25 wenn du das entsprechende Häkchen im Sendeconnector bei TLS setzt. Dies reicht und wird sich auch bei 1und1 vorerst nicht ändern. Es werden nur alle unverschlüsselten Verbindungen irgendwann abgeschaltet.

Und sorry ich stehe gerade auf der Leitung, wo stelle ich das denn beim SBS 2003 für SMTP und POP ein?

für SMTP siehe oben. Für den POP-Abruf musst du dich für den SBS nach einer anderen Lösung umsehen.

Grüße Uwe

Ok Danke jetzt hab ich das auch verstanden.

Gibt es den für den SBS 2003 einen alternativen Pop Connector mit dem der integrierte ersetzt werden kann?

Zitat von @katzundmaus:
Gibt es den für den SBS 2003 einen alternativen Pop Connector mit dem der integrierte ersetzt werden kann?

schau dir Popcon mal an...das kann auch via SSL Mails abholen

Das geht ja preislich noch, danke.

Der Server muß noch ein Jahr laufen dann ist die Software erst auf dem Stand das er ersetzt werden kann, aber so lässt sich das dann ja Überbrücken.

Aber es ist schon schwach von Microsoft das es von Microsoft so fehlerhaft implementiert wurde und nicht korrigiert wird, ist ja nichts neues.