Mail-Relay für interne Anwendungen

Hallo,

wir verwenden einen Exchange 2016 mit einer Sophos UTM als Smarthost. Der Exchange wird u.a. als SMTP-Relay von internen Anwendungen benutzt, für den anonymen Versand nach Extern gibt es entsprechend einen Empfangsconnector mit der Einschränkung auf IP-Adressen.

Frage:
- Was spricht dafür, dass die internen Anwendungen den Exchange als SMTP-Relay verwenden? Was spricht gegen die UTM als SMTP-Relay?

Der Hintergrund ist, dass die UTM (HA-Cluster) eine höhere Verfügbarkeit hat als der einzelne Exchange (Updates, etc.) und die Anwendungen in der Regel nur einen Versuch unternehmen.

Danke für eure Einschätzung.

Content-Key: 1428630780

Url: https://administrator.de/contentid/1428630780

Ausgedruckt am: 27.11.2021 um 19:11 Uhr

Mitglied: Lochkartenstanzer
Lochkartenstanzer 25.10.2021 aktualisiert um 13:12:22 Uhr
Goto Top
Moin,

Kleinen Raspi mit Postfix in die Ecke stellen als hochverfügbares Relay. Ist einfacher zu warten und hat höhere Verfügbarkeit sowohl als der Exchange als auch die Sophos.

lks
Mitglied: redhorse
redhorse 25.10.2021 um 13:17:45 Uhr
Goto Top
Zitat von @redhorse:
Kleinen Raspi mit Postfix in die Ecke stellen als hochverfügbares Relay. Ist einfacher zu warten und hat höhere Verfügbarkeit sowohl als der Exchange als auch die Sophos.

Ich hätte es vielleicht hinzufügen sollen, bei der Frage soll es nicht um Alternativen zu den bestehenden Komponenten gehen. Sohpos UTM und Exchange sind gegeben, es geht nur darum, welches SMTP-Relay angesprochen wird.
Mitglied: Lochkartenstanzer
Lochkartenstanzer 25.10.2021 um 20:40:47 Uhr
Goto Top
Zitat von @redhorse:

Ich hätte es vielleicht hinzufügen sollen, bei der Frage soll es nicht um Alternativen zu den bestehenden Komponenten gehen. Sohpos UTM und Exchange sind gegeben, es geht nur darum, welches SMTP-Relay angesprochen wird.

Dann nimm die Sophos, wenn Du höhere Verfügbarkeit als die des Exchange benötigst. Da beantwortet die Frage sich doch von selbst, wenn Du nicht eine stabilere und einfacher zu wartende Alternative willst.

lks
Mitglied: MysticFoxDE
MysticFoxDE 26.10.2021 aktualisiert um 08:03:45 Uhr
Goto Top
Moin redhorse,

- Was spricht dafür, dass die internen Anwendungen den Exchange als SMTP-Relay verwenden?

Wenn der Grossteil der Nachrichten die durch dieses Relay laufen, für die internen Postfächer bestimmt ist, dann ist es ressourcenschonender, wenn du direkt den Exchange als Relay benutzt.

- Was spricht gegen die UTM als SMTP-Relay?

Wenn über das Relay der Grossteil der Nachrichten nach extern verschickt werden, dann ist es was den Ressourcenverbrauch angeht, sinnvoller direkt über die Sophos zu gehen.


Wenn bei dir das Netz Segmentiert ist und die Sophos als Gateway zwischen den Segmenten fungiert, dann würde ich auch eher die Sophos als Relay bevorzugen.

Wenn man die Sache rein aus Sicherheitssicht betrachtet, dann ist die Sophos immer vorzuziehen. 😉

Beste Grüsse aus BaWü

Alex
Mitglied: redhorse
redhorse 26.10.2021 aktualisiert um 08:38:57 Uhr
Goto Top
Hallo Alex,

Zitat von @MysticFoxDE:
Wenn der Grossteil der Nachrichten die durch dieses Relay laufen, für die internen Postfächer bestimmt ist, dann ist es ressourcenschonender, wenn du direkt den Exchange als Relay benutzt.

Wenn über das Relay der Grossteil der Nachrichten nach extern verschickt werden, dann ist es was den Ressourcenverbrauch angeht, sinnvoller direkt über die Sophos zu gehen.

Wenn bei dir das Netz Segmentiert ist und die Sophos als Gateway zwischen den Segmenten fungiert, dann würde ich auch eher die Sophos als Relay bevorzugen.

Es gehen 99 Prozent der Nachrichten an interne Empfänger, jedoch ist die Sophos über eine performante und hochverfügbare WAN-Strecke angebunden. Das macht mir die Entscheidung auch so schwierig, der Exchange ist im internen LAN erreichbar aber nicht so verfügbar wie die UTM. Der Exchange wird monatlich nach den WIndows-Updates neu gestartet, sowie außerdem nach den CU- und Sicherheitsupdates mit jeweils längerer Ausfallzeit. Die UTM im A/P-Cluster sowie die redundante WAN-Anbindung sind in der Rückbetrachtung nahezu durchgehend erreichbar.

Die Einrichtung eines zweiten Exchange-Servers wurde diskutiert, jedoch auf Grund der Mehrkosten durch einen Load Balancer und der auch dafür nötigen Redundanz vorerst verschoben.

Viele Grüße
Mitglied: MysticFoxDE
MysticFoxDE 26.10.2021 aktualisiert um 09:05:29 Uhr
Goto Top
Moin redhorse,

jedoch ist die Sophos über eine performante und hochverfügbare WAN-Strecke angebunden.

die Aussage verstehe ich noch nicht so ganz.

Mit was ist die Sophos performant übers WAN angebunden, mit dem Exchange?
Sprechen wir hier eventuell über eine Umgebung mit mehreren Standorten?
Sophos und Exchange in der Zentralle und RED's an den Aussenstandorten?

Gruss Alex
Mitglied: redhorse
redhorse 26.10.2021 um 10:06:18 Uhr
Goto Top
Hi Alex,

Zitat von @MysticFoxDE:
Mit was ist die Sophos performant übers WAN angebunden, mit dem Exchange?
Sprechen wir hier eventuell über eine Umgebung mit mehreren Standorten?
Sophos und Exchange in der Zentralle und RED's an den Aussenstandorten?

die UTM steht in einem externen RZ und ist per WAN (bzw. MPLS) an den Hauptstandort angebunden, dort steht der Exchange. An die UTM sind weitere kleinere Standorte per IPSec-VPN oder RED angebunden, die darüber auch den Hauptstandort erreichen.

Viele Grüße
Mitglied: Lochkartenstanzer
Lochkartenstanzer 26.10.2021 aktualisiert um 10:51:41 Uhr
Goto Top
Zitat von @redhorse:

Es gehen 99 Prozent der Nachrichten an interne Empfänger, ...
...
... der Exchange ist im internen LAN erreichbar aber nicht so verfügbar wie die UTM. >...
Die Einrichtung eines zweiten Exchange-Servers wurde diskutiert, jedoch auf Grund der Mehrkosten durch einen Load Balancer und der auch dafür nötigen Redundanz vorerst verschoben.
...
die UTM steht in einem externen RZ und ist per WAN (bzw. MPLS) an den Hauptstandort angebunden, dort steht der Exchange. An die UTM sind weitere kleinere Standorte per IPSec-VPN oder RED angebunden, die darüber auch den Hauptstandort erreichen.

Moin,

dann sollte man doch über eine Alternative nachdenken. Wenn Ihr schon über einen zweiten Exchange nachgedacht habt, das aber wegen der Kosten für HA verworfen habt, wäre es doch das einfachste einen "HA-Pi-Cluster" mit zwei oder drei PIs zu machen, deren einzige Aufgabe es wäre die Mails anzunehmen, und an den existierenden Exchange weiterzuleiten. Alternativ kann man natürlich statt der Pis auch NUCs oder kleine Server nehmen. Aber die PIs haben genug "Rumms", um das abzuwickeln.

Kostenpunkt: Mit den PIs deutlich unter 1000€, mit NUCs unter 2000€ und mit drei einfachen Servern immer noch unter 5000€.

lks
Mitglied: MysticFoxDE
MysticFoxDE 26.10.2021 um 11:20:14 Uhr
Goto Top
Moin redhorse,

die UTM steht in einem externen RZ und ist per WAN (bzw. MPLS) an den Hauptstandort angebunden, dort steht der Exchange. An die UTM sind weitere kleinere Standorte per IPSec-VPN oder RED angebunden, die darüber auch den Hauptstandort erreichen.

in dem Fall kannst du getrost über die UTM (das ist aber hoffentlich keine SG mehr) relayen, ist einfacher und auch sicherer.

Gruss Alex
Mitglied: redhorse
redhorse 26.10.2021 um 14:48:20 Uhr
Goto Top
Danke für eure Hinweise und Vorschläge, ich werde das Relay wohl über die UTM realisieren.
Mitglied: Lochkartenstanzer
Lochkartenstanzer 27.10.2021 um 09:24:17 Uhr
Goto Top
Zitat von @redhorse:

Danke für eure Hinweise und Vorschläge, ich werde das Relay wohl über die UTM realisieren.

Moin,

Gern gesehen. Aber bei den Vorbedingungen die Du uns nachträglich genannt hast (ein Exchange zu "unzuverlässig, HA-Exchange zu teuer, keine anderen Geräte), hattest Du eigentlich gar keine andere Option. Daher frage ich mich, warum Du überhaupt gefragt hast.

lks
Mitglied: redhorse
redhorse 27.10.2021 um 09:32:01 Uhr
Goto Top
Hi lks,

Zitat von @Lochkartenstanzer:
Gern gesehen. Aber bei den Vorbedingungen die Du uns nachträglich genannt hast (ein Exchange zu "unzuverlässig, HA-Exchange zu teuer, keine anderen Geräte), hattest Du eigentlich gar keine andere Option. Daher frage ich mich, warum Du überhaupt gefragt hast.

abgesehen von der Verfügbarkeit sind mir keine anderen objektiven Parameter eingefallen, die für das eine oder andere sprechen. Daher wollte ich dazu mal die Allgemeinheit fragen, möglicherweise gibt es gute Gründe die für UTM oder Exchange sprechen, die ich selbst nicht auf dem Schirm habe.

Viele Grüße
Heiß diskutierte Beiträge
question
Windows Server 2019 AD MigrationjamesbrownVor 1 TagFrageWindows Server9 Kommentare

Hallo zusammen Langsam habe ich Panik, die komplette Domäne zerschossen zu haben. Bevor ich weiter vergehe, wollte ich darum hier um Rat bitten. Was ist ...

question
Mobilfunk-Internet ins Heimnetzwerk integrieren? gelöst AvarianVor 1 TagFrageNetzwerkmanagement8 Kommentare

Hallo, Ich bin neu hier. Wir sind vorletztes Jahr umgezogen. Die Gelegenheit habe ich damals direkt genutzt, um künftig auf wackelige WLAN-Lösungen (Repeater, Mesh-Repeater, Powerlines ...

general
Sicherheit beim Online-BankingWeyershausenVor 13 StundenAllgemeinSicherheitsgrundlagen18 Kommentare

Hallo, in unserer Firma verwenden wir SFirm als Online-Banking-Software. In dieser Woche hatten wir einen IT-Berater bei uns, der uns dringend folgendes Vorgehen empfahl: Wir ...

question
Maximale Empfänger bei Office365 gelöst mmpmmpVor 1 TagFrageMicrosoft Office11 Kommentare

Hallo, ich verwende nun Office365 (Exchange Online) für Emails und würde gerne die Weihnachtsgrüße per Mail versenden. Wo liegen die Beschränkungen der maximalen Empfänger? ...

report
Mailversand durch Sophos XG gestört (25.11.2021)kgbornVor 1 TagErfahrungsberichtFirewall2 Kommentare

Kurze Information - vielleicht hat jemand eine ähnliche Beobachtung gemacht. Ein IT-Admin hat mich darauf hingewiesen, dass es wohl gestern (25.11.2021) ein Update des Antivirus-Pattern ...

question
Treuhand für ebay-Verkäufer, die nicht direkt nach D. liefernDerWoWussteVor 1 TagFrageHardware4 Kommentare

Moin Kollegen, es gibt ja Fälle, wo man alte Hardware benötigt, aber nur noch über ebay bekommt. Wenn der Verkäufer dann aber nicht nach Deutschland ...

question
Reinigung der Apple Watch gelöst honeybeeVor 1 TagFrageApple6 Kommentare

Hallo, mit welchem Reinigungsmittel kann ich das Armband meiner Apple Watch schonend reinigen? Auf dem Bild seht ihr, dass es in einem guten Zustand ist. ...

question
Über das Notebook per Simkarte von unterwegs aus ins Internet?isarc01Vor 1 TagFrage5G, 4G, LTE, UMTS, EDGE & GPRS8 Kommentare

Hallo, folgende Frage: Wenn ich über mein Notebook über eine angemeldete SIM Karte mit einer Datenflatrate ins Internet gehen möchte, benötige ich hier einen bestimmten ...