Mailserver und Relay, wie funktioniert das?

N'Abend.



Hmm, das möcht ich so nicht stehen lassen. Korrekt wäre, man sollte seinen Exchange Server, wenn er denn direkt "am Internet betrieben wird", schon richtig konfigurieren und ihn nicht als offenes Relay stehen lassen - wobei afaik seit Exchange 2007 die Standard-Konfig das schon nicht mehr zulässt.

Um das klarzustellen:
Es besteht keine Pflicht dazu, eine weitere "Instanz" zwischen Exchange und das "böse" Internet zu schalten. Jeder falsch (== als offenes Relay) konfigurierte Mailserver taugt als Spamschleuder, egal ob Exchange, hMail, Postfix oder whatsoever.

Dass es natürlich sinnvoll ist, vor seinem Exchange z.B. einen Spam- und Virenfilter zu betreiben, steht auf einem anderen Blatt.

Cheers,
jsysde

Meine Aussage bezog sich nicht auf Open Relays sondern jede Software hat Fehler, teilweise auch Sicherheitslücken. Wenn man einen direkten Zugriff auf einen Exchangeserver erlangen kann, der ohne Zwischenschritt im Internet erreichbar ist, kann man eventuell Zugriff auf die Mails, Kontakte, Kalenderdaten, das dahinterliegende Active Directory oder sogar Netzwerk erhalten.

Mit dem Relay zwischen Internet und Exchange muss man erstmal eine Sicherheitslücke im Relay finden, diese ausnutzen und dann durch diese Lücke an das System dahinter kommen.

Ich bau diese Systeme so auf, dass in direkt am Internet der Router läuft und nur Port 25 an den Relay weitergibt. Dieser prüft nimmt die Mail an, prüft die auf Viren, SPAM und sowas. Hierbei handelt es sich um ein Postfixsystem, sobald die E-Mail komplett angenommen und geprüft wurde, wird die Mail erst an den Exchange weitergeben. Eine direkte Kommunikation ist nicht möglich, die E-Mail wird immer erst komplett angenommen.

Die Lösung mit dem POP3-Abruf ist sicherheitstechnisch nochmal um Längen sicherer, weil das Internet nicht mit dem Exchange kommuniziert sondern nur der Exchange mit dem Internet. Bei kleinen Installationen kann man dieses gut machen, bei vielen Postfächern ist der Mehraufwand irgendwann nicht mehr tragbar, weil man für jedes Postfach eigentlich zwei Postfächer pflegen muss.

Damit die Lösung mit Relay und Exchange funktioniert, sollte man eh eine ordentliche Internetverbindung, wenn möglich SDSL oder was anderes im Businessbereich haben, eine feste IP-Adresse ist Pflicht, mit ADSL gehts auch, aber die Ausfallrate bei ADSL-Anschlüssen ist sehr hoch.

Hallo,

über so Relayserver werden oft auch noch Nebeneffekte realisiert wie z.b. der Spamschutz dadurch wird schon mal Last vom Mailserver genommen.
Zu dem SMTP Relay kann man beim Exchange auch noch einen Reverse Proxy für den Webzugriff einsetzen.
Das alles erhöht natürlich die Sicherheit, aber ich glaube die wenigsten "kleineren" Firmen setzten solche Funktionen ein.
Es sind einfach zusätzliche Kosten da ein zweiter Server her muss. Virtualisieren würde ich sowas z.b. nicht und auch der Wartungsaufwand ist höher.
Wobei man, vor allem wenn mann hier oft Beiträge von Dienstleistern sieht, auch von Unwissen ausgehen muss.

Aber wenn's ein neuer Exchange ist wo regelmäßig Sicherheitsupdates gemacht werden sehe ich's jetzt nicht so extrem schlimm.
Dem OWA von einem Exchange 2003 hingegen würde ich nicht mehr so trauen.

Sehen wir's mal als erweiterte Sicherheitsfunktion.

Hallo,

Ja.
Was hier noch gar nicht angesprochen wurde, sind Antivirus und Antispam. Was hast du dir den dann vorgestellt? Für AV gibt es (von vielen Herstellern) Produkte, die sich in Exchange einklinken (ein "normaler" Virenscanner tut es nicht!).
Antispam direkt auf Exchange gut umzusetzen ist m.E. schon schwieriger. Alleine deswegen braucht man i.A. einen weiteren Server zwischen Internet und Exchange.

Was macht denn euer Dienstleister für euch? Auch Exchange betreiben?

Diese Möglichkeit gibt es beim SBS (oder beim echten Exchange mit Drittprodukten).
Vorteil: Ein Provider, der das kann, kann sich um AV und AS kümmern. Und wenn dein Exchange oder deine Internetanbindung mal ausfallen, werden Mails trotzdem vom Provider angenommen (keine Fehlermeldung für Kunde) und halt nur etwas später abgeholt.
Nachteil: Funktioniert nicht vernünftig. Und: Entweder, du richtest für jedes Postfach auf deinem Exchange auch eins beim Provider an - dann hast du viel Arbeit, oder du verwendest ein CatchAll beim Provider - dann wird da auch viel Spam angenommen, und per BCC empfangen Mails können nicht mehr zugeordnet werden.

Gruß

Filipp

Also wenn der Securepoint eure einzige Antivirus Lösung ist und nicht's auf dem Desktop dann ist's zu wenig. Ansonsten passt schon.

Wenn ihr den OWA verwendet vom Exchange kann man noch nen Reverse Proxy noch davor schalten wenn man will, ist schöner. Das kommt aber auch darauf an welchen Sicherheitsanspruch man hat.

Beim Dienstleister gehe ich aber einfach davon aus das er die Möglichkeiten nicht kannte.

Das mit dem Pop3 Abruf kannst dir danach wirklich schenken, vor allem ihr werden doch nicht von eurem Exchange in Zukunft per Pop E-Mail abrufen?
Die Relaying Funktionen vom Securepoint braucht ihr damit z.B der Spam und Virenfilter läuft.

Also ein normaler Grundschutz, wie bei den meisten kleineren Firmen, ist da schon vorhanden. Besser geht's natürlich immer.

<OT>
Mich würd echt mal interessieren warum mein letzter Beitrag ne negative Bewertung gekriegt hat.
</OT>