Benutzer mit den meisten Antworten
connector, Relay

Frage
-
moin,kann mir bitte nochmals jemand die Unterschiede genauer erklären. Leider ist das immer wieder verwirrend.
definiert ein receive connector gleichzeitig ob Relay erlaubt ist? Beim Default ist ja Anonymus aktiviert. Somit könnte jeder auch intern über den Exchange senden?
fallen alle Windows Client bzw. Windows Server automatisch in den Default Connector?
wir haben so wir früher immer für interne erlaubte Relay einen "frontend Connector" angelegt.Ich habe hier im Log etwas durchgeschaut und auch einige interne Windows Server 2012R2 gefunden für die wir einen eigenen Connector und Scope angelegt haben. Eigentlich müsste man vermutlich die Windows Server gar nicht mehr hier im eigenen aufnehmen?
C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\FrontEnd\ProtocolLog\SmtpReceive
Antworten
-
Moin,
> definiert ein receive connector gleichzeitig ob Relay erlaubt ist?
Ja, da ich einstellen kann, wer einliefert und wohin die Mails gehen können.
> Beim Default ist ja Anonymus aktiviert. Somit könnte jeder auch intern über den Exchange senden?
Je nach Exchange Version gibt es hier Unterschiede, kann man pauschal nicht so sagen. Aber üblicherweise kann der anonyme Absender nur an akzeptierte Domänen und bekannte Exchange Empfänger senden. Im Standard hat man kein offnes Relay, nur ein internes.
> fallen alle Windows Client bzw. Windows Server automatisch in den Default Connector?
Wenn sie per SMTP senden -> ja.
> wir haben so wir früher immer für interne erlaubte Relay einen "frontend Connector" angelegt.
Kann man machen. Ich sorge lieber für Authentifikation.
Gibt aber mehrere Möglichkeiten.
> Eigentlich müsste man vermutlich die Windows Server gar nicht mehr hier im eigenen aufnehmen?
Wenn Windows Server per SMTP einliefern und nur an interne Empfänger schicken, müsste man bei 2007/2010 anonym zulassen, bei 2013/2016 ist das bereits passiert.Gruesse aus Berlin schickt Robert - MVP Office Servers and Services (Exchange Server)
- Als Antwort vorgeschlagen -- Chris -- Montag, 8. Mai 2017 13:24
- Als Antwort markiert Dont - Worry Dienstag, 9. Mai 2017 07:08
-
Moin,
>> Kann man machen. Ich sorge lieber für Authentifikation.
> wenn du zb. im Unternehmen einen Linux Rechner hast musst man ja einen eigenen Connector mit anderen Authentications Settings machen. Oder ginge das auch anders.
Wieso andere Authentifizierungs Einstellungen? Das Gerät/der Dienste/der Server bekommt ein Postfach und soll die Mails mit diesem User/Postfach damit einliefern.
> Wenn es auch ein interner Windows Server oder Client ist er aber nach aussen senden will muss man ihn über (wie bei uns einen zweiten Connector) den Scope eintragen.
Korrekt, das war aber in allen Exchange-Versionen seit 2007 schon so. Anonym mit Empfänger außerhalb der Exchange-Domänen muss explizit freigegeben werden, den das ist ein offenes Relay.
Daher auch meine Aussage, dass ich bei solchen Geräten lieber Authentifizierung benutze.
Im Standard ist:
- Anonym einliefern = jeder Absender, aber Empfänger nur intern
- mit Authentifzierung einliefern = nur der eigene Absender, aber Empfänger intern und extern
eingestellt.
Basteln muss man nur, wenn man von diesen Standards abweichen will.Gruesse aus Berlin schickt Robert - MVP Office Servers and Services (Exchange Server)
- Als Antwort vorgeschlagen -- Chris -- Montag, 8. Mai 2017 13:24
- Als Antwort markiert Dont - Worry Dienstag, 9. Mai 2017 07:08
-
Moin,
> wie erkennt der Exchange eigentlich ob es intern ist?
Am Empfänger der Mail. ;)
> wenn ich dich richtig verstanden habe, macht du für solche Fälle ein Postfach und der Dienst/Serer soll mit InternemAbsenderPostfach und Passwort über dieses schicken
Korrekt.
> Falls über GUI nicht möglich braucht man somit für Senden über Port 25 einen zusätzlichen Frontend Connector, Richtig?
Nur, wenn man an externe Empfänger senden will.
> Gehen die Mail zuerst auf den Frontend und dann auf den HUB . Die externen LINUX Testmails finde ich nur im Frontend LOG
Ist das Log auf allen Connectoren aktiviert?
> Nutzt Outlook auch den Default Connector mit Integrierte Authentifizierung?
Nur, wenn Outlook per SMTP sendet. Ein via RPC/MAPI oder RPC/HTTP angebundenes Outlook (der Normalfall) "sendet" überhaupt nicht per SMTP, sondern über die RPC-Verbindung (rein technisch "sendet" Outlook gar nicht. Outlook legt im Ordner "Postausgang" ab und Exchange holt die Mails aus diesem Ordner ab).
> im ReceiveConnector lege ich doch kein Ziel fest?
Als Ziel kannst Du quasi auch nur "intern" oder "extern" festlegen.
Das geschieht alllerdings nicht mit EAC, sondern nur über die Shell, via Berechtigungseinstellungen auf dem Empfangsconnector
https://debugitblog.wordpress.com/2014/05/23/smtp-relay-mit-authentifizierung/
Die Bilder sind zwar von 2010, die Logik und Shell-Änderungen sind aber noch identisch.Gruesse aus Berlin schickt Robert - MVP Office Servers and Services (Exchange Server)
- Als Antwort markiert Dont - Worry Dienstag, 9. Mai 2017 07:08
Alle Antworten
-
Moin,
> definiert ein receive connector gleichzeitig ob Relay erlaubt ist?
Ja, da ich einstellen kann, wer einliefert und wohin die Mails gehen können.
> Beim Default ist ja Anonymus aktiviert. Somit könnte jeder auch intern über den Exchange senden?
Je nach Exchange Version gibt es hier Unterschiede, kann man pauschal nicht so sagen. Aber üblicherweise kann der anonyme Absender nur an akzeptierte Domänen und bekannte Exchange Empfänger senden. Im Standard hat man kein offnes Relay, nur ein internes.
> fallen alle Windows Client bzw. Windows Server automatisch in den Default Connector?
Wenn sie per SMTP senden -> ja.
> wir haben so wir früher immer für interne erlaubte Relay einen "frontend Connector" angelegt.
Kann man machen. Ich sorge lieber für Authentifikation.
Gibt aber mehrere Möglichkeiten.
> Eigentlich müsste man vermutlich die Windows Server gar nicht mehr hier im eigenen aufnehmen?
Wenn Windows Server per SMTP einliefern und nur an interne Empfänger schicken, müsste man bei 2007/2010 anonym zulassen, bei 2013/2016 ist das bereits passiert.Gruesse aus Berlin schickt Robert - MVP Office Servers and Services (Exchange Server)
- Als Antwort vorgeschlagen -- Chris -- Montag, 8. Mai 2017 13:24
- Als Antwort markiert Dont - Worry Dienstag, 9. Mai 2017 07:08
-
danke für die rasche und ausführliche Antwort, Robert
weißt meinst du mit!
- Kann man machen. Ich sorge lieber für Authentifikation.
wenn du zb. im Unternehmen einen Linux Rechner hast musst man ja einen eigenen Connector mit anderen Authentications Settings machen. Oder ginge das auch anders.
- Wenn Windows Server per SMTP einliefern und nur an interne Empfänger schicken, müsste man bei 2007/2010 anonym zulassen, bei 2013/2016 ist das bereits passiert.
ich glaube das ist der wichtige Unterschied der mir nicht ganz bewusst war. Wenn es auch ein interner Windows Server oder Client ist er aber nach aussen senden will muss man ihn über (wie bei uns einen zweiten Connector) den Scope eintragen. Intern würde es gehen.
Chris
-
Moin,
>> Kann man machen. Ich sorge lieber für Authentifikation.
> wenn du zb. im Unternehmen einen Linux Rechner hast musst man ja einen eigenen Connector mit anderen Authentications Settings machen. Oder ginge das auch anders.
Wieso andere Authentifizierungs Einstellungen? Das Gerät/der Dienste/der Server bekommt ein Postfach und soll die Mails mit diesem User/Postfach damit einliefern.
> Wenn es auch ein interner Windows Server oder Client ist er aber nach aussen senden will muss man ihn über (wie bei uns einen zweiten Connector) den Scope eintragen.
Korrekt, das war aber in allen Exchange-Versionen seit 2007 schon so. Anonym mit Empfänger außerhalb der Exchange-Domänen muss explizit freigegeben werden, den das ist ein offenes Relay.
Daher auch meine Aussage, dass ich bei solchen Geräten lieber Authentifizierung benutze.
Im Standard ist:
- Anonym einliefern = jeder Absender, aber Empfänger nur intern
- mit Authentifzierung einliefern = nur der eigene Absender, aber Empfänger intern und extern
eingestellt.
Basteln muss man nur, wenn man von diesen Standards abweichen will.Gruesse aus Berlin schickt Robert - MVP Office Servers and Services (Exchange Server)
- Als Antwort vorgeschlagen -- Chris -- Montag, 8. Mai 2017 13:24
- Als Antwort markiert Dont - Worry Dienstag, 9. Mai 2017 07:08
-
moin Robert,
sorry wenn ich nochmals so viel nachfragen muss, aber das Thema ist doch etwas komplexer und die LOG Suche aufwendig und sicher auch für andere interessant.
Mein Kollege hat jetzt von seiner Linux mit und ohne gültigen Postfach Helpdesk@firma.de Absender gesendet. Intern gehts, extern wie die bereits richtig mit Anonymous geschrieben hast nicht.
- wie erkennt der Exchange eigentlich ob es intern ist? wir haben auch verschiedene VLANs?
- wenn ich dich richtig verstanden habe, macht du für solche Fälle ein Postfach und der Dienst/Serer soll mit InternemAbsenderPostfach und Passwort über dieses schicken was meist von den GUIs nicht unterstützt ist), dann müsste es auch nach extern klappen. Falls über GUI nicht möglich braucht man somit für Senden über Port 25 einen zusätzlichen Frontend Connector, Richtig?
- Gehen die Mail zuerst auf den Frontend und dann auf den HUB . Die externen LINUX Testmails finde ich nur im Frontend LOG C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\FrontEnd\ProtocolLog\SmtpReceive
- Nutzt Outlook auch den Default Connector mit Integrierte Authentifizierung? und darf trotzdem nach extern schicken?
das habe ich leider auch noch nicht ganz verstanden:
>>Ja, da ich einstellen kann, wer einliefert und wohin die Mails gehen können.
im ReceiveConnector lege ich doch kein Ziel fest?
Chris
-
Moin,
> wie erkennt der Exchange eigentlich ob es intern ist?
Am Empfänger der Mail. ;)
> wenn ich dich richtig verstanden habe, macht du für solche Fälle ein Postfach und der Dienst/Serer soll mit InternemAbsenderPostfach und Passwort über dieses schicken
Korrekt.
> Falls über GUI nicht möglich braucht man somit für Senden über Port 25 einen zusätzlichen Frontend Connector, Richtig?
Nur, wenn man an externe Empfänger senden will.
> Gehen die Mail zuerst auf den Frontend und dann auf den HUB . Die externen LINUX Testmails finde ich nur im Frontend LOG
Ist das Log auf allen Connectoren aktiviert?
> Nutzt Outlook auch den Default Connector mit Integrierte Authentifizierung?
Nur, wenn Outlook per SMTP sendet. Ein via RPC/MAPI oder RPC/HTTP angebundenes Outlook (der Normalfall) "sendet" überhaupt nicht per SMTP, sondern über die RPC-Verbindung (rein technisch "sendet" Outlook gar nicht. Outlook legt im Ordner "Postausgang" ab und Exchange holt die Mails aus diesem Ordner ab).
> im ReceiveConnector lege ich doch kein Ziel fest?
Als Ziel kannst Du quasi auch nur "intern" oder "extern" festlegen.
Das geschieht alllerdings nicht mit EAC, sondern nur über die Shell, via Berechtigungseinstellungen auf dem Empfangsconnector
https://debugitblog.wordpress.com/2014/05/23/smtp-relay-mit-authentifizierung/
Die Bilder sind zwar von 2010, die Logik und Shell-Änderungen sind aber noch identisch.Gruesse aus Berlin schickt Robert - MVP Office Servers and Services (Exchange Server)
- Als Antwort markiert Dont - Worry Dienstag, 9. Mai 2017 07:08
-
Hallo Robert,
ich hätte nochmals eine Frage zu deinem Tipp:
>>Daher auch meine Aussage, dass ich bei solchen Geräten lieber Authentifizierung benutze.
kannst du mir bitte ein Bespiel geben wie du die Authentifizierung umsetzt?
ich hatte jetzt nochmals einige Server aus den Connector bereinigt. Ich habe ja leider bei vielen Anwendungen keinen Einfluss wie es der Programmierer macht wenn er Mails verschickt.
Bei vielen anderen internen IIS Lösungen könnten wir es vielleicht verbessern indem wir als Absender wie du schreibst ein gültiges Postfach angeben. Aber ich denke das wird noch nicht reichen - oder? Wie könnte ich das so verbessern, dass ich keinen Connector Scope für diesen Server benötige.
und wie kann ich das testen? mit Telnet und korrektem Absender Postfach helpdesk@firma.de bringt er bereits den gleich bei rcpt to den Relay Fehler.
bin für jeden Tipp Dankbar,
CH
2017-06-07T07:15:01.977Z,EX1\Default Frontend EX1,08D4ACFE8C2C84C,4,10.10.1.1:25,10.10.1.2:54669,<,MAIL FROM:<helpdesk@firma.de>,
2017-06-07T07:15:01.977Z,EX1\Default Frontend EX1,08D4ACFE8C92CC,5,10.10.128.44:25,10.10.1.2:54669,*,08D4ACE8C92C8C;2017-06-07T07:15:01.977Z;1,receiving message
2017-06-07T07:15:01.977Z,EX1\Default Frontend EX1,08D4ACFE892,6,10.10.1.1:25,10.10.1.2:54669,>,250 2.1.0 Sender OK,
2017-06-07T07:15:01.977Z,EX1\Default Frontend EX1,08D4ACFE8C92C,7,10.10.1.1:25,10.10.1.2:54669,<,RCPT TO:<bwc@extern.de>,
2017-06-07T07:15:01.977Z,EX1\Default Frontend EX1,08D4ACFE8C92C,8,10.10.1.1:25,10.10.1.2:54669,*,Tarpit for '0.00:00:05' due to '550 5.7.54 SMTP; Unable to relay recipient in non-accepted domain',
2Chris
-
Vielleicht denke ich jetzt zu kompliziert, aber die Frage verstehe ich nicht. User anlegen, Postfach geben, fertig.
kannst du mir bitte ein Bespiel geben wie du die Authentifizierung umsetzt?
Gruesse aus Berlin schickt Robert - MVP Office Servers and Services (Exchange Server)
-
moin Robert,
danke für die Antwort
User NoReply ist angelegt, Postfach hat er auch.
Leider ist es organisatorisch doch etwas organisatorisch schwieriger als ich mir vorgestellt hatte und wir werden die bisherige Vorgangsweise (Relay Ausnahme mit eigenen Connector am Exchange) teils belassen
Warum belassen:
du kennst sicher so Anwendungen wo du zb. vorm Eiffelturm stehst und dir dort eine Postkarte mit dir an deine E-Mail senden kannst. So etwas ähnliches haben wir auch. Die Anwendung habe ich nicht im Griff daher kann ich auch keinen internen User und Postfach verwenden. Daher nach wie vor zweiter Connector PC/Server zum Scope und Relay erlauben.
Oder eine Bibliotheksanwendung schickt direkt vom Client - PC Mahnungen über SMTP (nicht Outlook) aus! Auch hier habe ich leider keinen Einfluss. Daher derzeit noch Relay erforderlich für alle Client PCs !!! Neue Anwendung wird kommen.
oder ein Kollege hat intern und in der DMZ eine Anwendung. Hier ginge theoretisch deine Lösung, aber in der DMZ hilft ihm User/Passwort/Domain nichts. Daher auch hier wieder alte Relay Lösung.
und solche Ausnahmen haben wir leider doch einige.
nur zum Abschluss was ich mit der letzten Frage meinte
mein Kollege hat nun seinen C# Code geändert.
vorher
SmtpClient client = new SmtpClient("mail.firma.de");
MailMessage msg = new MailMessage(new MailAddress("noreply@firma.de"), new MailAddress("extern@outlook.com"));
msg.Subject = "kleiner Test";
msg.Body = "nix spezielles";
msg.IsBodyHtml = false;
client.Send(msg);Neu (bold) mit deiner Anregung User NoReply und Passwort, sofern ich/wir es richtig verstanden haben?
SmtpClient client = new SmtpClient("mail.firma.de");
client.Credentials = new System.Net.NetworkCredential("noreply", "passwort", "meineDomain");
MailMessage msg = new MailMessage(new MailAddress("no.reply@firma.de"), new MailAddress("extern@outlook.com"));
msg.Subject = "kleiner Test";
msg.Body = "nix spezielles";
msg.IsBodyHtml = false;
client.Send(msg);bringt jedoch auch 5.7.54 no relay Fehler, was mich noch etwas wundert da BASIC Auth. beim Default Frontend dabei ist. Aber das werde ich mir nochmals interessehalber in Ruhe ansehen.
Frontend LOG
Inbound authentication failed because the client domain\NoReply doesn't have submit permission.
User Name: NULL
arpit for '0.00:00:05' due to '535 5.7.3 Authentication unsuccessful',
35 5.7.3 Authentication unsuccessful,
MAIL FROM:<no.reply@firma.de>,
08D4ACFE8C937406;2017-06-09T05:24:53.608Z;1,receiving message
250 2.1.0 Sender OK,
RCPT TO:<extern@outlook.com>,
Tarpit for '0.00:00:05' due to '550 5.7.54 SMTP; Unable to relay recipient in non-accepted domain',Default Frontend Connector
Chris
-
Hallo,
ich benutze zum Testen das Tool auf nachfolgender Seite. Es ist einfach zu verstehen und liefert die Ausgaben als Live-Session, ohne das man sich mühsam die Befehle zusammensuchen muss. Telnet_SMTP_Test_Tool
Ich schätze dein Problem liegt darin, dass du kein TLS startest bevor die Auth-Daten übergeben werden. Genau das fordert dein Connector aber (direkt unter deiner gelben Markierung).
Grüße Steve
Grüße Steve