Add TLS Domain

Domain name

In der Regel wird hier der Name der E-Mail Domäne des Kommunikationspartners eingetragen.

Diese Einstellung ist nur beim Anlegen einer neuen TLS-Verbindung - das heisst wenn das Menü über die Schaltfläche Add TLS Domain... aufgerufen wurde - editierbar.

Optional

forwarding server

address

Wird an dieser Stelle kein Eintrag vorgenommen, so wird der unter Domain Name angegebene Name per MX aufgelöst.

Als Eingabe wird folgendes akzeptiert:

Optional ist bei Angabe einer IP-Adresse oder eines Host-Namens zusätzlich die Angabe eines individuellen Ports möglich. Dieser wird direkt im Anschluss mit einem Doppelpunkt «:» getrennt angegeben, also «IP-Adresse:Port» oder «Hostname:Port».

Wird kein Port angegeben, so wird der Standard SMTP Port TCP25 verwendet.

Hinweis:

Mit dieser Einstellung wird lediglich TLS zur Ziel-Domäne beziehungsweise zum Ziel-Server konfiguriert.

Das Entgegennehmen einer eingehenden Verbindung kann nicht eingestellt werden. Unter anderem vermittelt deshalb TLS häufig eine «falsche» Sicherheit.

Für das Entgegennehmen von TLS Verbindungen wird das unter SSL eingebundene Zertifikat verwendet.

Hinweis:
Wird hier keine Konfiguration vorgenommen, so gilt die Einstellung «may» (siehe folgende Tabelle) . Das heisst, unterstützt das nachgelagerte E-Mail System TLS, so wird das SEPPmail Secure E-Mail Gateway eine TLS-verschlüsselte Verbindung dorthin aufbauen.

None

Keine TLS-Verschlüsselung.

May

E-Mails werden über einen TLS-verschlüsselten Kanal versendet, falls der empfangende E-Mail Server TLS-Verschlüsselung unterstützt.

Encrypt

E-Mails werden nur versendet, falls der Versand mittels TLS-Verschlüsselung möglich ist.

Verify

E-Mails werden nur versendet, falls der Versand via TLS-Verschlüsselung möglich und das SSL Zertifikat des empfangenden E-Mail Servers gültig ist (Ausgestellt von einer vertrauenswürdigen CA und nicht abgelaufen/revoziert).

Secure

E-Mails werden nur versendet, falls der Versand via TLS-Verschlüsselung möglich, das SSL Zertifikat des empfangenden E-Mail Servers gültig, der FQDN des E-Mail Servers identisch mit dem im Zertifikat (Antragsteller) eingetragenen Namen (CN) und der Name der E-Mail Domäne identisch mit dem Domänen Namen des E-Mail Servers ist.

Somit wir ein MX-Spoofing verhindert.

Das Verwenden von Wildcard-Zertifikaten ist an dieser Stelle nicht möglich.

Beispiel:

1.Versand einer E-Mail an max.mustermann@partner.tld

a.MX-Lookup ergibt
partner.tld MX preference=10, mail exchanger=mail1.partner.tld
partner.tld MX preference=20, mail exchanger=mail2.partner.tld

b.Jeder dieser Server hat in seinem für TLS verwendeten Zertifikat als CN seinen FQDN eingetragen.

c.Der Domainname aller hosts (mail1, mail2) lautet auf partner.tld und stimmt somit mit dem Domainname der E-Mail Domäne überein.
=> Überprüfung bei der Einstellung «secure“ ist erfolgreich

2.Annahme:
Das Unternehmen mit der E-Mail Domäne kommunikationspartner.tld betreibt diese Domäne auch mit einer anderen Länderdomäne (com).
Versand einer E-Mail an erika.mustermann@kommunikationspartner.com

a.MX Lookup ergibt
partner.com MX preference=10, mail exchanger=mail2.partner.tld
partner.com MX preference=20, mail exchanger=mail4.partner.tld

a.Der Domainname der E-Mail Domäne partner.com stimmt nicht mit dem der Mailserver – partner.tld – überein
=> Die Überprüfung schlägt fehl

Fazit:

Für die E-Mail Domäne partner.tld kann der TLS Security Level auf «secure“ belassen bleiben.

Sollte der Security Level «verify“ für die Maildomäne partner.com nicht ausreichend sein, so muss der Level «Fingerprint“ verwendet werden. Hierzu sind die Fingerprints aller Mailserver (mail1 und mail2.kommunikationspartner.com) einzutragen.

Fingerprint

E-Mails werden nur versendet, die Gegenstelle TLS unterstützt und das vorgezeigte Zertifikat den im Eingabefeld eingetragenen Fingerprint besitzt.

Stehen für die Ziel-Domäne mehrere E-Mail Server zur Verfügung, so können deren Fingerprints getrennt durch Pipe «|» eingetragen werden,