Exchange Online Connectoren für den Mailfluss über Conbool

Conbool sitzt als Gateway im Mailfluss von Microsoft 365 und Exchange Online. Verbunden wird über zwei Connectoren und drei Regeln. So greifen zentrale Signatur, Verschlüsselung und eingehender Schutz unabhängig vom Client.

Der Einrichtungsassistent im Portal legt diese Objekte nach erteilter Administratorzustimmung selbst an. Diese Seite beschreibt denselben Stand von Hand über das Exchange Admin Center, für Organisationen, die keine Zustimmung erteilen oder die Objekte selbst kontrollieren wollen. Die Reihenfolge der Abschnitte ist die Reihenfolge der Einrichtung.

Werte, die gebraucht werden

In allen Beispielen steht beispiel.de für die eigene Mail-Domäne. Die übrigen Werte:

• Smart Host und Zertifikatsname stehen im Portal unter Einstellungen, Domänen, in der jeweiligen Domäne im Feld Mailserver. Im Einrichtungsassistenten erscheinen sie im Schritt Mailserver, sobald die Einrichtung von Hand gewählt wird. Partner- und On-Premise-Installationen stellen aus ihrer eigenen Instanz zu und zeigen dort andere Werte. In der Cloud-Fassung lauten beide mail.conbool.com.
• Ausnahme-Header ist X-Conbool- gefolgt von der Mail-Domäne, deren Punkte durch Bindestriche ersetzt sind. Aus beispiel.de wird X-Conbool-beispiel-de. Der Wert ist immer true. An ihm erkennt Exchange, dass eine Nachricht bereits durch das Gateway gelaufen ist. Conbool setzt bei ausgehenden Nachrichten den Header der Absenderdomäne und bei eingehenden den Header der Empfängerdomäne. Jede Nachricht, die eine Domäne betrifft, trägt also den Header genau dieser Domäne.
• ARC-Siegelgeber ist arc.conbool.com, ebenfalls abweichend bei Partner- und On-Premise-Installationen.

Akzeptierte Domäne prüfen

Im Exchange Admin Center unter E-Mail-Fluss, Akzeptierte Domänen muss die Domäne den Typ Maßgeblich haben.

Steht dort Interne Weiterleitung, verlässt auch Post zwischen zwei eigenen Postfächern die Organisation. Sie kommt über Conbool zurück, Exchange findet den Empfänger erneut nicht als lokal und leitet sie wieder aus. Das ist eine geschlossene Schleife, die erst durch die Hop-Zählung von Microsoft oder von Conbool endet. Der Typ gehört deshalb vor allem anderen geprüft.

Interne Weiterleitung ist nur dann richtig, wenn ein Teil der Postfächer dieser Domäne außerhalb von Exchange Online liegt, etwa in einer Hybridumgebung. Dann braucht dieser Teil eine eigene Route, und die Schleifenprüfung weiter unten gilt für beide Wege getrennt.

Ausgehender Connector

Unter E-Mail-Fluss, Connectors, Connector hinzufügen:

• Verbindung von Office 365, Verbindung mit E-Mail-Server Ihrer Organisation
• Name Conbool Outbound Connector beispiel.de
• Verwendung des Connectors auf Nur, wenn ich eine Transportregel eingerichtet habe, die Nachrichten an diesen Connector umleitet
• Routing auf Weiterleitung von E-Mails über diese Smarthosts mit dem Wert mail.conbool.com
• Sicherheitseinschränkungen mit Immer TLS verwenden, Von vertrauenswürdiger Zertifizierungsstelle ausgestellt und Antragstellername mail.conbool.com

Die Einschränkung auf die Transportregel ist Pflicht. Ohne sie bewertet Exchange den Connector für den gesamten ausgehenden Verkehr der Organisation, also auch für Domänen, die gar nicht bei Conbool liegen. Sie ist zugleich die Voraussetzung dafür, dass die Regel im nächsten Abschnitt diesen Connector als Ziel anbieten kann.

Eingehender Connector

Unter E-Mail-Fluss, Connectors, Connector hinzufügen:

• Verbindung von Partnerorganisation, Verbindung mit Office 365
• Name Conbool Inbound Connector beispiel.de
• Absenderdomänen auf *
• Authentifizierung über den Antragstellernamen im Zertifikat des sendenden Servers mit dem Wert mail.conbool.com
• Sicherheit mit Nachrichten ablehnen, wenn sie nicht über TLS gesendet werden und der Beschränkung auf Absender, die dieses Zertifikat vorweisen

Zwei Punkte weichen bewusst vom naheliegenden Weg ab. Der Typ Partnerorganisation ist richtig, auch wenn Conbool wie ein eigener Server im Pfad steht. Der Typ E-Mail-Server Ihrer Organisation ordnet die Verbindung über den Zertifikatsnamen zu, und dieser Name ist bei allen Conbool-Installationen derselbe. Vor allem in Hybridumgebungen greift die Zuordnung dann über die eigene Organisation hinaus und erzeugt Fehler der Art 4.4.62. Ein aktiver Connector vom Typ Partnerorganisation mit dem Zertifikatsnamen von Conbool wird vom Einrichtungsassistenten später übernommen und nicht ersetzt, unabhängig vom vergebenen Namen.

Und die Absenderdomänen bleiben auf *, weil über diesen Connector geprüfte Post beliebiger Absender ankommt. Einzelne Domänen an dieser Stelle sperren fremde Absender aus. Die Absicherung leistet das Zertifikat, nicht die Domänenliste.

Eine Authentifizierung über IP-Adressen ist nicht vorgesehen. Die Adressen des Gateways ändern sich, das Zertifikat nicht.

Regel 1: ausgehende Route

Unter E-Mail-Fluss, Regeln, neue Regel mit dem Namen Conbool Exchange transport rule beispiel.de und Priorität 0.

Absenderadressen abgleichen in Kopfzeile oder Umschlag.

Bedingungen, beide zusammen:

• Der Absender befindet sich Innerhalb der Organisation
• Der Absender Domäne ist beispiel.de

Aktion:

• Nachricht mithilfe des Connectors weiterleiten mit dem ausgehenden Connector

Ausnahmen, alle vier:

• Eine Nachrichtenkopfzeile entspricht diesen Textmustern, Kopfzeile X-Conbool-beispiel-de, Muster true
• Der Nachrichtentyp ist Kalender
• Eine Nachrichtenkopfzeile enthält eines dieser Wörter, Kopfzeile Return-Path, Wort <>
• Die Absenderadresse entspricht diesen Textmustern, Muster <>

Modus Regel erzwingen, Regel aktiviert.

Die erste Ausnahme ist der gesamte Schleifenschutz. Fehlt sie oder ist der Header falsch geschrieben, leitet Exchange jede von Conbool zurückgegebene Nachricht sofort wieder aus. Die drei übrigen Ausnahmen halten Kalenderverkehr und Unzustellbarkeitsberichte aus der Route heraus, die sonst ebenfalls kreisen.

Je Mail-Domäne eine eigene Regel. Der Header trägt genau eine Domäne im Namen. Eine Regel, die mehrere Absenderdomänen in einer Bedingung führt, kennt nur den Header einer davon. Post der übrigen Domänen kommt mit dem Header ihrer eigenen Domäne zurück, die Ausnahme greift nicht, die Nachricht wird erneut ausgeleitet und kreist. Genau dieses Muster entsteht regelmäßig, wenn neben der Produktivdomäne eine Testdomäne im selben Microsoft 365 liegt. Zwei Domänen bedeuten zwei Regeln mit je eigener Domänenbedingung und je eigenem Header. Die Connectoren bleiben dieselben.

Die Domänenbedingung ist Pflicht. Eine Regel mit Innerhalb der Organisation als einziger Bedingung fängt den gesamten internen Versand der Organisation, unabhängig von der Absenderdomäne, und erzeugt dasselbe Bild.

Keine zweite Route auf denselben Verkehr. Ältere Regeln aus früheren Versuchen, Regeln anderer Anbieter oder eine zweite Conbool-Regel mit abweichendem Namen überschreiben sich gegenseitig in der Routing-Aktion. Vor der ersten Testnachricht gehört die Regelliste einmal von oben nach unten durchgesehen, nicht benötigte Regeln werden gelöscht statt deaktiviert.

Regel 2: Spam-Kennzeichnung

Name Conbool Spam classification rule, Priorität 1. Diese Regel entsteht einmal je Organisation, nicht je Domäne. Sie wertet nur den Header aus und braucht deshalb keine Domänenbedingung.

• Bedingung: Eine Nachrichtenkopfzeile entspricht diesen Textmustern, Kopfzeile X-Conbool-Flag, Muster YES
• Aktion: Spam-Vertrauenswürdigkeitsstufe festlegen auf 7

Damit landet, was Conbool als Spam erkennt, im Junk-Ordner des Postfachs statt im Posteingang.

Regel 3: Freigaben aus der Quarantäne

Name Conbool Quarantine Release Bypass, Priorität 2. Diese Regel entsteht einmal je Organisation, nicht je Domäne.

• Bedingungen: Eine Nachrichtenkopfzeile entspricht diesen Textmustern, Kopfzeile X-Conbool-Released, Muster yes, dazu Absender Außerhalb der Organisation und Empfänger Innerhalb der Organisation
• Aktionen: Spam-Vertrauenswürdigkeitsstufe festlegen auf -1 und Verarbeitung weiterer Regeln beenden

Ohne diese Regel fällt eine aus der Quarantäne freigegebene Nachricht in die Spam-Bewertung von Microsoft und verschwindet erneut. Die Einschränkung auf Absender von außen und Empfänger innerhalb verhindert, dass Antworten auf freigegebene Nachrichten die Filterung ebenfalls umgehen.

ARC-Siegelgeber eintragen

Unter Einstellungen, E-Mail-Authentifizierung, ARC wird arc.conbool.com als vertrauenswürdiger Siegelgeber ergänzt. Vorhandene Einträge bleiben stehen, die Liste wird ergänzt und nicht ersetzt.

Conbool siegelt jede eingehende Nachricht mit dem Prüfergebnis aus dem Zustand vor der eigenen Verarbeitung. Ohne den Eintrag verwirft Microsoft dieses Ergebnis. Nachrichten von Absendern mit strenger DMARC-Richtlinie landen dann trotz bestandener Prüfung im Junk-Ordner, sobald Conbool den Text verändert, etwa durch Link-Umschreibung oder Disclaimer. Die Änderung wirkt bis zu 30 Minuten verzögert.

MX umstellen

Erst wenn Connectoren und Regeln stehen, wird der MX-Eintrag der Domäne auf Conbool gesetzt. Die Werte dafür zeigt der Assistent, beschrieben unter Domain verbinden. Dort wird auch der interne Relay-Host hinterlegt, an den Conbool geprüfte Nachrichten zurückgibt. Für Exchange Online ist das der Eintrag der Form beispiel-de.mail.protection.outlook.com.

Ausgehend stellt Conbool danach direkt an den Mailserver des Empfängers zu. Soll eine vorhandene Instanz für Sicherheit oder Archivierung im Pfad bleiben, führt der ausgehende Weg stattdessen an einen definierten Smart Host, gesteuert über die Mailertabelle und das Smart-Host-Routing.

Einrichtung prüfen

• Ausgehend: eine Testnachricht nach außen senden. Im Portal erscheint sie in der Nachrichtenverfolgung mit Richtung ausgehend und gesetzter DKIM-Signatur.
• Eingehend: eine Testnachricht von außen senden und im Empfängerpostfach die Kopfzeilen ansehen. Vorhanden sein muss X-Conbool-beispiel-de mit dem Wert true.
• Intern: eine Nachricht zwischen zwei eigenen Postfächern senden. In der Nachrichtenverfolgung darf sie genau einmal erscheinen. Mehrfach bedeutet Schleife.
• Zwei Domänen: die interne Probe zusätzlich von der zweiten Domäne an die erste senden. Dieser Weg deckt die Regel- und Header-Trennung ab und bleibt bei einer Prüfung nur innerhalb einer Domäne unentdeckt.

Fehlerbild Mailschleife

Erkennbar an drei Zeichen: Microsoft antwortet mit 5.4.1 Hop count exceeded - possible mail loop, dieselbe Nachricht erscheint im Minutentakt wiederholt in der Nachrichtenverfolgung, und die Kopfzeilen enthalten zweistellig viele Received-Zeilen.

Die Ursachen in der Reihenfolge ihrer Häufigkeit:

1. Eine Regel deckt mehrere Absenderdomänen ab, der Ausnahme-Header passt nur zu einer davon.
2. Der Ausnahme-Header fehlt, ist falsch geschrieben oder trägt einen anderen Wert als true. Punkte statt Bindestriche im Namen sind der häufigste Tippfehler.
3. Die akzeptierte Domäne steht auf Interne Weiterleitung statt auf Maßgeblich.
4. Die Regel hat keine Bedingung auf die Absenderdomäne.
5. Eine zweite Regel oder ein zweiter Connector aus einer früheren Einrichtung steht noch aktiv in der Liste.

Conbool erkennt kreisende Nachrichten an der Hop-Zahl, bricht sie ab und verwirft die Kopien. Der Verkehr beruhigt sich dadurch, die Ursache in Exchange bleibt jedoch bestehen und muss aus der Liste oben behoben werden.

Grenzen

• Die Zustellung läuft auf Port 25. Ein abweichender Port ist nicht vorgesehen.
• Die Authentifizierung des eingehenden Connectors läuft über den Zertifikatsnamen, nicht über IP-Adressen.
• Wird später der Einrichtungsassistent im Portal verwendet, legt er seine eigenen Objekte an und räumt nur seine früheren Fassungen ab. Von Hand angelegte Regeln und Connectoren bleiben stehen. Sie gehören vor dem Lauf des Assistenten gelöscht, sonst bestehen zwei Routen für denselben Verkehr, und das ist wieder der Ausgangspunkt einer Schleife. Ausgenommen ist der eingehende Connector vom Typ Partnerorganisation, den der Assistent übernimmt.

Weiter zur produktnahen Anbindung mit SecureMail für Microsoft 365 und zum Add-in-Deployment. Für eigenbetriebene Server gilt stattdessen Eigener Mailserver.