Exchange on-premises anbinden, ohne den MX umzustellen

Ein Exchange im eigenen Haus lässt sich anbinden, ohne den MX-Eintrag der Domäne anzufassen. Der Grund ist einfach: Der MX steuert nur den eingehenden Weg. Signatur, Verschlüsselung, Disclaimer und ausgehende Regeln greifen aber auf dem ausgehenden Weg, und der wird auf dem Exchange selbst umgeleitet, nicht im DNS.

Für Postfächer in Exchange Online gilt statt dessen der Weg über Exchange Connectoren.

Was dieser Weg leistet und was nicht

Ausgehende Nachrichten verlassen den Exchange über einen Sendeconnector an Conbool. Dort greifen Signatur und Disclaimer, S/MIME- und PGP-Verschlüsselung, ausgehende Regeln und die DKIM-Signatur. Danach geht die Nachricht an den Empfänger.

Eingehende Nachrichten laufen weiter direkt an den eigenen Server. Alles, was am Eingang arbeitet, ist damit nicht im Spiel: Spam- und Malware-Abwehr, Quarantäne und die Archivierung eingehender Post über den Mailweg. Wer das ebenfalls braucht, stellt den MX um und fährt beide Richtungen über Conbool.

Der Umstieg auf beide Richtungen ist später jederzeit möglich und besteht aus einem geänderten MX-Eintrag und der umgestellten Betriebsart im Portal. Am Sendeconnector ändert sich dabei nichts.

Benötigte Werte

beispiel.de steht für die eigene Mail-Domäne, 203.0.113.20 für die öffentliche Adresse, unter der der eigene Exchange nach außen sendet.

Smart Host und Zertifikatsname stehen im Portal unter Einstellungen, Domänen, in der jeweiligen Domäne im Feld Mailserver. In der Cloud-Fassung lauten beide mail.conbool.com. Partner- und On-Premise-Installationen zeigen dort andere Werte.

Schritt 1: Domäne im Portal einrichten

Die Domäne wird wie gewohnt über den Einrichtungsassistenten angelegt. Drei Einträge sind nötig, der vierte bleibt bewusst aus:

• TXT zur Verifizierung unter _verification.beispiel.de, Wert aus dem Assistenten.
• DKIM unter dem angezeigten Selektor. Ohne ihn wird ausgehende Post nicht signiert.
• SPF mit zwei Bestandteilen, siehe nächster Abschnitt.
• MX bleibt unverändert. Der Assistent zeigt ihn als offenen Punkt in Amber an; die Verifizierung hängt nicht daran und wird auch ohne ihn abgeschlossen.

Schritt 2: SPF richtig setzen

Der SPF-Eintrag muss in diesem Betrieb zwei Quellen abdecken, und beide sind erforderlich:

v=spf1 ip4:203.0.113.20 include:mail.conbool.com ~all

Die eigene Adresse deckt die Einlieferung am Gateway. Nachrichten mit einer Mandantendomäne im Absender werden nur angenommen, wenn die einliefernde Adresse durch den SPF dieser Domäne gedeckt ist. Fehlt sie, lehnt das Gateway mit 550 5.7.1 The message failed the SPF check. ab. Diese Prüfung ist der Schutz gegen fremde Nachrichten unter der eigenen Absenderidentität und wird nicht ausgesetzt.

Der include deckt die Zustellung von Conbool an den Empfänger.

Ein direkter ip4:-Eintrag ist zudem die Voraussetzung dafür, dass ausgehende Nachrichten mit DKIM signiert werden. Eine Adresse, die nur über einen fremden include: gedeckt ist, reicht dafür nicht aus, weil geteilte Versandpools sonst gültige Signaturen für fremde Absender erhielten.

Es darf nur einen SPF-Eintrag je Domäne geben. Ein vorhandener Eintrag wird ergänzt, nicht ersetzt.

Schritt 3: Betriebsart auf ausgehend stellen

Im Portal unter Einstellungen, Domänen, in der Domäne im Abschnitt Mailweg die Richtung auf Nur ausgehend setzen.

Damit entfällt der MX aus der Liste der empfohlenen Einträge und aus der Zustandsprüfung. Ohne diese Einstellung meldet die Domänenseite den fehlenden MX dauerhaft als offenen Punkt, obwohl die Einrichtung vollständig ist.

Schritt 4: Sendeconnector auf dem Exchange

In der Exchange-Verwaltungskonsole unter E-Mail-Fluss, Sendeconnectors, neuer Connector vom Typ Internet. Als Adressraum *, als Weiterleitung Nachrichten über die folgenden Smarthosts weiterleiten mit dem Wert mail.conbool.com und ohne Authentifizierung. Als Quellserver werden die Transportserver eingetragen, die nach außen senden.

Derselbe Stand über die Exchange Management Shell:

New-SendConnector -Name "Conbool" `
  -AddressSpaces "*" `
  -DNSRoutingEnabled $false `
  -SmartHosts "mail.conbool.com" `
  -SmartHostAuthMechanism None `
  -RequireTLS $true `
  -TlsAuthLevel DomainValidation `
  -TlsDomain "mail.conbool.com" `
  -Port 25 `
  -SourceTransportServers "EXCH01"

TlsAuthLevel DomainValidation prüft den Namen im Zertifikat der Gegenstelle und verhindert damit eine unbemerkte Umleitung. Der Wert unter TlsDomain ist der Zertifikatsname aus dem Portal, in der Cloud-Fassung derselbe Name wie der Smart Host.

Ist bereits ein Sendeconnector mit dem Adressraum * vorhanden, wird nicht ein zweiter angelegt, sondern der bestehende umgestellt. Zwei Connectoren mit gleichem Adressraum und gleicher Kostenangabe führen zu unvorhersehbarem Routing.

Schritt 5: Prüfen

Eine Nachricht von einem Postfach an eine externe Adresse senden. Erwartet wird:

• Die Signatur ist angehängt.
• Die Kopfzeilen der beim Empfänger angekommenen Nachricht zeigen eine DKIM-Signatur der eigenen Domäne und den Weg über den Conbool-Hostnamen.
• Die Nachricht erscheint im Portal unter Nachrichtenverfolgung mit der Richtung ausgehend.

Erscheint dort nichts und bleibt die Nachricht in der Warteschlange des Exchange, liefert Get-Queue den Grund. Eine Ablehnung mit 550 5.7.1 The message failed the SPF check. bedeutet, dass die sendende Adresse nicht im SPF steht, siehe Schritt 2. Eine Ablehnung mit 550 5.7.1 The domain is not verified on this service. bedeutet, dass die Verifizierung der Domäne im Portal noch nicht abgeschlossen ist.

Signatur über das Outlook-Add-in

Die Signatur lässt sich alternativ ganz ohne Mailweg setzen, allein im Postfach über das Outlook-Add-in. Dieser Weg setzt jedoch Postfächer in Exchange Online voraus: er beruht auf einem von Microsoft ausgestellten Anmeldetoken und auf einer Ereignisverarbeitung, die es in Exchange on-premises nicht gibt. Für Postfächer im eigenen Haus ist der Sendeconnector der richtige Weg. Zum Add-in-Weg siehe Signatur ohne Mailweg.

In einer Hybridumgebung gilt die Unterscheidung je Postfach: Postfächer in Exchange Online können das Add-in nutzen, Postfächer im Haus laufen über den Sendeconnector.