Grenzwerte, Antwortcodes und Kopfzeilen des Gateways

Diese Seite sammelt die technischen Eckwerte des Gateways an einer Stelle: was angenommen wird, was abgelehnt wird, welche Antwort dabei zurückgeht und welche Spuren Conbool in einer Nachricht hinterlässt. Alle Werte gelten für den Cloud-Betrieb. Partner- und On-Premise-Installationen laufen mit eigener Konfiguration und können abweichen, die maßgeblichen Werte stehen dort in der jeweiligen Instanz.

Verbindung, Port und TLS

Der Mailfluss läuft ausschließlich über SMTP auf Port 25, in beide Richtungen. Auch die Zustellung an den Relay-Host der Domäne und an einen Smart Host geht auf Port 25. Ein abweichender Port ist nicht vorgesehen.

Eine SMTP-Anmeldung gibt es nicht. Das Gateway bewirbt AUTH nicht und bedient es nicht. Die Berechtigung zum Versand ergibt sich aus dem SPF-Eintrag der Domäne, beschrieben unter SPF und DKIM.

STARTTLS wird angeboten, sobald ein Zertifikat vorliegt. Verschlüsselt wird ab TLS 1.2, die Cipher-Reihenfolge folgt BSI TR-03116-4 und wird serverseitig erzwungen. Verbindungen ohne TLS werden angenommen, denn ein annehmender MX darf Post nicht an der Verschlüsselung scheitern lassen. Für den ausgehenden Weg gilt je Ziel eine eigene Strenge: veröffentlicht das Ziel DANE oder MTA-STS, wird das Zertifikat geprüft und bei fehlgeschlagener Prüfung nicht unverschlüsselt zugestellt. Internationale Adressen werden über SMTPUTF8 unterstützt.

Grenzwerte je Nachricht und je Verbindung

• Nachrichtengröße: 36.214.400 Byte je Nachricht, gemessen an der übertragenen Größe. Da Anhänge für den Transport kodiert werden und dabei etwa ein Drittel zulegen, entspricht das rund 25 MB Anhang. Größere Dateien gehören in SecureFiles.
• Empfänger je Nachricht: 500. Weitere Empfänger werden einzeln mit 452 abgelehnt, die Verbindung bleibt bestehen und die Nachricht geht an die bereits angenommenen Empfänger.
• Leerlauf: eine eingehende Verbindung ohne Datenfluss endet nach 180 Sekunden.
• Geduld beim Zustellen: auf die Begrüßung eines Zielservers wartet Conbool bis zu 60 Sekunden, auf den Verbindungsaufbau 30 Sekunden. Ein langsamer Zielserver führt also nicht sofort zur Verzögerung.
• Raten: Verbindungen und Nachrichten je Absender-IP und Minute sind begrenzt. Die Grenzen liegen weit über normalem Geschäftsverkehr und treffen im Regelbetrieb nur Massenversender.
• Wiederholte Ablehnung: drei abgewiesene Zustellversuche von derselben Adresse führen zu einer Sperre für zwei Stunden. Bekannte große Anbieter sind davon ausgenommen.

Was bei einem Fehler passiert

Für die reguläre Zustellung hält Conbool keine eigene Warteschlange. Scheitert die Zustellung an den nächsten Server vorübergehend, gibt das Gateway einen Fehler der 4er-Klasse an den einliefernden Server zurück. Dieser Server wiederholt die Zustellung nach seinen eigenen Regeln.

Daraus folgt eine oft gestellte Frage von selbst: Wiederholungsrhythmus und Warteschlangendauer bestimmt der einliefernde Server, nicht Conbool. Exchange Online gibt nach etwa einem Tag auf, Postfix hält eine Nachricht standardmäßig fünf Tage in der Warteschlange. Erst danach entsteht eine Unzustellbarkeitsnachricht, und zwar dort, nicht bei Conbool.

Ist der Fehler dauerhaft, antwortet das Gateway mit einem Code der 5er-Klasse. Die Unzustellbarkeitsnachricht an den Absender erzeugt dann ebenfalls der einliefernde Server.

Stehen mehrere Zielserver zur Verfügung, probiert Conbool sie der Reihe nach durch, bevor ein vorübergehender Fehler zurückgeht.

Antwortcodes, die vom Gateway stammen

• 452 4.5.3 Die Empfängergrenze je Nachricht ist erreicht.
• 451 4.7.1 Zu viele Verbindungen oder Nachrichten von dieser Adresse in kurzer Zeit.
• 550 5.7.1 Access denied from your address Die Adresse ist nach wiederholten Fehlversuchen gesperrt.
• 550 5.7.1 A relay host is required Für die Empfängerdomäne ist kein Relay-Host hinterlegt. Nachzutragen unter Domain verbinden.
• 554 5.4.14 The message was routed too many times Die Nachricht kreist, siehe Schleifenschutz.
• 451 ohne weitere Angabe nach langer Verarbeitung: die Inhaltsprüfung hat die Zeitvorgabe überschritten. Im Enforce-Modus wird dann verzögert statt ungeprüft zugestellt. Der einliefernde Server wiederholt, in aller Regel geht die Nachricht im zweiten Anlauf durch.

Antwortcodes aus anderen Quellen sind an der Kennung des meldenden Systems erkennbar. Ein 554 5.4.1 Hop count exceeded mit einem protection.outlook.com-Bezeichner stammt beispielsweise von Microsoft, nicht von Conbool.

Schleifenschutz in Zahlen

Drei Grenzen greifen unabhängig voneinander.

• Mehr als 30 fremde Received-Zeilen im obersten Kopfzeilenblock führen zur Ablehnung mit 554 5.4.14. Gezählt wird nur der oberste Block, damit angehängte Berichte und weitergeleitete Nachrichten nicht mitzählen.
• Erkennt das Gateway einen Wiedereintritt derselben Nachricht, zählt es diesen in X-Conbool-Relayed mit. Ab dem fünften Durchlauf wird abgelehnt.
• Bei Durchleitung innerhalb desselben Mandanten, etwa bei Abwesenheitsnotizen und Kalendereinladungen, endet der Weg nach zwölf Hops. Die kreisende Kopie wird angenommen und verworfen, damit keine Flut von Unzustellbarkeitsnachrichten entsteht.

Zum normalen Verkehr ist reichlich Abstand: legitime Post erreicht typischerweise ein bis fünf Hops. Wer eine Schleife untersucht, findet die häufigsten Ursachen unter Exchange Connectoren.

Kopfzeilen, die Conbool setzt

Diese Kopfzeilen erscheinen in verarbeiteten Nachrichten und lassen sich in eigenen Regeln auswerten.

• X-Conbool-<domäne>: true bestätigt, dass die Nachricht für diese Domäne bereits durch das Gateway gelaufen ist. Punkte der Domäne stehen als Bindestriche, aus beispiel.de wird X-Conbool-beispiel-de. Diese Kopfzeile trägt den Schleifenschutz in Exchange.
• X-Conbool-Flag: YES kennzeichnet eine als Spam bewertete Nachricht. Die Transportregel im Exchange setzt daraufhin die Spam-Vertrauenswürdigkeitsstufe.
• X-Conbool-Released: yes trägt eine aus der Quarantäne freigegebene Nachricht, ergänzt um X-Conbool-Released-By und X-Conbool-Released-From.
• X-Conbool-Relayed ist der Zähler des Schleifenschutzes.
• X-Conbool-System: yes kennzeichnet Nachrichten, die Conbool selbst erzeugt, etwa Quarantäne-Benachrichtigungen. Eigene Regeln sollten diese Nachrichten nicht erneut verarbeiten.
• X-Conbool-Trace trägt die Kennung des Mandanten und dient der Zuordnung von Unzustellbarkeitsberichten.
• X-Conbool-Orig-Client-Ip hält die ursprüngliche Adresse des einliefernden Systems über interne Verarbeitungsschritte hinweg fest.

Dazu kommen die üblichen Nachweise der Absenderprüfung: Authentication-Results mit der Kennung mail.conbool.com, ein ARC-Siegel mit d=arc.conbool.com und Selektor arc1 sowie die ausgehende DKIM-Signatur mit der eigenen Domäne. Deren Selektor gehört zur Domäne und steht im Einrichtungsassistenten beim DNS-Schritt, üblich ist conbool1.

Namen im Mailfluss

• mail.conbool.com ist Gateway, Smart Host, Kennung in den Prüfergebnissen und Name im TLS-Zertifikat.
• bounces.conbool.com erscheint als Envelope-Absender weitergeleiteter Nachrichten. Das ist die Absenderumschreibung nach SRS und hält den Rückweg für Unzustellbarkeitsnachrichten funktionsfähig, wenn der Weg über Conbool läuft. Ein softfail im SPF für diese Domäne bei einer Verbindung, die nicht von Conbool kommt, markiert genau diesen Rückweg und ist kein Fehler der eigenen Konfiguration.
• arc.conbool.com siegelt eingehende Nachrichten. Der Eintrag als vertrauenswürdiger Siegelgeber ist unter Exchange Connectoren beschrieben.
• journal.conbool.com nimmt Archiv-Kopien entgegen, siehe Archiv-Einrichtung.

Die zustellenden Adressen einer Domäne stehen im Portal unter Einstellungen, Domänen im Feld Mailserver. Sie werden dort und nicht hier geführt, weil Partner- und On-Premise-Installationen aus ihrer eigenen Instanz zustellen.

Weiterführend

Die Anbindung beschreiben Exchange Connectoren, Eigener Mailserver und Mailcow anbinden. Wie sich eine einzelne Nachricht nachverfolgen lässt, zeigt die Nachrichtenverfolgung.