MX-Record

Ihre Firma ist im Internet und nutzt dazu eine eigene Domäne in der Form "example.com". Da ist es natürlich selbstverständlich, dass ihre Webseite unter "www.example.com" erreichbar ist. Abernatürlich wollen Sie auch al "benutzername@example.com" erreichbar sein. Hierzu dient der MX-Eintrag. MX ist die Abkürzung für "MaileXchange"

Der MX Eintrag in ihrer DNS-Zone teilt allen anderen Mailservern der externen Welt mit, auf welche IP-Adresse diese ihre Post für ihre Domäne einwerfen können. Welche Benutzer bzw. Postfächer oder Verteiler dahinter dann erreichbar sind, müssen Sie im DNS nicht publizieren. Eine DNS-Zone kann daher z.B.: wie folgt aussehen. Dies ist ein Auszug der Zone "msxfaq.de", der zum einen die Webseite aber auch die MX-Einträge im Internet veröffentlicht.

msxfaq.de.   SOA    ns7.schlund.de hostmaster.schlund.de (2004091701 28800 7200 604800 86400)
msxfaq.de.    NS    ns7.schlund.de
msxfaq.de.    NS    ns8.schlund.de
www            A    212.227.144.210
msxfaq.de.    MX    10 mx00.kundenserver.de
msxfaq.de.    MX    10 mx01.kundenserver.de
msxfaq.de    SOA    ns7.schlund.de hostmaster.schlund.de (2004091701 28800 7200 604800 86400)

Eingerahmt durch die "SOA"-Records (State of Authority) werden die Nameserver (NS) und ein A-Record für den Namen "www" und zwei MX-Records angegeben. Dabei bedeutet die "10" die Priorität und "mx00.kundenserver.der" ist ein Server, der Mails für die Domäne annimmt.

Für die Erreichbarkeit aus dem Internet ist es daher erforderlich, dass in dieser externen DNS-Zone die Mailserver für ihre Domäne hinterlegt werden

Details, wie Sie in den verschiedenen Konfigurationen der MX-Eintrag zu setzen ist, finden Sie weiter unten.

Der Mailserver, welcher die Verbindung annimmt, muss natürlich auch entsprechend konfiguriert werden, dass er für die Domäne zuständig ist. Eine Firewall oder ein Router davor muss ebenfalls sicherstellen, dass der Mailserver auch für SMTP (25/TCP) erreichbar ist.

MX im Details

Fragen und Antworten rund um MX-Einträge

MX mit fixer offizieller IP-Adresse

Diese Konstellation ist die einfachste Umgebung für die Einrichtung ihres MX-Records. Der Exchange Server ist dirert mit einer offiziellen IP-Adresse versehen und aus dem Internet erreichbar. Diese Konfiguration ist gar nicht mal so selten, auch wenn aus Aspekten der Sicherheit hierbei Vorbehalte bestehen können.

Tragen Sie einfach den Mailserver mittels A-Record in ihre DNS-Zone ein und fügen Sie einen MX-Eintrag hinzu, der auf diesen Namen verweist.

mail            A    212.227.144.210
example.com.   MX    10 mail.example.com
example.com.   MX    20 backupmail.provider.com

Wen Sie ihren DNS-Server nicht selbst pflegen, dann nennen Sie ihrem Provider einfach die IP-Adresse, unter der ihr Exchange Server die Verbindungen annimmt und dieser wird die entsprechenden Eintragungen vornehmen. Optional kann der Provider seinen Mailserver als Backup-MX eintragen.

Viele Administratoren scheuen sich, ihren Exchange Server direkt aus dem Internet erreichbar zu machen, weil damit natürlich auch Angreifer jede Schwäche des Systems ausnutzen könnten. Aber dir direkte Erreichbarkeit über die offizielle Adresse ist im Prinzip nicht unsicherer als die Erreichbarkeit über NAT, da auch hier direkt der Zugriff auf den SMTP-Port des Servers erfolgt. Wie bei einem Router mit NAT sollten Sie natürlich auch bei einer Anbindung ohne NAT durch entsprechende Filter auf dem Router bzw. der Firewall davor und dem Server selbst sicherstellen, dass nur erwünschte Pakete übertragen werden.

Die direkte Erreichbarkeit des Servers ist z.B.: dann erforderlich, wenn Sie Verbindungen mittels Intelligent Message Filter und RBL von Exchange ablehnen lassen wollen. Wenn Sie Mails ablehnen möchten, ohne Exchange direkt erreichbar zu machen, muss das davor geschaltete System die Mails ablehnen oder Sie setzen ein Produkt wie NoSpamProxy ein.

MX mit dynamischen IP-Adressen und Router mit NAT

Dank der breiten und kostengünstigen Verfügbarkeit von DSL-Anschlüssen mit dynamischen IP-Adressen binden immer mehr Firmen ihre Mailserver über diesen Weg an. Nun lassen es gerade die Webprovider dieser Firmen wie 1und1, Strato etc. nicht zu, dass ein Kunde selbst die Einträge im DNS automatisch aktualisiert. Dies ist vermutlich auch gar nicht von Nachteil, da solche Umstellungen durch den Kunden auch daneben gehen können.

Andere Provider, die primär DNS-Dienstleistungen anbieten (Siehe Exchange und dynamischem DNS) hingegen erlauben es, dass eine dynamische Adresse mit einem festen Namen verbunden wird. Wenn dann noch ihr Provider es erlaubt, den MX-Eintrag einmalig auf einen festen Namen zu ändern, dann haben Sie schon die Lösung für die Anbindung von Systemen mit dynamischer Adresse. Ihre eigene Zone enthält dann folgenden Eintrag:

example.com.   MX    10 meinserver.dynprovider.com

Diese Zeile sorgt nun dafür, dass alle Mails an ihre Domäne an einen vorgegebenen Hostnamen zugestellt werden. Der Provider, welcher im Beispiel nun "dynprovider.com" heisst, muss weder mit dem Provider, der ihnen den Zugang zum Internet erlaubt (z.B. Telekom, Arcor, GMX, 1und1 etc.) identisch sein, noch der Provider sein, der ihre Webseite hostet. Solange ihr Router oder Server nach der Herstellung einer Verbindung zum Internet den definierten Namen registriert, werden Nachrichten zu ihrem System zugestellt. Dabei sollten Sie aber zwei Nachteile beachten:

Nachdem nun der MX-Eintrag auf den dynamischen Namen und der auf die einzige dynamische offizielle IP-Adresse verweist, müssen Sie nun wieder sicherstellen, dass die Mails auch bis zu ihrem Exchange Server kommen. Auf einem Router müssen Sie entsprechende eine Portweiterleitung auf ihren Exchange Server einrichten. Hier geben Sie in der Regel als Ziel die private IP-Adresse ihres Servers ein. Zusätzliche MX-Einträge im Router oder im internen DNS-Server sind für diese Funktion nicht erforderlich.

MX mit Relay oder Firewall

Größere Firmen haben nicht nur eine Standleitung, sondern auch mehrere IP-Adressen, Firewalls und Relaysysteme, die die Verbindungen aus dem Internet von den internen zu schützenden Servern trennen. So wird häufig in einem eigenen Netzwerksegment (DMZ, Siehe Exchange und Firewall) ein Server aufgestellt, der die Verbindungen aus dem Internet annimmt und die Mails nach der Prüfung durch Virenscanner und Content-Filter an den internen Exchange Server weiter leiten. Je nach dem ob der Router und die Firewall zwischen Internet eine IP-Adressumsetzung durchführt oder die Pakete unverändert weiter leitet, müssen Sie den MX-Eintrag auf die offizielle Adresse des NAT-Systems oder die offizielle Adresse des Relay setzen.

Weitere Links

Keywords:DNS MX NAT DDNS