Smarthost

Mails werden im Internet per SMTP versendet. Der absendende Server muss dazu die "nächte Station" finden. Dazu gibt es zwei Optionen:

Diese Seite beleuchtet das Thema "Smarthost" etwas genauer, denn es gibt einige Gründe, warum der direkte Versand per MX-Record nicht funktioniert oder nicht gewünscht ist, z.B.

Konfiguration des Smarthost

Die Einrichtung eines Smarthosts betrifft aus Exchange Sicht immer nur "ausgehende" Mails, die die Exchange Organisation verlassen.

Es ist nicht möglich, einen Smarthost innerhalb der Organisation in das Routing zwischen den Exchange Servern einzubinden. In Exchange 2003/2000 war so eine "Fehlkonfiguration" über den virtuellen SMTP-Server sogar möglich aber hat das Routing unterbrochen. Die Exchange Server "authentifizieren" sich gegenseitig (TLS).

Insofern wird der Smarthost beim SMTP-Connector (2000/2003) oder Send-Connector (2007/2010) konfiguriert.

Auf den Seiten habe ich aber nicht nur beschrieben, wie ein Smarthost eingerichtet wird, sondern optional auch eine Authentifizierung.

Sicherung des Smarthost

Wer einen Smarthost betreibt, betreibt ein "Relay" und muss sich natürlich gegen Missbrauch absichern. Wir betrachten hier nur den "Versand" von intern nach extern und die Liste der internen Quellen ist überschaubar. Insofern bietet es sich natürlich an, auf dem Smarthost eine "Whitelist" anhand der Quell-IP-Adresse zu pflegen oder in der Firewall nur diese Verbindungen zuzulassen. Nur Systeme auf dieser Liste können überhaupt per SMTP den Smarthost erreichen. Diese Liste ist in der Regel klein.

Als Betreiber eines Firmenmailservers sollten alle internen Absender natürlich immer den zentralen Mailserver nutzen, welcher in dem Zuge auch die lokale Zustellung als auch die Authentifizierung der Clients übernimmt.

Sollte es wirklich nicht möglich sein, die Clients anhand ihrer IP-Adresse zu filtern, dann können Sie eine Authentifizierung konfigurieren. Das kann auch zusätzlich zur IP-Filterung der Quelle erfolgen. So wird z.B. verhindert, dass jemand anderes die IP-Adresse missbräuchlich verwendet, indem es den eigentlichen Besitzer abgeschaltet hat.

Ich hatte schon mal eine SpamMail einer IP-Adresse, die eigentlich einem HP-Drucker gehört hat. Schenkt man dem UserAgent glauben, war es aber ein UNIX-System. Da könnte also ein "böser Anwender" das Kabel vom Drucker abgezogen  und stattdessen seinen Notebook angehängt haben.

Das Problem sehe ich aber als gering ab, wenn konsequent Clients und Server durch Subnetze und VLANs getrennt werden. Wenn dann eine IP-Adresse gekapert werden kann, dann ist der Angreifer schon viel zu nah am Server dran.

Bedenken Sie auch immer, dass bei einer Authentifizierung die Anmeldedaten auf dem ausgehenden Server hinterlegt sein müssen, dieses Kennwort vermutlich nie geändert wird und SMTP sehr einfach "abgehört" werden kann, wenn Sie die SMTP-Verbindung nicht verschlüsseln oder alternative Anmeldeverfahren statt "Klartext" nutzen

Ausgehender Smarthost im Internet

Verlassen wir nun das eigene Netzwerk und schauen und Smarthosts im Internet an. Eigentlich bräuchte man die nicht, wenn das System an der Grenze per MX-Record einfach seine Mails zustellen könnte. Auf der anderen Seite will man aber vielleicht doch eine Smarthost nutzen, um z.B. den Datenverkehr zu optimieren oder Zusatzleistungen eines Cloud-Anbieters zu nutzen.

Aber auch Provider möchten ihre Netzwerkstruktur gegen Missbrauch schützen und blockieren gerne mal Ports, die von "Endanwendern" eigentlich gar nicht benötigt werden. Viele Provider verbieten auch den Betrieb bestimmter Dienste und auch wenn dies vielleicht noch nicht durchgesetzt wird, kann dies zukünftig immer noch kommen. Schlimmstenfalls kündigt der Provider seinerseits den Vertrag, weil Sie einen günstigen Privatkundenvertrag doch als Firma nutzen. Dann geht nämlich die Kalkulation nicht mehr auf. Eine Familie oder ein Privatanwender nutzt eine Leitung deutlich weniger als eine Firma, hinter der sich mehrere Anwender befinden.

Wenn Sie aber einen Exchange Server z.B. hintern einem Anschluss mit dynamischer IP-Adresse betreiben oder andere Dinge verhindern, dass Sie selbst per DNS die Mails versenden, dann kommt ein Smarthost im Internet als nächste Station ins Spiel. Ein Smarthost kann an der Stelle aber auch hilfreich sein, wenn die Leitungen nicht "schnell" sind oder sie eine Mail an mehrere Empfänger verschiedener Domains versenden. Dann wird die Mail nur einmal mit allen Empfänger in der "RCPT TO Liste" an den Smarthost gesendet, der dann die weitere Verteilung übernimmt. Das ist besonders bei Newslettern nicht zu unterschätzen, wenn diese nicht personalisiert werden müssen.

Es bieten sich mehrere verschiedene Optionen an:

Achtung:
Einige ersetzen aber beim Versand einer Mail über das Relay die Absenderadresse durch die Mailadresse des Anschlussinhabers.
Es kann sich dann leider keine Firma dahinter verstecken. Einige Anbieter (Telekom) schalten diese Verhalten aber gegen Gebühr auch wieder ab.

Eingehende Relay (<> Smarthost)

Aber auch in der Gegenrichtung kann ein Smarthost gute Dienste tun. Allerdings ist hierfür die Bezeichnung "Smarthost" irreführend, weil niemand dieses System als "next Hop" einträgt, sondern die Absender natürlich per MX-Record diese Relay finden.

Mit einer festen IP-Adressen verweist der MX-Record z.B. auf ihren Mailserver. Nur sehr kleine Firmen werden ihren Mailserver mit einem Bein in das Internet stellen. In der Regel wird zwischen dem "unbekannten Absender" und dem Mailserver ein Relay als Schutz und Filter eingeführt. Es gelten hier in etwas die gleichen Beweggründe wie Malwareschutz, Archiv, Verschlüsselung etc. Dabei ist es unerheblich, ob das MX-Ziel nun bei ihnen in der DMZ oder bei einem Provider steht. Gerade beim Einsatz von Lösungen bei einem "Cloud-Anbieter" wird der MX-Record eben dorthin verweisen.

Interessant kann so ein Relay aber auch sein, wenn Sie sich hinter einer dynamischen Adresse verbergen. Wer hier einen MX-Record auf einen Rechnernamen verweisen lässt, der dann per dynamischen DNS im Internet auflösbar ist, wird immer zwei Risiken eingehen, die beim IP-Adresschange auftreten. Aufgrund von Cache-Funktionen in DNS-Servern wird eine Änderung nicht sofort aktiv. Selbst wenn der "Time to Live" (TTL) sehr kurz gesetzt wird, so gibt es immer wieder DNS-Server, die einen aus ihrer Sicht zu kleinen TTL durch einen vorgegeben Wert ersetzen. Immer dann treten die beiden Probleme für die Übergangszeit aus

Leider können Sie daran nichts ändern außer zu warten oder eine andere Art der Anbindung zu wählen.

Weitere Links

Keywords:SMTP Smarthost Internet Routing Relay