Exchange 2003 Mails von GMX kommen nicht an (TLS)

[panther0909 0]

Wir haben das selbe Problem. W2K3/Exch2003, Selfsigned-Cert. Leider hat auch die höchste Protokollierungsstufe im Exchange nichts verwertbares ergeben. Wir haben alle relevanten Informationen über das Kontaktformular an gmx gegeben. Hat schon jemand was gehört?

 

Als Workaround haben wir auf der Firewall (Fortinet) alle Verbindungen von mout.gmx.net auf Port 25 verboten. Somit gehen die Mails an den extern gehosteten Backup MX (bietet kein TLS an) und kommen von dort mit ca. 2 Sek. Verspätung bei uns an. Backup MX verwenden soweit ich weiss kaum Transportverschlüsselung. Die Kosten halten sich für einen solchen Service in Grenzen.

[NorbertFe 2.155]

Das hat auch mit Exchange wenig zu tun, sondern da mußt du ins SMTP Logging und ggf. auch ins Security/CAPI2 Logging. Im Endeffekt würde ich sagen, kündigt sich eben langsam an, dass Exchange 2003 heute nicht mehr zeitgemäß ist. Wenns denn unbedingt weiter genutzt werden soll, muß eben ein Relay davor, was mit TLS korrekt umgehen kann. Exchange 2003 kann ja bspw. auch kein opportunistic TLS, was dann mehr oder weniger eben TLS am 2003er auch ziemlich einschränkt, es sei denn man legt noch weniger Wert drauf und schaltet es komplett ab, oder hat kein Problem damit, dass die Mails manche Empfänger nicht erreichen.

 

Bye

Norbert

[merome 0]

Ich frage mich, wo bei meinem Exchange ich STARTTLS überhaupt deaktivieren könnte?

 

 

Hallo,

 

wir haben seit einiger Zeit das Problem das Mails von GMX bei aktiviertem STARTTLS im Exchange 2003 nicht ankommen. Werfe ich das Zertifikat raus, dann kommen sie unverschlüsselt problemlos rein. Wodran könnte das liegen?

 

...

[CoolBlue 10]

Einfach das Zertifikat beim SMTP Empfangs-Connector entfernen.

[NorbertFe 2.155]

Exchange 2003 hat aber keinen Empfangsconnector. ;) Und bei 2007 und später gibt's kein Problem, bzw. wahrscheinlich nach Entfernen mehr als vorher. ;)

[CoolBlue 10]

Natürlich hat der einen... frag mich nicht nach dem genauen namen.. unterhalb des ExchangeServers/Postfachdingsbums.. neben IMAP/POP3/HTTP.

[NorbertFe 2.155]

Ja, nennt sich virtueller SMTP Server und ist kein Empfangsconnector (Der Begriff ist zumindest bei mir mit Exchange 2007 und höher verknüpft). ;)

[CoolBlue 10]

Gut das wir die exakte Namensgebung nun geklärt haben..... SSL Zertifikat entfernt?

[merome 0]

Gut das wir die exakte Namensgebung nun geklärt haben..... SSL Zertifikat entfernt?

 

Das hab ich mich bislang nicht getraut, weil der Fenstertitel nahelegt, dass der ganze IIS dann ohne Zertifikat ist...

 

Das hätte dann wohl noch verschiedenste andere Konsequenzen, oder?

[CoolBlue 10]

Der IIS ist erst dann ohne Zerttifikat wenn du es beim HTTP Adapter entfernst bzw im IIS selbst. Wir reden hier aber nur vom SMTP Adapter... genauso wie du beim POP3/IMAP Adapter ebenfalls manuell die Zertifikate einpflegen musst.

 

Jedes Protokoll einzelnd eben.

[merome 0]

Der IIS ist erst dann ohne Zerttifikat wenn du es beim HTTP Adapter entfernst bzw im IIS selbst. Wir reden hier aber nur vom SMTP Adapter... genauso wie du beim POP3/IMAP Adapter ebenfalls manuell die Zertifikate einpflegen musst.

 

Jedes Protokoll einzelnd eben.

 

OK, ich habs mal gemacht und siehe da: Empfang von GMX klappt wieder.

 

Mit welchen (negativen) Begleiterscheinungen muss ich rechnen? Vermutlich kein verschlüsselter Versand und Empfang per SMTP mehr möglich, oder?

 

Auf OWA sollte das aber keine Auswirkungen haben, oder?

[CoolBlue 10]

Mehr Klartextdaten für die NSA.

[NorbertFe 2.155]

 

OK, ich habs mal gemacht und siehe da: Empfang von GMX klappt wieder.

Das war nach diesem Thread hier aber auch keine Überraschung. ;)

Mit welchen (negativen) Begleiterscheinungen muss ich rechnen? Vermutlich kein verschlüsselter Versand und Empfang per SMTP mehr möglich, oder?

Korrekt, da du kein Zertifikat für den SMTP Service mehr bietest, kann auch keine TLS geschützte Übertragung stattfinden. Ich würde mir an deiner Stelle (generell die, die noch Exchange 2003 einsetzen) langsam mal überlegen, ob es so gut ist, ein veraltetes System weiterhin in der Form ins Netz zu hängen. Stattdessen würde ich eher über Migration auf neuere Exchangeversion oder zumindest ein vorgeschaltetes Relay, welches keine Probleme mit TLS hat, nachdenken. Wer immer noch zwingend alles im Klartext durch die Leitung blasen will, dem ist echt nicht mehr zu helfen. ;)

Auf OWA sollte das aber keine Auswirkungen haben, oder?

Was spricht gegen einen kurzen Test deinerseits? Machst du OWA mit SMTP? ;)

 

Bye

Norbert

[merome 0]

Mir ist klar, dass 2003 weg gehört. Ich bin noch nicht ganz schlüssig, ob ich einen neueren SBS und/oder Exchange installieren oder auf office365 umsteigen soll.

Jedenfalls mal danke für die Infos!

 

lg Robert

[NorbertFe 2.155]

Kommt auf deine Anforderungen an, oder? ;)