Postfix tls erzwingen - Versionsgeschichte

Jan.vogel: /* Praxis */

2018-06-07T14:37:25Z

Praxis

2018-06-07T14:36:31Z

TLS Verschlüsselung

2018-06-07T14:35:00Z

2018-06-07T14:30:39Z

TLS Verschlüsselung

2018-06-07T14:28:32Z

Praxis

2018-06-07T14:28:24Z

TLS Verschlüsselung

2018-06-07T14:28:17Z

2018-06-07T14:27:35Z

2018-06-07T14:17:13Z

Praxis

2018-06-07T14:09:18Z

Praxis

@@ Zeile 27: / Zeile 27: @@
 auth plain xxxxxxxxxxxxxxxxxxxx
 2.7.0 Authentication successful
-mail from: testuser@dmailserver.de
+mail from: testuser@mailserver.de
 2.1.0 Ok
 rcpt to: user@gegenseite.de

@@ Zeile 6: / Zeile 6: @@
 [[Datei:tlsmay3.dia]]
 *Bei '''Must''' wird ein SMTP-Paket verschickt, welches die Anfrage für TLS besitzt, so kann die Mail nur weiter geschickt werden, wenn die TLS verschlüsselung möglich ist.
-[[Datei:tlsmust2.dia]]
+[[Datei:tlsmust3.dia]]
 =Praxis=

@@ Zeile 4: / Zeile 4: @@
 *Bei '''May''' kann die Mail nicht verschlüsselt ankommen, wenn die Gegenseite kein TLS konfiguriert hat.
-[[Datei:tlsmay2.dia]]
+[[Datei:tlsmay3.dia]]
 *Bei '''Must''' wird ein SMTP-Paket verschickt, welches die Anfrage für TLS besitzt, so kann die Mail nur weiter geschickt werden, wenn die TLS verschlüsselung möglich ist.
 [[Datei:tlsmust2.dia]]

@@ Zeile 3: / Zeile 3: @@
 *Um eine Mail verschlüsselt zu der Gegenseite zu bringen, muss die Gegenseite TLS konfiguriert haben.
-*Bei '''May''' kann die Mail nicht verschlüsselt ankommen, da die Gegenseite kein TLS konfiguriert hat.
+*Bei '''May''' kann die Mail nicht verschlüsselt ankommen, wenn die Gegenseite kein TLS konfiguriert hat.
 [[Datei:tlsmay2.dia]]
 *Bei '''Must''' wird ein SMTP-Paket verschickt, welches die Anfrage für TLS besitzt, so kann die Mail nur weiter geschickt werden, wenn die TLS verschlüsselung möglich ist.

@@ Zeile 8: / Zeile 8: @@
 [[Datei:tlsmust2.dia]]
-==Praxis==
+=Praxis=
 *Wir melden uns auf dem Mailserver mit Hilfe des openssl s-clients an ->  openssl s_client -host mail.server.de -port 465
 *Nach dem Anmelden verschicken wir eine Mail an die gegenseite, sprich an den anderen Mailserver, welcher TLS konfiguriert hat.
@@ Zeile 48: / Zeile 48: @@
 *Wenn TLS bei der Gegenseite konfiguriert ist, schickt der Mailserver der Gegenseite eine Bestätigung, dass TLS gestartet wird.
 *Nun wird die TLS Verbindung aufgebaut und die Mail wird verschlüsselt versendet.
 =Bei May Problemen=
 *Sollte trotz TLS konfiguration auf beiden seiten die Mail unverschlüsselt sein, so muss man die Domain in eine Liste eintragen, damit der Mailserver die TLS Verbindung mit dieser Domain "erzwingt"

@@ Zeile 1: / Zeile 1: @@
-==TLS Verschlüsselung==
+=TLS Verschlüsselung=
 *Es gibt 2 Möglichkeiten, einmal '''May''' und einmal '''Must'''.
 *Um eine Mail verschlüsselt zu der Gegenseite zu bringen, muss die Gegenseite TLS konfiguriert haben.
@@ Zeile 7: / Zeile 7: @@
 *Bei '''Must''' wird ein SMTP-Paket verschickt, welches die Anfrage für TLS besitzt, so kann die Mail nur weiter geschickt werden, wenn die TLS verschlüsselung möglich ist.
 [[Datei:tlsmust2.dia]]
 ==Praxis==

← Nächstältere Version		Version vom 7. Juni 2018, 14:27 Uhr
Zeile 49:		Zeile 49:
	*Wenn TLS bei der Gegenseite konfiguriert ist, schickt der Mailserver der Gegenseite eine Bestätigung, dass TLS gestartet wird.		*Wenn TLS bei der Gegenseite konfiguriert ist, schickt der Mailserver der Gegenseite eine Bestätigung, dass TLS gestartet wird.
	*Nun wird die TLS Verbindung aufgebaut und die Mail wird verschlüsselt versendet.		*Nun wird die TLS Verbindung aufgebaut und die Mail wird verschlüsselt versendet.
		+	==Zu letzt==
		+	*Sollte trotz TLS konfiguration auf beiden seiten die Mail unverschlüsselt sein, so muss man die Domain in eine Liste eintragen, damit der Mailserver die TLS Verbindung mit dieser Domain "erzwingt"
		+	*Mapping-Datei erstellen, z.B. „/etc/postfix/tls_policy“ mit diesem Inhalt:
		+	<pre>
		+	gegenseite.de encrypt
		+	</pre>
		+	*Um dies zu übernehmen, muss der Befehl -> '''postmap /etc/postfix/tls_policy''' ausgeführt werden.
		+	*Dann noch die Tabelle in der main.cf in der TLS-Policy referenzieren
		+	<pre>
		+	# TLS erzwingen
		+	smtp_tls_policy_maps = hash:/etc/postfix/tls_policy
		+	</pre>
		+	*Und zu letzt Postfix reloaden -> '''/etc/init.d/postfix reload'''

← Nächstältere Version		Version vom 7. Juni 2018, 14:17 Uhr
Zeile 43:		Zeile 43:
	*Wenn die Mail verschickt wurde, Schauen wir uns einen Mitschnitt auf Wireshark an, um zu sehen, ob die Mail verschlüsselt bzw. angekommen ist.		*Wenn die Mail verschickt wurde, Schauen wir uns einen Mitschnitt auf Wireshark an, um zu sehen, ob die Mail verschlüsselt bzw. angekommen ist.
	[[Datei:tlszensur1.png]]		[[Datei:tlszensur1.png]]
		+	*Zu erst wird ein normaler 3-Wege-Handshake durchgeführt, um eine Verbindung aufzubauen.
		+	*Danach schickt der Mailserver der Gegenseite sein Banner. (gegenseite.mailserver.de)
		+	*Dann kommt ein EHLO von dem Mailserver. (EHLO ist ebenso wie HELO ein Kommando zur Übertragung von E-Mails, die Server müssen allerdings ESMTP verstehen)
		+	*Als nächstes schickt der Mailserver der Gegenseite den TLS start "befehl".
		+	*Wenn TLS bei der Gegenseite konfiguriert ist, schickt der Mailserver der Gegenseite eine Bestätigung, dass TLS gestartet wird.
		+	*Nun wird die TLS Verbindung aufgebaut und die Mail wird verschlüsselt versendet.

← Nächstältere Version		Version vom 7. Juni 2018, 14:09 Uhr
Zeile 41:		Zeile 41:
	quit		quit
	</pre>		</pre>
		+	*Wenn die Mail verschickt wurde, Schauen wir uns einen Mitschnitt auf Wireshark an, um zu sehen, ob die Mail verschlüsselt bzw. angekommen ist.
		+	[[Datei:tlszensur1.png]]