Was bewirkt der SPF eigentlich?

Angenommen, ein Spammer fälscht eine hotmail.com-Adresse und versucht, Ihnen Spam zu senden. Er verbindet sich von einem anderen Ort als Hotmail. Wenn seine Nachricht gesendet wird, sehen Sie die NACHRICHT VON: <forged_address@hotmail.com> aber Sie müssen sich nicht auf sein Wort verlassen. Sie können Hotmail fragen, ob die IP-Adresse aus ihrem Netzwerk stammt. Hotmail veröffentlicht einen SPF-Eintrag. Dieser Eintrag teilt Ihnen (Ihrem Computer) mit, ob das sendende Gerät E-Mails von Hotmail senden darf. Wenn Hotmail meldet, dass es das sendende Gerät erkennt, wird die Nachricht weitergeleitet, und Sie können davon ausgehen, dass der Absender der ist, für den er sich ausgibt. Wenn die Nachricht den SPF-Test nicht besteht, handelt es sich um Spam.

Was ist der LSF und warum macht er mir das Leben schwer?

Sender Policy Framework (SPF) ist ein Versuch, gefälschte E-Mails zu kontrollieren. Bei SPF geht es nicht direkt darum, Spam - Junk-Mail - zu stoppen. Es geht darum, Domäneninhabern die Möglichkeit zu geben, zu bestimmen, welche E-Mail-Quellen für ihre Domäne legitim sind und welche nicht. SPF ist ein Protokoll, das von einer Gruppe motivierter Freiwilliger entwickelt wurde, die den gemeinsamen Wunsch haben, das Internet zu verbessern. Es handelt sich NICHT um ein kommerzielles Produkt, das von einem gewinnorientierten Unternehmen angeboten wird. SPF wird von einer wachsenden Zahl von Hosting-Domänen und Internet-Diensteanbietern (ISPs) übernommen, und wie bei jeder Entwicklung der Technologie wird es einige Hindernisse auf dem Weg geben. Die Personen, die hinter dieser Website stehen, und die Personen, die an der Entwicklung von SPF mitgewirkt haben, können Ihnen zwar helfen, mit auftretenden Problemen umzugehen, sind aber nicht direkt für die Probleme verantwortlich, auf die Sie stoßen könnten.

Ich bin kein Programmierer, ich verstehe nicht, wie man SPF verwendet, wird die Post richtig zugestellt?

Zuallererst: Wenn Sie Ihre DNS-Einträge nicht direkt verwalten (die meisten von uns tun das nicht) oder Sie nicht wissen, was das alles bedeutet, ist der schnellste Weg, eine Lösung zu finden, den technischen Kundendienst Ihres Internetanbieters anzurufen. Schildern Sie das Problem, das Sie haben, wenn das Problem nur mit den E-Mails zusammenhängt, die Sie von Ihrem beruflichen/privaten E-Mail-Konto senden. Zweitens: Wenn Sie Ihre eigene Domain haben, wenden Sie sich an den Support Ihres Hosters.

Sollte ich SPF verwenden?

SPF ist ein Werkzeug für den Domäneninhaber. Wenn Sie nicht der Domäneninhaber sind und die Domäne in Ihrer E-Mail-Adresse einen SPF-Eintrag hat, dann ja. Wenn Sie der Domäneninhaber sind und Ihre eigene Domäne verwalten, haben Sie die Wahl, SPF zu implementieren oder nicht. Wenn Sie dies nicht tun, ist Ihre Domäne anfällig für Hacker oder Spammer, die Ihre Domäne als 'Fassade' für ihre illegalen Aktivitäten nutzen wollen.

Ich habe meine eigene Domain und möchte meinen SPF-Eintrag korrigieren?

Dieser Artikel enthält eine ausführliche Schritt-für-Schritt-Anleitung, wie Sie einen SPF-Eintrag für Ihre Domain erstellen und anhängen können. Wenn Sie dies nicht selbst tun können, wenden Sie sich bitte an das Support-Team Ihres ISP oder Hosters.

Anleitung: Hinzufügen von SPF, DKIM und DMARC DNS-Einträgen

Im vorherigen Artikel haben wir uns angesehen, wie Exchange Server installiert und für die Ausführung eines Mailservers konfiguriert wird. Gleichzeitig werden wir weiter darüber sprechen, was Sie tun müssen, damit Ihre Briefe den Adressaten erreichen und nicht im Spam landen, und sprechen auch über die Einrichtung der E-Mail-Protokolle POP3 und IMAP4.

Inhalt

Damit Ihre E-Mails auf dem Weg zum Empfänger die Prüfung bestehen und nicht in Spam geraten, müssen Sie Ihrem DNS-Hosting SPF-, DKIM- und DMARC-Einträge hinzufügen.

SPF, DKIM und DMARC sind grundlegende Einstellungen, die vor dem Start des Mailservers vorgenommen werden müssen. Diese Aufzeichnungen verhindern, dass Betrüger böswillige E-Mails in Ihrem Namen senden, und wenn sie nicht vorhanden sind, erreicht die Nachricht den Empfänger möglicherweise überhaupt nicht.

Zur Ansicht gehen

Hinzufügen von SPF-, DKIM- und DMARC-DNS-Einträgen | Konfigurieren der E-Mail-Protokolle POP3/IMAP4

Wie kann ich einen SPF-Eintrag erstellen?

Der SPF-Datensatz (Sender Policy Framework) bildet eine Brücke zwischen Absender- und Empfänger-Mailservern. Er enthält Informationen darüber, welche Mailserver in Ihrem Namen Mails versenden dürfen.

Ohne das Vorhandensein eines SPF-Eintrags können viele E-Mail-Dienste alle von Domain-Postfächern gesendeten E-Mails ungeachtet ihres Inhalts an Spam senden. Der SPF-Eintrag wird auf den DNS-Servern veröffentlicht, die die Domain bedienen.

Gehen Sie zu Ihrem DNS-Hosting-Kontrollfeld. Und erstellen Sie einen TXT-Datensatz, indem Sie alle diese Felder ausfüllen. Der Eintrag enthält die folgenden Schlüssel: spf-Version, Domänen-IP-Adresse, v=spf1 – SPF-Version.

Schlüssel – a – legt Regeln für eine bestimmte Domain fest und vergleicht die IP-Adresse des Absenders mit der IP-Adresse, die in den A-Einträgen der Domain angegeben ist.

mx – enthält alle Serveradressen, die in den MX-Einträgen der Domain angegeben sind.

Das Tilde-Zeichen ~ ist eine Abweichung. Die E-Mail wird akzeptiert, aber als Spam markiert.

all — alle Adressen, die nicht im Eintrag angegeben sind.

Zusätzliche Tags können später installiert werden, aber klicken Sie vorerst auf – Speichern.

Parameter, die das Verhalten für die angegebenen Schlüssel definieren:

+ ist ein Parameter, der die Annahme von Briefen (Pass) anzeigt. Standardmäßig eingestellt, wenn keine anderen.
– – ablehnen (Fail). Der Brief wird nicht angenommen.
~ – “weiche” Abweichung (SoftFail). Die E-Mail wird akzeptiert, aber als Spam markiert.
? – neutrale Wahrnehmung des Absenders.

Schlüssel zum Definieren von Knoten:

mx – enthält alle Serveradressen, die in den MX-Einträgen der Domain angegeben sind.
ip4 – Angabe bestimmter IPs.
ptr — überprüft den PTR-Eintrag auf das Vorhandensein der angegebenen Domain.
exists —- Domain-Zustandsprüfung. Es ist wichtig zu beachten, dass diese Prüfung auch ein positives Ergebnis liefert, wenn Adressen wie 127.0.0.1 usw. verwendet werden, was eine Verwendung eher zweifelhaft macht.
a – wendet die Regeln auf eine bestimmte Domain an, indem die IP-Adresse des Absenders mit der in den A-Einträgen der Domain angegebenen IP-Adresse verglichen wird.
include – Verwendung erlaubter Knoten, die in den SPF-Einträgen einer anderen Domain angegeben sind.
redirect – Die Regel gibt an, dass die für diese Domäne verwendete SPF-Richtlinie in einer anderen Domäne angegeben ist. Teilweise analog zu include, Ignorieren von Einträgen der aktuellen Domain.
all — alle Adressen, die nicht im Eintrag angegeben sind.

Wie kann ich einen DKIM-Eintrag erstellen?

Die zweite Sicherheitsebene zwischen Mailservern ist DKIM (DomainKeys Identified Mail). Damit wird der ursprünglichen E-Mail-Nachricht eine digitale Signatur hinzugefügt. Der Empfänger verwendet diese Signatur, um die E-Mails zu authentifizieren.

Der Server des Empfängers sendet eine DNS-Anfrage und erhält einen öffentlichen Schlüssel, der in einem DNS-Eintrag abgelegt wird. Mit diesem Schlüssel überprüft er den Brief. Stimmen die Schlüssel überein, erreicht der Brief den Adressaten, ansonsten landet er im Spam.

Standardmäßig unterstützt MS Exchange Server DKIM nicht. Um es auf Exchange zu konfigurieren, müssen Sie einen Transportagenten eines Drittanbieters installieren – Exchange DKIM Signer.

https://github.com/Pro/dkim-exchange/releases/tag/v3.4.0

https://www.collaborationpro.com/exchange-2016-2019-implementing-dkim/

Nach der Installation müssen Sie es konfigurieren. Führen Sie die Anwendung aus, klicken Sie im sich öffnenden Fenster auf – Konfigurieren, stellen Sie hier sicher, dass der Agent – Exchange DKIM Signer die niedrigste Priorität hat (es ist der letzte in der Liste). Dies ist notwendig, damit Briefe in der allerletzten Phase unterzeichnet werden, nach allen möglichen Änderungen, die andere Spediteure vornehmen werden.

Die Registerkarte DKIM-Einstellungen gibt an, welche Felder signiert werden. Standardmäßig sind dies: From, Subject, To, Date, Message-ID.

Domain-Einstellungen werden auf der Registerkarte Domain-Einstellungen konfiguriert. Klicken Sie auf Hinzufügen, geben Sie den Domänennamen und den Selektor (Name des DNS-Eintrags) an. Hier können Sie entweder einen Schlüssel generieren oder seinen Speicherort angeben. Um einen öffentlichen Schlüssel zu erstellen, klicken Sie auf – Neuen Schlüssel generieren, woraufhin er in diesem Fenster erscheint.

Gehen Sie dann zum Domain-Hosting-Kontrollfeld und erstellen Sie einen txt-Eintrag, geben Sie ihm den Namen mail._domainkey und fügen Sie im Feld Wert Ihren öffentlichen Schlüssel ein. Nachdem die Einstellungen vorgenommen wurden, klicken Sie im Programm auf die Schaltfläche “Domain speichern”. Die Einstellungen werden automatisch übernommen.

Neuen DNS-Eintrag mit DKIM-Schlüssel erstellen

Wie kann ich einen DMARC-Eintrag hinzufügen?

Und schließlich wollen wir uns ansehen, was DMARC (Domain-based Message Authentication, ReportingandConformance) ist. Dies ist die nächste Sicherheitsphase nach SPF und DKIM. Dieser Datensatz legt fest, was mit Nachrichten geschieht, die nicht mit SPF und DKIM authentifiziert werden können. Dies ist die Regel, die für in Ihrem Namen versandte E-Mails festgelegt wird.

Bevor Sie DMARC installieren, müssen Sie sicherstellen, dass SPF und DKIM richtig geschrieben sind, da sonst Ihre Mails gefiltert werden können. Um DMARC einzurichten, erstellen Sie in der Systemsteuerung Ihres DNS-Hostings einen _dmarc txt-Eintrag.

Hier müssen Sie mindestens die Engine-Version und die Richtlinie angeben. Wenn Sie es zum ersten Mal als Richtlinie konfigurieren, wird empfohlen, Folgendes anzugeben: – none (nichts tun, außer Berichte senden).

In Zukunft wird es möglich sein, den Eintrag zu ändern, indem Sie ihn verschärfen, indem Sie die erforderlichen Tags hinzufügen.

v ist die DMARC-Version.
p ist eine Regel für eine Domain. Kann einen der folgenden Werte annehmen:
- none – nichts tun, außer Berichte senden.
- quarantine – Nachrichten zu Spam hinzufügen.
- reject – E-Mails ablehnen.
sp ist eine Regel für Subdomains. Kann die gleichen Werte annehmen wie p.
aspf und adkim – ermöglichen Ihnen, mit SPF- und DKIM-Einträgen zu vergleichen. Kann Werte annehmen:
- r (relaxed) – sanfter Check.
- s (strict) – strikte Übereinstimmung.
pct — Anzahl der zu filternden E-Mails in Prozent.
pct — Anzahl der zu filternden E-Mails in Prozent.
ruf – definiert die Mail, an die Berichte über Briefe, die den DMARC-Check nicht bestehen, gesendet werden sollen.
fo – definiert die Bedingungen zum Generieren von Berichten. Kann Werte annehmen:
- 0 – einen Bericht senden, wenn weder die SPF- noch die DKIM-Authentifizierung bestanden wird. Standardwert.
- 1 – einen Bericht senden, wenn eine der Authentifizierungen – SPF oder DKIM – nicht bestanden wird.
- d – einen Bericht senden, wenn die DKIM-Authentifizierung fehlschlägt.
- s – einen Bericht senden, wenn die SPF-Authentifizierung fehlschlägt.

Damit ist die E-Mail-Einrichtung abgeschlossen. Senden Sie jetzt eine Test-E-Mail aus Ihrem E-Mail-Posteingang, um sie zu überprüfen.

Wie richte ich IMAP- und POP3-Maildienste in Exchange Server ein?

https://learn.microsoft.com/en-us/exchange/clients/pop3-and-imap4/configure-imap4?view=exchserver-2019

Lassen Sie uns nun mit der Konfiguration der POP3- und IMAP4-Mail-Dienste fortfahren. Standardmäßig sind POP3- und IMAP4-Dienste in Exchange deaktiviert. Um Client-Verbindungen über IMAP und POP3 zu konfigurieren, müssen Sie diese starten und den automatischen Start einrichten.

Öffnen Sie – Dienste, suchen Sie den Dienst – Microsoft Exchange IMAP4, stellen Sie den Starttyp auf Automatisch und starten Sie den Dienst, dann Anwenden und Ok.

Starten des Microsoft Exchange IMAP4-Dienstes

Als nächstes führen wir dieselben Manipulationen mit dem Dienst durch – Microsoft Exchange IMAP4 Backend, Microsoft Exchange POP3 und Microsoft Exchange POP3 Backend. Nach dem Start der Dienste müssen Sie das Zertifikat konfigurieren. Öffnen Sie das Exchange Control Panel, gehen Sie zu – Servers – Certificates .

Bedienfeld Exchange – Servers – Certificates

Öffnen Sie das SSL-Zertifikat, indem Sie mit der linken Maustaste darauf doppelklicken, gehen Sie zur Registerkarte – Dienste und aktivieren Sie die Kontrollkästchen nebenstehend – IMAP und POP und dann Speichern.

Der nächste Schritt besteht darin, die Domain mit den Diensten pop3 und imap zu verknüpfen. Öffnen Sie – Start, Microsoft Exchange Server – Exchange Management Shell und führen Sie den folgenden Befehl aus:

Geben Sie den ersten Befehl für den POP3-Dienst ein, hier müssen Sie die externe Domäne angeben: Port 995 und SSL, dann wieder die Domäne mit Port 110, und am Ende geben wir den Namen des Zertifikats an. Öffnen Sie das Zertifikat in der Systemsteuerung und kopieren Sie den Namen.

Set-PopSettings -ExternalConnectionSettings “mail.hetmansoftware.com:995:SSL”,“mail.hetmansoftware.com:110:TLS” -x509CertificateName hetmansoftware.com

Verbindung der Domäne mit dem POP3-Dienst

Nachdem Sie den Befehl ausgeführt haben, müssen Sie den POP3-Dienst neu starten. Klicken Sie im Dienstefenster mit der rechten Maustaste auf den Dienst - Neu starten. Und der zweite POP3-Backend-Dienst.

Führen Sie den Befehl aus, um den Dienst zu binden - IMAP

Führen Sie als Nächstes den Befehl zum Binden des Dienstes aus - IMAP.

Set-ImapSettings -ExternalConnectionSettings “mail.hetmansoftware.com:993:SSL”,“mail.hetmansoftware.com:143:TLS” -x509CertificateName hetmansoftware.com

Starten Sie den Dienst anschließend neu. IMAP und IMAP-Backend.

Im nächsten Schritt prüfen Sie, ob Sie Ports für diese Dienste in Ihrem Netzwerk öffnen müssen: 995, 993, 110 und 143. Öffnen Sie die Netzwerkeinstellungen und öffnen Sie Ports für den Exchange-Server.

Als nächstes müssen Sie die Parameter des Empfangsconnectors ändern. Gehen Sie in der Systemsteuerung zum Abschnitt - Mail flow - receive connectors - Client-Frontend- exchange .

Mail flow – receive connectors – Client Frontend exchange

Tab öffnen - Scoping, FQDN - Domäne von intern auf extern ändern - mail.hetmansoftware.com. und auf Speichern klicken .

Der nächste Schritt besteht darin, das Zertifikat anzugeben, das zum Verschlüsseln von SMTP-Verbindungen verwendet wird. Zuerst müssen Sie die ID des Zertifikats herausfinden, das wir den Diensten zuordnen möchten.

Öffnen Sie Exchange Shell und führen Sie den folgenden Befehl aus:

Get-exchangecertificate

Kopieren Sie den Zertifikatswert - Thumbprint .

https://learn.microsoft.com/en-us/exchange/clients/pop3-and-imap4/configure-authenticated-smtp?view=exchserver-2019

Als nächstes geben Sie das Zertifikat an, das verwendet wird, um authentifizierte SMTP-Client-Verbindungen zu verschlüsseln. Dazu müssen Sie drei Befehle ausführen.

Führen Sie den ersten Befehl aus:

$TLSCert = Get-ExchangeCertificate -Thumbprint <ThumbprintValue>

, fügen Sie diesen Zertifikatswert am Ende hinzu.

Nach dem zweiten Befehl:

$TLSCertName = "<I>$($TLSCert.Issuer)<S>$($TLSCert.Subject)"

Und dann der dritte Befehl:

Get-ReceiveConnector -Identity "Client Frontend*" | Set-ReceiveConnector -TlsCertificateName $TLSCertName

Wenn Sie sicherstellen möchten, dass Sie ein Zertifikat angegeben haben, das zur Verschlüsselung authentifizierter SMTP-Client-Verbindungen verwendet wird, führen Sie den folgenden Befehl aus:

Get-ReceiveConnector -Identity "Client Frontend*" | Format-List Name,Fqdn,TlsCertificateName

Prüfen Sie, ob das zugewiesene Zertifikat korrekt ist

Damit wird der Name des Zertifikats angezeigt. Dies sollte der Name des von Ihnen angegebenen Zertifikats sein. Der nächste Schritt besteht darin, zu überprüfen, ob diese Protokolle auf Postfachebene aktiviert sind. Wenn sie in Postfächern deaktiviert sind, können Benutzer ihre Outlook-Profile nicht für die Verwendung von POP3 und IMAP4 konfigurieren. Standardmäßig sollten sie aktiviert sein.

Um dies zu überprüfen, öffnen Sie das Exchange-Kontrollfeld, gehen Sie zum Abschnitt - recepients - mailboxes , öffnen Sie das gewünschte Konto ( Postfach) - und gehen Sie zum Abschnitt - mailbox features , prüfen Sie hier, ob der Wert gesetzt ist - Enable , für diese Dienste.

Überprüfen Sie, ob Protokolle auf Postfachebene aktiviert sind

Und um zu überprüfen, ob die Dienste funktionieren, führen Sie den Befehl aus:

-Test

Test-PopConnectivity -ClientAccessServer expc -Lightmode -MailboxCredential (Get-Credential)

Geben Sie das Passwort ein. Und hier ist das erfolgreiche Ergebnis

Den gleichen Befehl für IMAP ausführen

Test-ImapConnectivity -ClientAccessServer expc -Lightmode -MailboxCredential (Get-Credential)

Passwort für das Konto. Diese Konfiguration funktioniert auch.

POP3- und IMAP-Dienste überprüfen

Um sicherzustellen, dass Sie IMAP4 auf dem Exchange-Server aktiviert und konfiguriert haben, gehen Sie wie folgt vor:

Auf der Microsoft-Website können Sie einen speziellen Dienst verwenden, der die Protokolle POP3 und IMAP überprüft. https://testconnectivity.microsoft.com/tests/Imap/input

Überprüfung der IMAP-Funktion auf der Microsoft-Website

Füllen Sie alle erforderlichen Felder aus und klicken Sie auf - Bestätigung durchführen. Die Prüfung war erfolgreich, aber mit einer Warnung. Die Sache ist, dass Microsoft die Zertifikatskette nicht überprüfen kann. Diese Funktion ist möglicherweise auf dem Server deaktiviert oder falsch konfiguriert.

Was das SSL-Zertifikat betrifft, bin ich mir zu 100 % sicher, daher können Sie diese Warnung ignorieren. Der Dienst funktioniert einwandfrei.

Als Nächstes prüfen wir das POP3-Protokollhttps://testconnectivity.microsoft.com/tests/pop/input

Prüfen Sie POP3 auf der Microsoft-Website

Wir machen alles nach dem gleichen Prinzip, füllen die Felder aus und klicken auf - Verifizierung durchführen. Die Überprüfung war erfolgreich.

Lassen Sie uns jetzt überprüfen, wie die Post läuft. In Outlook richten wir eine Verbindung über das IMAP- oder POP3-Protokoll ein. Und senden Sie eine Test-E-Mail.

Nun landet die Mail nicht mehr im Spam und ist fehlerfrei direkt beim Empfänger angekommen.

Fehler

Sehen wir uns nun einige Fehler an, die auftreten können, wenn die DNS-Einträge falsch konfiguriert sind oder fehlen.

Fehler 550 SPF- Check Failed. Oder wenn eine Anti-Spam-Anwendung auf dem Microsoft Exchange-Server installiert ist, kann der Fehler so aussehen:

SMTP; 550 5.7.1 550 Message rejected because SPF check failed.

Dieser Fehler bedeutet, dass die Domain des Absenders einen ungültigen SPF-Eintrag hat oder dass der Absender eine gefälschte E-Mail-Adresse verwendet.

Falls der DNS-Eintrag - SPF fehlt, falsch konfiguriert oder deaktiviert ist, wenn Sie eine E-Mail an eine externe E-Mail-Adresse senden, erhalten Sie möglicherweise eine Nachricht mit folgendem Fehler: mx.google.com hat Ihre Nachrichten abgelehnt an die folgenden E-Mail-Adressen senden.

Um das Problem zu beheben, fügen Sie Ihrem DNS-Hosting einen SPF-Eintrag hinzu.

Der folgende Fehler kann beim Prüfen eines DMARC-Eintrags auftreten:

Message Failed DMARC Compliance

Message Failed Verification Tests & is not DMARC Compliant

Dieser Fehler weist darauf hin, dass die Nachricht nicht authentifiziert wurde und nicht den DMARC-Anforderungen entspricht. Ein DMARC-Konformitätsfehler bedeutet, dass die SPF- und DKIM-Validierungstests fehlgeschlagen sind. Diese Fehler können sich negativ auf die E-Mail-Zustellung auswirken, da Postfächer Ihre E-Mail nicht authentifizieren können.

So sieht ein mit einem DKIM-Eintrag verknüpfter Fehler aus:

"DKIM-Result: fail (bad signature)"

Dieser Fehler tritt normalerweise bei der Ersteinrichtung von DKIM, nach einem Anwendungsupgrade oder nach einer Servermigration auf.

Dieses Problem wird häufig durch Fehler bei der Kennzeichnung oder der Konfiguration des öffentlichen Schlüssels verursacht. Wenn Ihr DKIM-Datensatz fehlt oder falsch konfiguriert ist, erhalten Sie eine Warnmeldung in der E-Mail, die Sie erhalten, sowie einen DMARC-Datensatz. Wenn die E-Mail so aussieht, ändern Sie die Einstellungen des entsprechenden Eintrags.

Schlussfolgerung

Wir haben einen Blick auf ein einfaches, schnörkelloses und sofort einsatzbereites Set von Tools geworfen, die jedem Administrator zur Verfügung stehen, um die Sicherheit von Microsoft-Mailservern zu erhöhen. Richtig konfigurierte DKIM-, SPF- und DMARC-Einträge helfen, Spam, Spamming und verschiedene Formen von Malware auf ein Minimum zu reduzieren. Ich habe hier nur die grundlegende Einrichtung und Funktionsweise gezeigt, für einen umfassenden Schutz sind weitere Feinabstimmungen erforderlich.