Auf der Registerkarte SMTP > Erweitert können Sie zusätzliche Sicherheitsoptionen für den SMTP-Proxy konfigurieren, unter anderem Smarthost-Einstellungen oder Transparenzmodus-Ausnahmen.
Header-Änderungen
SMTP-Header-Inhalte von E-Mails, die die UTM passieren, können im Bereich Header-Änderungen geändert oder gelöscht werden.
Einen Header ändern/löschen.
- Klicken Sie auf das Plussymbol.
Das Dialogfeld Header-Änderungsregel hinzufügen öffnet sich.
- Wählen Sie den gewünschten Vorgang:.
- Geben Sie den Header-Namen an, den Sie ändern/löschen möchten.
1-255 ASCII-Zeichen sind erlaubt.
- Wenn Sie einen Header hinzufügen, geben Sie den Wert ein, den der Header haben soll.
0-255 Zeichen sind erlaubt.
- Fügen Sie bei Bedarf einen Kommentar hinzu.
-
Klicken Sie auf Speichern.
-
Klicken Sie auf Übernehmen.
Ihre Einstellungen werden gespeichert.
Um eine Header-Regel zu ändern oder zu löschen, klicken Sie auf das entsprechende Symbol neben der Regel.
Transparenzmodus
Um den Transparenzmodus für SMTP
zu aktivieren, markieren Sie das Auswahlkästchen und klicken Sie auf Übernehmen.
Hosts und Netzwerke, die im Feld Hosts/Netze vom Transparenzmodus ausnehmen aufgeführt sind, werden vom SMTP-Proxy nicht transparent überwacht. Um jedoch SMTP-Verkehr für diese Hosts und Netzwerke zuzulassen, wählen Sie die Option SMTP-Verkehr für aufgeführte Hosts/Netze zulassen. Wenn Sie diese Option nicht wählen, müssen Sie spezielle Firewallregeln für die hier aufgeführten Hosts und Netzwerke anlegen. Klicken Sie auf Übernehmen, um Ihre Einstellungen zu speichern.
TLS-Einstellungen
TLS-Zertifikat: Wählen Sie aus der Auswahlliste ein Zertifikat zum Aushandeln der TLS-Verschlüsselung mit allen Gegenstellen aus, die TLS unterstützen. Sie können Zertifikate auf der Registerkarte Site-to-Site VPN > Zertifikatverwaltung > Zertifikate hinzufügen und hochladen.
Hosts/Netze, die TLS-Aushandlung erfordern: Fügen Sie hier Hosts oder Netze hinzu, die für die E-Mail-Kommunikation immer TLS-Verschlüsselung erfordern. Die UTM hält dann E-Mails zurück, wenn für diese Hosts/Netze keine TLS-Verschlüsselung zur Verfügung steht. Diese Nachrichten bleiben in der Mail-Warteschlange, bis TLS wieder verfügbar ist. Bleibt TLS über einen bestimmten Zeitraum nicht verfügbar, werden keine weiteren Versuche mehr unternommen, die E-Mail zu versenden, und der Benutzer erhält eine Benachrichtigung darüber, dass seine Nachricht nicht zugestellt werden konnte.
Absenderdomänen, die TLS-Aushandlung erfordern: Geben Sie hier die Domänen an, für die Sie eine TLS-Verschlüsselung für eingehende E-Mails erzwingen möchten. Von diesen Domänen versendete E-Mails ohne TLS werden umgehend zurückgewiesen.
Kein TLS für diese Hosts/Netze: Falls ein bestimmter Host oder ein Netzwerk Probleme mit TLS-Verschlüsselung hat, können Sie diesen/dieses im Feld angeben und das entsprechende TLS-Zertifikat aus der Auswahlliste auswählen. Dadurch nimmt die UTM den entsprechenden Host oder das entsprechende Netzwerk von der TLS-Aushandlung aus. Klicken Sie auf Übernehmen, um Ihre Einstellungen zu speichern.
Domain Keys Identified Mail (DKIM)
DKIM ist eine Methode, um ausgehende Nachrichten kryptografisch zu signieren. Um DKIM-Signierung zu verwenden, geben Sie Ihren privaten RSA-Schlüssel und den dazugehörigen Schlüsselselektor (key selector), den Schlüsselnamen, in die entsprechenden Felder ein. Fügen Sie dann die Domänen, für die Sie E-Mails signieren wollen, zum Feld DKIM-Domänen hinzu. Klicken Sie auf Übernehmen, um Ihre Einstellungen zu speichern.
Vertraulichkeitsfußzeile
Sie können jeder ausgehenden E-Mail eine Vertraulichkeitsfußzeile hinzufügen und anpassen, die Benutzer zum Beispiel darüber informiert, dass die E-Mail vertrauliche oder schutzwürdige Informationen enthalten kann. Die Vertraulichkeitsfußzeile wird jedoch nicht an die E-Mail angehängt, wenn es sich bei der E-Mail um eine Antwort handelt (d.h. sie besitzt den Header In-Reply-To) oder wenn die Inhaltsart der E-Mail nicht bestimmt werden konnte.
Hinweis – Das Hinzufügen einer Fußzeile durch ein E-Mail-Programm (z.B. Microsoft Outlook oder Mozilla Thunderbird) zu Nachrichten, die bereits signiert oder verschlüsselt sind, zerstört die Signatur der E-Mails und macht sie damit ungültig. Wenn Sie digitale Zertifikate Client-seitig erzeugen wollen, deaktivieren Sie die Fußzeile der Antivirenprüfung. Wenn Sie jedoch nicht auf Datenschutz und Authentifizierung in Ihrer E-Mail-Kommunikation verzichten möchten und dennoch eine allgemeine Fußzeile für die Antivirenprüfung verwenden wollen, sollten Sie die integrierte E-Mail-Verschlüsselungs-Funktion von Sophos UTM einsetzen. Bei der Email Encryption auf dem Gateway wird die Fußzeile vor der digitalen Signierung zur Nachricht hinzugefügt, wodurch die Signatur intakt bleibt.
Erweiterte Einstellungen
Hier können Sie unter anderem den SMTP-Hostnamen und die Postmaster-Adresse einstellen.
SMTP-Hostname: Wenn ein SMTP-Hostname definiert ist, wird der SMTP-Proxy diesen Namen in HELO- und in SMTP-Banner-Nachrichten verwenden. Standardmäßig ist der Hostname des Systems angegeben.
Postmaster-Adresse: Tragen Sie die E-Mail-Adresse des Postmasters, des E-Mail-Verantwortlichen, für die UTM ein, an den die Nachrichten weitergeleitet werden, die in der Form postmaster@[192.168.16.8] gesendet werden, wobei die IP-Adresse eine der IP-Adressen der UTM ist. Die Annahme solcher Nachrichten ist eine RFC-Anforderung.
BATV-Schlüssel: Hier können Sie den automatisch generierten BATV-Schlüssel (engl. BATV secret) ändern, der vom SMTP-Proxy benutzt wird. Der BATV-Schlüssel ist ein verteilter Schlüssel, der verwendet wird, um die Envelope-Adresse (dt. Umschlagadresse) MailFrom einer E-Mail zu signieren, wodurch die Erkennung ungültiger Absenderadressen von Ablehnungsnachrichten möglich wird. Wenn Sie mehrere MXs für Ihre Domänen verwenden, können Sie den BATV-Schlüssel ändern, damit er auf allen Systemen gleich ist.
Max. Nachrichtengröße: Die maximale Größe der E-Mails, die vom Proxy akzeptiert wird. Diese Einstellung bezieht sich sowohl auf eingehende als auch auf ausgehende E-Mails. Falls Ihr Backend-Server eine Begrenzung in Bezug auf die Größe von E-Mails hat, dann sollten Sie hier denselben oder einen niedrigeren Wert einstellen. Der Standardwert ist MB.
Hinweis – Die maximale Größe der Nachricht ist 250 MB.
Max. Verbindungen: Die maximale Anzahl gleichzeitiger Verbindungen, die der Proxy zulässt. Der Standardwert ist 20.
Max. Verb./Host: Die maximale Anzahl an Verbindungen pro Host, die der Proxy zulässt. Der Standardwert ist 10.
Hinweis – Wenn der Wert 0 ist, ist die Verbindungsanzahl pro Host unbegrenzt.
Max. Mails/Verbindung: Max. Verbindungen: Die maximale Anzahl gleichzeitiger Verbindungen, die der Proxy zulässt. Der Standardwert ist 1000.
Max. Empf./Mail: Die maximale Anzahl an Empfängern pro Mail, die der Proxy zulässt. Der Standardwert ist 100.
Fußzeilen-Modus: Hier können Sie bestimmen, wie Fußzeilen zu E-Mails hinzugefügt werden. MIME-Teil fügt die Fußzeile als Extra-MIME-Teil hinzu. Bereits vorhandene Teil-Encodierungen werden nicht geändert und sprachspezifische Sonderzeichen bleiben erhalten. Die andere Methode ist Inline, bei der die Fußzeile von der eigentlichen Mail durch das Trennzeichen -- getrennt ist. Bei diesem Modus können Sie wählen, ob die Fußzeile nach Unicode (UTF-8) konvertiert wird oder nicht. Eine Unicode-Umwandlung verändert die Nachricht dahingehend, dass sprachspezifische Sonderzeichen in der Fußzeile erhalten bleiben.
Smarthost-Einstellungen
Ein Smarthost ist eine Art Mail-Relay-Server, der es einem SMTP-Server erlaubt, Mails an einen Upstream-Mailserver zu routen statt direkt an den Server des Empfängers. So ein Smarthost verlangt meistens, dass der Absender sich authentifiziert, um sicherzustellen, dass der Absender auch die Berechtigung besitzt, Mails durch den Smarthost weiterzuleiten.
Smarthost verwenden: Wenn Sie einen Smarthost für den Mailversand verwenden wollen, markieren Sie dieses Auswahlkästchen. In diesem Fall wird der Proxy Mails nie selbst zustellen, sondern diese immer an den Smarthost senden.
- Smarthost: Wählen Sie ein Smarthost-Objekt aus oder fügen Sie eins hinzu. Das Hinzufügen einer Definition wird auf der Seite Definitionen & Benutzer > Netzwerkdefinitionen > Netzwerkdefinitionen erläutert.
- Smarthost-Port: Der Standardport für die Smarthost-Verbindung ist 25. Falls notwendig, können Sie diesen Port ändern.
- Dieser Smarthost erfordert Authentifizierung: Wählen Sie diese Option, wenn der Smarthost Authentifizierung erfordert. Als Authentifizierungsmethode wird sowohl Plain als auch Login unterstützt. Geben Sie einen Benutzernamen und ein Kennwort in die entsprechenden Textfelder ein.
Verwandte Themen