SMTP¶
Mithilfe des SMTP-Proxys kann E-Mail-Verkehr vermittelt und gefiltert werden, der von den Clients an die E-Mail-Server gesendet wird.
Hinweis
Obwohl der SMTP-Proxy eine Verschlüsselung unterstützt, wenn ein externer Smarthost als SMTP-Proxy verwendet wird, kann weder das SSL/TLS- noch das STARTTLS-Protokoll verwendet werden.
Der SMTP-Proxy dient dazu, den SMTP-Datenverkehr zu steuern und zu optimieren und die lokalen Netzwerke bei der Verwendung des SMTP-Protokolls vor Bedrohungen zu schützen. SMTP wird immer dann verwendet, wenn eine E-Mail von einem lokalen E-Mail-Client an einen Remote-E-Mail-Server gesendet wird, d. h. für den ausgehenden E-Mail-Verkehr. SMTP wird auch verwendet, wenn sich ein E-Mail-Server im LAN (in der GRÜNEN Zone) oder in der DMZ (in der ORANGEN Zone) befindet und E-Mails von außerhalb des lokalen Netzwerks (eingehende Anforderungen) über diesen gesendet werden können, wenn Clients also das Senden von E-Mails von der ROTEN Schnittstelle gestattet ist.
Zum Herunterladen von E-Mails von einem Remote-E-Mail-Server zu einem lokalen E-Mail-Client wird das POP3- oder das IMAP-Protokoll verwendet. Um auch diesen Datenverkehr zu schützen, kann der POP3-Proxy unter Menüleiste ‣ Proxy ‣ POP3 aktiviert werden.
Warnung
Das Überprüfen von IMAP-Datenverkehr wird derzeit nicht unterstützt.
Mithilfe der Funktionen des E-Mail-Proxys kann sowohl eingehender als auch ausgehender E-Mail-Verkehr auf Viren, Spam und andere Bedrohungen überprüft werden. Falls erforderlich werden E-Mails blockiert und Empfänger und Administrator darüber benachrichtigt. Da die Möglichkeit besteht, eingehende E-Mails zu überprüfen, können mithilfe des E-Mail-Proxys eingehende Verbindungen von der ROTEN Schnittstelle bearbeitet und E-Mails an interne E-Mail-Server weitergeleitet werden. Dadurch wird ein eigener E-Mail-Server hinter der Firewall ermöglicht, ohne dass entsprechend definierte Portweiterleitungsregeln erforderlich sind.
Die Konfiguration des SMTP-Proxys ist auf sechs Registerkarten aufgeteilt, von denen jeweils ein Aspekt des SMTP-Proxy abgedeckt wird.
Konfiguration¶
Hierbei handelt es sich um die Hauptseite für die Konfiguration des SMTP-Proxy. Durch Klicken auf den Schalter 
kann der SMTP-Proxy aktiviert werden. Ist der SMTP-Proxy aktiviert, kann mithilfe der folgenden Optionen für jede aktivierte Zone dessen Status ausgewählt werden:
- aktiv
- Der SMTP-Proxy ist für diese Zone aktiviert und nimmt über Port 25 Anfragen entgegen.
- transparenter Modus
- Ist der transparente Modus aktiviert, werden alle Anfragen mit dem Zielport 25 unterbrochen und an den SMTP-Proxy weitergeleitet, ohne dass die Konfiguration der Clients geändert werden muss. Diese Option ist für die ROTE Zone nicht verfügbar.
- inaktiv
- Der SMTP-Proxy ist für diese Zone nicht aktiviert.
Zusätzliche Optionen sind verfügbar, die in fünf Bereiche gruppiert sind. Jeder Bereich kann durch Klicken auf das Symbol 
erweitert oder durch Klicken auf das Symbol 
ausgeblendet werden.
Spam-Einstellungen¶
In diesem Bereich können die von der Panda GateDefender-Appliance zur Erkennung und Filterung von Spam verwendeten Software-Anwendungen konfiguriert werden. Folgende Optionen sind konfigurierbar:
- E-Mails auf Spam prüfen
- Aktivieren des E-Mail-Spamfilters. Darunter werden weitere Optionen angezeigt, die konfiguriert werden können.
- Spam-Behandlung auswählen
Drei Aktionen können mit E-Mails durchgeführt werden, die als Spam erkannt wurden:
- An standardmäßigen Quarantäneort verschieben: Spam-E-Mails werden an den Standardspeicherort verschoben.
- An E-Mail-Adresse der Quarantäne senden: Spam-E-Mails werden an eine benutzerdefinierte E-Mail-Adresse weitergeleitet. Diese kann im Textfeld E-Mail-Adresse für Spam-Quarantäne angegeben werden, das bei Auswahl dieser Option angezeigt wird.
- Als Spam markieren: Die E-Mails werden vor ihrer Zustellung als Spam markiert.
- E-Mail verwerfen: Die Spam-E-Mail wird sofort gelöscht.
- Präfix für Betreffzeile
- Dem Betreff aller E-Mails, die als Spam markiert wurden, wird ein Präfix hinzugefügt.
- Für Spam-Benachrichtigungen verwendete E-Mail-Adresse (Spam-Admin)
- Die E-Mail-Adresse, an die bei jeder verarbeiteten Spam-E-Mail eine Benachrichtigung gesendet wird.
- Spam-Kennzeichnungsstufe
- Wenn die SpamAssassin-Punktzahl über diesem Wert liegt, werden der E-Mail die Header X-Spam-Status und X-Spam-Level hinzugefügt.
- Spam Markierungsstufe
- Wenn die SpamAssassin-Punktzahl über diesem Wert liegt, werden der E-Mail die Header Spam subject und X-Spam-Flag hinzugefügt.
- Spam-Quarantänestufe
- E-Mails, deren Spampunktzahl über diesem Wert liegt, werden an den Quarantäneort verschoben.
- Maximale SPAM Punktezahl für Senderbenachrichtigung
- E-Mail-Benachrichtigungen werden nur gesendet, wenn die Spampunktzahl unter diesem Wert liegt.
- Spam-Filterung
- Aktivieren Sie die Option Spam-Greylisting, um die folgende Option anzuzeigen.
- Verzögerung für Greylisting (Sek)
- Der Wert darf zwischen 30 und 3600 liegen.
- Spam-Bericht
- Aktivieren Sie dieses Kontrollkästchen, um dem Textkörper von E-Mails, die als Spam erkannt wurden, einen Bericht hinzuzufügen.
- Japanisierung
- Durch Aktivieren dieses Kontrollkästchens werden japanische Zeichensätze in E-Mails unterstützt und entsprechende Spam-E-Mails gefiltert.
Hinweis
Da die einfachsten und gängigsten Spamnachrichten sowie E-Mails von bekannten Spamhosts blockiert werden, passen die Absender von Spam ihre Nachrichten fortlaufend so an, dass Spamfilter umgangen werden. Daher ist es absolut notwendig, auch den Spam-Filter fortlaufend zu trainieren, damit dieser personalisiert und leistungsfähiger wird (Bayes'scher Filter).
Viruseinstellungen¶
In diesem Bereich können die folgenden Optionen zur Behandlung erkannter Viren konfiguriert werden:
- E-Mails auf Viren scannen
- Aktivieren Sie den Virenfilter für E-Mails, um weitere Virenfilteroptionen anzuzeigen.
- Virusbehandlung auswählen
Abhängig vom Typ der Panda GateDefender-Appliance können für E-Mails, bei denen Viren erkannt wurden, drei oder vier verschiedene Aktionen ausgeführt werden. Sie sind mit denen, die zuvor unter Spam-Einstellungen beschrieben wurden, identisch:
- In die Standard-Quarantäne verschieben: Virenbehaftete E-Mails werden an den Standardspeicherort verschoben.
- An die Quarantäne-E-Mail-Adresse senden: Virenbehaftete E-Mails werden an eine benutzerdefinierte E-Mail-Adresse weitergeleitet. Diese kann im Textfeld Quarantäne-E-Mail-Adresse für Viren angegeben werden, das bei Auswahl dieser Option angezeigt wird.
- An den Empfänger schicken (unabhängig von schädlichen Inhalten): Virenbehaftete E-Mails werden auf normale Weise zugestellt.
- E-Mail verwerfen: Die E-Mail mit dem Virus wird sofort gelöscht.
- Für Virusbenachrichtigungen verwendete E-Mail-Adresse (Virusadmin)
- Die E-Mail-Adresse, an die bei jeder verarbeiteten virenbehafteten E-Mail eine Benachrichtigung gesendet wird.
Dateieinstellungen¶
Dieser Bereich enthält Einstellungen, durch die bestimmte E-Mail-Anhänge anhand ihrer Dateierweiterungen blockiert werden. Wird bei einem Anhang eine bestimmte Dateierweiterung erkannt, wird die ausgewählte Aktion ausgeführt.
- Dateien nach Erweiterung blockieren
- Aktivieren des Dateierweiterungsfilters und Anzeigen der weiteren Filteroptionen.
- Behandlung von blockierten Dateien auswählen
Abhängig vom Typ der Panda GateDefender-Appliance können für blockierte E-Mails drei oder vier verschiedene Aktionen ausgeführt werden. (Sie sind mit denen, die zuvor unter Spameinstellungen und Viruseinstellungen beschrieben wurden, identisch):
- In die Standard-Quarantäne verschieben: E-Mails mit blockierten Dateien werden an den Standardspeicherort verschoben.
- An die Quarantäne-E-Mail-Adresse senden: E-Mails mit blockierten Dateien werden an eine benutzerdefinierte E-Mail-Adresse weitergeleitet. Diese kann im Textfeld Für Benachrichtigungen gesperrter Dateien verwendete E-Mail-Adresse angegeben werden, das bei Auswahl dieser Option angezeigt wird.
- An den Empfänger schicken (unabhängig von blockierten Dateien): E-Mails mit blockierten Dateien werden auf normale Weise zugestellt.
- Zu blockierende Dateitypen auswählen (nach Erweiterung)
Die Erweiterungen für Dateien, die blockiert werden sollen.
Tipp
Halten Sie die Taste Strg gedrückt, und klicken Sie mit der linken Maustaste, um mehrere Erweiterungen auszuwählen.
- Für Benachrichtigungen gesperrter Dateien verwendete E-Mail-Adresse (Dateiadmin)
- Die E-Mail-Adresse, an die bei jeder verarbeiteten E-Mail mit blockierten Anhängen eine Benachrichtigung gesendet wird.
- Archive blockieren, die blockierte Dateitypen enthalten
Aktivieren Sie das Kontrollkästchen, um jedes Archiv zu blockieren, dass Dateien mit einer blockierten Erweiterung enthält.
Tipp
Falls Programm (.exe) als ein zu blockierender Dateityp ausgewählt wurde, werden .zip-, .tar.gz- oder andere Archive blockiert, welche die Dateierweiterung .exe enthalten.
- Dateien mit doppelter Erweiterung blockieren
- Aktivieren der Blockierung von Dateien mit doppelten Erweiterungen. Bei Aktivierung wird die nächste Option angezeigt.
- Dateien mit doppelter Erweiterung blockieren
In diesem Textfeld können Sie alle Erweiterungen eintragen (eine pro Zeile), die blockiert werden sollen, wenn sie als zweite Erweiterung einer Datei erscheinen. Das Freilassen des Textfeldes hat die gleiche Auswirkung wie die Deaktivierung der vorherigen Option. Es sind keine Platzhalter zulässig.
Tipp
Der Eintrag .jpg blockiert alle Dateien mit den Erweiterungen exe.jpg oder bat.jpg, lässt jedoch Dateien mit der Erweiterung jpg.exe zu.
Hinweis
Bei Dateien mit doppelten Erweiterungen handelt es sich in der Regel um böswillige Dateien, die z. B. als harmlose Bilder oder Dokumente getarnt sind. Wenn sie angeklickt werden, wird eine Anwendung ausgeführt, die eine Beschädigung des Computers oder den Diebstahl persönlicher Daten zum Ziel hat. Eine Datei mit doppelter Erweiterung entspricht einer normalen Datei, wobei der Name (z. B. image.jpg) von .com, .vbs .exe, .scr, .bat, .pif, .dll oder .cmd gefolgt ist (z. B. image.jpg.exe).
Es muss konfiguriert werden, für welche E-Mail-Domänen die lokalen Server jeweils zuständig sein sollen. Die entsprechende Liste der Zuordnungen von Domänen und SMTP-Servern kann unter Menüleiste ‣ Proxy ‣ SMTP ‣ Eingehende Domänen definiert werden.
Quarantäneeinstellungen¶
In diesem Bereich ist nur eine Option verfügbar:
- Speicherzeit der Quarantäne (in Tagen)
Die Anzahl der Tage, die eine E-Mail in der Quarantäne auf der Panda GateDefender-Appliance gespeichert wird, bevor sie gelöscht wird.
Tipp
Die in der Quarantäne gespeicherten E-Mails können über E-Mail-Quarantäne unter Menüleiste ‣ Dienste ‣ E-Mail-Quarantäne verwaltet werden.
Transparenten Proxy umgehen¶
Im letzten Bereich können folgende benutzerdefinierte Listen von Domänen definiert werden, für die der transparente Proxy deaktiviert werden soll:
- Transparenten Proxy von SUBNETZ/IP/MAC umgehen
- Die Quellen für E-Mails, auf die der transparente Proxy nicht angewendet wird.
- Transparenten Proxy nach SUBNET/IP umgehen
- Auf E-Mails, die an diese Ziele gesendet werden, wird der transparente Proxy nicht angewendet.
Black- und Whitelists¶
Auf dieser Seite befinden sich vier Bereiche: Drei Bereiche dienen der Definition verschiedener benutzerdefinierter Blacklists und Whitelists und einer der Auswahl und Verwendung vorhandener RBL.
Akzeptierte E-Mail (Black- und Whitelists)¶
Im ersten Bereich kann eine beliebige Anzahl von Domänen, Unterdomänen oder einzelnen E-Mail-Adressen angegeben werden, die in eine Blacklist oder Whitelist aufgenommen werden sollen. Dazu können für die entsprechende Blacklist oder Whitelist jeweils beliebig viele Absender, Empfänger oder Clients in die folgenden Textbereiche eingegeben werden:
- Whitelist-Absender
- Alle E-Mails, die von diesen Adressen oder Domänen gesendet wurden, werden akzeptiert. Diese Liste bezieht sich auf das E-Mail-Feld Von:.
- Blacklist-Absender
- Alle E-Mails, die von diesen Adressen oder Domänen gesendet wurden, werden abgelehnt. Diese Liste bezieht sich auf das E-Mail-Feld Von:.
- Whitelist-Empfänger
- Alle E-Mails, die an diese Adressen oder Domänen gesendet wurden, werden akzeptiert. Diese Liste bezieht sich auf das E-Mail-Feld An:.
- Blacklist-Empfänger
- Alle E-Mails, die an diese Adressen oder Domänen gesendet wurden, werden abgelehnt. Diese Liste bezieht sich auf das E-Mail-Feld An:.
- Whitelist-Client
- Alle E-Mails, die von diesen IP-Adressen oder Hosts gesendet wurden, werden akzeptiert.
- Blacklist-Client
- Alle E-Mails, die von diesen IP-Adressen oder Hosts gesendet wurden, werden abgelehnt.
Echtzeit-Blacklist (RBL)¶
Eine gängige Methode zum Blockieren von Spam-E-Mails sind die sogenannten RBLs. Ihre Verwendung kann in diesem zweiten Bereich konfiguriert werden. Die Listen werden von verschiedenen Organisationen erstellt, verwaltet und aktualisiert, deren Ziel das zügige Erkennen und Blockieren neuer SMTP-Server ist, die für den Spam-Versand verwendet werden. E-Mails von Domänen oder IP-Adressen, die in einer dieser Blacklists stehen, werden ohne jeden Hinweis abgelehnt. Die Verwendung von RBLs schont die Bandbreite, da entsprechende E-Mails nicht angenommen und wie legitime E-Mails verarbeitet, sondern sofort verworfen werden, wenn die IP-Adresse oder Domäne des Absenders in einer der Blacklists gefunden wird. Von der Panda GateDefender-Appliance werden zahlreiche IP-basierte und domänenbasierte RBLs verwendet. Die Blacklists der einzelnen Kategorien können durch Klicken auf das Symbol angezeigt werden. Gemeinsam aktiviert oder deaktiviert werden sie durch Klicken auf den roten bzw. grünen Pfeil ganz oben in der Liste. Alternativ können sie auch einzeln aktiviert oder deaktiviert werden. Wird der Name einer Liste angeklickt, wird die Homepage der Organisation aufgerufen, die diese Liste pflegt.
Warnung
Gelegentlich werden IP-Adressen oder Domänen von RBL-Betreibern irrtümlich aufgeführt. Dies kann die Kommunikation stören, da auch legitime E-Mails von entsprechenden Domänen abgelehnt werden, ohne dass sie wiederhergestellt werden können. Da es keine Möglichkeit gibt, direkten Einfluss auf die RBLs zu nehmen, müssen vor ihrer Verwendung die Richtlinien der Organisationen berücksichtigt werden, die sie verwalten. Panda ist nicht für E-Mails verantwortlich, die bei der Verwendung von RBLs verloren gehen könnten.
Folgende Blacklists sind u. a. installiert:
- bl.spamcop.net
- Eine Blacklist, die auf Beiträgen ihrer Nutzer beruht.
- zen.spamhaus.org
- Diese Liste ist der Nachfolger von „sbl-xbl.spamhaus.org“. Sie enthält die „Spamhaus Block List“, die „Exploits Block List“ und die „Policy Block List“ von Spamhaus.
- cbl.abuseat.org
- Die CBL-Liste bezieht ihre Quelldaten von sehr großen Spamfallen. Es werden nur IP-Adressen aufgeführt, die spezifische Eigenschaften unterschiedlicher offener Proxys (z. B. HTTP, SOCKS, AnalogX oder WinGate) aufweisen, die für das Versenden von Spam, Würmern, Viren mit eigenem direkten E-Mail-Versand oder von manchen Arten von trojanischen Pferden oder Stealth-Spamware missbraucht wurden. Die offenen Proxys werden dabei nicht überprüft.
- [name].dnsbl.sorbs.net und rhsbl.dnsbl.sorbs.net
- Von dieser Organisation werden mehrere Blacklists bereitgestellt (z. B. „safe“ oder „relays“ anstelle von [name]). Sie können einzeln oder durch Aktivieren der Blacklist dsnbl.sorbs.net auch gemeinsam aktiviert werden.
- uceprotect.net
- Listen, in denen Domänen bekannter Spamquellen für höchstens sieben Tage aufbewahrt werden. Nach Ablauf dieses Zeitraums werden sie aus den Listen ausgetragen. Bei wiederholten Verletzungen werden jedoch strengere Richtlinien angewendet.
- dsn.rfc-ignorant.org
Diese Liste enthält Domänen oder IP-Netzwerke, die nicht gemäß den RFC-Standards für das Internet administriert werden.
Hinweis
Die Website „rfc-ignorant.org“ hat am 30.11.2012 den Dienst eingestellt (siehe Ankündigung).
Die RBLs werden in zwei Feldern gruppiert. Auf der linken Seite befinden sich IP-basierte RBLs, während auf der rechten Seite domänenbasierte RBLs aufgeführt sind. Klicken Sie zur Aktivierung aller RBLs in einem Feld auf das Symbol 
neben der Titelleiste des Feldes (das Symbol wird zu 
). Klicken Sie zur Aktivierung einzelner RBLs auf das Symbol neben dem jeweiligen Namen der RBL. In diesem Fall wird das Symbol oder in der Titelleiste durch das Symbol 
ersetzt.
Spam-Greylisting¶
Im dritten Bereich können Whitelists für Greylisting erstellt werden, indem Empfänger, IP-Adressen oder Netzwerke in den folgenden beiden Textbereichen eingetragen werden. Auf diese wird kein Greylisting angewendet:
- Whitelist-Empfänger
- Alle E-Mail-Adressen oder Domänen in diesem Textbereich (z. B. „test@beispiel.com“ oder „beispiel.com“) werden als sicher angesehen. Von dort empfangene E-Mails werden nicht auf Spam überprüft.
- Whitelist-Client
- Alle Adressen des E-Mail-Servers in diesem Textbereich werden als sicher betrachtet. E-Mails, die von dieser Serveradresse gesendet wurden, werden nicht auf Spam überprüft.
Greylisting
Greylisting ist eine von MTAs verwendete Methode, mit der die Legitimität von E-Mails überprüft wird. Dabei wird eine E-Mail zunächst abgelehnt und ihre erneute Zustellung abgewartet. Wird sie kein zweites Mal empfangen, wird der Absender als Spam-Quelle betrachtet. Beim Greylisting wird davon ausgegangen, dass für den Massenversand verwendete Spam-Bots abgelehnte E-Mails nicht noch einmal senden und nur legitime E-Mails ein zweites Mal gesendet werden.
Spam (Black- und Whitelists)¶
Im letzten Bereich werden die folgende Blacklist und die folgende Whitelist für den Spam-Filter explizit definiert:
- Whitelist-Absender
- Die E-Mail-Adressen oder Domänen in diesem Textbereich (z. B. „test@beispiel.com“ oder „beispiel.com“) werden in die Whitelist aufgenommen. Sie werden nicht als Absender von Spam erkannt.
- Blacklist-Absender
- Die E-Mail-Adressen oder Domänen in diesem Textbereich (z. B. „test@beispiel.com“ oder „beispiel.com“) werden in die Blacklist aufgenommen. Sie werden immer als Absender von Spam klassifiziert.
Eingehende Domänen¶
Wenn eingehende E-Mails aktiviert wurden, können von Clients, die sich außerhalb der ROTEN Schnittstelle befinden, E-Mails über einen lokalen SMTP-Server gesendet werden. Sollen zu sendende E-Mails an einen E-Mail-Server hinter der Panda GateDefender-Appliance (typischerweise in der ORANGEN Zone) weitergeleitet werden, muss angegeben werden, an welchen E-Mail-Server die Weiterleitung der eingehenden E-Mails erfolgen soll und welche Domänen vom SMTP-Proxy akzeptiert werden. Dabei können mehrere E-Mail-Server hinter der Panda GateDefender-Appliance für jeweils unterschiedliche Domänen angegeben werden.
Auf der Seite wird ggf. eine Liste von Domänen mit den jeweils zuständigen E-Mail-Servern angezeigt. Durch Klicken auf die Schaltfläche Eine Domäne hinzufügen kann eine neue Domäne hinzugefügt werden. Daraufhin wird ein einfaches Formular geöffnet, in dem die Zuordnung von Domäne und E-Mail-Server erstellt werden kann. Es enthält die folgenden Optionen:
- Domäne
- Die Domäne, für die dieser E-Mail-Server zuständig ist.
- E-Mail-Server-IP
- Die IP-Adresse des E-Mail-Servers.
Der neu erstellte Eintrag wird unten in der Liste angezeigt. Die für jede Domäne verfügbaren Aktionen sind:
– Eigenschaften der Domäne ändern.
– Domäne entfernen.
Warnung
Sie werden nach dem Klicken auf das Symbol nicht zur Bestätigung aufgefordert. Die Domäne wird sofort entfernt.
Domänen-Routing¶
Die Seite zeigt eine Liste von Domänen zusammen mit dem zuständigen Smarthost für die E-Mail-Zustellung oder den E-Mail-Empfang von diesen Domänen an. Die Informationen in der Liste sind dieselben, die beim Hinzufügen einer neuen Domäne bereitgestellt werden müssen. Folgende Aktionen sind verfügbar:
- – Domänen-Routing ändern.
- – Domänen-Routing entfernen.
Durch Klicken auf die Schaltfläche Eine neue Domänenroute hinzufügen kann eine neue Domänenroute hinzugefügt werden. Daraufhin wird ein einfaches Formular geöffnet, in dem die Zuordnung von Domäne und E-Mail-Server erstellt werden kann. Es enthält die folgenden Optionen:
- Richtung
- Legen Sie fest, ob die Richtlinie für die mit dem Sender oder dem Empfänger verbundene Domäne gelten soll.
- Domäne
- Die Domäne, für die dieser E-Mail-Server zuständig ist.
- Ausgehende Adresse
- Die Schnittstelle oder IP-Adresse des Uplinks, durch den die E-Mails gesendet werden, auswählbar aus dem Dropdown-Menü. Wird dieses Feld leer gelassen, legt der Smarthost den zu verwendenden Uplink und die IP-Adresse fest.
- Smarthost
- Durch Aktivieren dieses Kontrollkästchens werden eine oder mehrere Optionen zum Überschreiben des Smarthost des Systems durch einen externen Smarthost angezeigt. Die Optionen entsprechen denen unter Smarthost-Konfiguration weiter unten.
Regelpriorität
Nehmen Sie an, Sie haben zwei Regeln für das Domänen-Routing erstellt: Eine mit der Domäne „meinedomaene.com“ als Sender und dem Uplink main als Route und eine zweite mit der Domäne „beispiel.org“ als Empfänger und dem Uplink secondary als Route. Was passiert mit einer E-Mail, die vom Server „foo.meinedomaene.com“ an einen Benutzer auf „bar.beispiel.org“ gesendet wird? Die Antwort liegt in der Verarbeitung der Regeln zum Senden der E-Mails durch das MTA Postfix der Panda GateDefender-Appliance. Zunächst werden alle Regeln gelesen, welche die Quellen betreffen, dann die der Empfänger. Daher wird die von „foo.mydomain.com“ an „bar.meinbeispiel.org“ gesendete E-Mail durch den Uplink secondary geroutet.
E-Mail-Routing¶
Mithilfe dieser Option können BCCs von E-Mails an eine angegebene Adresse gesendet werden. Sie wird auf alle E-Mails angewendet, die entweder von einer bestimmten Absenderadresse oder an einem bestimmten Empfänger gesendet wurden. Die Liste zeigt die Richtung, die Adresse, und falls vorhanden die BCC-Adresse, sowie die verfügbaren Aktionen:
- – E-Mail-Routing ändern.
- – E-Mail-Routing entfernen.
Durch Klicken auf die Schaltfläche Eine E-Mail-Route hinzufügen kann eine neue E-Mail-Route hinzugefügt werden. Im daraufhin geöffneten Formular können die folgenden Optionen konfiguriert werden:
- Richtung
- Wählen Sie aus dem Dropdown-Menü aus, ob die E-Mail-Route für einen E-Mail-Absender oder E-Mail-Empfänger definiert werden soll.
- E-Mail-Adresse
- Je nach ausgewählter Richtung ist das die E-Mail-Adresse des Absenders oder Empfängers, auf den die Route angewendet werden soll.
- BCC-Adresse
- Die E-Mail-Adresse, an die Kopien der E-Mails gesendet werden sollen.
Warnung
Absender und Empfänger werden nicht darüber benachrichtigt, dass eine Kopie an einen Dritten gesendet wird. In den meisten Ländern ist es hochgradig illegal, private Nachrichten anderer mitzulesen. Daher darf diese Funktion nicht zweckentfremdet und keinesfalls missbraucht werden.
Erweitert¶
Die letzte Konfigurationsseite für den SMTP-Proxy enthält Optionen für erweiterte Einstellungen. Diese sind in vier Bereichen gruppiert, die durch Klicken auf die Symbole und links neben den Bereichstiteln ein- oder ausgeblendet werden können.
Smarthost-Konfiguration¶
Im ersten Bereich kann ein Smarthost aktiviert und konfiguriert werden. Verfügt der SMTP-Server über eine dynamische IP-Adresse, z. B. bei einer ISDN- oder DSL-Einwahlverbindung, können Probleme beim Senden von E-Mails an andere E-Mail-Server auftreten. Die IP-Adresse kann in einer RBL aufgeführt sein (siehe weiter oben unter Black- und Whitelists), wodurch gesendete E-Mails von Remote-E-Mail-Servern möglicherweise abgelehnt werden. Dadurch wird es erforderlich, für den E-Mail-Versand einen Smarthost zu verwenden.
- Smarthost für Zustellung
- Durch Aktivieren dieses Kontrollkästchens wird für die Zustellung von E-Mails ein Smarthost aktiviert, und es werden weitere Optionen angezeigt.
- Smarthost-Adresse
- Die IP-Adresse oder der Hostname des Smarthost
- Smarthost-Port
- Der Port, der vom Smarthost abgehört wird. Der Standardport ist 25.
- Smarthost-Authentifizierung
- Dieses Kontrollkästchen muss aktiviert werden, wenn für den Smarthost eine Authentifizierung erforderlich ist. In diesem Fall werden die drei nachfolgenden Zusatzoptionen angezeigt.
- Smarthost-Benutzername
- Der Benutzername für die Authentifizierung beim Smarthost.
- Smarthost-Kennwort
- Das Kennwort für die Authentifizierung am Smarthost.
- Authentifizierungsmethode auswählen
- Die erforderlichen Authentifizierungsmethoden für den Smarthost. Unterstützt werden PLAIN, LOGIN, CRAM-MD5 und DIGEST-MD5. Bei gedrückter Taste STRG kann durch Anklicken der gewünschten Methoden eine Mehrfachauswahl getroffen werden.
Hinweis
Kurz zusammengefasst ist ein Smarthost ein E-Mail-Server, der vom SMTP-Proxy als ausgehender SMTP-Server verwendet wird. Der Smarthost muss die E-Mails annehmen und vermittelt sie dann. In der Regel wird als Smarthost der anbietereigene SMTP-Server verwendet, da von diesem die E-Mails zur Vermittlung angenommen werden, was bei anderen E-Mail-Servern nicht der Fall ist.
IMAP-Server für SMTP-Authentifizierung¶
Dieser Bereich enthält Konfigurationsoptionen für den IMAP-Server, der beim Senden von E-Mails zur Authentifizierung verwendet werden soll. Die Einstellungen sind besonders wichtig für eingehende SMTP-Verbindungen, die aus der ROTEN Zone geöffnet werden. Die folgenden Einstellungen können konfiguriert werden:
- SMTP-Authentifizierung
- Durch Aktivieren dieses Kontrollkästchens wird die IMAP-Authentifizierung aktiviert, und es werden weitere Optionen angezeigt.
- Anzahl der Daemons für Authentifizierung auswählen
- Die Anzahl der gleichzeitig möglichen Anmeldungen über die Panda GateDefender-Appliance.
- IMAP-Authentifizierungsserver
- Die IP-Adresse des IMAP-Servers
- IMAP-Authentifizierungsport
- Der Port, der vom IMAP-Server abgehört wird. Der Standardport ist 143 (einfaches IMAP) bzw. 993 (IMAP über SSL).
E-Mail-Server-Einstellungen¶
In diesem Bereich können die folgenden zusätzlichen Parameter des SMTP-Servers definiert werden:
- SMTP HELO
- Wenn dieses Kontrollkästchen aktiviert ist, muss von Clients, von denen eine Verbindung hergestellt wird, zu Beginn einer SMTP-Sitzung ein HELO-Befehl (oder EHLO-Befehl) gesendet werden.
- Ungültiger Hostname
- Clients, von denen eine Verbindung hergestellt wird, werden abgewiesen, wenn durch ihre HELO- oder EHLO-Parameter ein ungültiger Hostname übermittelt wird.
- SMTP HELO-Name
Der Hostname, der mit dem HELO- oder EHLO-Befehl gesendet werden soll. Der verwendete Standardwert ist die REDIP. Es kann jedoch ein benutzerdefinierter Hostname im FQDN-Format angegeben werden.
Tipp
Verwenden Sie den Hostnamen des Domänen-MX.
- Immer BCC an Adresse
- Eine E-Mail-Adresse, an die BCCs aller Nachrichten gesendet werden, die den SMTP-Proxy passieren.
- Sprache für E-Mail-Vorlage auswählen
- Die Sprache, in der die Fehlermeldungen versendet werden sollen. Möglich sind: Englisch, Deutsch, Italienisch und Japanisch.
- Empfängeradresse überprüfen
- Aktivieren der Überprüfung auf gültige Empfänger-Adressen vor dem Senden von Nachrichten.
- Grenzwert für schwerwiegenden Fehler auswählen
- Die maximale Anzahl von Fehlern, die von einem Remote-SMTP-Client erzeugt werden darf, ohne dass eine E-Mail übermittelt wird. Wird dieses Limit überschritten, wird die Verbindung vom SMTP-Proxy-Server getrennt. Der Standardwert beträgt 20.
- Maximalgröße des E-Mail-Inhalts auswählen
- Die maximal zulässige Größe für einzelne E-Mails. Mehrere vordefinierte Werte können aus den Dropdown-Menü ausgewählt werden. Durch Auswählen der Option Benutzerdefinierte Größe des E-Mail-Inhalts wird die nächste Option angezeigt.
- Benutzerdefinierte Maximalgröße des E-Mail-Inhalts (in KB)
- Die maximale E-Mail-Größe in Megabyte, die vom SMTP-Server akzeptiert wird.
- DSN in Zonen aktivieren
- Wählen Sie aus den verfügbaren Zonen diejenigen aus, die eine Unzustellbarkeitsnachricht (d. h. eine DSN-Nachricht) für nicht zustellbare E-Mails oder nicht korrekt versendbare E-Mails senden. Anders gesagt ist es nur möglich, Zustellungsbenachrichtigungen für E-Mails von den hier ausgewählten Zonen zu erhalten.
HELO/EHLO und Hostname
Von fast allen E-Mail-Servern wird verlangt, dass durch Clients, von denen über SMTP eine Verbindung hergestellt wird, eine entsprechende Ankündigung mit einem gültigen Hostnamen im HELO/EHLO erfolgt. Anderenfalls wird die Verbindung getrennt. Von der Panda GateDefender-Appliance wird jedoch zur Ankündigung bei fremden E-Mail-Servern ein eigener Hostname verwendet, der im globalen DNS nicht immer öffentlich gültig ist.
In einem solchen Fall kann unter Menüleiste ‣ Proxy ‣ SMTP ‣ Erweitert ‣ E-Mail-Server-Einstellungen ‣ SMTP HELO-Name ein anderer benutzerdefinierter Hostname im FQDN-Format konfiguriert werden, der vom Remote-E-Mail-Server verstanden werden kann.
Spam-Abwehr¶
Im letzten Bereich können zusätzliche Parameter für den Spam-Filter definiert werden, indem eines oder mehrere der folgenden vier Kontrollkästchen aktiviert werden:
- Ungültiger Empfänger
- Eine Anforderung wird zurückgewiesen, wenn die Adresse für RCPT TO kein FQDN-Format aufweist, wie durch RFC 821 verlangt.
- Ungültiger Absender
- Ein Client, von dem eine Verbindung hergestellt wird, wird zurückgewiesen, wenn es sich bei dem Hostnamen, der mit dem HELO- oder EHLO-Befehl übermittelt wird, nicht um einen FQDN handelt, wie durch RFC 821 verlangt.
- Unbekannte Empfängerdomäne
- Eine Verbindung wird abgewiesen, wenn für die Domäne der Empfängeradresse kein A-Eintrag oder MX-Eintrag im DNS vorhanden ist.
- Unbekannter Absender
- Eine Verbindung wird abgewiesen, wenn für die Domäne der Absenderadresse kein A-Eintrag oder MX-Eintrag im DNS vorhanden ist.
Fehlerbehebung für den SMTP-Proxy
Wird in der Protokolldatei die Meldung „Mail for xxx loops back to myself“ angezeigt, deutet dies auf eine Fehlkonfiguration beim benutzerdefinierten SMTP-HELO-Namen in der Appliance hin. Dieser ist identisch mit dem Hostnamen des internen E-Mail-Servers, an den eingehende E-Mails weitergeleitet werden sollen.
In diesem Fall enthält die SMTP-Verbindung, die vom internen E-Mail-Server empfangen wird, einen Hostnamen (den aus der HELO-Zeile der SMTP-Proxyeinstellung), der mit dem Hostnamen des internen E-Mail-Servers identisch ist. Daher wird vom internen E-Mail-Server angenommen, dass von ihm dieselbe E-Mail gesendet und empfangen wird, wodurch diese Fehlermeldung verursacht wird.
Die folgenden Lösungen sind möglich:
- Ändern des Hostnamens des internen E-Mail-Servers.
- Erstellen eines neuen, öffentlich gültigen A-Eintrags in der DNS-Zone, durch den auch auf die Panda GateDefender-Appliance verwiesen wird, und Verwenden des entsprechenden Hostnamens als HELO-Zeile im SMTP-Proxy.
- Verwenden der numerischen IP-Adresse des Uplinks als HELO-Zeile.
Anti-Spam¶
Diese Seite enthält Konfigurationseinstellungen für die Anti-Spam-Engine. Folgende Optionen können konfiguriert werden:
- Mit SpamAssassin kurzschließen
- Aktivieren Sie dieses Kontrollkästchen, um SpamAssassin zu überspringen, wenn Cyren (zuvor Commtouch) eine Nachricht als Spam markiert.
- IPs/Netzwerke ignorieren
- Hier können IPs und Netzwerke definiert werden, die nicht von Cyren überprüft werden sollen.
Im Abschnitt „Spam-Kennzeichnungsstufe“ können die folgenden Optionen konfiguriert werden: Die gültigen Werte für jede Option liegen zwischen einschließlich -10 und 10.
- BESTÄTIGT
- Alle E-Mails mit einer Kennzeichnungsstufe, die über diesem Wert liegt, werden als Spam erkannt.
- SAMMEL-E-MAIL
- Alle E-Mails mit einer Kennzeichnungsstufe, die über diesem Wert liegt, werden als Massensendungen identifiziert.
- VERDÄCHTIG
- Alle E-Mails mit einer Kennzeichnungsstufe, die über diesem Wert liegt, werden unter Spamverdacht gestellt.
- UNBEKANNT
- E-Mails mit einer Kennzeichnungsstufe, die unter diesem Wert liegt, werden als unbekannt eingestuft.
- KEIN SPAM
- E-Mails mit einer Kennzeichnungsstufe, die unter diesem Wert liegt, werden nicht als Spam eingestuft.