Mail-Connector

Konfiguration des Mail-Connectors der UTM

Letzte Anpassung zur Version: 12.6.0

Neu:

Aktualisierung zum Redesign des Webinterfaces

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.5.1 12.2.4 11.7

Einleitung

Schematische Darstellung der Funktionsweise des Mail-Connectors

Der Mail-Connector bietet die Möglichkeit E-Mails von verschiedenen Mailservern über die Protokolle POP3 und POP3S sowie IMAP und IMAPS einzusammeln und an einen internen Mailserver weiterzuleiten. Die Weiterleitung an den internen Mailserver erfolgt über das Protokoll SMTP.

Gibt es im internen Netz nur Mailclients, die bisher den externen Mailserver abgerufen haben, lässt sich der Mail-Connector nicht verwenden.

Einrichtung zum Abholen von einzelner Konten

Wenn für jeden Benutzer ein eigenes E-Mail Konto auf dem externen Mailserver konfiguriert ist, muss für jedes Konto ein eigener Mail-Connector-Dienst angelegt werden
Catch-all-Postfächer können mit der Option Multidrop abgeholt werden
Im Bereich OAuth2 können Google und Microsoft-Dienste konfiguriert werden
Im Bereich Allgemein kann eingestellt werden, wie oft die externen E-Mailkonten überprüft werden

Konfigurationen

Dienste

Unter Anwendungen Mail-Connector Bereich Dienste wird auf die Schaltfläche Mail-Connector-Dienst hinzufügen geklickt, um einen neuen Mail-Connector-Dienst anzulegen.
Beschriftung	Wert	Beschreibung	Mail-Connector-Dienst hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenMail-Connector
OAuth 2 verwenden:	Nein Default	Bei Aktivierung Ja wird OAuth 2 verwendet. Der Punkt OAuth 2 Verbindung wird eingeblendet.
OAuth 2 Verbindung: Ist per Default ausgeblendet		Eine vorhandene OAuth 2 Verbindung wird ausgewählt. Mit + wird eine neue Verbindung erstellt.
Server:		Der externe Mailserver, von dem die E-Mails abgeholt werden
Protokoll:	POP3IMAP	Hier wird das Protokoll angegeben, das zur Verbindung mit dem externen Server verwendet wird
Benutzer:		Benutzername des externen Postfachs. Ist OAuth 2 verwenden Ja aktiv, können Benutzer aus der OAuth-Quelle ausgewählt werden
Passwort: Wird ausgeblendet, wenn OAuth 2 verwenden Ja aktiv ist		Passwort des externen Postfachs
		Das Passwort wird angezeigt
Maximale Nachrichtengröße:	20 MB	Maximale Nachrichtengröße für den Mail-Connector
Multidrop:	Aus	Bei deaktiviertem Multidrop werden die E-Mails eines Postfachs an eine interne E-Mail Adresse weitergeleitet. Um E-Mails für mehrere Empfänger einzusammeln, muss Multidrop aktiviert werden. Bei Aktivierung Ein wird der Bereich Multidrop Optionen aktiviert
Keepmails	Ein	Für gewöhnlich werden E-Mails gelöscht, nachdem sie abgeholt worden sind. Die Aktivierung von Keepmails verhindert dieses Löschen. Bei Aktivierung können externe Postfächer volllaufen! Keepmails sollte nur vorübergehend für Testzwecke verwendet werden, oder wenn anderweitig sichergestellt ist, daß das externe Postfach seine Kapazitätsgrenze nicht erreicht.
Defekter Header akzeptieren:	Aus	E-Mails mit defektem Header werden in den Mail-Connector aufgenommen
Zertifikate prüfen notempty Neu ab: v12.5	Ein	Bei Aktivierung Ein werden die SSL-Zertifikate überprüft. notempty Bei neuen Verbindungen ist dies per Default aktivert, bei vorhandenen Verbindungen per Default deaktiviert. notempty Wird das SSL-Zertifikat bei der Prüfung abgelehnt, weil es nicht mehr gültig oder vertrauenswürdig ist, so wird keine Verbindung aufgebaut.
Verschlüsselung:	AutoStartTLSSSL	Gibt die Art der Verschlüsselung an
TLS Version: Nicht bei Verschlüsselung: Auto notempty Neu ab v12.5.1	TLS1.2 oder höher (empfohlen)	Gewünschte TLS Version kann gewählt werden.
Ziel-E-Mail-Adresse: Bei deaktivierten Multidrop		Gibt die Ziel-Mailbox an Sollte für die Maildomain im Mailrelay bereits eine SMTP-Route existieren, wird diese automatisch als SMTP Mailserver vorgeschlagen
Ziel-Domain: Bei aktivierten Multidrop		Gibt die Ziel-Domain an
SMTP Mailserver:		Gibt den internen Mailserver an, zu dem akzeptierte E-Mails weitergeleitet werden sollen Ist Maildomain bisher nicht im Mailrelay angelegt, wird dort automatisch eine SMTP Route hinzugefügt notempty Achtung: Wird eine vorgeschlagene IP-Adresse geändert, wird nach Rückfrage die Einstellung im Mailrelay mit der neuen IP-Adresse überschrieben!

Multidrop (Abholen von einem Sammelkonto) Multidrop (Abholen von einem Sammelkonto) Sollten alle E-Mails auf dem externen Mailserver in einem Sammelpostfach abgelegt und erst beim Abholen den lokalen User-Postfächern zugeordnet werden, können diese mit der Option Multidrop eingerichtet werden. Dazu wird bei einem neuem Dienst, oder bei einem bestehenden die Option Multidrop aktiviert. Im Bereich Multidrop Optionen werden folgende Einstellungen vorgenommen: Das Prinzip des Multidrop im Mail-Connector besteht darin, Mails aus einem CatchAll Sammelpostfach eines externen Providers abzuholen und auf dem eigenen Mailserver den einzelnen Postfächern zuzustellen. Die Unterscheidung der einzelnen Postfächer über den Mail-Connector erfolgt über einen Envelope-Header Eintrag in den E-Mails des Sammelpostfaches. Dieser kann allerdings je nach Provider und bei diesem eingesetztem Mailserver unterschiedlich ausfallen. notempty Es muss darauf geachtet werden, bei Nutzung von Multidrop unter "Remote User" auch die einzelnen Postfächer anzugeben. Ansonsten kann der Mail-Connector die Mails den einzelnen Mailkonten nicht zustellen.
Envelope-Header:	X-Original-To	Der Eintrag des Envelope-Headers wird ausgewählt. Dieser bestimmt, welche E-Mails vom ursprünglichem Empfänger mit diesem Envelope-Header-Eintrag, an einem lokalem Mailkonto auf dem internen Mailserver zugeordnet werden.
	X-Envelope-To
	Delivered-To
	Envelope-To
Remote E-Mail Adresse:	user@mail.com	E-Mail Adresse des ursprünglichen Empfängers
Lokale E-Mail Adresse:	alice@tttpoint.de	E-Mail Adresse des internen Empfängers
Auf + klicken, um die Zuordnung hinzuzufügen.

OAuth 2 OAuth 2
Im Bereich OAuth 2 wird auf die Schaltfläche OAuth 2 Verbindung hinzufügen geklickt, um eine neue OAuth 2 Verbindung anzulegen. Je nach Providerauswahl Google Workspace, Microsoft 365 (Geheimer Clientschlüssel), oder Microsoft 365 (Zertifikat) ändern sich die Konfigurationsschritte.
Google Workspace Google Workspace
Name:		Name der OAuth 2 Verbindung	OAuth 2 Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenMail-Connector
Provider:	Google Workspace	Auswahl des Providers
Dienstkonto:		Das Dienstkonto des Google Workspace wird eingetragen
Nutzerkonto:	»alice@ttt-point.de	Die Nutzerkonten werden ausgewählt
Zertifikat:	Google_Workspace-OAuth2_cert	Das Zertifikat, das im Azure hochgeladen wurde wird hier ausgewählt

Vorbemerkung Microsoft 365
Um Microsoft 365 nutzen zu können, sind konfigurierte Azure Apps notwendig.
Hinweis Dieser Artikel beinhaltet Beschreibungen der Software von Drittanbietern und basiert auf dem Stand zum Zeitpunkt der Erstellung dieser Seite. Änderungen an der Benutzeroberfläche durch den Hersteller sind jederzeit möglich und müssen in der Durchführung entsprechend berücksichtigt werden. Alle Angaben ohne Gewähr. Um den Mail-Connector mit Microsoft 365 nutzen zu können, sind folgende Angaben erforderlich: Anwendungs ID Mandanten-ID Geheimer Clientschlüssel In dieser Anleitung wird exemplarisch gezeigt, welche Vorbereitungen und Einstellung in Microsoft Azure erforderlich sind. Azure Active Directory admin center starten Mandanten-ID im Menü Azure Active Directory notieren/kopieren Neue App registrieren unter Menü App-Registrierung Schaltfläche Neue Registrierung Eindeutigen Namen vergeben und Schaltfläche Registrieren klicken Im Menü API-Berechtigungen die Schaltfläche Berechtigung hinzufügen klicken Berechtigung für Office 365 Exchange Online im Reiter Von meiner Organisation verwendete APIs wählen IMAP.AccessAsApp-Berechtigung für Office 365 Exchange Online hinzufügen Im Menü API-Berechtigungen den Eintrag Administratorzustimmung für [...] erteilen aktivieren Im Menü Zertifikate & Geheimnisse ein Geheimen Clientschlüssel erstellen Wert notieren, wird beim hinzufügen einer OAuth 2 Verbindung als Geheimer Clientschlüssel eingetragen Menü Unternehmensanwendungen öffnen und App wählen Aus den App Eigenschaften Anwendungs-ID und Objekt-ID notieren Auf Windows Client Administrator Powershell öffnen, ExchangeOnlineManagement importieren und mit Tenant verbinden Empfängermailbox im Exchange admin center auswählen und als Delegation Read and manage (Full Access) wählen Mitglied für Mailbox Delegation hinzufügen Damit ist die Konfiguration im Microsoft Azure abgeschlossen. Die weitere Konfiguration erfolgt in der UTM im Menü Anwendungen Mail-Connector Bereich Dienste Schaltfläche Mail-Connector-Dienst hinzufügen und im Bereich OAuth2 mit der Schaltfläche OAuth2 Verbindung hinzufügen notempty Die Microsoft Server brauchen ggf. bis zu 30 Minuten, bevor der Zugang funktioniert Abb.1 Anmelden unter Portal Azure oder Microsoft Entra In Microsoft Entra sind einige Menupunkte als Untermenupunkte eingerichtet. Menü Azure Active Directory wählen Mandanten-ID notieren, wird beim hinzufügen einer OAuth 2 Verbindung eingetragen Abb.2 Neue App registrieren: Menü App-Registrierung Schaltfläche Neue Registrierung Abb.3 Eindeutigen Namen vergeben Schaltfläche Registrieren klicken Abb.4 Es wird eine Zusammenfassung der soeben registrierten App angezeigt Die hier angezeigte Object ID gehört nicht zur App und wird nicht benötigt! Menu API-Berechtigungen wählen Abb.5 Schaltfläche Berechtigung hinzufügen klicken Abb.6 Reiter Von meiner Organisation verwendete APIs wählen Berechtigung für Office 365 Exchange Online wählen Abb.7 Schaltfläche Anwendungsberechtigungen klicken nach imap suchen IMAP.AccessAsApp markieren Schaltfläche Berechtigungen hinzufügen klicken Abb.8 Erneut Menü API-Berechtigungen auswählen Eintrag Administratorzustimmung für [...] erteilen auswählen Schaltfläche Ja anklicken Abb.9 Administratorzustimmung für [...] erteilen erfolgreich gewährt Abb.10 Menü Zertifikate & Geheimnisse Reiter Geheime Clientschlüssel Eintrag neuer geheimer Clientschlüssel Eindeutige Beschreibung eingeben gewünschte Laufzeit wählen (max. 24 Monate) Schaltfläche Hinzufügen anklicken Abb.11 Wert notieren, wird beim hinzufügen einer OAuth 2 Verbindung als Geheimer Clientschlüssel eingetragen Abb.12 Zurück zum Dashboard, Menü Azure Active Directory Menü Unternehmensanwendungen Abb.13 Menü Alle Anwendungen Securepoint App wählen Abb.14 Aus den App Eigenschaften notieren: Anwendungs-ID, wird beim hinzufügen einer OAuth 2 Verbindung als Anwendungs-ID eingetragen Objekt-ID, wird für die Vergabe der Berechtigung per Powershell benötigt Abb.15 Auf einem Windows Client Administrator Powershell öffnen notempty ExchangeOnlineManagement Modul installieren Falls es Probleme beim Installieren des Moduls oder beim Verbinden gibt muss man ggf. Powershell auf TLS 1.2 konfigurieren: >[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12 > Install-Module -Name ExchangeOnlineManagement -allowprerelease ExchangeOnlineManagement importieren und mit Tenant verbinden: > Import-Module ExchangeOnlineManagement > Connect-ExchangeOnline -Organization Mandanten-ID (Siehe Abb.1) Neuen Dienst Prinzipal anlegen und eindeutigen Namen vergeben: > New-ServicePrincipal -DisplayName SecurepointServicePrincipal -AppId Enterprise-oApp-ooID-oooo-oooooooo -ServiceId Enterprise-oObj-ooID-oooo-oooooooo Bei Enterprise-oApp-ooID-oooo-oooooooo die Anwendungs-ID und bei Enterprise-oObj-ooID-oooo-oooooooo die Objekt-ID (siehe Abb. 14) eintragen Im Anschluss Mailbox Permissions vergeben: > Add-MailboxPermission -Identity alice@anyideas.onmicrosoft.com -User SecurepointServicePrincipal -AccessRights FullAccess
Microsoft 365 (Geheimer Clientschlüssel) Microsoft 365 (Geheimer Clientschlüssel)
Name:		Name der OAuth 2 Verbindung
Provider:	Microsoft 365 (Geheimer Clientschlüssel)	Auswahl des Providers
Anwendungs-ID:		Die ID der Anwendung wird eingetragen In Microsoft Azure in der App Eigenschaft unter Application ID
Mandanten-ID:		Die ID des Mandanten wird eingetragen In Microsoft Azure im Menü Azure Active Directory unter Tenant ID
Geheimer Clientschlüssel:		Der Geheimer Clientschlüssel wird eingetragen In Microsoft Azure im Menü Certificates & secrets im Reiter Client secrets unter Value

Microsoft 365 (Zertifikat) Microsoft 365 (Zertifikat)
Name:		Name der OAuth 2 Verbindung
Provider:	Microsoft 365 (Zertifikat)	Auswahl des Providers
Anwendungs-ID:		Die ID der Anwendung wird eingetragen In Microsoft Azure in der App Eigenschaft unter Application ID
Mandanten-ID:		Die ID des Mandanten wird eingetragen In Microsoft Azure im Menü Azure Active Directory unter Tenant ID
Zertifikat:	CC-OAuth2-MS365_cert	Das Zertifikat, das im Azure hochgeladen wurde wird hier ausgewählt

Allgemein Allgemein
Im Bereich Allgemein lassen sich folgende Einstellungen, wirksam für alle Mail-Connector-Dienste, vornehmen.
Intervall (Minuten):	15	Das Minutenintervall, in dem der externe Mailserver auf neue E-Mails geprüft wird	Mail-Connector UTMbenutzer@firewall.name.fqdnAnwendungen Mail Connector Log
NoSoftBounce:	Aus	Wenn aktiviert, wird für E-Mails, die einen permanenten Fehler bei der Weiterleitung erzeugen, kein weiterer Zustellungsversuch unternommen. Diese E-Mails werden aus dem Postfach gelöscht (wenn Keepmails inaktiv) bzw. als gelesen markiert (wenn Keepmails aktiv).