[Postfixbuch-users] Sicherer Mailtransfer zwischen zwei Postfix-Servern

[Patrick Ben Koetter]

* Roland M. Kruggel <rk.liste at bbf7.de>:
> Am Donnerstag, 16. Februar 2006 09:06 schrieb Patrick Ben Koetter:
> > * Roland M. Kruggel <rk.liste at bbf7.de>:
> > > Hallo Liste,
> > >
> > > ich will den Mailtransfer zwischen zwei Postfixservern absichern
> > > und brauch eure Hilfe weil mir der konkrete Anatz fehlt.
> > >
> > > Folgendes Szenario:
> > >
> > > Mailserver 1 (nennen wir ihn hugo) ist primärer MX und steht im
> > > Internet und ist somit permanent verfügbar.
> > > Mailserver 2 (nennen wir ihn wilma) verfügt nur über eine
> > > DSL-Leitung und ist nur tagsüber erreichbar. Tlw. auch nur
> > > wochentags.
> > >
> > > Wilma hat einen dyndns Eintrag und ist von aussen erreichbar. Die
> > > IP-Adresse wird bei dyndns zwar sehr fix eingetragen, wenn wilma
> > > jedoch down ist trägt dyndns die Adresse nicht wieder aus.
> > > Irgendwann könnte jemand anderes die IP bekommen.
> > >
> > > Hugo soll die mails nun wilma per smtp zugestellen. Aber es muss
> > > gewährleistet sein, daß es auch wirklich wilma ist und nicht
> > > irgen ein anderer Rechner der zuällig die alte ip von wilma
> > > bekommen hat.
> > >
> > > Postfix hat da doch bestimmt Möglichkeiten. Welche?
> >
> > 1. Verfahren umdrehen
> >    Wilma holt die Mails per fetchmail von Hugo ab. Hugo ist immer
> > da. Nur Wilma kann sich entsprechende authentifizieren, um die
> > Mails zu holen.
> >
> > 2. Hugo stellt die Identität von Wilma sicher
> >    Wilma bietet TLS an und verfügt über ein Zertifikat. Das
> > Zertifikat stammt von der eigenen (!) Certification Authority.
> >    Hugo kann TLS nutzen und verfügt über das CA-cert der eigenen
> > CA. Hugo ist so konfiguriert, dass er Mail zu Wilma nur dann
> > transportiert, wenn er eine TLS Verbindung zu Wilma aufbauen kann
> > UND ihre Identität anhand ihres Server-Zertifikates verifizieren
> > kann.
> >    Damit niemand anderes seinen Server Wilma nennt und sich ein
> > Zertifikat mit Wilmas Namen besorgt, wird der dedizierte Transport
> > von Hugo so konfiguriert, dass er auf einen - nur mit Wilmas CA
> > befüllten - gültigen CA-Stammspeicher zugreift.
> >    Will also Hugo zu Wilma senden, kann er nur im dedizierten
> > CA-Stammspeicher (eigene CA) nachsehen, um Wilmas Server-Zertifikat
> > zu verifizieren; sendet eine gefälschte Wilma ein TLS
> > Server-Zertifikat, kann Hugo das nicht mit den Daten des
> > dedizierten CA-Stammspeichers verfizieren und bricht ab.
> 
> Hab' verstanden. Wenn auch langsam und schwerlich. ( Euer Buch war 
> eine grosse hilfe)
> 
> Eine Frage noch:
> Wie sag ich Hugo, das er nur die Domain Wilma über das tls Zertifikat 
> bedient und zu allen anderen Domains eine normale Verbindung 
> herstellt?


Seite 373, "Selektives, clientseitiges TLS aktivieren" und "Map mit Regeln für
selektives TLS erstellen". Du willst "MUST" als value für wilma.

p at rick

-- 
Das »Postfix«-Buch
<http://www.postfix-buch.com>
saslfinger (debugging SMTP AUTH):
<http://postfix.state-of-mind.de/patrick.koetter/saslfinger/>